NIS2-Schulung & Pflichten: Kosten & Leitfaden für den Mittelstand

Mit dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG) und dem novellierten § 38 BSIG wird IT-Sicherheit im Mittelstand zur persönlichen Chefsache: Geschäftsführer und Vorstände unterliegen einer gesetzlichen Schulungspflicht und haften bei Pflichtverletzungen persönlich mit ihrem Privatvermögen. Erfahren Sie hier, welche Schulungen für Leitungsorgane und Belegschaft vorgeschrieben sind, mit welchen realen Kosten KMU rechnen müssen und wie Sie den Nachweis auditfest erbringen.

Die Zeiten, in denen Informationssicherheit als reine Angelegenheit der internen Systemadministration oder externer Managed Service Provider abgetan werden konnte, sind mit dem Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes (NIS2UmsuCG) endgültig vorbei. Mit der Neufassung des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (§ 38 BSIG n. F.) hat der Gesetzgeber ein regulatorisches Scharnier geschaffen, das die Gesamtverantwortung für Cyber-Resilienz unmissverständlich in den Vorstandsetagen und Geschäftsführerbüros verankert.

Besonders brisant: Das Gesetz verlangt nicht nur abstrakte Schutzkonzepte, sondern formuliert eine explizite, persönliche Schulungspflicht für Leitungsorgane sowie eine kontinuierliche Sensibilisierungspflicht für die gesamte Belegschaft. Wer als Organmitglied diese Pflichten vernachlässigt, riskiert im Schadensfall nicht nur empfindliche Unternehmensbußgelder, sondern haftet der Gesellschaft gegenüber mit seinem gesamten Privatvermögen – ohne dass die Gesellschaft im Voraus wirksam auf Schadensersatzansprüche verzichten darf.

Dieser Leitfaden analysiert die konkreten gesetzlichen Vorgaben, schlüsselt die realen Kosten verschiedener Schulungsformate transparent auf und liefert mittelständischen Unternehmen einen praxiserprobten Fahrplan zur auditfesten Umsetzung.

1. NIS2 einfach erklärt: Wer ist im Mittelstand betroffen?

Die europäische NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) verfolgt das Ziel, die Widerstandsfähigkeit europäischer Unternehmen gegen Cyber-Angriffe drastisch zu erhöhen. Während die Vorgänger-Richtlinie im Wesentlichen Betreiber Kritischer Infrastrukturen (KRITIS) wie Energiekonzerne oder Großbanken ins Visier nahm, erweitert NIS2 den Kreis der regulierten Betriebe in Deutschland von bisher rund 4.500 auf geschätzte 30.000 bis 40.000 Unternehmen.

Die gesetzliche Einstufung erfolgt primär über eine zweidimensionale Matrix aus Sektorzugehörigkeit und quantitativen Unternehmensschwellenwerten:

1.1 Wesentliche vs. Wichtige Einrichtungen: Der feine Unterschied

Das deutsche NIS2UmsuCG unterscheidet zwischen zwei regulatorischen Schweregraden:

1. Besonders wichtige Einrichtungen (Wesentliche Einrichtungen / Essential Entities):
   Großunternehmen ab 250 Mitarbeitern oder ab 50 Millionen Euro Umsatz in Sektoren mit besonders hoher Kritikalität (z. B. Energie, Gesundheit, Transport, IT-Infrastruktur). Für sie gilt eine proaktive Aufsicht durch das BSI, inklusive regelmäßiger Sicherheitsaudits ohne konkreten Verdachtsanlass und Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
2. Wichtige Einrichtungen (Important Entities):
   Mittelständische Betriebe mit 50 bis 249 Mitarbeitern und einem Jahresumsatz von 10 bis 50 Millionen Euro in regulierten Sektoren (z. B. verarbeitendes Gewerbe, Maschinenbau, Chemie, Logistik). Diese unterliegen einer reaktiven Aufsicht: Das BSI prüft im Anlassfall (z. B. nach einem gemeldeten Sicherheitsvorfall oder Hinweisen Dritter). Der Bußgeldrahmen beträgt hier bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.

[!IMPORTANT] Praxisfalle für den Mittelstand: Die inhaltlichen Anforderungen an die technischen und organisatorischen Maßnahmen (TOMs) sowie die Schulungspflichten der Geschäftsleitung sind für beide Kategorien identisch. Auch eine „Wichtige Einrichtung“ mit 60 Mitarbeitern muss die Anforderungen des § 38 BSIG in vollem Umfang erfüllen.

2. Gesetzliche Schulungspflichten nach § 38 BSIG n. F.

Das Herzstück der NIS2-Governance-Vorschriften für Leitungsorgane bildet der neu gefasste § 38 BSIG n. F. (Pflichten der Leitungsorgane von besonders wichtigen und wichtigen Einrichtungen). Der Gesetzgeber hat darin eine dreigliedrige Pflichtenarchitektur normiert:

2.1 Warum die Alibi-Schulung rechtlich nicht mehr ausreicht

In der Vergangenheit reichte es vor Betriebsprüfungen häufig aus, eine Teilnahmebestätigung über ein 45-minütiges Video-Seminar abzuheften. Unter dem NIS2UmsuCG greift dieser Alibi-Ansatz zu kurz:

• Inhaltlicher Mindeststandard: Das Gesetz fordert „ausreichende Kenntnisse und Fähigkeiten“, um Cybersicherheitsrisiken selbstständig beurteilen zu können. Ein Geschäftsführer muss zwar keinen Quellcode analysieren oder Firewall-Rules kompilieren, wohl aber die betriebswirtschaftlichen Konsequenzen eines Active-Directory-Befalls verstehen, Backup-Konzepte hinterfragen und die Meldewege an das BSI (24-Stunden-Frühwarnung, 72-Stunden-Update, 1-Monats-Abschlussbericht) aus dem Stand steuern können.
• Persönliche Haftung (§ 38 Abs. 2 BSIG n. F.): Verletzt das Leitungsorgan schuldhaft seine Billigungs-, Überwachungs- oder Fortbildungspflichten, haftet es der Gesellschaft gegenüber auf Ersatz des entstandenen Schadens.
• Ausschluss von Haftungsverzichten: Der Gesetzgeber stellt in § 38 Abs. 2 Satz 2 BSIG klar: Ein Verzicht der Einrichtung auf Ersatzansprüche oder ein Vergleich über diese Ansprüche ist unwirksam. Das bedeutet: Selbst eine wohlwollende Gesellschafterversammlung kann den Geschäftsführer nicht nachträglich von der Haftung freistellen.
• Gefahr für den D&O-Versicherungsschutz: Directors-and-Officers-Versicherer (Manager-Haftpflichtversicherungen) fordern zunehmend den Nachweis regelmäßiger Organ-Fortbildungen. Wurde die gesetzliche Pflichtschulung versäumt, droht im Schadensfall der Vorwurf der groben Fahrlässigkeit oder des vorsätzlichen Pflichtverstoßes – was zum vollständigen Verlust des Versicherungsschutzes führen kann.

2.2 Schulungspflicht für Mitarbeiter: Was bedeutet Cyber-Hygiene?

Artikel 21 Abs. 2 lit. g der europäischen Richtlinie und die entsprechenden Ausführungsbestimmungen im deutschen Recht nennen ausdrücklich „Praktiken der grundlegenden Cyberhygiene und Schulungen im Bereich der Cybersicherheit“.

Für die Belegschaft eines mittelständischen Unternehmens umfasst dies konkrete Kompetenzen:

• Erkennung moderner Phishing-Vektoren: Unterscheidung generischer Spam-Mails von KI-generiertem Spear-Phishing, CEO-Fraud, gefälschten Rechnungs-PDFs und gestohlenen E-Mail-Konversationen (Thread-Hijacking).
• MFA & Identitätsschutz: Disziplinierte Nutzung hardwarebasierter Token (FIDO2) oder Authenticator-Apps; Sensibilisierung gegen MFA-Fatigue-Angriffe.
• Umgang mit vertraulichen Daten: Klare Richtlinien für die Nutzung von Cloud-Speichern, Remote-Work im Homeoffice und den datenschutzkonformen Einsatz von LLM-Tools (Verbot von Schatten-KI).
• Meldedisziplin: Jeder Mitarbeiter muss wissen, an wen verdächtige Vorfälle (wie versehentlich angeklickte Links oder unberechtigte Passwort-Rücksetzanforderungen) sofort und ohne Furcht vor Sanktionen gemeldet werden müssen.

3. Kostenübersicht: Was kosten NIS2-Schulungen für KMU?

Die Investitionen in NIS2-Schulungen hängen maßgeblich von der Betriebsgröße, der gewählten Lernmethodik (Online-LMS vs. Inhouse-Präsenz) und dem Grad der Audit-Vorbereitung ab.

Nachfolgend finden Sie eine marktgerechte Kostenübersicht für mittelständische Unternehmen auf Basis realer Projekt- und Trainingspreise für das laufende Geschäftsjahr 2026:

3.1 TCO-Kalkulationsbeispiel: Kostenmodell für ein KMU mit 120 Mitarbeitern

Um die Budgetierung für mittelständische Entscheider greifbar zu machen, betrachtet das folgende hypothetische Rechenbeispiel ein produzierendes Unternehmen mit 120 Bildschirm-Arbeitsplätzen und 2 Geschäftsführern:

[!TIP] Kosten-Nutzen-Relation: Gemessen an den potenziellen BSI-Unternehmensstrafen (bis zu 7 bzw. 10 Mio. €) und den durchschnittlichen Schäden eines Produktionsstillstands nach einem Ransomware-Befall (oft 250.000 € bis über 1,5 Mio. €) stellen kontinuierliche Schulungskosten von rund 60 € bis 75 € pro Mitarbeiter und Jahr eine extrem rentable Risikoprämie dar.

4. Schritt für Schritt: Der NIS2-Schulungsfahrplan für KMU

Ein geordneter Rollout verhindert Aktionismus und stellt sicher, dass die erbrachten Schulungsmaßnahmen im Fall eines Audits oder Cyber-Vorfalls von BSI und Versicherungen uneingeschränkt anerkannt werden:

5. Typische Fallstricke bei NIS2-Trainings in der Praxis

In der praktischen Beratung mittelständischer Unternehmen begegnen uns regelmäßig dieselben strategischen Denkfehler:

1. Die einmalige „Eintagsfliegen-Schulung“: Ein jährliches 60-minütiges Pflichtvideo erzeugt keinen messbaren Lerneffekt. Nach 30 Tagen haben Mitarbeiter über 80 % der Inhalte wieder vergessen. NIS2 verlangt eine kontinuierliche Risikominimierung – Micro-Learnings im Monatsrhythmus sind heute State of the Art.
2. Ausschluss von Zeitarbeitern, Praktikanten und Werkstudenten: Angreifer suchen den Weg des geringsten Widerstands. Wenn temporäre Mitarbeiter Vollzugriff auf CRM-, ERP- oder E-Mail-Konten besitzen, aber nie geschult wurden, entsteht ein massives Sicherheitsleck.
3. Mangelnde Dokumentation: Was nicht dokumentiert ist, hat vor Gericht oder dem BSI nicht stattgefunden. Schulungsinhalte, Teilnahmelisten, Bestehensquoten und die formale Billigung durch die Geschäftsführung müssen mindestens drei Jahre revisionssicher archiviert werden.
4. Fehlende psychologische Fehlertoleranz: Wenn Mitarbeiter nach einem Klick auf einen Phishing-Link Disziplinarmaßnahmen fürchten, verschweigen sie den Vorfall. Eine moderne Cyber-Awareness-Kultur belohnt schnelles Melden – denn 10 Minuten Vorsprung können über Gelingen oder Scheitern eines Ransomware-Angriffs entscheiden.

6. Häufig gestellte Fragen (FAQ)

Gilt die Schulungspflicht auch für den alleinigen Geschäftsführer einer kleinen GmbH?

Sofern die GmbH unter die Schwellenwerte der NIS2 fällt (z. B. ab 50 Beschäftigten in einem regulierten Sektor oder als wichtiger digitaler Dienstleister), gilt die Pflicht nach § 38 BSIG n. F. uneingeschränkt auch für den alleinigen Geschäftsführer. Eine Ausnahme für Einzel-Geschäftsführer existiert im Gesetzestext nicht.

Zahlt die D&O-Versicherung bei einem Ransomware-Angriff, wenn keine Schulung nachgewiesen werden kann?

Versicherer prüfen im Großschadensfall routinemäßig, ob gesetzliche Compliance-Vorgaben eingehalten wurden. Fehlt der Schulungsnachweis der Geschäftsführung trotz ausdrücklicher gesetzlicher Verpflichtung, kann der Versicherer die Leistung wegen grob fahrlässiger oder vorsätzlicher Obliegenheitsverletzung verweigern oder den Geschäftsführer persönlich in Regress nehmen.

Wie oft müssen Schulungen für Mitarbeiter wiederholt werden?

Das Gesetz nennt kein starres Intervall („alle 12 Monate“), sondern spricht von „regelmäßigen“ Schulungen. BSI-Leitfäden und Best Practices empfehlen ein kontinuierliches Modell: Kurze, 5- bis 10-minütige E-Learning-Impulse im Abstand von 4 bis 6 Wochen, flankiert von monatlichen automatisierten Phishing-Simulationen.

Gibt es staatliche Förderungen für NIS2-Schulungen im Mittelstand?

Einige Bundesländer bieten Digitalisierungs- und IT-Sicherheitsförderungen für KMU an (z. B. Innovationsgutscheine oder Cyber-Sicherheitsprämien). Zudem können IT-Sicherheits- und Organisationsberatungen unter bestimmten Voraussetzungen über das BAFA-Programm gefördert werden. Die Förderprogramme müssen stets vor Beginn der Maßnahme beantragt werden.

7. Fazit & Handlungsempfehlung für Entscheider

Die NIS2-Schulungspflicht ist kein lästiges Bürokratie-Hindernis, sondern das wirksamste und wirtschaftlich rentabelste Schutzschild gegen die alltägliche Bedrohung durch Ransomware, Spear-Phishing und Social Engineering.

Indem Sie als Geschäftsführung die gesetzlich vorgeschriebene C-Level-Schulung absolvieren und Ihrer Belegschaft moderne E-Learning-Tools an die Hand geben, schlagen Sie drei Fliegen mit einer Klappe:

1. Persönlicher Haftungsschutz: Sie erfüllen § 38 BSIG n. F. und schützen Ihr Privatvermögen sowie den D&O-Versicherungsstatus.
2. Reale Angriffsresilienz: Über 85 % aller erfolgreichen Cyberangriffe beginnen beim Faktor Mensch. Eine geschulte Belegschaft neutralisiert Phishing-Versuche, bevor Schaden entsteht.
3. Wettbewerbsvorteil in der Lieferkette: Regulierte Großkunden und Auditoren verlangen Schulungsnachweise heute standardmäßig in Lieferanten-Fragebögen. Wer diese vorweisen kann, sichert Bestandsaufträge und gewinnt Neugeschäft.

Quellen & Primärdokumentation

1. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie): Amtsblatt der Europäischen Union, L 333/80, Art. 20 (Governance) und Art. 21 (Risikomanagementmaßnahmen).
2. BSI-Gesetz (BSIG n. F.): Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Stärkung der Cybersicherheit (NIS2UmsuCG), insbesondere § 28, § 30 und § 38.
3. Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz-Kompendium – Baustein ORR.1 (Organisation) und CON.2 (Datenschutz und Awareness), Bonn 2026.
4. Europäische Agentur für Cybersicherheit (ENISA): Threat Landscape 2025/2026 – Social Engineering and Phishing Vector Analysis, Athen 2026.
5. Marktpreis-Erhebung Schulungs- & Awareness-Plattformen: Interne Aggregation von Anbieterkonditionen (SoSafe, KnowBe4, G DATA, TÜV Rheinland Akademie), Stand Q3/Q4 2026.

Erweitertes Fachglossar