Die Pflicht ist schnell erklärt: Die Geschäftsleitung muss sich zu Cybersicherheit schulen lassen. Die interessantere Frage ist, was in diesen Stunden passieren soll, damit hinterher etwas anders ist.
Das BSI hat dazu eine Handreichung veröffentlicht, aktualisierte Fassung vom 17. April 2026. Sie ist rechtlich nicht verbindlich, beschreibt aber, was das BSI von einer Schulung erwartet. Wer Inhalte einkauft oder intern zusammenstellt, hat damit eine Checkliste. Wir gehen sie hier durch und sagen dazu, was davon in der Praxis trägt.
Das Ziel steht über allem: Umsetzen und Überwachen können
Die Handreichung formuliert ein übergreifendes Ziel, und es ist bewusst nicht "Wissen über Cybersicherheit". Die Geschäftsleitung soll ihren gesetzlichen Pflichten zur Umsetzung der Massnahmen und zur Überwachung dieser Umsetzung nachkommen können. Befähigung, nicht Ausbildung zur Expertin.
Daraus folgt eine Auswahlregel für jeden Programmpunkt: Zahlt er auf Entscheiden und Überwachen ein, oder ist er nur interessant? Die meisten Agenden, die wir sehen, haben zwei oder drei Punkte zu viel.
Drei Kerninhalte, und keiner davon ist optional
Das BSI nennt drei Kerninhalte, die aus § 38 Absatz 3 BSIG folgen.
- Erkennung und Bewertung von Risiken. Sinn, Ziele und Begriffe des Risikomanagements als systematischer Prozess. Wie Risiken identifiziert, bewertet und überwacht werden. Zentrale Risikoquellen, Schwachstellen und Schutzbedarfe der eigenen Einrichtung. Die Grundbegriffe der Bewertung, also Eintrittswahrscheinlichkeit, Schadensart, Schadensausmass, Risikoakzeptanz. Und die Einsicht, dass Risikomanagement ein laufender Prozess ist und kein Projekt.
- Risikomanagementpraktiken. Art, Zweck und Wirkweise technischer und organisatorischer Schutzmassnahmen, mindestens die zehn Mindestmassnahmen nach § 30 Absatz 2 BSIG. Wie Massnahmen ausgewählt, priorisiert und überprüft werden, welche Strategien es zur Risikobehandlung gibt, und dass Massnahmen dokumentiert und begründet werden müssen.
- Beurteilung der Auswirkungen. Betriebliche, wirtschaftliche und regulatorische Folgen einschätzen. Cyberrisiken als Geschäftsrisiken einordnen. Abhängigkeiten zwischen Systemen, Prozessen und Diensten verstehen. Und Zielkonflikte zwischen Sicherheit und Leistungserbringung erkennen und abwägen.
Die Handreichung sagt dazu einen Satz, der in der Praxis viel aussortiert: Ein Fokus nur auf Risikomanagementmassnahmen fällt hinter die gesetzlichen Anforderungen zurück. Genau das ist aber das übliche Seminarformat, eine Tour durch die zehn Massnahmen. Ohne Risikobewertung davor und Auswirkungsbeurteilung danach fehlt der Schulung die Hälfte.
Unterstützende Inhalte: der Rahmen, der die Pflichten einordnet
Dazu kommt ein Überblick über die Regulierung selbst. Das BSI zählt auf, was die Leitung kennen soll: Inhalte und Ziele der BSIG-Regulierung, die Meldepflicht und ihre Fristen für erhebliche Sicherheitsvorfälle, die Registrierungspflicht samt Frist, die eigene Pflicht zur Umsetzung und Überwachung, die mögliche Haftung für schuldhaft verursachte Schäden, und die Schulungspflicht selbst.
Optional, in der Sprache der Handreichung "kann", sind die Historie der nationalen und europäischen Gesetzgebung sowie das Zusammenspiel mit anderen Regulierungen. Beides ist in einer Gruppe mit EU-Gesellschaften plötzlich nicht mehr optional, weil DORA, DSGVO und nationale Umsetzungen dort im selben Raum sitzen.
Der Teil, der eine Schulung von einem Webinar trennt
Die Handreichung verlangt sektor- und einrichtungsspezifische Inhalte: einen Transfer auf die eigene Einrichtung und den eigenen Sektor, mit typischen Bedrohungsszenarien, den zentralen IT-gestützten Geschäftsprozessen, den Governance-Strukturen und den relevanten Branchenvorgaben.
Das ist der Punkt, an dem ein Standardkurs nicht mehr mithalten kann. Ein Foliensatz für zwanzig Firmen kennt eure Kernprozesse nicht. Das BSI schreibt dazu auch etwas Unbequemes für Anbieter: Externe müssen diese einrichtungsindividuellen Aspekte berücksichtigen, was höheren Aufwand bedeutet.
Umgekehrt warnt die Handreichung bei rein internen Schulungen vor strukturellen Erkenntnisdefiziten. Die Leitung erfährt dann, wie Prozesse umgesetzt sind, kann deren rechtliche und risikotechnische Angemessenheit aber nicht eigenständig beurteilen. Beiträge externer, unabhängiger Risiko-, Compliance- und Rechtsexpertise können deshalb ein wesentlicher Bestandteil effektiver Governance sein. Das ist als Satz einer Behörde bemerkenswert deutlich.
