NIS2-Schulungspflicht für Geschäftsführer: Was § 38 BSIG verlangt

Was das Gesetz von der Geschäftsleitung verlangt

Das BSIG nimmt die Leitungsebene doppelt in die Pflicht. Nach § 38 Absatz 1 BSIG sind Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet, die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Kommen sie dieser Pflicht nicht nach, können sie dafür haften.

Damit die Leitung diese Aufgabe überhaupt erfüllen kann, verlangt § 38 Absatz 3 BSIG die regelmäßige Teilnahme an Schulungen. Ziel ist, ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken zu erlangen sowie die Auswirkungen auf die erbrachten Dienste beurteilen zu können.

Die Schulungspflicht ist also kein Selbstzweck und keine reine Formalie: Sie ist das Mittel, mit dem die Leitung ihre Überwachungspflicht ausfüllen soll.

Voraussetzung ist allerdings, dass die Einrichtung überhaupt in den Anwendungsbereich fällt. Wer das noch nicht geklärt hat, prüft zuerst die Betroffenheit nach § 28 BSIG – Anlage 2 erfasst mehr Branchen, als die meisten erwarten.

Wer genau schulungspflichtig ist

Maßgeblich ist nicht der Jobtitel, sondern die Legaldefinition. Nach § 2 Nummer 13 BSIG ist Geschäftsleitung jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen oder wichtigen Einrichtung berufen ist.

Daraus folgt der Punkt, der in der Praxis am häufigsten übersehen wird: Alle Personen, die dieser Definition entsprechen, sind schulungspflichtig. Das BSI geht ausdrücklich davon aus, dass die Pflicht in der großen Mehrheit der Einrichtungen mehrere Personen trifft. Bei drei Geschäftsführern genügt es nicht, wenn eine Person teilnimmt und die beiden anderen anschließend informiert werden.

Für Einrichtungen der Bundesverwaltung gilt statt § 38 Absatz 3 die gleichlautende Regelung in § 43 Absatz 2 BSIG. Leiterinnen und Leiter solcher Einrichtungen gelten nach § 29 BSIG nicht als Geschäftsleitung im Sinne des Gesetzes.

Sinnvoll, wenn auch nicht vorgeschrieben, ist die Ausweitung auf Personen, die der Geschäftsleitung zuarbeiten oder anderweitige Entscheidungsvollmacht haben.

Warum die Mitarbeitendenschulung nicht genügt

Viele Einrichtungen haben bereits eine jährliche Security-Awareness-Schulung. Sie erfüllt die Leitungspflicht nicht. Das BSI stellt ausdrücklich klar, dass die Schulungspflicht nach § 38 Absatz 3 BSIG gesondert von den Schulungen für Mitarbeitende nach § 30 Absatz 2 Nummer 7 BSIG zu betrachten ist.

Die beiden Pflichten unterscheiden sich in Adressat und Zweck:

	Mitarbeitendenschulung	Geschäftsleitungsschulung
Rechtsgrundlage	§ 30 Absatz 2 Nummer 7 BSIG	§ 38 Absatz 3 BSIG
Adressat	Beschäftigte	jede Person der Geschäftsleitung
Zweck	Cyberhygiene im Arbeitsalltag	Risiken bewerten und Umsetzung überwachen
Charakter	Maßnahme der Einrichtung	persönliche Pflicht

Der entscheidende Unterschied liegt im letzten Punkt. Die Mitarbeitendenschulung ist eine Risikomanagementmaßnahme, die die Einrichtung ergreift. Die Leitungsschulung ist an die einzelne Person geknüpft.

Wie oft geschult werden muss

Hier weicht die verbreitete Darstellung häufig vom Gesetz ab. Das BSIG macht zu Intervall und Dauer der verpflichtenden Schulungen keine konkreten Vorgaben, die über den Begriff „regelmäßig" hinausgehen. Ein gesetzlich vorgeschriebener Jahresturnus existiert nicht.

Das BSI benennt stattdessen Anlässe, an denen sich Art, Dauer und Intervall ausrichten sollten:

• Wechsel in der Geschäftsleitung
• signifikante Änderungen in den Geschäftsprozessen
• signifikante Änderungen der Risikoexposition
• signifikante Änderungen bei implementierten oder geplanten Risikomanagementmaßnahmen

Ob die Inhalte in einer einzelnen Schulung oder verteilt auf mehrere vermittelt werden, steht den Einrichtungen frei. Auch mehrstündige Unterrichtsblöcke sind nicht zwingend: Das BSI hält alternative, insbesondere interaktive oder zeitlich dezentrale Formate ausdrücklich für geeignet.

Praktisch bedeutet das: Ein fester Jahrestermin ist eine zulässige, aber nicht die einzige Lösung. Wer die vier Anlässe im Blick behält, erfüllt die Pflicht sachgerechter als ein Kalendereintrag, der an der Risikolage vorbeigeht.

Die Teilnahme belastbar nachweisen

Die Dokumentation ist intern aufzubewahren und auf Verlangen dem BSI oder den vom BSI beauftragten unabhängigen Stellen nach § 61 Absatz 1 in Verbindung mit § 62 BSIG vorzulegen. Eine formlose Teilnehmerliste genügt dafür nicht.

Das BSI nennt vier Mindestangaben für eine aussagekräftige Dokumentation:

1. Angaben zum Schulungsanbieter beziehungsweise zur internen Stelle
2. Angaben zu den beschulten Teilnehmenden mit Name und Rolle in der Organisation
3. Datum, Uhrzeit und Dauer der Schulungseinheiten
4. behandelte Unterrichtsinhalte und -formate mit Bezug zu den Vorgaben aus § 38 Absatz 3 BSIG

Ein Punkt verdient dabei besondere Beachtung: Eine solche Dokumentation belegt nach Auffassung des BSI nur die regelmäßige Teilnahme, nicht die tatsächliche Vermittlung ausreichender Kenntnisse. Der Lernerfolg zeigt sich vielmehr darin, dass die Geschäftsleitung aktiv und nachvollziehbar an Entscheidungen im Risikomanagement mitwirkt.

Für die Praxis heißt das: Der Teilnahmenachweis und die Dokumentation von Risikomanagement-Entscheidungen gehören zusammen. Wer beides sauber führt, kann die Erfüllung der Pflicht aus § 38 Absatz 1 BSIG plausibel darlegen.