Mit dem am 5. Dezember 2025 verkündeten und zum 6. Dezember 2025 in Kraft getretenen Gesetz zur Umsetzung der NIS-2-Richtlinie wurde das BSI-Gesetz (BSIG) umfassend erweitert. Erfasst sind nun nicht mehr nur klassische KRITIS-Betreiber, sondern auch zahlreiche „wichtige“ und „besonders wichtige“ Einrichtungen aus nahezu allen Wirtschaftssektoren – insgesamt rund 29.500 Unternehmen in Deutschland.
Inhaltlich können wir auf die bereits veröffentlichten Artikel verweisen. Geschäftsführungen der erfassten Unternehmen sollte aber die verlangte Geschäftsleitungsschulung im Auge behalten. Die Verantwortung für das Risikomanagement in der Informationssicherheit liegt ausdrücklich bei der Geschäftsleitung – inklusive einer verpflichtenden Schulung. Als Geschäftsleitung gilt jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung und Vertretung des Unternehmens berufen ist. Mit dem Inkrafttreten von NIS-2 in Deutschland ist die Geschäftsleitung erstmals explizit schulungspflichtig.
Vermittelt werden sollte duch die Schulung Folgendes:
- Erkennung und Bewertung von Cyberrisiken.
- Steuerung und Management dieser Risiken.
- Beurteilung der Auswirkungen von Risiken und Maßnahmen auf Dienstleistungen.
Die Schulungen könnten im Prinzip auch intern durchgeführt werden. Wichtig dabei ist nur, dass nicht nur abstrakte Kenntnisse vermittelt werden, sondern dass diese immer auch die individuellen Begebenheiten der Einrichtung berücksichtigen, für die die Geschäftsleitung verantwortlich ist.
Das Unterlassen der Schulung ist soweit ersichtlich nicht direkt bußgeldbewehrt, kann aber möglicherweise für den Geschäftsführer eine persönliche Haftung auslösen, wenn das Unternehmen wegen des Unterlassen sonstiger Pflichten aus dem BSIG ein Bußgeld bekommt oder ein vermeidbarer Schaden in diesem Zusammenhang entsteht. Da wird man aber abwarten müssen, was die Gerichte draus machen.
