Cybersicherheit ist Chefsache – NIS-2-Schulungspflicht für Führungskräfte

Viele Unternehmen investieren seit Jahren in Awareness-Trainings für ihre Mitarbeitenden – Phishing, Passwortsicherheit, Datenschutz, sichere Passwörter. Das ist wichtig.

Aber mit der NIS-2-Richtlinie und ihrer Umsetzung in deutsches Recht ändert sich etwas Grundlegendes: Diesmal reicht es nicht mehr, „die Belegschaft zu sensibilisieren“.

Denn die Verantwortung liegt jetzt ausdrücklich auch bei der Geschäftsleitung selbst.

Mitarbeitende müssen wissen, wie sie sicher handeln. Die Geschäftsleitung muss wissen, welche Risiken sie verantwortet.

Das ist der entscheidende Unterschied:

• Mitarbeitende handeln auf operativer Ebene.
• Die Geschäftsleitung trifft strategische und haftungsrelevante Entscheidungen – etwa zur Risikobewertung, zu Investitionen oder zur Auswahl von Sicherheitsmaßnahmen.

Nur wenn die Führungsebene versteht, wie Cyberrisiken wirken, kann sie Budgets richtig priorisieren, Maßnahmen wirksam steuern und gesetzliche Pflichten erfüllen. Ein Schulungsvideo zum Thema Passwortsicherheit reicht hier nicht mehr.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Ende September 2025 eine Handreichung veröffentlicht, die genau beschreibt, was von Geschäftsleitungen künftig erwartet wird.

Danach müssen Führungskräfte in die Lage versetzt werden,

1. Risiken zu erkennen und zu bewerten,
2. Risikomanagementmaßnahmen zu verstehen,
3. deren Auswirkungen auf den Geschäftsbetrieb zu beurteilen.

Die Schulungen müssen regelmäßig (mindestens alle drei Jahre) stattfinden – häufiger, wenn sich die Risiken oder Prozesse im Unternehmen ändern. Sie können intern oder extern durchgeführt werden, müssen aber dokumentiert werden und konkret auf das eigene Unternehmen eingehen.

Die Geschäftsleitung muss künftig grundlegende Fragen beantworten können wie:

• Welche Cyberrisiken bedrohen unsere Organisation - technisch, organisatorisch und wirtschaftlich?
• Wie effektiv sind unsere bestehenden Sicherheitsmaßnahmen?
• Welche Melde- und Haftungspflichten gelten bei Sicherheitsvorfällen?
• Welche Folgen hätte ein längerer IT-Ausfall für den Betrieb, Kunden und Reputation?

Kurz gesagt: Cybersicherheit wird Chefsache – auch inhaltlich.

So unbequem die neue Pflicht zunächst klingt – sie ist ein Schritt in die richtige Richtung.
Denn zu viele Sicherheitslücken entstehen nicht aus Unwissen, sondern aus falscher Priorisierung. Nur wer die Risiken versteht, kann auch die richtigen Entscheidungen treffen: beim Budget, bei der Strategie, bei der Reaktion auf Vorfälle.

Datenschutzrisiken wirken oft theoretisch – Bußgelder eher wie ein Gewinn im Lotto. Bei der Cybersicherheit sieht das anders aus: Hier geraten Unternehmen deutlich häufiger und sehr schnell in ernsthafte Schwierigkeiten – von Betriebsunterbrechungen über Datenverlust bis hin zur Insolvenz.

Die NIS-2-Richtlinie führt erstmals eine verbindliche Schulungspflicht für Geschäftsleitungen ein. Wer sie ignoriert, riskiert nicht nur Bußgelder, sondern auch persönliche Haftung.

Jetzt ist der richtige Zeitpunkt, diese Pflicht als Chance zu begreifen – für mehr Bewusstsein, bessere Entscheidungen und ein nachhaltiges Sicherheitsniveau im Unternehmen.