Formate: mehrstündiger Frontalunterricht ist nicht verlangt
Risikomanagement ist abstrakt. Deshalb empfiehlt die Handreichung, die Inhalte an Beispielszenarien, interaktiven Übungen oder Case-Studies handhabbar zu machen, und nennt ausdrücklich Formate jenseits des Frontalunterrichts:
- Risikomanagement-Quarterly: ein fester Quartalstermin der Leitung mit dem Informationssicherheitsbeauftragten, an echten Fragestellungen des Hauses
- Tabletop-Übung oder Planspiel: moderiert, an typischen Szenarien, um den Zusammenhang zwischen Risiken, Massnahmen und Managemententscheidungen sichtbar zu machen
- Audit-Simulation: eine Prüfungssituation nachstellen, etwa nach ISO 27001 oder als KRITIS-Nachweisprüfung, mit der Leitung als Teilnehmenden
- Management Red- und Blue-Teaming: die Leitung spielt Unternehmenssteuerung, ein zweites Team spielt Angreifer und Krisenentwicklung
- Case-Studies und Live-Hacking: Entscheidungen und Fehlentscheidungen an konkreten Fällen zeigen, Live-Hacking eher als Ergänzung
Unsere Erfahrung aus solchen Runden: Der Quartalstermin ist der unterschätzte Punkt auf dieser Liste. Er kostet vier mal zwei Stunden im Jahr, hält das Thema in der Leitungsarbeit und erzeugt nebenbei genau die Entscheidungsdokumentation, die später als Beleg dient.
Intervall und Dauer: keine Zahl, aber klare Auslöser
Das BSIG macht zu Intervall und Dauer keine Vorgaben ausser dem Wort "regelmässig". Das BSI empfiehlt eine ausführliche initiale Schulung mit anschliessenden regelmässigen Folgeschulungen und nennt vier Anhaltspunkte, an denen sich Art, Dauer und Intervall ausrichten sollen:
- Wechsel in der Geschäftsleitung
- Signifikante Änderungen in den Geschäftsprozessen
- Signifikante Änderungen der Risikoexposition
- Signifikante Änderungen bei implementierten oder geplanten Massnahmen
Das ist brauchbarer als eine Jahreszahl. Wer eine neue Geschäftsführerin hat, ein ERP migriert oder eine Produktionslinie ans Netz hängt, braucht keinen Kalendereintrag, um zu wissen, dass die Runde neu geschult gehört.
Der Nachweis entsteht am selben Tag
Die Dokumentation soll nachvollziehbar und aussagekräftig sein und enthält laut Handreichung mindestens: Angaben zum Schulungsanbieter oder zur internen Stelle, die beschulten Teilnehmenden mit Name und Rolle, Datum, Uhrzeit und Dauer der Einheiten sowie die behandelten Inhalte und Formate mit Bezug zu § 38 Absatz 3 BSIG.
Zwei Dinge daran werden regelmässig missverstanden. Erstens ist eine Prüfung der Teilnehmenden weder gesetzlich noch vom BSI verlangt. Zweitens belegt die Dokumentation nur die Teilnahme, nicht den Lernerfolg. Der zeigt sich laut Handreichung in den Dokumentationen zur Entscheidungsfindung, also darin, ob die Leitung anschliessend nachvollziehbar am Risikomanagement mitwirkt.
Das ist die eigentliche Messlatte, und sie wird nicht am Schulungstag erreicht, sondern in den drei Monaten danach.
Was das für die Agenda heisst
Wenn du eine Schulung einkaufst, prüf sie gegen vier Fragen: Deckt sie alle drei Kerninhalte ab oder nur die Massnahmen? Kommt der Transfer auf eure Prozesse und euren Sektor vor? Gibt es ein Format, in dem entschieden und nicht nur zugehört wird? Und entsteht die Dokumentation für den Nachweis automatisch?
Wie wir das aufsetzen, steht auf der Seite zur NIS2-Schulung für die Geschäftsleitung. Was die Pflicht rechtlich verlangt, haben wir in der Schulungspflicht nach § 38 BSIG aufgeschrieben, für Österreich in NISG 2026 und die Leitungsorgane. Die Handreichung selbst gibt es beim BSI.
Häufige Fragen
Welche Inhalte empfiehlt das BSI für eine Geschäftsleitungsschulung?
Drei Kerninhalte: Erkennung und Bewertung von Risiken, Risikomanagementpraktiken inklusive der Mindestmassnahmen nach § 30 BSIG und die Beurteilung der Auswirkungen. Dazu unterstützende Inhalte zur Regulierung, zu Melde- und Registrierungspflichten sowie zur Haftung.
Reicht eine Schulung, die nur die zehn Massnahmen behandelt?
Nein. Die BSI-Handreichung hält ausdrücklich fest, dass ein Fokus nur auf Risikomanagementmassnahmen hinter die gesetzlichen Anforderungen zurückfällt. Risikobewertung und Auswirkungsbeurteilung gehören dazu.
Welche Formate sind neben klassischem Unterricht möglich?
Das BSI nennt unter anderem ein Risikomanagement-Quarterly mit dem Informationssicherheitsbeauftragten, Tabletop-Übungen und Planspiele, Audit-Simulationen, Management Red- und Blue-Teaming, Case-Studies und Live-Hacking als Ergänzung.
