Mit der Umsetzung der europäischen NIS-2-Richtlinie im nationalen Recht rückt die Leitungsebene endgültig in die direkte Verantwortung: Nach § 38 BSIG müssen Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen, um Cyberrisiken fundiert bewerten und steuern zu können.
Bislang fehlte in vielen Unternehmen jedoch ein konkretes Bild davon, wie eine solche Schulung inhaltlich aussehen sollte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat gemeinsam mit Verbänden der Allianz für Cyber-Sicherheit (ACS) ein Beispielcurriculum für NIS-2-Geschäftsleitungsschulungen vorgestellt. Ergänzend dazu stellt die Gesellschaft für Informatik (GI) eine Checkliste zur Überprüfung der Inhalte einer Initialschulung bereit.
Was bedeuten die beiden Dokumente für die Praxis – und wie gelingt der Wissenstransfer in den Führungsalltag?
BSI-Curriculum und GI-Checkliste: Die Rollen der beiden Dokumente
Die beiden Dokumente greifen ineinander, erfüllen aber unterschiedliche Funktionen:
- Das BSI-Curriculum (Orientierungsrahmen):
Das BSI versteht das Curriculum ausdrücklich als praxisorientiertes Beispiel und als Arbeitsgrundlage. Es ist kein starrer, gesetzlicher Mindeststandard, sondern zeigt Organisationen und Schulungsanbietern auf, welche rechtlichen, organisatorischen und technischen Zusammenhänge für Führungskräfte relevant sind. Es unterstützt dabei, die geforderten Kompetenzen strukturiert aufzubauen. - Die GI-Checkliste (Prüf- und Transferwerkzeug):
Die korrespondierende Checkliste der Gesellschaft für Informatik dient als praktischer Kriterienkatalog. Sie richtet sich an Geschäftsleitungen, CISOs und Bildungsverantwortliche, um geplante oder bestehende Initialschulungen vorab auf ihre inhaltliche Eignung hin abzugleichen und den Transfer in die Praxis zu erleichtern.
Die Kernbereiche: Worauf es bei der Initialschulung ankommt
Geschäftsleitungen müssen keine technischen Administratoren werden. Das Curriculum zielt vielmehr auf strategische Orientierung und Steuerungskompetenz ab:
- Rechtlicher Rahmen und Organverantwortung: Ein klares Verständnis für die Vorgaben nach BSIG, die eigene Rolle bei der Freigabe von Risikomanagementmaßnahmen und das Einhalten behördlicher Meldewege im Ernstfall.
- Bedrohungslagen und Angriffsvektoren: Reale Risikofaktoren wie Ransomware, Angriffe auf die Lieferkette und insbesondere Social Engineering müssen von der Führungsebene realistisch eingeschätzt werden können.
- Risikomanagement und Governance: Informationssicherheit als festen Bestandteil der Unternehmensführung begreifen – inklusive Bereitstellung ausreichender Ressourcen und Etablierung klarer Verantwortlichkeiten.
- Notfall- und Krisenorganisation: Rollenverständnis im Krisenstab, Vorbereitung auf Betriebsstörungen und Grundlagen für einen geordneten Wiederanlauf (Business Continuity).
Vom Wissen zum Praxistransfer
Sowohl das BSI als auch die GI betonen, dass eine isolierte Einmal-Schulung wenig bewirkt, wenn sie nicht im Alltag verankert wird. Für Organisationen ergeben sich daraus zwei zentrale Aufgaben:
- Inhalte führungsgerecht vermitteln: Schulungsformate für das Management müssen modular, präzise und zeitlich flexibel sein, damit sie in einen vollen Führungsalltag passen.
- Die Brücke zur Organisation schlagen: Eine informierte Geschäftsleitung ist die Voraussetzung dafür, dass auch die im Gesetz geforderten Cyber-Hygiene- und Sensibilisierungsmaßnahmen für die gesamte Belegschaft wirksam und mit der nötigen Rückendeckung umgesetzt werden.
Wo tutoolio unterstützen kann
tutoolio bietet modulare Lösungen, die genau an diesen Schnittstellen ansetzen können:
Führungswissen modular bereitstellen mit ATLAS & AURA:
Über unsere Kursbibliothek ATLAS können Organisationen relevante Inhalte zu Informationssicherheit, Compliance und Datenschutz flexibel zusammenstellen. Integriert in unser DSGVO-konformes Lernmanagementsystem AURA lassen sich Lernpfade transparent organisieren und Nachweise revisionssicher dokumentieren.
Sensibilisierung im Alltag mit PEARL:
Während ATLAS das notwendige Orientierungs- und Fachwissen vermittelt, adressiert PEARL den menschlichen Faktor auf operativer Ebene: Mit realitätsnahen, KI-gestützten Phishing-Simulationen lernen Mitarbeitende praxisnah, verdächtige Situationen zu erkennen – ohne Angstmarketing, Bloßstellung oder Vorwürfe, sondern als Stärkung einer gelebten Lern- und Sicherheitskultur.
Fazit
Das neue Curriculum des BSI und die GI-Checkliste bieten eine fundierte Orientierung, um die Schulungsanforderungen nach § 38 BSIG strukturiert anzugehen. Organisationen sollten die Veröffentlichung nutzen, um bestehende Konzepte kritisch zu überprüfen und Cybersicherheit dauerhaft als strategisches Führungsthema zu etablieren.
Die Originaldokumente stehen auf den Seiten des BSI und der Allianz für Cyber-Sicherheit zum Download bereit: