Maßnahme 7: Cyberhygiene und Schulungen.
Das Gesetz verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen, damit alle Nutzenden Ihrer Systeme Gefahren erkennen und sicher arbeiten.
- § 30 Abs. 2 Nr. 7 BSIG
- Stand: 19.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
Sie schulen alle internen und externen Nutzenden beim Einstieg und danach regelmäßig zu sicheren Arbeitsweisen, Phishing, Passwörtern und Meldewegen, und vertiefen die Inhalte für besondere Rollen. Teilnahme und Inhalte dokumentieren Sie. Getrennt davon nimmt die Geschäftsleitung nach § 38 Abs. 3 BSIG regelmäßig an eigenen Schulungen teil, die Sie ebenfalls nachweisbar dokumentieren.
Was das Gesetz verlangt.
§ 30 Abs. 2 Nr. 7 BSIG nennt als Mindestmaßnahme „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Die Vorgabe setzt Art. 21 Abs. 2 Buchst. g der Richtlinie (EU) 2022/2555 um. Dort ist von grundlegenden Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit die Rede. Der Begriff „Cyberhygiene“ steht also in der Richtlinie, nicht im BSIG. Gemeint sind alltägliche Grundregeln wie sichere Passwörter, Updates, Vorsicht bei E-Mails und das Melden von Auffälligkeiten.
Adressaten sind nach dem BSI alle Mitarbeitenden, also die internen und externen Nutzenden von Systemen und Anwendungen der Einrichtung. Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und einschlägige Normen berücksichtigen; das BSI verweist auf ISO/IEC 27001 (Abschnitt 7.3 und Anhang A.6.3) und den BSI-Standard 200-2. Umfang und Tiefe richten sich nach § 30 Abs. 1 Satz 2 BSIG nach Risikoexposition, Größe und Kosten.
Davon zu trennen ist § 38 Abs. 3 BSIG. Danach müssen die Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken zu erlangen und deren Auswirkungen auf die Dienste der Einrichtung beurteilen zu können. Das BSI betont, dass diese Pflicht getrennt von § 30 Abs. 2 Nr. 7 BSIG zu sehen ist, und hat dazu eine eigene Handreichung veröffentlicht. Einen festen Turnus nennt das Gesetz nicht.
§ 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung zu dokumentieren; nach dem BSI ist die Dokumentation der Durchführung eine notwendige Bedingung zur Erfüllung der Anforderung. Die Geschäftsleitungsschulung unterliegt nach dem BSI einer impliziten Dokumentationspflicht. Das BSI kann ihre Einhaltung bei besonders wichtigen Einrichtungen nach § 61 Abs. 1 BSIG prüfen lassen, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für Anbieter digitaler Dienste gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor.
Nachweise.
Für die Geschäftsleitungsschulung hat das BSI Mindestangaben für die Dokumentation genannt. Für die Schulung der Mitarbeitenden gibt es keine feste Formvorgabe; die Tabelle ist ein Vorschlag.
| Nachweis | Form | Verantwortlich | Turnus |
|---|---|---|---|
| Schulungs- und Sensibilisierungskonzept | Freigegebenes Dokument mit Zielen, Zielgruppen, Inhalten, Formaten und Turnus | Informationssicherheitsbeauftragte, Freigabe durch Geschäftsleitung | Jährlich und bei Änderungen |
| Schulungsunterlagen | Versionierte Inhalte je Zielgruppe, einschließlich Meldewege für Vorfälle | Informationssicherheit mit Personalabteilung | Jährlich aktualisiert |
| Teilnahmenachweise der Mitarbeitenden | Liste mit Name, Rolle, Datum und Schulungsinhalt | Personalabteilung oder Führungskräfte | Bei Einstieg und bei jeder Schulung |
| Ergebnisse von Übungen | Auswertungen von Phishing-Simulationen oder Wissenstests mit abgeleiteten Verbesserungen | Informationssicherheit | Nach jeder Übung |
| Dokumentation der Geschäftsleitungsschulung | Anbieter oder interne Stelle, Teilnehmende mit Rolle, Datum, Uhrzeit, Dauer, Inhalte mit Bezug zu § 38 Abs. 3 BSIG | Geschäftsleitung, organisiert durch Informationssicherheit | Bei jeder Schulung, regelmäßig |
| Schulungsplan der Geschäftsleitung | Plan mit festgelegtem Wiederholungsturnus und Themen | Geschäftsleitung | Jährlich |
Typische Lücken.
Externe Nutzende fehlen.
Das BSI zählt auch externe Nutzende zu den Adressaten, etwa Leiharbeitskräfte, Werkstudierende oder Dienstleister mit Zugang zu Ihren Systemen. Schulungsprogramme erfassen oft nur das eigene Personal.
Die Geschäftsleitung nimmt an der allgemeinen Schulung teil und hält die Pflicht für erfüllt.
Eine Awareness-Schulung für alle Mitarbeitenden deckt § 38 Abs. 3 BSIG nicht ab. Die Geschäftsleitungsschulung zielt auf die Bewertung von Risiken und Risikomanagementpraktiken und wird gesondert dokumentiert.
Teilnahme wird gezählt, Wirkung nicht.
Eine Teilnahmequote sagt wenig darüber, ob Mitarbeitende Phishing erkennen oder Vorfälle melden. Das BSI erwartet, dass Maßnahmen kontinuierlich überprüft und weiterentwickelt werden, etwa anhand von Übungen und gemeldeten Verdachtsfällen.
Inhalte bleiben gleich, die Systeme ändern sich.
Werden neue Systeme eingeführt, müssen Nutzende im Umgang damit geschult und das Programm angepasst werden. Ein jährlich wiederholtes Standardvideo bildet das nicht ab.
Umsetzung in Schritten.
Ziele und Zielgruppen festlegen.
Leiten Sie aus der Risikoanalyse ab, welche Verhaltensweisen Risiken senken sollen. Unterscheiden Sie Zielgruppen, etwa alle Nutzenden, Administratoren, Entwicklung, Buchhaltung und Produktion, und berücksichtigen Sie externe Nutzende.
Grundschulung beim Einstieg einführen.
Neue Mitarbeitende erhalten vor oder mit dem ersten Zugang eine Einweisung zu Richtlinien, sicheren Passwörtern, Updates, Umgang mit E-Mails und Datenträgern und zum Meldeweg für Sicherheitsvorfälle.
Jährliche Auffrischung und Kampagnen planen.
Das BSI hält eine Ersteinweisung mit jährlicher Information über Neuerungen für zweckmäßig, ergänzt durch Kampagnen oder Poster. Rollen mit besonderen Rechten erhalten vertiefende Schulungen.
Geschäftsleitungsschulung gesondert organisieren.
Planen Sie für die Mitglieder der Geschäftsleitung eigene Schulungen zu Risiken, Risikomanagementpraktiken und ihren Auswirkungen auf Ihre Dienste. Die Handreichung des BSI beschreibt, wer teilnehmen soll, mögliche Formate und Inhalte. Legen Sie einen Wiederholungsturnus fest und halten Sie ihn ein.
Teilnahme und Inhalte dokumentieren.
Halten Sie für jede Schulung fest, wer teilgenommen hat, wer geschult hat, wann und wie lange, und welche Inhalte vermittelt wurden. Für die Geschäftsleitung sind das die Mindestangaben, die das BSI nennt.
Wirkung prüfen und Programm anpassen.
Werten Sie Übungen, Wissenstests und gemeldete Verdachtsfälle aus und passen Sie Inhalte an, wenn neue Systeme, Bedrohungen oder Vorfälle es erfordern.
In Secani.
Der Katalog „NIS2 Deutschland“ in der Framework-Bibliothek bildet § 30 Abs. 2 Nr. 7 BSIG als Anforderung DE-REQ-11 und die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG getrennt als DE-REQ-03 ab. So bleiben beide Pflichten mit eigenen Controls und eigenen Nachweisen sichtbar.
Schulungskonzept, Unterlagen, Teilnahmelisten und die Dokumentation der Geschäftsleitungsschulung laden Sie als Nachweise hoch und verknüpfen sie mit DE-CTL-20 oder DE-CTL-04. Das Nachweis-Register zeigt, wann ein Nachweis nicht mehr aktuell ist. Die jährliche Auffrischung planen Sie als wiederkehrende Aufgabe.
Für jedes Control legen Sie Verantwortliche und Reviewer fest. Das Schulungskonzept geben Sie über Freigaben mit Vier-Augen-Prinzip frei, und Wirksamkeitsprüfungen halten fest, ob Übungen und Kennzahlen die erwartete Wirkung zeigen.
Controls im Katalog „NIS2 Deutschland“
- DE-REQ-11Grundlegende Schulungen und Sensibilisierung
- DE-CTL-20Mitarbeitende rollenbezogen sensibilisieren
- DE-REQ-03Geschäftsleitung regelmäßig schulen
- DE-CTL-04Geschäftsleitung schulen
Verwandte Maßnahmen.
- Maßnahme 9: Personal, Zugriff, Anlagen
Sensibilisierung ist Teil der Personalsicherheit; im Secani-Katalog belegt DE-CTL-20 beide Maßnahmen.
- Maßnahme 2: Sicherheitsvorfälle
Geschulte Mitarbeitende erkennen Vorfälle früher und kennen den Meldeweg, von dem die Fristen nach § 32 Abs. 1 BSIG abhängen.
- Maßnahme 6: Wirksamkeit
Ob Schulungen wirken, prüfen Sie mit Übungen und Kennzahlen im Rahmen der Wirksamkeitsbewertung.
- Alle zehn Maßnahmen im Überblick
Quellen.
- § 30 BSIG: Risikomanagementmaßnahmen
- § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Art. 21 und 23
- BSI: #nis2know-Infopaket Grundlegende Schulungen und Sensibilisierungsmaßnahmen
- BSI: Geschäftsleitungsschulungen gemäß BSIG (NIS-2)
- BSI: #nis2know-Infopaket Dokumentationspflicht
Häufige Fragen.
Der Begriff stammt aus Art. 21 Abs. 2 Buchst. g der NIS2-Richtlinie. Gemeint sind grundlegende Sicherheitsregeln im Alltag, etwa sichere Passwörter, regelmäßige Updates, Vorsicht bei E-Mails und Anhängen und das Melden von Auffälligkeiten. Das deutsche BSIG verwendet den Begriff nicht und spricht in § 30 Abs. 2 Nr. 7 von grundlegenden Schulungen und Sensibilisierungsmaßnahmen.
Das Gesetz nennt keinen Turnus. Das BSI hält eine Schulung bei der Ersteinweisung neuer Mitarbeitender und eine jährliche Information über Neuerungen für zweckmäßig, ergänzt um Kampagnen. Bei neuen Systemen oder veränderten Bedrohungen sollten Sie zusätzlich schulen und das Programm anpassen.
Ja. § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen. Ziel sind ausreichende Kenntnisse, um Risiken und Risikomanagementpraktiken zu erkennen, zu bewerten und ihre Auswirkungen auf die Dienste zu beurteilen. Diese Pflicht besteht neben den Schulungen für Mitarbeitende nach § 30 Abs. 2 Nr. 7 BSIG.
Das BSI nennt als Mindestangaben den Schulungsanbieter oder die interne Stelle, die Teilnehmenden mit Name und Rolle, Datum, Uhrzeit und Dauer sowie die behandelten Inhalte und Formate mit Bezug zu § 38 Abs. 3 BSIG. Die Dokumentation wird intern aufbewahrt und auf Verlangen dem BSI vorgelegt. Eine Prüfung der Teilnehmenden ist nicht vorgeschrieben.
Noch nicht sicher, ob NIS2 für Sie gilt?
Der kostenlose Check ordnet Ihre Einrichtung nach § 28 BSIG ein.
Diese Seite fasst die Rechtslage nach bestem Wissen zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Festlegungen des BSI.