NIS2 & Compliance
NIS2-Schulungspflicht für Mitarbeitende und Geschäftsleitung
Seit dem NIS2-Umsetzungsgesetz sind Awareness-Schulungen keine Kür mehr, sondern eine gesetzliche Pflicht mit Nachweisbedarf. Dieser Überblick zeigt, was das BSIG verlangt und wie Sie es praktisch erfüllen.
Wen die Pflicht trifft
NIS2 unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Beide Kategorien fallen unter die Schulungspflicht, die Einstufung richtet sich nach Sektor, Unternehmensgröße und Umsatz. In Deutschland sind nach Schätzungen rund 30.000 Unternehmen betroffen – deutlich mehr als unter der Vorgängerrichtlinie NIS1, weil zusätzliche Sektoren wie Abfallwirtschaft, Lebensmittelproduktion und Teile der verarbeitenden Industrie hinzugekommen sind.
Wichtig: Auch wer selbst nicht direkt reguliert ist, bekommt die Anforderungen häufig über die Lieferkette durchgereicht. Betroffene Einrichtungen müssen ihre Zulieferer prüfen, und Awareness-Nachweise tauchen deshalb zunehmend in Ausschreibungen und Lieferantenfragebögen auf.
Was das Gesetz konkret verlangt
Das BSI benennt zwei Paragraphen des BSIG, die zusammen die Schulungspflicht bilden:
§ 30 Absatz 2 Satz 2 Nummer 7 BSIG verpflichtet wichtige und besonders wichtige Einrichtungen zu „grundlegenden Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik”. Adressiert sind laut BSI alle internen und externen Nutzenden der Systeme und Anwendungen – also nicht nur die eigene Belegschaft, sondern etwa auch Dienstleister mit Systemzugang.
§ 38 Absatz 3 BSIG verpflichtet die Geschäftsleitungen zusätzlich und persönlich zur Teilnahme an Schulungen. Diese zweite Ebene wird in der Praxis oft übersehen: Sie ist nicht mit der allgemeinen Mitarbeitersensibilisierung abgedeckt, weil die Leitungsebene Risiken und Maßnahmen fundiert beurteilen können muss.
Cyberhygiene: die inhaltliche Untergrenze
Der Begriff „Cyberhygiene” beschreibt die Basispraktiken, die jede Mitarbeiterin und jeder Mitarbeiter beherrschen sollte. In Awareness-Programmen sind das üblicherweise:
- Phishing und Social Engineering erkennen und melden
- Passwörter und Mehr-Faktor-Authentifizierung richtig einsetzen
- Meldewege kennen – wer wird bei einem Verdacht wie informiert
- Umgang mit Daten und Geräten außerhalb des Büros
- Updates und Patches nicht wegklicken
Die Meldewege verdienen besondere Aufmerksamkeit: NIS2 verlangt Meldungen erheblicher Sicherheitsvorfälle innerhalb enger Fristen. Eine Belegschaft, die einen Vorfall gar nicht erst meldet, macht diese Fristen unhaltbar.
Der schwierige Teil: der Nachweis
Die Durchführung allein genügt nicht – Sie müssen sie dokumentieren können. Eine Aufsichtsbehörde fragt nicht, ob Sie schulen, sondern will es belegt sehen. Praktisch heißt das:
| Nachweis | Was dokumentiert werden sollte |
|---|---|
| Teilnahme | Wer hat wann welche Schulung abgeschlossen |
| Inhalt | Welche Themen wurden vermittelt, in welcher Fassung |
| Wirksamkeit | Entwicklung von Klick- und Meldequoten über die Zeit |
| Eskalation | Was passiert, wenn jemand nicht teilnimmt |
Genau an dieser Stelle scheitern Programme, die aus Präsenzterminen und einer Excel-Liste bestehen. Sobald jemand das Unternehmen verlässt, neu anfängt oder eine Schulung schwänzt, ist die Liste veraltet.
Wie SentryMail das abbildet
SentryMail führt Phishing-Simulationen durch, weist Trainings zu und protokolliert beides fortlaufend. Der Awareness-Score je Team zeigt, wo nachgeschult werden muss; das Enterprise-Add-on weist bei zu niedrigem Score automatisch Pflichtkurse zu – inklusive Frist, Erinnerung und Eskalation. Die Auswertung erfolgt pseudonymisiert, sodass Sie Wirksamkeit belegen können, ohne eine Einzelüberwachung Ihrer Beschäftigten zu betreiben.
Weil der Kern von SentryMail Open Source ist und sich vollständig selbst hosten lässt, bleiben die Nachweisdaten dort, wo Sie sie haben wollen: in Ihrer eigenen Infrastruktur.
Häufige Fragen
- Ab wann gilt die NIS2-Schulungspflicht?
- Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. Betroffene Einrichtungen müssen die Pflichten aus dem BSIG damit umsetzen; es gibt keine gesonderte Übergangsfrist für Schulungen.
- Muss die Geschäftsführung selbst geschult werden?
- Ja. § 38 Absatz 3 BSIG verpflichtet die Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen ausdrücklich zur Teilnahme an Schulungen. Das ist eine eigene Pflicht neben der Sensibilisierung der Belegschaft.
- Wie oft müssen Awareness-Schulungen stattfinden?
- Das BSIG nennt kein festes Intervall. Da die Maßnahmen dem Stand der Technik entsprechen und aktuelle Bedrohungen abbilden sollen, ist ein einmaliges Training nicht ausreichend – üblich sind fortlaufende Kurzformate mit begleitenden Phishing-Simulationen.
- Reicht eine Phishing-Simulation allein aus?
- Nein. Eine Simulation misst Verhalten, vermittelt aber für sich genommen keine Inhalte. Das BSI spricht von Schulungen und Sensibilisierungsmaßnahmen – in der Praxis also Simulation plus Lerninhalt plus Dokumentation.
- Was passiert bei Verstößen?
- Das BSIG sieht empfindliche Bußgelder vor; je nach Einstufung der Einrichtung liegen die Höchstbeträge im Millionenbereich beziehungsweise bei einem Prozentsatz des Jahresumsatzes. Die konkrete Höhe hängt vom Einzelfall und der Einrichtungskategorie ab.
Schulungspflicht erfüllen, ohne Tabellenpflege
SentryMail führt Phishing-Simulationen und Trainings durch und protokolliert automatisch, wer wann was abgeschlossen hat.
Dieser Text ist eine allgemeine Orientierungshilfe und keine Rechtsberatung. Ob und wie Ihr Unternehmen von NIS2 betroffen ist, klären Sie bitte mit Ihrer Rechtsabteilung oder einer spezialisierten Kanzlei.