Seit dem 6. Dezember 2025 steht im deutschen BSI-Gesetz ein Satz, der die Verantwortung für Cybersicherheit dorthin schiebt, wo sie ohnehin hingehört: an die Geschäftsleitung. § 38 Absatz 3 BSIG verlangt, dass sie regelmässig an Schulungen teilnimmt. Gemeint ist die Leitung selbst, nicht die IT und nicht der Informationssicherheitsbeauftragte.
Die meisten Firmen, die darunter fallen, haben das gelesen, abgehakt und weitergemacht. Dann kommt irgendwann eine Kundenanfrage, ein Audit oder die Aufsicht, und jemand fragt nach dem Nachweis. Und der Nachweis ist die eigentliche Arbeit.
Was § 38 BSIG von der Leitung verlangt
Die Norm kennt drei Pflichten, und keine davon lässt sich delegieren. Die Geschäftsleitung muss die Risikomanagement-Massnahmen umsetzen, sie muss ihre Umsetzung überwachen, und sie muss sich schulen lassen. Die Haftung dafür ist persönlich.
Dahinter steht eine simple Annahme des Gesetzgebers: Wer über Budgets und Risiken entscheidet, muss verstehen, worüber er entscheidet. Ein Vorstand, der eine Restrisiko-Akzeptanz unterschreibt, ohne die Begriffe darin zu kennen, entscheidet nicht, er unterschreibt.
Betroffen sind die Leitungen wichtiger und besonders wichtiger Einrichtungen. Wer das ist, hängt an Sektor, Grösse und Umsatz. Wenn du dir unsicher bist, ist das die erste Frage, nicht die Schulung.
Was "regelmässig" heisst
Das Gesetz nennt keinen Takt. Es sagt regelmässig und überlässt dir die Auslegung. Das klingt entspannt, ist es aber nicht: Du musst die Regelmässigkeit später begründen können.
Das BSI hat dazu eine Handreichung veröffentlicht, die als Orientierung dient. Der Grundgedanke darin: eine ausführliche Erstschulung, danach regelmässige Auffrischungen. Wir halten den jährlichen Takt für die Variante, die sich ohne langes Nachdenken begründen lässt, weil er sich an vorhandene Zyklen hängt: an das Managementreview oder an die Budgetrunde.
Ein Takt von drei Jahren ist schwer zu verteidigen, wenn sich in der Zwischenzeit Recht, Bedrohungslage und die eigene IT verändert haben. Und sie haben sich verändert.
Der Teil, den fast alle unterschätzen: der Nachweis
Eine Schulung, die stattgefunden hat, aber nicht dokumentiert ist, existiert für die Aufsicht nicht. Das BSI empfiehlt, mindestens Teilnehmende, Zeitpunkt, Dauer und Inhalte zu erfassen. Die Dokumentation bleibt im Haus und wird auf Verlangen vorgelegt.
In der Praxis heisst das eine Ablage mit diesen Angaben:
- Wer geschult hat, intern oder extern
- Wer teilgenommen hat, mit Name und Funktion
- Datum, Uhrzeit, Dauer
- Welche Inhalte behandelt wurden, mit Bezug zu den gesetzlichen Anforderungen
- In welchem Format, vor Ort, online, als E-Learning
Das ist kein grosser Aufwand, wenn man es beim Termin selbst erledigt. Es ist ein sehr grosser Aufwand, wenn man es zwei Jahre später rekonstruieren soll, weil ein Kunde im Rahmen seiner Lieferkettenprüfung danach fragt.
Warum das Zertifikat aus dem E-Learning oft nicht reicht
Ein Video mit Multiple-Choice am Ende erzeugt eine Teilnahmebestätigung. Das ist bequem und erfüllt formal etwas. Nur prüft niemand, ob deine Leitung danach die eigenen Risiken einordnen kann.
Der Unterschied zeigt sich am Ernstfall. Ob jemand die Definition eines erheblichen Sicherheitsvorfalls kennt, ist eine Sache. Ob er unter Zeitdruck entscheidet, dass dieser Vorfall gemeldet wird, obwohl noch nicht alle Fakten auf dem Tisch liegen, ist eine andere. Die 24-Stunden-Frist für die Frühwarnung an das BSI läuft ab dem Zeitpunkt der Kenntnis, nicht ab dem Zeitpunkt der Gewissheit.
Wer diese Entscheidung einmal geübt hat, trifft sie im Ernstfall schneller. Wer sie nur gelesen hat, diskutiert erst mal zwei Stunden.
Was die Sanktionen wirklich bedeuten
§ 65 BSIG sieht für besonders wichtige Einrichtungen Bussen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis 7 Millionen oder 1,4 Prozent. Diese Zahlen stehen in jedem Vortrag zum Thema, und sie sind ehrlich gesagt der uninteressanteste Teil.
Interessanter ist die persönliche Ebene. Wenn ein Vorfall untersucht wird und die Frage aufkommt, ob die Leitung ihre Pflichten erfüllt hat, dann ist die Schulungsdokumentation eines der wenigen Papiere, die du entweder hast oder nicht hast. Sie ist dokumentierte Sorgfalt. Und sie kostet einen halben Tag im Jahr.
Der praktische Einstieg
Wenn du das Thema in deinem Unternehmen offen hast, brauchst du keine Roadmap, sondern vier Antworten:
- Sind wir eine wichtige oder besonders wichtige Einrichtung, und ist das dokumentiert?
- Wer gehört zur Geschäftsleitung im Sinne des Gesetzes, und wer davon war schon in einer Schulung?
- Haben wir eine Dokumentation, die wir dem BSI auf Verlangen hinlegen könnten?
- Wann ist der nächste Termin, und steht er im Kalender?
Die vierte Frage entscheidet. Alles andere ist Vorbereitung.
Wie wir so eine Runde aufsetzen, steht auf der Seite zur NIS2-Schulung für die Geschäftsleitung. Wenn darunter noch kein Managementsystem steht, fängt die Arbeit ohnehin eine Ebene tiefer an, beim ISMS nach ISO 27001.
Häufige Fragen
Wie oft muss sich die Geschäftsleitung nach § 38 BSIG schulen lassen?
Das Gesetz sagt nur regelmässig. Das BSI empfiehlt eine ausführliche Erstschulung und danach regelmässige Folgeschulungen. Als Anhaltspunkte nennt es einen Wechsel in der Geschäftsleitung sowie signifikante Änderungen bei Geschäftsprozessen, Risikoexposition oder Massnahmen.
Kann die Geschäftsleitung die Schulungspflicht delegieren?
Nein. § 38 BSIG richtet sich an die Geschäftsleitung selbst, und die Haftung für schuldhaft verursachte Schäden ist persönlich. Der Informationssicherheitsbeauftragte liefert zu, die Entscheidungen über Risiken bleiben bei der Leitung.
Was muss als Nachweis dokumentiert werden?
Das BSI nennt mindestens den Schulungsanbieter oder die interne Stelle, die Teilnehmenden mit Name und Rolle, Datum, Uhrzeit und Dauer sowie die behandelten Inhalte und Formate mit Bezug zu § 38 Absatz 3 BSIG. Die Dokumentation wird intern aufbewahrt und auf Verlangen vorgelegt.
