Die NIS2‑Richtlinie und ihre Umsetzung in Deutschland durch das NIS2‑Umsetzungsgesetz sehen ausdrücklich vor, dass die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen für das Risikomanagement im Bereich der Cybersicherheit verantwortlich sind.

Wobei die NIS2‑Richtlinie der europäische Rechtsakt ist, der die Mitgliedstaaten verpflichtet, nationale Regeln zu schaffen; in Deutschland wird diese Vorgabe durch das NIS2‑Umsetzungsgesetz umgesetzt, das das BSI‑Gesetz (BSIG) novelliert – deshalb stehen die konkret anwendbaren Pflichten für Unternehmen im BSIG.

Rechtsgrundlage für die Schulungspflicht von Geschäftsleitungen ist § 38 Abs. 1 und Abs. 3 BSIG (in Verbindung mit den Maßnahmenkatalogen nach § 30 BSIG):

• Nach § 38 Abs. 1 BSIG müssen die Geschäftsleitungen die nach § 30 BSIG geforderten Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen.
• Nach § 38 Abs. 3 BSIG sind sie verpflichtet, regelmäßig an Schulungen teilzunehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Cybersicherheitsrisiken sowie von Risikomanagementpraktiken zu erwerben und die Auswirkungen auf die erbrachten Dienste beurteilen zu können.

Ziel dieser Regelung ist es, sicherzustellen, dass die Geschäftsleitung das geforderte Risikomanagement nicht nur formal abnickt, sondern inhaltlich versteht, steuern und sinnvoll anwenden kann.