NIS2 verlangt, dass die Mitglieder des Leitungsorgans an Cybersicherheitsschulungen teilnehmen (Artikel 20 Absatz 2). Für die übrigen Beschäftigten verlangt Artikel 20 von den Mitgliedstaaten nur, die Einrichtungen zu regelmäßigen Schulungen aufzufordern, doch Artikel 21 Absatz 2 Buchstabe g macht Cybersicherheitsschulungen zu einer der Mindestmaßnahmen des Risikomanagements. Die Richtlinie legt keine Stundenzahl, keine Häufigkeit für die Leitung, kein Zertifikat und keinen zugelassenen Anbieter fest.
Dieser Leitfaden behandelt die Pflicht der Leitung, die Schulung der Beschäftigten, wesentliche und wichtige Einrichtungen, die Häufigkeit, was das Gesetz offenlässt, wo Sie Schulungen finden, was die Verordnung 2024/2690 ergänzt, die Inhalte, einen Schulungsplan, eine Nachweisvorlage und eine Checkliste.
| Wer | Rechtsgrundlage | Wortlaut | Status |
|---|---|---|---|
| Mitglieder des Leitungsorgans | NIS2 Artikel 20 Absatz 2 | „verpflichtet sind, an Schulungen teilzunehmen“ | Pflicht, über das nationale Recht |
| Beschäftigte | NIS2 Artikel 20 Absatz 2 | Mitgliedstaaten fordern die Einrichtungen auf, „regelmäßig“ entsprechende Schulungen anzubieten | Empfohlen |
| Alle Beschäftigten, als Maßnahme | NIS2 Artikel 21 Absatz 2 Buchstabe g | „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“ | Mindestmaßnahme, verhältnismäßig |
| Digitale Anbieter nach Artikel 21 Absatz 5 | Verordnung 2024/2690, Anhang Abschnitt 8 | Sensibilisierung für alle, einschließlich der Leitung; rollenbezogene Schulung | Unmittelbar geltende Einzelheiten |
Welche Schulung schreibt NIS2 für die Geschäftsleitung vor?
Nach Artikel 20 Absatz 2 stellen die Mitgliedstaaten sicher, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen „verpflichtet sind, an Schulungen teilzunehmen“, und fordern die Einrichtungen auf, ihren Beschäftigten „regelmäßig“ entsprechende Schulungen anzubieten. Ziel sind ausreichende Kenntnisse und Fähigkeiten, um Risiken zu erkennen und Risikomanagementpraktiken im Bereich der Cybersicherheit sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu bewerten.
Die Pflicht steht neben Artikel 20 Absatz 1. Die Leitungsorgane billigen die Maßnahmen nach Artikel 21, überwachen ihre Umsetzung und können für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden. Eine Leitung, die Maßnahmen billigt, die sie nicht beurteilen kann, hat unterschrieben, nicht geführt.
NIS2 definiert den Begriff „Leitungsorgan“ nicht. Das nationale Recht entscheidet, ob damit der Verwaltungsrat, der Vorstand oder der Aufsichtsrat oder die Geschäftsführer einer kleinen Gesellschaft gemeint sind. Für wesentliche Einrichtungen, und über Artikel 33 Absatz 5 auch für wichtige, ergänzt Artikel 32 Absatz 6, dass natürliche Personen, die die Einrichtung vertreten, in ihrem Namen Entscheidungen treffen oder sie kontrollieren, für die Verletzung ihrer Pflicht, die Einhaltung sicherzustellen, haftbar gemacht werden können. Das Gesamtbild beschreibt der Beitrag zur Verantwortung der Geschäftsleitung nach NIS2.
Ist eine NIS2-Schulung für Mitarbeiter Pflicht?
Zwei Vorschriften beantworten diese Frage.
- Artikel 20 Absatz 2 verlangt von den Mitgliedstaaten nur, die Einrichtungen aufzufordern, ihren Beschäftigten „regelmäßig“ entsprechende Schulungen anzubieten.
- Artikel 21 Absatz 2 Buchstabe g zählt „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“ zu den Maßnahmen, die jede wesentliche und wichtige Einrichtung mindestens ergreifen muss.
