§ 38 BSIG verpflichtet Geschäftsführer und Vorstände persönlich zu regelmäßigen Cybersicherheitsschulungen — mit Nachweispflicht gegenüber dem BSI.
Die Schulungspflicht nach § 38 BSIG ist kein bürokratisches Beiwerk. Sie ist Ausdruck der Erkenntnis, dass Cybersicherheit top-down geprägt wird: Wer an der Spitze keine Kompetenz hat, kann keine verantwortliche Steuerung von Cyberrisiken gewährleisten.
Das BSI hat in seiner Handreichung vom April 2026 konkretisiert, welche Inhalte eine NIS2-konforme Geschäftsleitungsschulung abdecken muss. Vier Themenbereiche stehen im Mittelpunkt.
Aktuelle Angriffsszenarien, typische Angriffsvektoren auf Unternehmen Ihrer Größe und Branche, Ransomware-Risiken.
Wie Cyberrisiken eingeschätzt und in Geschäftsentscheidungen einbezogen werden — Budgetverantwortung und Priorisierung.
Persönliche Haftung nach § 38 BSIG, Bußgeldrahmen, Meldepflichten und Konsequenzen bei Pflichtverletzung.
Rolle der Geschäftsleitung im Ernstfall: Entscheidungswege, externe Kommunikation, Behördenkontakt.
Die Verletzung der Schulungspflicht nach § 38 BSIG ist ein eigenständiger Bußgeldtatbestand — unabhängig davon, ob ein Sicherheitsvorfall eingetreten ist oder nicht. Hinzu kommt die persönliche Haftung für Schäden, die aus unzureichendem Risikomanagement entstehen.
Persönliche Haftung: Geschäftsführer und Vorstandsmitglieder haften nach § 38 BSIG persönlich für die Umsetzung der NIS2-Anforderungen. Eine fehlende Schulung kann im Schadensfall als Pflichtverletzung gewertet werden — mit direkten Konsequenzen für das persönliche Vermögen.
Wir bieten maßgeschneiderte Geschäftsleitungsschulungen, die § 38 BSIG erfüllen und praxisnah auf Ihre Branche und Unternehmenssituation ausgerichtet sind.
Schulung anfragen