NIS 2 - Mögliche Schulungsinhalte - Was genau gehört eigentlich in eine NIS-2-Schulung für Geschäftsleitungen?

Viele Geschäftsführerinnen und Geschäftsführer gehen zunächst davon aus, dass es sich um ein klassisches IT-Training handelt – doch das ist ein Irrtum. Die Schulung für Leitungspersonen nach NIS-2 ist strategisch, nicht technisch. Sie soll sicherstellen, dass Entscheidungsträger die Risiken, Pflichten und Abläufe verstehen, die mit Cybersicherheit verbunden sind.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt in seiner Schulungsunterlage drei große Themenblöcke:

1. Vorbereitende Inhalte
2. Kerninhalte
3. Ergänzende Inhalte

Diese Struktur ist praxiserprobt – und bildet den roten Faden für jede gute NIS-2-Schulung.

Im ersten Schritt geht es darum, die Grundlagen und den rechtlichen Rahmen zu verstehen. Ohne dieses Fundament bleiben alle weiteren Themen abstrakt. Die vorbereitenden Inhalte beantworten Fragen wie:

• Was ist die NIS-2-Richtlinie und warum wurde sie eingeführt?
• Welche Einrichtungen und Unternehmen sind betroffen?
• Welche Pflichten ergeben sich daraus konkret für die Geschäftsleitung?
• Wie hängen Risikomanagement, Meldepflichten und Registrierungspflichten zusammen?

Diese Themen schaffen das notwendige Bewusstsein: Cybersicherheit ist nicht nur Technik, sondern Teil der unternehmerischen Verantwortung.

Ein häufiges Ziel dieser Phase ist, dass Führungskräfte verstehen:

„Wenn etwas passiert, sind nicht nur IT-Systeme betroffen, sondern auch Geschäftsprozesse, Reputation und rechtliche Haftung."

Vorbereitende Inhalte vermitteln also nicht das „Wie", sondern das „Warum" – und genau das sorgt später für Akzeptanz und Engagement im Management.

Hier liegt der Fokus auf den konkreten Steuerungsaufgaben der Geschäftsleitung. Die Teilnehmenden sollen lernen, wie sie Risiken erkennen, bewerten und geeignete Maßnahmen steuern.

Kerninhalte sind z. B.:

• Risikoanalyse: Wie erkennt man Schwachstellen in Prozessen und Systemen?
• Risikomanagementmaßnahmen: Welche organisatorischen und technischen Schritte sind Pflicht?
• Auswirkungen: Was passiert, wenn Risiken eintreten – rechtlich, finanziell, operativ?

Die Schulung konzentriert sich hier auf Führungsperspektiven, nicht auf technische Details. Es geht also um Entscheidungen wie:

• Welche Sicherheitsstandards wollen wir im Unternehmen umsetzen?
• Wer trägt Verantwortung für die Umsetzung?
• Wie kontrollieren wir regelmäßig, ob Maßnahmen wirken?

Das Ziel ist, dass Geschäftsleitungen angemessene Sicherheitsstrategien bewerten und priorisieren können, statt sich auf Bauchgefühl zu verlassen.

Hier wird die Theorie mit Leben gefüllt. Ergänzende Inhalte sind besonders wertvoll, um das Gelernte zu festigen. Dazu gehören z. B.:

• Sektor- und einrichtungsspezifische Inhalte: Welche Anforderungen gelten in unserer Branche konkret (z. B. Energie, Gesundheit, Transport, Finanzen)?
• Szenarien und Übungen: Was passiert im Krisenfall – und wie reagiert die Geschäftsleitung richtig?
• Case Studies: Analyse realer Sicherheitsvorfälle, um daraus zu lernen.

Diese Ergänzungen helfen, Wissen zu verankern und zeigen, dass Cybersicherheit kein abstraktes Compliance-Thema, sondern operative Realität ist.

Damit Wissen bei der Geschäftsleitung ankommt, muss die Schulung praxisnah, verständlich und relevant sein. Gute Anbieter vermeiden Fachjargon und setzen auf klare Sprache.
Ein bewährter Ansatz ist das „3-Schritt-Prinzip":

1. Verstehen – Grundlagen, Pflichten und Zusammenhänge erklären
2. Anwenden – typische Situationen aus dem Alltag durchspielen
3. Reflektieren – welche Prozesse müssen wir im eigenen Haus anpassen?

Beispiel: Eine Fallstudie zeigt, wie ein Cyberangriff ein Krankenhaus lahmlegt. Anschließend bespricht die Gruppe, welche Entscheidungen die Geschäftsleitung treffen muss – etwa zur Kommunikation, Krisenorganisation und Meldung an Behörden.

So wird aus Theorie handlungsrelevantes Wissen.

Die NIS-2-Richtlinie betrifft viele Branchen – und jede hat andere Risiken. Ein Energieversorger hat andere Prioritäten als ein Logistikunternehmen oder eine Kommune.
Deshalb fordert das BSI ausdrücklich, dass Schulungsinhalte „angemessen, aktuell und sektorspezifisch" sein müssen.

Das bedeutet konkret:

• Inhalte sollen zum Risikoprofil und Geschäftsmodell passen,
• Branchengesetze und Aufsichtspraxis müssen berücksichtigt werden,
• und aktuelle Bedrohungen sollten regelmäßig eingearbeitet werden (z. B. Ransomware, Lieferkettenrisiken).

Eine „Einheitslösung" reicht also nicht. Jede Geschäftsleitung sollte prüfen, ob die eigene Schulung wirklich zu ihrem Umfeld passt.

Eine gute NIS-2-Schulung ist kein Häkchen in der Compliance-Liste, sondern ein strategisches Werkzeug.
Die besten Schulungen zeichnen sich durch drei Dinge aus:

1. Relevanz: Themen sind auf die tatsächlichen Risiken des Unternehmens abgestimmt.
2. Verständlichkeit: Keine IT-Fachsprache, sondern Management-Sprache.
3. Praxisnähe: Fallbeispiele, Diskussionen, konkrete To-dos.

Wer diese Punkte berücksichtigt, macht aus einer gesetzlichen Pflicht eine Investition in Führungskompetenz und Unternehmenssicherheit.

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz