Schulungspflicht für Geschäftsleitungen nach BSIG

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat jüngst eine aktualisierte Handreichung zur Umsetzung der Schulungspflicht für Geschäftsleitungen nach § 38 Absatz 3 BSIG veröffentlicht. Das Dokument richtet sich an Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen im Sinne der NIS-2-Umsetzung und gibt Orientierung zu Inhalt, Format und Nachweis der gesetzlich vorgeschriebenen Schulungen.

Gesetzlicher Rahmen und Verantwortung

§ 38 BSIG verpflichtet Geschäftsleitungen regulierter Einrichtungen, Risikomanagementmaßnahmen nicht nur umzusetzen, sondern deren Einhaltung aktiv zu überwachen. Eine Delegation dieser Pflicht ist ausdrücklich ausgeschlossen. Bei schuldhafter Pflichtverletzung droht eine persönliche Haftung nach den einschlägigen gesellschaftsrechtlichen Regelungen. Die Schulungspflicht ist dabei als eigenständige Pflicht zu verstehen – sie ist klar abzugrenzen von den Mitarbeitendenschulungen nach § 30 Absatz 2 Nummer 7 BSIG.

Schulungsinhalte: drei Kernbereiche

Das BSI benennt drei inhaltliche Pflichtbereiche, die jede Geschäftsleitungsschulung abdecken muss:

• Risikoerkennung und -bewertung: Grundbegriffe des Risikomanagements, Schadensarten, Eintrittswahrscheinlichkeiten und Risikoakzeptanz
• Risikomanagementmaßnahmen: Überblick über technisch-organisatorische Schutzmaßnahmen gemäß § 30 Absatz 2 BSIG, Auswahlkriterien und Dokumentationspflichten
• Auswirkungsbeurteilung: Einschätzung betrieblicher, wirtschaftlicher und regulatorischer Folgen – insbesondere im Hinblick auf Verfügbarkeit, Integrität und Vertraulichkeit

Eine Schulung, die sich ausschließlich auf Maßnahmen beschränkt, würde laut BSI die gesetzlichen Anforderungen nicht erfüllen und bei Aufsichtsmaßnahmen als unzureichend bewertet werden.

Formate, Intervalle und Nachweis

Das BSIG schreibt lediglich „regelmäßige“ Teilnahme vor. Das BSI empfiehlt eine ausführliche initiale Schulung mit anschließenden Folgeschulungen, deren Intervall und Dauer sich an der Risikoexposition der Einrichtung sowie an Anlassereignissen – wie Wechsel in der Geschäftsleitung oder signifikante Änderungen der Risikolage – orientieren soll. Neben klassischen Schulungsformaten empfiehlt das BSI ausdrücklich praxisnahe Ansätze wie Tabletop Exercises, Audit-Simulationen oder sektorspezifische Fallstudien.

Die Teilnahme ist intern zu dokumentieren und auf Verlangen gegenüber dem BSI nachzuweisen. Eine Abschlussprüfung ist nicht vorgesehen; der Lernerfolg spiegelt sich laut BSI vor allem in der aktiven, nachvollziehbaren Mitwirkung der Geschäftsleitung an Risikomanagement-Entscheidungen wider.

Die vollständige Handreichung inklusive Leitfragen zu den zehn Cyberrisikomanagementmaßnahmen steht auf der BSI-Website zum Download bereit.

(Foto: Atchariya63 – stock.adobe.com)