NIS 2: Warum die Schulung der Geschäftsleitung mehr sein muss als eine Pflichtveranstaltung
Mit der Umsetzung der NIS-2-Richtlinie in das BSI-Gesetz rückt Cybersicherheit endgültig auf die Ebene der Unternehmensleitung. Für wichtige und besonders wichtige Einrichtungen bedeutet das: Die Geschäftsleitung muss Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Gleichzeitig besteht eine regelmäßige Schulungspflicht.
Dabei geht es nicht darum, Geschäftsführer zu IT-Sicherheitsexperten auszubilden. Entscheidend ist vielmehr, dass sie Cyberrisiken als Geschäftsrisiken einordnen, die Angemessenheit von Maßnahmen beurteilen und die richtigen Fragen an IT, Informationssicherheit, Compliance und externe Dienstleister stellen können.
Was Geschäftsleitungen nach der BSI-Handreichung verstehen müssen
Das BSI stellt drei Bereiche in den Mittelpunkt einer Geschäftsleitungsschulung:
Erstens müssen Geschäftsleitungen in der Lage sein, wesentliche Cyberrisiken zu erkennen und zu bewerten. Dazu gehört ein grundlegendes Verständnis von Bedrohungen, Schwachstellen, Eintrittswahrscheinlichkeiten und möglichen Schäden.
Zweitens müssen sie die eingesetzten Risikomanagementmaßnahmen kennen und nachvollziehen können. Dazu zählen insbesondere die in § 30 Abs. 2 BSIG genannten Maßnahmen, etwa Incident Response, Business Continuity, Sicherheit der Lieferkette, Schwachstellenmanagement, Zugriffskontrolle, Verschlüsselung und Multi-Faktor-Authentifizierung. Die BSI-Checkliste nennt diese zehn Maßnahmen ausdrücklich als Mindestbereiche des Cyberrisikomanagements.
Drittens muss die Geschäftsleitung die Auswirkungen von Risiken und Maßnahmen auf die Organisation beurteilen können. Im Mittelpunkt stehen damit nicht technische Detailfragen, sondern Managemententscheidungen: Welche Geschäftsprozesse sind betroffen? Welche Auswirkungen hätten einen Ausfall? Welche Risiken akzeptieren wir? Welche Maßnahmen sind angemessen? Welche Ressourcen müssen bereitgestellt werden?
Entscheidend ist der Bezug zum eigenen Unternehmen
Eine Geschäftsleitungsschulung sollte sich deshalb nicht auf Gesetzestexte und allgemeine Cybersecurity-Grundlagen beschränken.
Das BSI empfiehlt ausdrücklich, sektor- und einrichtungsspezifische Aspekte einzubeziehen. Dazu gehören insbesondere kritische Geschäftsprozesse, Governance-Strukturen, die aktuelle Risikolage und konkrete Entscheidungssituationen der jeweiligen Organisation.
Gerade für Geschäftsführer ist dieser Praxisbezug entscheidend. Eine gute Schulung beantwortet beispielsweise Fragen wie:
Unser Schulungsansatz: vier Stunden mit Managementfokus
Die compliance-net akademie hat hierfür eine kompakte Geschäftsleitungsschulung entwickelt, die sich an den Empfehlungen der aktuellen BSI-Handreichung orientiert.
Die Schulung umfasst rund vier Stunden und ist in vier thematische Blöcke gegliedert:
- NIS 2, BSIG und Verantwortung der Geschäftsleitung
Einordnung der Regulierung, Betroffenheit, Pflichten der Geschäftsleitung, Haftung, Registrierung und Meldepflichten. - Cyberrisiken als Geschäftsrisiken
Risikoanalyse, Risikobewertung, kritische Geschäftsprozesse, Abhängigkeiten sowie die wirtschaftlichen und regulatorischen Auswirkungen von Cyberrisiken. - Die zehn Risikomanagementmaßnahmen nach § 30 BSIG
Die gesetzlichen Maßnahmen werden aus Managementperspektive betrachtet: Was muss die Geschäftsleitung kennen, hinterfragen und überwachen? - Management im Cybervorfall
Anhand eines praxisnahen Tabletop-Szenarios werden Entscheidungswege, Eskalation, Kommunikation, Business Continuity und Meldepflichten gemeinsam durchgespielt.
Kurze Kontrollfragen während der Schulung dienen der Wissensüberprüfung und Diskussion. Eine formale Prüfung ist nach der BSI-Handreichung nicht vorgeschrieben. Das BSI verlangt beziehungsweise empfiehlt jedoch eine nachvollziehbare Dokumentation der Teilnahme, der Schulungsdauer und der behandelten Inhalte.
Online oder als Präsenzschulung
Die Schulung kann als Online-Training oder als Präsenzveranstaltung durchgeführt werden.
Neben der Präsentation erhalten die Teilnehmer eine kompakte Schulungsunterlage mit Kernaussagen, Kontrollfragen, Management-Checklisten und Platz für eigene Notizen. Die Teilnahme wird mit einer Bescheinigung dokumentiert, in der die wesentlichen Schulungsinhalte aufgeführt sind.
Auf Wunsch kann die Schulung um unternehmens- oder branchenspezifische Inhalte ergänzt werden, etwa um besondere Geschäftsprozesse, regulatorische Anforderungen, Dienstleisterstrukturen oder bestehende Informationssicherheits- und Risikomanagementsysteme.
Was die Schulung nicht leisten soll
Die Geschäftsleitung soll nach vier Stunden keine technischen Sicherheitsmaßnahmen selbst implementieren können.
Sie soll vielmehr in der Lage sein, die wesentlichen Cyberrisiken ihres Unternehmens zu verstehen, Entscheidungen nachvollziehbar zu treffen und die Umsetzung der erforderlichen Maßnahmen wirksam zu überwachen.
Genau darauf zielt auch die BSI-Handreichung: Geschäftsleitungen sollen nicht zu technischen Experten ausgebildet werden, sondern fundierte und informierte Entscheidungen im Umgang mit Cyberrisiken treffen können.
Interesse an einer NIS-2-Geschäftsleitungsschulung?
Die compliance-net akademie bietet die Schulung als Online- oder Präsenzformat an. Inhalt und Schwerpunkt können an Branche, Unternehmensgröße und bestehende Governance-Strukturen angepasst werden.
Für ein individuelles Angebot oder zur Abstimmung eines Schulungstermins sprechen Sie uns gerne an.
Hinweis: Die Schulung dient der Information, Sensibilisierung und Vermittlung von Kenntnissen zu NIS 2 und BSIG. Sie stellt keine Rechtsberatung dar und ersetzt keine rechtliche Einzelfallprüfung.
