NIS2-Schulung für Leitungsorgane

Ja. § 31 Abs. 2 NISG 2026 verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen zur Teilnahme an Cybersicherheitsschulungen, die spezifisch für sie gestaltet sind. Die Pflichten gelten ab 1. Oktober 2026. Ob dein Unternehmen betroffen ist, klärt der NIS2-Betroffenheits-Wegweiser.

Geschäftsführer einer GmbH und Vorstände einer AG — also die Personen, die nach Gesetz, Satzung oder Vertrag zur Führung der Geschäfte berufen sind. Aufsichtsräte fallen nach herrschender Lesart nicht darunter. Für IT-Leitung, CISO, Risikomanagement oder Compliance ist die Teilnahme keine gesetzliche Pflicht, in der Praxis aber häufig sinnvoll.

Nein. Das Gesetz verlangt Schulungen, die für Leitungsorgane spezifisch gestaltet sind und deren Managementaufgaben berücksichtigen. Eine Mitarbeiter-Awareness-Schulung deckt diese Anforderung nicht ab.

Nein. § 38 BSIG ist die deutsche Regelung. In Österreich gilt die Schulungspflicht nach § 31 Abs. 2 NISG 2026 (BGBl I Nr. 94/2025). Diese Schulung ist durchgehend auf die österreichische Rechtslage ausgerichtet.

Fehlende Schulungen für Leitungsorgane sind eine eigene Verwaltungsübertretung nach § 45 Abs. 1 Z 1 NISG 2026. Der Strafrahmen reicht bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei wesentlichen Einrichtungen und bis 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen. Die Strafe richtet sich an die Einrichtung. Bei wesentlichen Einrichtungen kann die Behörde Leitungsorganen zusätzlich vorübergehend die Wahrnehmung von Leitungsaufgaben untersagen (§ 39 Abs. 4 Z 2). Details im Insight zu Sanktionsregime und Geschäftsleiter-Haftung.

Das NISG 2026 nennt kein fixes Intervall und keinen Mindestumfang. Die Entscheidung ist risikobasiert zu treffen und sollte zur Risikolage und zur Veränderungsdynamik im Unternehmen passen. In der Praxis hat sich eine regelmäßige Auffrischung etabliert.

Ja. Nach § 31 Abs. 2 zweiter Satz NISG 2026 müssen Einrichtungen ihren Mitarbeitern regelmäßig entsprechende Schulungen anbieten — das ist ein eigener Straftatbestand (§ 45 Abs. 1 Z 2). Dieser Präsenztag deckt die Pflicht für die Leitungsorgane ab; Awareness-Programme für die Belegschaft baut ihr separat auf, etwa im Rahmen der NIS2-Beratung.

Ja. Die Teilnahmebestätigung dokumentiert neben Dauer und Termin auch die wesentlichen behandelten Schulungsinhalte und das absolvierte Tabletop-Praxismodul. Dazu bekommt ihr das Schulungsprogramm und die Lernziele für eure interne Compliance- und Nachweisdokumentation.

Nein. Die Veranstaltung ist eine Schulung mit Lerntransfer-Check. Eine Personenzertifizierung oder formale Fachprüfung ist sie nicht.

Nein. Das Format richtet sich bewusst an Management und Leitungsorgane. Technische Inhalte werden so weit behandelt, wie sie für Entscheidungen und Aufsicht notwendig sind.

Eine moderierte Simulation eines Cybervorfalls. Die Gruppe erhält schrittweise neue Informationen und trifft aus Sicht der Unternehmensleitung Entscheidungen — Bewerten, Priorisieren, Eskalieren, Kommunizieren. Wie so eine Übung abläuft, zeigt der Insight Tabletop-Exercise in 45 Minuten.

Nein. Die offene Veranstaltung arbeitet mit einem fiktiven Unternehmen, und für den Austausch gilt eine Vertraulichkeitsregel nach dem Prinzip der Chatham House Rule. Wer das Szenario auf die eigene Organisation zuschneiden will, wählt das Inhouse-Format.

Ja. Bewährt hat sich die Kombination aus Leitungsorgan und einer relevanten Schlüsselperson, etwa IT-Leitung, CISO, Risikomanagement oder Compliance. Mehrere Unternehmen können die Schulung auch als geschlossene Runde durchführen — etwa gemeinsam mit Partnern, Lieferanten oder verbundenen Unternehmen, mit vertraulichem Austausch und geteilten Kosten.

Die Veranstaltung wird ab sechs Teilnehmern durchgeführt. Wird die Mindestzahl nicht erreicht, bieten wir dir einen alternativen Termin an.

Die Schulung vermittelt die für Leitungsorgane relevanten Kenntnisse und wendet sie in der Tabletop-Exercise praktisch an; das Ergebnis ist ein dokumentierter Schulungsnachweis. Das NIS2-Strategiebriefing analysiert dagegen die konkrete Situation und den Reifegrad deines Unternehmens und liefert daraus eine qualitative Einschätzung mit schriftlicher Empfehlung.