NIS-2: Schulungspflicht für die Geschäftsleitung

Die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union — kurz NIS-2 — hat die erste NIS-Richtlinie abgelöst und den Kreis der betroffenen Organisationen stark erweitert. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen (Art. 41).

Erfasst sind Einrichtungen in den Sektoren der Anhänge I (Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur) und II (sonstige kritische Sektoren, etwa Post, Abfall, Chemie, Lebensmittel, Herstellung bestimmter Waren, digitale Anbieter, Forschung). Grundsätzlich gilt die Richtlinie für mittlere und große Unternehmen in diesen Sektoren; für bestimmte Einrichtungen gilt sie unabhängig von der Größe (Art. 2). Die Richtlinie unterscheidet wesentliche und wichtige Einrichtungen (Art. 3), vor allem bei der Aufsicht und den Bußgeldern.

In Deutschland wurde die Richtlinie nach Ablauf der Frist umgesetzt; das BSI-Gesetz (BSIG) wurde dafür neu gefasst und spricht von „besonders wichtigen“ und „wichtigen“ Einrichtungen. § 38 BSIG regelt die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitungen. Welche Organisation betroffen ist, ergibt sich aus den Vorschriften des BSIG zum Anwendungsbereich; das Bundesamt für Sicherheit in der Informationstechnik stellt dazu Informationen bereit.

Art. 20 Abs. 1 verlangt, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Cybersicherheit wird damit ausdrücklich Chefsache.

Art. 20 Abs. 2 ergänzt: Die Mitgliedstaaten stellen sicher, dass die Mitglieder der Leitungsorgane an Schulungen teilnehmen müssen. Zugleich fordern sie die Einrichtungen auf, allen Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. Ziel sind ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie von Managementpraktiken im Bereich der Cybersicherheit und deren Auswirkungen auf die Dienste der Einrichtung.

Der Wortlaut ist bemerkenswert: Für die Leitung ist die Teilnahme Pflicht, für die übrigen Beschäftigten formuliert die Richtlinie eine Aufforderung. Art. 21 Abs. 2 Buchst. g macht aber grundlegende Cyberhygiene und Schulungen zur Mindestmaßnahme des Risikomanagements — praktisch kommt also keine betroffene Einrichtung an Schulungen für alle vorbei.

Die Richtlinie nennt das Ziel, nicht den Lehrplan. Eine Schulung für Geschäftsführung und Vorstand muss keine Techniker ausbilden; sie muss befähigen, Risiken zu verstehen, Maßnahmen zu bewerten und Entscheidungen zu verantworten. Das unterscheidet sie von einer Awareness-Schulung für alle.

Für die übrigen Beschäftigten geht es um Cyberhygiene: Phishing erkennen, sichere Passwörter und Mehrfaktor-Anmeldung, sicherer Umgang mit mobilen Geräten und Daten, Melden verdächtiger Vorfälle. Wirksam sind kurze, wiederkehrende Einheiten, ergänzt um Übungen wie simulierte Phishing-Mails — deren Einsatz sollte mit Datenschutz und, wo vorhanden, Betriebsrat abgestimmt sein.

Für bestimmte Rollen lohnen Vertiefungen: IT-Administration, Entwicklung, Einkauf mit Blick auf die Lieferkette und alle, die im Vorfall Entscheidungen treffen. Die Schulungen sollten in das Risikomanagement eingebettet sein und ihre Wirksamkeit regelmäßig bewertet werden, wie Art. 21 Abs. 2 Buchst. f es für alle Maßnahmen vorsieht.

Die Aufsichtsbehörden können nach Art. 32 und 33 Nachweise über die Umsetzung verlangen, bei wesentlichen Einrichtungen auch ohne Anlass. Ein Schulungsnachweis je Leitungsmitglied und ein Überblick über die Schulungen der Beschäftigten gehören deshalb in die Dokumentation des Risikomanagements.

Art. 34 gibt den Rahmen für Geldbußen vor: für wesentliche Einrichtungen mindestens bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen mindestens bis zu 7 Mio. Euro oder 1,4 Prozent — je nachdem, welcher Betrag höher ist. Die tatsächlichen Höchstbeträge legt das nationale Recht fest.

Für den Finanzsektor gilt vorrangig die Verordnung (EU) 2022/2554 (DORA); NIS-2 tritt nach Art. 4 zurück, soweit sektorspezifische Rechtsakte gleichwertige Anforderungen enthalten.

Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung. Für den Einzelfall gilt der amtliche Normtext in der aktuellen Fassung; bei Zweifeln helfen anwaltliche Beratung, der Datenschutzbeauftragte oder die zuständige Aufsichtsbehörde.