NIS2-Schulung für die Geschäftsleitung
Inhouse, mit euren Risiken, mit einer geübten Krise.
Die Pflicht liegt bei der Leitung, nicht bei der IT
§ 38 BSIG verlangt von der Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen dreierlei: die Risikomanagement-Massnahmen umsetzen, ihre Umsetzung überwachen und sich regelmässig schulen lassen. Diese Pflichten sind nicht delegierbar, und die Haftung ist persönlich. In Österreich verlangt das NISG 2026 dasselbe von den Leitungsorganen, mit eigens für sie konzipierten Schulungen.
Wir schulen eure Leitungsebene in einer geschlossenen Runde, mit euren Prozessen, euren Kunden und euren Szenarien. Am Ende steht kein Zertifikat aus dem Regal, sondern eine Leitung, die weiss, welche Fragen sie künftig stellt.
Warum es wichtig ist:
Ein allgemeines Seminar erklärt die Richtlinie. Es beantwortet aber nicht die Frage, die eure Leitung wirklich hat: Wo stehen wir, und worüber müssen wir entscheiden? Deshalb bauen wir die Schulung auf eurem Geschäftsmodell auf und lassen die Runde echte Entscheidungen treffen.
Was ihr erhaltet:
- Pflichten, Sanktionen und persönliche Haftung, an eurer Rechtslage entlang
- Melde- und Registrierungspflichten inklusive der 24-Stunden-Frühwarnung
- Die zehn Mindestmassnahmen nach § 30 BSIG, je mit einer Leitfrage an die eigene Organisation
- Zwei eigene Risiken, gemeinsam bewertet und auf der Risikomatrix eingeordnet
- Eine Krisenübung in drei Akten, von der Entdeckung bis zum Wiederanlauf
- Teilnahmebescheinigungen und eine Dokumentation, die dem Nachweis standhält
- Ein Plan mit den nächsten sechs Schritten für eure Organisation
Drei Formate
Einmal richtig aufsetzen, danach jährlich frisch halten.
Grundschulung
Vier bis fünf Stunden, an einem Tag oder in zwei Blöcken.
- Pflichten, Haftung, Sanktionen
- Meldewege und Fristen
- Die zehn Mindestmassnahmen
- Risiko- und Krisenübung
Jährliche Auffrischung
Zwei bis drei Stunden, damit "regelmässig" belegbar bleibt.
- Was sich rechtlich geändert hat
- Neue Bedrohungen im eigenen Umfeld
- Stand der sechs Schritte
- Neue Krisenrunde
Krisenübung
Ein halber Tag nur Ernstfall, für Runden mit Vorwissen.
- Datenabfluss mit Erpressung
- Entscheidungen unter Zeitdruck
- Meldung, Kommunikation, Wiederanlauf
- Debriefing mit Massnahmenbezug
Eine Gruppe, drei Rechtsordnungen
Deutschland hat NIS2 im BSIG umgesetzt, in Kraft seit 6. Dezember 2025. Österreich folgt mit dem NISG 2026 ab 1. Oktober 2026. Die Schweiz kennt keine NIS2, dafür die Melde- und ISMS-Pflichten des Informationssicherheitsgesetzes für kritische Infrastrukturen.
Wer Gesellschaften in mehreren Ländern führt, braucht keine drei Schulungen. Wir bringen die Unterschiede in eine Sitzung und halten fest, welche Pflicht in welcher Gesellschaft greift und wer sie verantwortet.
Der ODCUS-Unterschied
Wir sind Praktiker, keine Seminarfabrik. Die Inhalte kommen aus laufenden Mandaten, die Szenarien aus eurem Kerngeschäft, und die Diskussion bleibt im Raum, weil ausser eurer Leitung niemand dabei ist. Verkauft wird nichts: keine Tools, keine Provisionen.
Was ihr danach vorweisen könnt
Eine Schulung zählt nur, wenn sie belegt ist. Ihr erhaltet die Unterlagen dafür.
- Teilnahmebescheinigung pro Person
- Nachweis mit Anbieter, Teilnehmenden samt Funktion, Datum, Uhrzeit und Dauer
- Inhaltsübersicht mit Bezug zu den drei Kompetenzfeldern: Risiken erkennen, Massnahmen beurteilen, Auswirkungen abschätzen
- Die Schulungsunterlagen in digitaler Form
- Das Protokoll der Krisenübung mit den getroffenen Entscheidungen
Für wen das passt
- Deutsche Unternehmen, die als wichtige oder besonders wichtige Einrichtung registriert sind
- Österreichische Unternehmen, die sich auf das NISG 2026 vorbereiten
- Gruppen mit Gesellschaften in Deutschland, Österreich und der Schweiz
- Dienstleister regulierter Kunden, die Nachweise liefern müssen
Wer schult
- Yannick Hirt, CISM-zertifiziert, seit Jahren als Trainer für NIS2 und Zero Trust im Einsatz
- Trainer für Fachakademien und Fachverlage im deutschsprachigen Raum
- Aus der Praxis: mehrjähriges CISO-Mandat, ISMS-Aufbau, Ransomware-Wiederanlauf
- Herstellerunabhängig: wir schulen, wir verkaufen keine Tools
- Durchführung auf Deutsch oder Englisch
Schulung anfragen
Sag uns kurz, wer geschult werden soll. Wir melden uns innert 24 Stunden mit einem Terminvorschlag und einer Offerte.
Häufige Fragen
Was Leitungsrunden vor der Buchung wissen wollen.
Wie oft muss sich die Geschäftsleitung schulen lassen?
Das Gesetz sagt "regelmässig" und nennt keinen Takt. Das BSI empfiehlt in seiner Handreichung eine ausführliche Erstschulung und danach regelmässige Auffrischungen. Üblich ist ein jährlicher Rhythmus.
Reicht ein E-Learning?
Für das Abhaken vielleicht. Für den Zweck selten: Eure Leitung soll eigene Risiken bewerten und im Ernstfall entscheiden können. Das lässt sich in einem Video nicht üben und in einer Aufsichtssituation schlecht belegen.
Kann die Geschäftsleitung die Pflicht an den CISO delegieren?
Nein. § 38 BSIG adressiert die Leitung selbst, und die Haftung ist persönlich. Der CISO oder ISB liefert zu, entscheiden muss die Leitung.
Betrifft uns das als Schweizer Unternehmen?
Nur indirekt. NIS2 gilt in der EU. Relevant wird sie, wenn ihr eine Gesellschaft in der EU habt, die unter die Regeln fällt, oder wenn Kunden Nachweise entlang der Lieferkette verlangen. In der Schweiz selbst gelten die Pflichten des Informationssicherheitsgesetzes.
Wie viele Personen können teilnehmen?
Wir empfehlen bis zu zehn Personen. Die Übungen leben von der Diskussion, und die wird in grossen Runden dünn.
Was kostet die Schulung?
Wir offerieren nach dem Vorgespräch. Der Preis hängt vom Format, der Teilnehmerzahl, dem Aufwand für die Anpassung an euer Geschäft und der Anreise ab.
In welcher Sprache wird geschult?
Deutsch oder Englisch, vor Ort im deutschsprachigen Raum oder live online.
Erst reden, dann planen
In 30 Minuten klären wir, ob eure Gesellschaften betroffen sind, wer in die Schulung gehört und welches Format passt.
