NIS-2 Schulung der Geschäftsleitung

Gemäß BSIG § 38 müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um das notwendige Wissen zur Umsetzung der NIS-2 Anforderungen zu erlangen. Das Gesetz definiert dabei Geschäftsleitung als zur Führung der Geschäfte und zur Vertretung des Unternehmens/ der Organisation berufene Person.

In der Praxis zählen hierzu unter anderem:

• Geschäftsführer:innen
• Vorstände
• CEO, CFO, COO, CIO, CSO
• geschäftsführende Gesellschafter:innen
• persönlich haftende Gesellschafter (z. B. Komplementäre)

Dabei entscheidet nicht der formale Titel, sondern die tatsächliche Funktion, wer der Geschäftsleitung angehört. Die Pflicht kann also auch mehrere Personen gleichzeitig treffen.

Abgesehen von der rechtlichen Pflicht kann es sinnvoll sein, weitere zusätzliche Führungskräfte schulen zu lassen, die ihrerseits an der Umsetzung der NIS-2 Anforderungen beteiligt sind.

Mit Inkrafttreten des NIS-2 Umsetzungsgesetzes wird die Schulung der Geschäftsleitung gemäß § 38 BSIG gesetzliche Pflicht. Werden diese oder andere Pflichten nicht erfüllt, drohen empfindliche Sanktionen: Das NIS-2 Umsetzungsgesetz sieht Bußgelder in erheblicher Höhe vor, die sich nach Unternehmensgröße und Schwere des Verstoßes richten können. Die Schulungspflicht gehört zu den gesetzlichen Anforderungen, aus deren Nichterfüllung sich eine persönliche Haftung der Geschäftsleitung ergeben kann. Darüber hinaus können Aufsichtsbehörden weitere Maßnahmen anordnen.

Auch abgesehen von den rechtlichen Konsequenzen birgt fehlendes Wissen ein Risiko. Nur mit dem notwendigen Verständnis für die aktuelle Bedrohungslage, technische und organisatorische Maßnahmen oder ein wirksames Risikomanagement können fundierte strategische Entscheidungen getroffen werden, um das Unternehmen gegen Cybersicherheitsrisiken abzusichern. So lassen sich finanzielle Schäden, Reputationsverluste, rechtliche Konsequenzen und operative Ausfälle für das Unternehmen bestmöglich vermeiden.

Als Orientierungshilfe zum zeitlichen und inhaltlichen Rahmen hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Handreichung zur Schulungspflicht für Geschäftsleitungen herausgegeben. Auch wenn die Inhalte der Handreichung nicht rechtlich bindend sind, liefern sie dennoch einen guten Anhaltspunkt. Es ist außerdem davon auszugehen, dass sich auch das BSI selbst bei Prüfungen der Einhaltung von NIS-2 an diesem Dokument orientiert.

Als empfohlener Umfang für die gesetzeskonforme Schulung der Geschäftsleitung nach NIS-2 nennt das BSI eine Dauer von 4 Stunden. Die Zeit kann in Abhängigkeit der Gefährdungslage des Unternehmens oder von Vorkenntnissen angepasst werden; die Schulung muss aber alle notwendigen Inhalte vermitteln.

Inhaltlich benennt das BSI vorbereitende Inhalte, Kerninhalte und vertiefende Inhalte, die sich entsprechend in unserer Schulung wiederfinden. Dazu zählen ein Überblick über die NIS-2-Richtlinie und deren nationale Umsetzung, die gesetzlichen Pflichten und Verantwortlichkeiten des Unternehmens, Melde- und Unterrichtungspflichten sowie die Umsetzung und Dokumentation von Risikomanagementmaßnahmen. Weitere Kerninhalte sind die Risikoanalyse, Sicherheitskonzepte für Informationssysteme und der Umgang mit Sicherheitsvorfällen. Hinzu kommen Aspekte wie Gefährdungslage, Praxisbeispiele oder Haftungsfragen. Ergänzend können individuelle Gegebenheiten im Unternehmen als Schulungsinhalt aufgenommen werden.