In der Praxis also ja: Sie brauchen eine Schulungsmaßnahme für die Beschäftigten, deren Tiefe sich nach den Kriterien der Verhältnismäßigkeit in Artikel 21 Absatz 1 richtet: Risikoexposition, Größe sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. Nach Erwägungsgrund 89 sollten Einrichtungen Schulungen für ihr Personal organisieren und das Bewusstsein für Cyberbedrohungen, Phishing oder Social-Engineering-Techniken schärfen. Wo Maßnahme g unter den übrigen steht, erklärt der Beitrag zu den 10 Maßnahmen nach Artikel 21.
Gelten für wesentliche und wichtige Einrichtungen unterschiedliche Schulungsregeln?
Nein. Artikel 20 und Artikel 21 Absatz 2 Buchstabe g gelten für beide mit identischem Wortlaut. Unterschiedlich ist die Aufsicht. Wesentliche Einrichtungen werden proaktiv beaufsichtigt, und von ihnen können Nachweise für die Umsetzung von Cybersicherheitskonzepten verlangt werden (Artikel 32 Absatz 2 Buchstabe g). Wichtige Einrichtungen werden nachträglich beaufsichtigt, wenn Nachweise oder Hinweise auf Verstöße vorliegen, und dieselbe Anforderung steht zur Verfügung (Artikel 33 Absatz 2 Buchstabe f). Siehe wesentliche und wichtige Einrichtungen im Vergleich.
Die Sanktionen hängen von der jeweiligen Vorschrift ab. Verstöße gegen Artikel 21, einschließlich Maßnahme g, fallen unter die Obergrenzen des Artikels 34: ein Höchstbetrag von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und von mindestens 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist. Diese Obergrenzen gelten nicht für die Schulungspflicht nach Artikel 20; die Sanktionen dafür regelt das nationale Recht (Artikel 36).
Wie oft muss eine NIS2-Schulung stattfinden?
Für Mitglieder der Leitungsorgane legt die Richtlinie kein Intervall fest. Die einzige Angabe zur Häufigkeit, „regelmäßig“, bezieht sich auf die Schulungen der Beschäftigten, zu denen die Mitgliedstaaten die Einrichtungen auffordern. Für die von der Verordnung 2024/2690 erfassten Anbieter müssen Sensibilisierungsmaßnahmen wiederholt und in geplanten Abständen angeboten werden, und rollenbezogene Schulungen müssen regelmäßig stattfinden. Kein Text nennt eine Zahl, der Rhythmus im Plan unten ist also Praxis.
Was regelt NIS2 bei Schulungen nicht?
Die Richtlinie legt einen Zweck fest, kein Format. Sie bestimmt weder eine Stundenzahl noch einen Lehrplan, weder eine Prüfung noch eine Bestehensgrenze, weder ein Zertifikat noch akkreditierte Anbieter noch eine Form der Durchführung.
Nationales Recht und Leitlinien der Behörden können Einzelheiten ergänzen. In Deutschland hat das BSI zum Beispiel eine Handreichung zur Schulungspflicht der Geschäftsleitungen nach dem BSI-Gesetz veröffentlicht (vom 17. April 2026). Die Pflicht hängt außerdem von der Umsetzung ab: Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie keine Umsetzungsmaßnahmen mitgeteilt hatten.
Wo finden Sie eine NIS2-Schulung für Ihre Geschäftsleitung?
Auf EU-Ebene gibt es keinen offiziellen Katalog. Ein externer Anbieter, ein vCISO oder Ihre eigene Sicherheitsleitung kann die Schulung durchführen. Beurteilen Sie jede Option anhand von drei Fragen:
- Behandelt sie die Dienste und Risiken Ihrer Einrichtung statt allgemeiner Bedrohungstrends?
- Befähigt sie die Mitglieder, die Maßnahmen zu bewerten, die sie billigen?
- Entsteht ein Nachweis, den Sie der Aufsicht vorlegen können?
Eine eintägige Konferenzveranstaltung besteht den ersten Test nicht. Ebenso wenig ein jährliches Modul, durch das sich die Geschäftsleitung klickt. In den ersten 90 Tagen eines vCISO ist die Entscheidungsvorlage für das Leitungsorgan ein naheliegender Zeitpunkt für die erste Sitzung.
Was ergänzt die Durchführungsverordnung (EU) 2024/2690?
Für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content-Delivery-Netzwerken, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke und Vertrauensdiensteanbieter konkretisiert Abschnitt 8 des Anhangs Artikel 21 Absatz 2 Buchstabe g. Er gilt unmittelbar.
Sensibilisierung (8.1). Der Anbieter stellt sicher, dass seine Beschäftigten, einschließlich der Mitglieder der Leitungsorgane, sowie seine unmittelbaren Anbieter und Diensteanbieter sich der Risiken bewusst sind und Cyberhygiene-Praktiken anwenden. Das Programm ist so geplant, dass die Maßnahmen wiederholt werden und neue Beschäftigte erreichen; es behandelt relevante Bedrohungen, die bestehenden Maßnahmen, Ansprechpartner und Cyberhygiene-Praktiken. Wo angemessen, wird seine Wirksamkeit getestet, und es wird in geplanten Abständen aktualisiert.
Sicherheitsschulung (8.2). Beschäftigte, deren Aufgaben sicherheitsrelevante Kompetenzen erfordern, werden ermittelt und regelmäßig geschult, nach einem Programm, das den Bedarf je Rolle festlegt. Die Schulung passt zur Tätigkeit, ihre Wirksamkeit wird bewertet, und sie umfasst sichere Konfiguration und sicheren Betrieb, auch von Mobilgeräten, bekannte Cyberbedrohungen und das Verhalten bei sicherheitsrelevanten Ereignissen. Beschäftigte, die in solche Rollen wechseln, werden geschult.
Lieferanten (5.1.4 Buchstabe b). Verträge legen, wo angemessen, Anforderungen an Sensibilisierung, Kompetenzen und Schulung für das Personal der Lieferanten fest.
Für alle anderen ist Abschnitt 8 eine detaillierte amtliche Lesart von Artikel 21 Absatz 2 Buchstabe g und ein vernünftiger Maßstab.
Was sollte eine NIS2-Schulung der Geschäftsleitung abdecken?
Bauen Sie sie vom Zweck in Artikel 20 Absatz 2 her auf. Sinnvolle Themen:
- Die Dienste der Einrichtung, ihre größten Risiken und was sie stören würde.
- Die Maßnahmen nach Artikel 21, die die Mitglieder billigen, und was verhältnismäßig bedeutet.
- Meldung von Sicherheitsvorfällen: Frühwarnung innerhalb von 24 Stunden, Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats, und wann die Leitung informiert wird.
- Aufsicht, persönliche Haftung und die Bußgeldobergrenzen.
- Wie man die eingehenden Sicherheitsberichte liest und welche Fragen man stellt.
Ein sinnvoller Rhythmus in der Praxis: eine Sitzung bei Amtsantritt, kurze Updates in den Sitzungen des Leitungsorgans und eine Tabletop-Übung pro Jahr. Die Übung zeigt mehr als jedes Quiz.
Was sollte die Schulung der Beschäftigten abdecken?
Alle Beschäftigten: Phishing und Social Engineering, Passwörter und Multi-Faktor-Authentifizierung, Umgang mit Daten und die Meldung eines vermuteten Sicherheitsvorfalls. Phishing und gestohlene Zugangsdaten sind häufige Einstiegspunkte für die Angriffe aus NIS2 und Ransomware, und eine frühe Meldung durch einen Nutzer verschafft Zeit.
Rollen mit Sicherheitsaufgaben brauchen mehr: Nummer 8.2 ist ein gutes Modell für Administratoren und Rufbereitschaft, und Entwickler brauchen Schulungen zu sicherer Entwicklung und zum Umgang mit Schwachstellen. Wenn Sie ein ISMS nach ISO 27001 betreiben, decken die Abschnitte 7.2 (Kompetenz) und 7.3 (Bewusstsein) sowie Control 6.3 aus Anhang A das meiste bereits ab. Erweitern Sie die Nachweise auf das Leitungsorgan.
