Pflichtschulung Leitungsorgan · NIS2 Art. 20

NIS2-Pflichtschulung für Geschäftsleitung und Aufsichtsgremien

90 Minuten für das Gremium, das die Cybersicherheitsmassnahmen billigen, ihre Umsetzung überwachen und dafür geradestehen muss. Mit Teilnahmeprotokoll und personalisiertem Zertifikat als Nachweis.

90 Min.kompaktes Board-Format
Inhousevor Ort oder online
Protokollund Zertifikat je Teilnehmer
DE / AT / CHinklusive Umsetzungsgesetze

Board-Briefing vereinbaren vCISO-Leistungen ansehen

NIS2 verpflichtet das Leitungsorgan persönlich

Die Richtlinie adressiert nicht die IT-Abteilung, sondern das Gremium an der Spitze. Sie verlangt drei Dinge: billigen, überwachen und sich selbst schulen lassen.

Die Mitgliedstaaten stellen sicher, dass die Leitungsorgane der wesentlichen und wichtigen Einrichtungen die von diesen Einrichtungen zur Einhaltung des Artikels 21 ergriffenen Risikomanagementmassnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstösse gegen diesen Artikel verantwortlich gemacht werden können.Art. 20 Abs. 1 NIS2

Die Mitgliedstaaten stellen sicher, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen an Schulungen teilnehmen müssen, und fordern wesentliche und wichtige Einrichtungen auf, allen Mitarbeitern regelmässig entsprechende Schulungen anzubieten.Art. 20 Abs. 2 NIS2

Zu beachten ist die Formulierung: Mitarbeitende sollen geschult werden, Mitglieder des Leitungsorgans müssen an Schulungen teilnehmen. Diese Asymmetrie ist kein Zufall – sie macht das Gremium selbst zum Adressaten der Pflicht.

Was das für Ihr Haus konkret bedeutet

NIS2 wird in nationales Recht umgesetzt. Der Stand unterscheidet sich je nach Sitzstaat – die Pflicht des Leitungsorgans bleibt in allen Fällen dieselbe.

Deutschland

Das NIS2-Umsetzungsgesetz konkretisiert die Pflicht in Paragraf 38 BSIG: Geschäftsleitungen müssen die Risikomanagementmassnahmen umsetzen und überwachen und regelmässig an Schulungen teilnehmen. Verletzen sie diese Pflicht, haften sie der Einrichtung gegenüber nach den Regeln des Gesellschaftsrechts.

Österreich

Das Netz- und Informationssystemsicherheitsgesetz setzt NIS2 um und verpflichtet Leitungsorgane ebenfalls zur Billigung, Überwachung und Weiterbildung. Registrierung und Nachweispflichten laufen über die zuständige Behörde.

Schweiz und Liechtenstein

Die Schweiz kennt keine NIS2-analoge Schulungspflicht, wohl aber seit 2025 eine Meldepflicht für kritische Infrastrukturen an das BACS. Betroffen sind Schweizer Häuser über EU-Töchter, Lieferkettenanforderungen und Kundenverträge. Liechtenstein setzt NIS2 als EWR-Staat um.

Wir prüfen im Board-Briefing, welcher Rechtsrahmen für Ihre Einheiten gilt und ob Sie als wesentliche oder als wichtige Einrichtung eingestuft sind. Der Unterschied entscheidet über Aufsichtsregime und Bussgeldrahmen.

Agenda: 90 Minuten, sechs Blöcke

Aufgebaut entlang der Entscheidungen, die Ihr Gremium tatsächlich trifft. Auf Wunsch mit Ihren eigenen Richtlinien als Fallbeispiel.

Zeit	Modul	Inhalt
20 Min.	Pflicht und Haftung des Leitungsorgans	Art. 20 NIS2 und die nationale Umsetzung, Innenhaftung nach Gesellschaftsrecht, Abgrenzung von Delegation und Letztverantwortung.
20 Min.	Die Risikomanagementmassnahmen nach Art. 21	Risikoanalyse und Sicherheitskonzepte, Vorfallbewältigung, Betriebskontinuität, Lieferkettensicherheit, Wirksamkeitsbewertung, Cyberhygiene, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung.
15 Min.	Betroffenheit, Registrierung und Fristen	Sektoren nach Anhang I und II, Grössenschwellen, wesentliche gegenüber wichtiger Einrichtung, Registrierungspflichten in DE, AT und CH.
15 Min.	Meldepflichten und Krisenkommunikation	Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat. Wer entscheidet, wer meldet, wie das Gremium nachts erreichbar bleibt.
10 Min.	Sanktionen, Aufsicht und Billigungsbeschluss	Bussgeldrahmen nach Art. 34, Durchsetzungsbefugnisse nach Art. 32 einschliesslich vorübergehendem Verbot von Leitungsaufgaben, Aufbau eines belastbaren Gremiumsbeschlusses.
10 Min.	Wissensüberprüfung und Nachweise	Kurze Lernstandskontrolle, Ausgabe von Teilnahmeprotokoll und Zertifikat, offene Fragen aus dem Gremium.

