Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG

§ 38 Abs. 3 BSIG verlangt, dass die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen. Ziel sind ausreichende Kenntnisse, um Risiken und Risikomanagement in der Informationssicherheit zu erkennen und zu bewerten und ihre Auswirkungen auf die eigenen Dienste zu beurteilen.

• Wer: alle Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag die Geschäfte führen und das Unternehmen vertreten (§ 2 Nr. 13 BSIG), also etwa Geschäftsführerinnen, Geschäftsführer und Vorstände.
• Wie oft und wie lange: Das Gesetz sagt nur „regelmäßig“ und nennt weder eine Stundenzahl noch einen festen Turnus. Das BSI empfiehlt eine ausführliche erste Schulung und danach Folgeschulungen, deren Abstand und Dauer sich nach der Risikolage des Unternehmens richten.
• Warum es zählt: Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen und haftet bei schuldhaften Pflichtverletzungen gegenüber dem Unternehmen (§ 38 Abs. 1 und 2 BSIG).

1. Risiken erkennen und bewerten: Bedrohungslage, Eintrittswahrscheinlichkeit, Schadensausmaß, Risikoakzeptanz.
2. Maßnahmen verstehen: die zehn Mindestmaßnahmen aus § 30 BSIG aus Sicht der Geschäftsleitung.
3. Auswirkungen beurteilen: Cyberrisiken als Geschäftsrisiken, Abhängigkeiten, Zielkonflikte.
4. Pflichten im Überblick: Registrierung, Meldefristen, Umsetzungs- und Überwachungspflicht, Haftung.
5. Übung: ein Sicherheitsvorfall aus Sicht der Geschäftsleitung, Entscheidung für Entscheidung.

Transfer auf Ihr Unternehmen: Das BSI empfiehlt, allgemeine Inhalte um unternehmensspezifische zu ergänzen. Im Inhouse-Termin arbeite ich mit Ihren Abläufen und Ihrer Risikolage. Im offenen Termin übertragen wir die Inhalte anhand von Leitfragen auf Ihr Unternehmen.

Jede Teilnahme dokumentiere ich in einer Nachweismappe für Ihre Unterlagen. Sie enthält:

• Anbieter der Schulung
• Teilnehmende mit ihrer Rolle im Unternehmen
• Datum und Dauer
• Behandelte Inhalte mit Bezug zu § 38 Abs. 3 BSIG

Die Mappe belegt die Teilnahme, nicht den Lernerfolg. Ob die Geschäftsleitung ausreichende Kenntnisse hat, zeigt sich darin, wie sie ihre Pflichten im Alltag wahrnimmt.

Das BSI richtet seine Empfehlungen zur Geschäftsleitungsschulung ausdrücklich auch an Unternehmen, die nicht unter NIS2 fallen. Gerade als Lieferant betroffener Kunden hilft es, die Anforderungen zu kennen, die vertraglich auf Sie zukommen.