Ein NIS2-Schulungsplan zum Anpassen
Die Spalte zum Rhythmus ist Praxis, nicht Gesetz.
| Zielgruppe | Inhalt | Format | Vorgeschlagener Rhythmus | Nachweis |
|---|---|---|---|---|
| Leitungsorgan | Risiken, gebilligte Maßnahmen, Rolle bei Meldungen, Haftung | Briefing und Tabletop-Übung | Bei Amtsantritt, dann jährlich | Teilnahme, Tagesordnung, Protokoll |
| Alle Beschäftigten | Phishing, MFA, Umgang mit Daten, Meldung | Kurze Module, Simulationen | Bei Eintritt, dann jährlich | Abschlussnachweise |
| IT-Administratoren | Sichere Konfiguration, privilegierte Zugänge, Sicherung und Wiederherstellung | Rollenbezogene technische Schulung | Jährlich und bei größeren Änderungen | Nachweise, Bewertung |
| Entwickler | Sichere Entwicklung, Umgang mit Schwachstellen | Rollenbezogen | Jährlich | Nachweise |
| Incident-Response-Team | Verfahren bei Sicherheitsvorfällen, Meldung nach 24 und 72 Stunden | Übung | Jährlich | Übungsbericht |
| Kritische Lieferanten | Sensibilisierung, vertraglich geforderte Kompetenzen | Vertragsklausel | Je Vertrag | Vertrag, Bestätigung |
Vorlage für den NIS2-Schulungsnachweis
NIS2-SCHULUNGSNACHWEIS
Einrichtung: Zeitraum:
Grundlage: NIS2 Art. 20 Abs. 2 / Art. 21 Abs. 2 Buchst. g; nat. Recht: _____
SITZUNG
ID und Datum:
Titel:
Zielgruppe: [Leitungsorgan | alle Beschäftigten | Rolle: ____________ ]
Durchgeführt von: [intern: Name | extern: Organisation]
Format: [Präsenz | online | E-Learning | Übung]
Dauer:
Themen (Link zu Tagesordnung oder Unterlagen):
Behandelte Risiken und Richtlinien:
TEILNAHME
Name | Rolle | Mitglied Leitungsorgan (J/N) | Teilgenommen (J/N) | Datum
WIRKSAMKEIT
Methode: [Quiz | Nachbesprechung der Übung | Simulationsergebnis | keine]
Ergebnis:
Folgemaßnahmen | Verantwortlich | Fällig am:
ÜBERPRÜFUNG
Geprüft von: Datum:
Nächste Sitzung fällig:Was die Schulungspflicht offenlässt
Das Gesetz legt einen Zweck fest und keinen Test. Damit verlagert sich die Last auf Ihre Nachweise. Ein Zertifikat aus einem allgemeinen Kurs belegt die Teilnahme, nicht aber, dass die Leitung Risikomanagementpraktiken im Bereich der Cybersicherheit bewerten kann. Stärker ist ein Protokoll des Leitungsorgans, das zeigt, dass seine Mitglieder das Risikoregister hinterfragt und etwas entschieden haben, dazu der Bericht über ihre Übung.
Bei den Beschäftigten sind Abschlussquoten der schwächste Nachweis. Die schärferen Fragen: Wurde jeder Neuzugang geschult, bevor er Zugang erhielt? Hat jede Person mit Administratorrechten eine rollenbezogene Schulung erhalten? Hat jemand die letzte Phishing-Welle gemeldet? Die Antworten liegen im HR-System, beim Identitätsanbieter, im Schulungstool und im Ticketsystem, und sie laufen innerhalb weniger Wochen auseinander.
Einmal im Jahr von Hand geprüft, beschreiben die Nachweise ein Unternehmen, das sich inzwischen verändert hat. Laufend mit den Personen und privilegierten Konten abgeglichen, die es tatsächlich gibt, und mit einem Menschen, der die Ausnahmen prüft, beantworten sie die Frage so, wie sie gestellt ist. Das ist der Ansatz der CloudSoul-Plattform, einer automatisierten Plattform mit Human-in-the-Loop-Expertise. Das gesamte Programm finden Sie auf der NIS2-Compliance-Seite.