Was Sie nach 90 Minuten in der Hand haben

Teilnahmeprotokoll mit Name, Datum, Dauer und Inhaltsübersicht, exportierbar für das gesamte Gremium.
Personalisiertes Zertifikat je teilnehmende Person, verifizierbar über die CyberSchild-Plattform.
Vorlage für den Billigungsbeschluss nach Art. 20 Abs. 1, formuliert für das Sitzungsprotokoll.

Fragenkatalog für die nächste Sitzung: was das Gremium von IT, Compliance und Lieferanten verlangen sollte.
Nachweisordner-Struktur für Behörde und Revision, damit die Dokumentation nicht erst im Ernstfall entsteht.
Zwölf Monate Zugriff auf die Kursinhalte für Nachschulungen bei Wechseln im Gremium.

Wer schult

Alle Trainer von CyberSchild sind zertifizierte Information Security Officer: Sie haben den Zertifikatslehrgang „IT-Sicherheitsbeauftragter (ITSiBe) / Chief Information Security Officer (CISO)“ der Bitkom Akademie absolviert. Das Zertifikat ist drei Jahre gültig und wird regelmässig rezertifiziert.

Aus der Umsetzung, nicht aus dem Lehrbuch

Wir haben mehrere NIS2- und DORA-Umsetzungsprojekte im DACH-Raum begleitet – bei Finanzdienstleistern, Industrieunternehmen und Betreibern kritischer Infrastruktur in Deutschland, Österreich, der Schweiz und Liechtenstein.

Sprache des Gremiums

Keine Tool-Demos, keine Frameworks um ihrer selbst willen. Wir sprechen über Verantwortung, Budget, Haftung und die Fragen, die im Ernstfall gestellt werden.

Anschluss an das Tagesgeschäft

Aus dem Board-Modul entsteht auf Wunsch direkt ein vCISO-Mandat – mit derselben Ansprechperson, die Ihr Gremium bereits kennt.

Für wen das Modul gebaut ist

Geschäftsführungen, Vorstände, Aufsichts- und Verwaltungsräte sowie Bereichsleitungen in Einrichtungen der Anhänge I und II der NIS2-Richtlinie.

Energie Verkehr Bankwesen und Finanzmarktinfrastruktur Gesundheitswesen Trinkwasser und Abwasser Digitale Infrastruktur und IKT-Dienstleister Öffentliche Verwaltung Weltraum Post- und Kurierdienste Abfallbewirtschaftung Chemie Lebensmittel Verarbeitendes Gewerbe und Medizinprodukte Digitale Dienste Forschung

Auch ohne eigene Betroffenheit relevant: NIS2 verlangt von betroffenen Einrichtungen die Absicherung ihrer Lieferkette. Zulieferer und Dienstleister werden deshalb zunehmend vertraglich zu denselben Massnahmen verpflichtet – einschliesslich nachgewiesener Schulung der Führungsebene.

Häufige Fragen

Wer genau muss an der Schulung teilnehmen?

Die Mitglieder des Leitungsorgans, also Geschäftsführung oder Vorstand. In der Praxis empfehlen wir, Aufsichts- und Verwaltungsräte einzubeziehen, weil sie die Überwachungsfunktion wahrnehmen und im Haftungsfall dieselben Fragen beantworten müssen.

Wie oft muss geschult werden?

NIS2 verlangt regelmässige Schulungen, ohne einen Turnus vorzugeben. Bewährt hat sich ein jährlicher Rhythmus, ergänzt um eine Kurzschulung bei jedem Neuzugang im Gremium. Beides bilden wir über die Plattform ab.

Reicht ein aufgezeichnetes Webinar?

Rechtlich kommt es auf die Angemessenheit und die Nachweisbarkeit an. Entscheidend ist, dass Teilnahme, Inhalt und Dauer dokumentiert sind und die Inhalte zur Rolle passen. Genau das leisten unser Teilnahmeprotokoll und die Wissensüberprüfung – unabhängig davon, ob live oder zeitversetzt geschult wird.

Wir sind ein Schweizer Unternehmen. Betrifft uns NIS2?

Nicht unmittelbar über Schweizer Recht. Mittelbar sehr wohl, sobald Sie EU-Tochtergesellschaften oder Niederlassungen führen, Dienstleistungen in der EU erbringen oder als Lieferant einer betroffenen Einrichtung vertraglich in die Pflicht genommen werden. Wir klären das im Briefing.

Was kostet das Board-Modul?

Wir kalkulieren das Inhouse-Paket nach Gremiumsgrösse, Format und Anpassungstiefe. Im Board-Briefing klären wir Ihren Bedarf und Sie erhalten ein konkretes Angebot.

Wir unterliegen sowohl NIS2 als auch DORA. Was gilt?

Für Finanzunternehmen ist DORA der sektorspezifische Rechtsakt und geht NIS2 beim IKT-Risikomanagement und bei der Vorfallmeldung vor. Wo Konzernteile ausserhalb des Finanzsektors liegen, kombinieren wir dieses Modul mit unserem DORA-Board-Modul.

Pflicht erfüllen und dabei etwas mitnehmen

Im 30-minütigen Board-Briefing klären wir Ihre Betroffenheit, den Nachweisbedarf und das passende Format – ohne Verpflichtung.

Board-Briefing vereinbaren

Erstellt mit