BSI-Modellcurriculum: Neue Schulungspflichten für Geschäftsleitungen nach NIS2
Veröffentlicht am: 15.11.2026 um 19:24 Uhr | Redaktion boerse-global.de
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 28. Oktober 2026 ein Modellcurriculum für die gesetzlich vorgeschriebene Management-Schulung nach § 38 des BSI-Gesetzes (BSIG) vorgestellt. Der Leitfaden entstand in Zusammenarbeit mit Verbänden der Allianz für Cyber-Sicherheit und konkretisiert die Qualifikationsanforderungen, die sich im Rahmen der NIS2-Umsetzung für Führungskräfte in betroffenen Unternehmen ergeben.
Gesetzliche Pflichten und Haftungsrisiken für die Geschäftsleitung
Die Vorgaben nach § 38 BSIG nehmen die Führungsebenen besonders wichtiger sowie wichtiger Einrichtungen direkt in die Verantwortung. Mitglieder der Geschäftsleitung sind gesetzlich dazu verpflichtet, Risikomanagement-Maßnahmen im Bereich der Cybersicherheit eigenverantwortlich umzusetzen sowie deren Einhaltung fortlaufend zu überwachen.
Zudem schreibt die Regelung den regelmäßigen Besuch entsprechender Schulungen vor. Bei Pflichtverletzungen haftet die Geschäftsleitung für schuldhaft verursachte Schäden persönlich.
Verstöße gegen die organisatorischen Vorgaben können erhebliche finanzielle Konsequenzen nach sich ziehen. Nach § 65 BSIG drohen Bußgelder von bis zu 10 Millionen Euro bei besonders wichtigen Einrichtungen sowie bis zu 7 Millionen Euro bei wichtigen Einrichtungen.
Übersteigt der weltweite Gesamtumsatz eines Unternehmens 500 Millionen Euro, beläuft sich der mögliche Bußgeldrahmen auf bis zu 2 Prozent beziehungsweise bis zu 1,4 Prozent dieses Betrags.
Registrierungsrückstand und behördliche Durchsetzung
Wer sich mit den steigenden gesetzlichen Anforderungen an die IT-Sicherheit befasst, muss heute weit mehr als nur technische Aspekte berücksichtigen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-Report zu neuen Cyberrisiken und Gesetzen herunterladen
Neben den Qualifikations- und Überwachungspflichten greift für betroffene Organisationen eine Registrierungspflicht, die nach Angaben des BSI bereits überfällig ist. Eine reguläre Nachfrist war bereits bis zum 31. Juli 2026 gewährt worden. Zum Stichtag am 30. September 2026 hatten sich laut BSI 20.141 von rund 29.500 erwarteten Einrichtungen im System erfasst.
Darunter befanden sich 6.837 besonders wichtige und 13.252 wichtige Einrichtungen. Für eine versäumte Registrierung sieht der Gesetzgeber Bußgelder von bis zu 500.000 Euro vor. Das BSI fordert noch nicht erfasste Unternehmen auf, die Registrierung unverzüglich im Behördenportal unter Verwendung eines ELSTER-Organisationszertifikats nachzuholen.
Um die gesetzlichen Vorgaben durchzusetzen, kündigte das BSI für das vierte Quartal 2026 eine behördliche Durchsetzungsinitiative an. Ab dem ersten Quartal 2027 beabsichtigt die Behörde, gegenüber einzelnen Einrichtungen Anweisungen zur IT-Sicherheitsprüfung zu erteilen und entsprechende Nachweispflichten einzufordern.
Angesichts der zunehmenden behördlichen Kontrollen ist eine proaktive Absicherung für Unternehmen unverzichtbar geworden. Erfahrene Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Kostenloses E-Book: IT-Sicherheit proaktiv stärken
Strenge Meldefristen bei Vorfällen
Für registrierte und regulierte Organisationen gelten zudem strikte Meldepflichten bei erheblichen Sicherheitsvorfällen. Sobald ein solcher Vorfall bekannt wird, muss eine Erstmeldung innerhalb von 24 Stunden erfolgen.
Ein vertiefender Folgebericht ist innerhalb von 72 Stunden fällig, gefolgt von einem formalen Abschlussbericht spätestens einen Monat nach der Erstmeldung. Bis Ende September 2026 wurden insgesamt 1.272 Erstmeldungen zu Sicherheitsvorfällen verzeichnet.