Checkliste zur NIS2-Schulung
- Klären Sie, wer nach Ihrem nationalen Recht zum Leitungsorgan zählt.
- Halten Sie eine erste Sitzung für die Leitung ab, die auf Ihren eigenen Risiken und Maßnahmen aufbaut, und protokollieren Sie sie.
- Nehmen Sie Cyberhygiene und die Meldung von Sicherheitsvorfällen in das Onboarding jedes Neuzugangs auf.
- Ermitteln Sie die Rollen, die Sicherheitskompetenzen erfordern, und schulen Sie sie rollenbezogen.
- Schulen Sie Beschäftigte, die in solche Rollen wechseln, zum Zeitpunkt des Wechsels.
- Führen Sie je Sitzung einen Nachweis: Zielgruppe, Themen, Teilnahme, Wirksamkeit.
- Prüfen Sie, ob Ihr nationales Recht und die Leitlinien Ihrer Behörde Stunden oder Häufigkeit vorgeben.
- Überprüfen Sie das Programm jährlich anhand von Sicherheitsvorfällen und veränderten Bedrohungen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 6, 20, 21, 23, 32, 33, 34 und 36 sowie Erwägungsgrund 89, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, Anhang Nummern 5.1.4 Buchstabe b, 8.1 und 8.2, EUR-Lex.
- Kommission verklagt Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof wegen fehlender Umsetzung von NIS2, 8. Juli 2026, Europäische Kommission.
- BSI, Handreichung für die Empfehlung zur Schulungspflicht für Geschäftsleitungen wichtiger Einrichtungen und besonders wichtiger Einrichtungen nach dem BSI-Gesetz, 17. April 2026, bsi.bund.de.
- ISO/IEC 27001:2022, Abschnitte 7.2 und 7.3 sowie Control 6.3 aus Anhang A, ISO.
Häufige Fragen
Ist eine Cybersicherheitsschulung für die Geschäftsleitung nach NIS2 Pflicht?
Ja. Nach Artikel 20 Absatz 2 müssen die Mitgliedstaaten sicherstellen, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen verpflichtet sind, an Schulungen teilzunehmen. Die Pflicht gilt über das nationale Recht.
Ist eine NIS2-Schulung für Mitarbeiter Pflicht?
Artikel 20 Absatz 2 verlangt von den Mitgliedstaaten nur, die Einrichtungen aufzufordern, ihren Beschäftigten regelmäßig entsprechende Schulungen anzubieten. Artikel 21 Absatz 2 Buchstabe g zählt jedoch grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit zu den Mindestmaßnahmen des Risikomanagements. In der Praxis braucht daher jede erfasste Einrichtung eine Schulungsmaßnahme für die Beschäftigten, die ihren Risiken angemessen ist.
Wie viele Stunden NIS2-Schulung braucht die Geschäftsleitung?
Die Richtlinie legt für Mitglieder der Leitungsorgane weder eine Stundenzahl noch eine Häufigkeit fest, auch keine Prüfung und kein Zertifikat. Sie legt einen Zweck fest: ausreichende Kenntnisse und Fähigkeiten, um Risiken zu erkennen und Risikomanagementpraktiken im Bereich der Cybersicherheit sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu bewerten.
Gibt es eine offizielle oder akkreditierte NIS2-Schulung für die Geschäftsleitung?
Nicht nach der Richtlinie. Sie akkreditiert weder Anbieter noch Kurse und schafft kein Schulungszertifikat. Nationales Recht oder Leitlinien der zuständigen Behörde können Einzelheiten ergänzen, prüfen Sie also die für Sie geltenden.
Unterscheiden sich die Schulungspflichten für wesentliche und wichtige Einrichtungen?
Nein. Artikel 20 und Artikel 21 Absatz 2 Buchstabe g gelten für beide mit demselben Wortlaut. Der Unterschied liegt in der Aufsicht: Wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen nachträglich, und von beiden können Nachweise über die Umsetzung verlangt werden.
