Schulungsprogramm · Art. 20 (2) NIS-2

Die Schulungspflicht der Geschäftsleitung — tief verankert, nicht abgefrühstückt.

Ein Programm für Geschäftsleitung und Schlüsselrollen: Kick-off plus zwölf Mini-Einheiten, je fünf bis zehn Minuten. Alle Einheiten sind ab dem ersten Tag verfügbar; empfohlen ist eine Einheit alle zwei Wochen, abgeschlossen nach sechs Monaten. Am Ende steht ein Schulungsnachweis, der die bestätigten Lerneinheiten mit Datum dokumentiert.

Programm ansehen

Audio + Video · alle Einheiten sofort verfügbar · im eigenen Tempo · ca. 4 Stunden Gesamtaufwand

6 Mo
Empfohlener Abschluss · alles sofort verfügbar
12 + 1
Mini-Einheiten + 30-min Kick-off
~ 4 h
Gesamt-Lernzeit pro Teilnehmer
10 / 10
Pflichten Art. 21 abgedeckt

BSI-Empfehlung

Das BSI empfiehlt für Geschäftsleitungs-Schulungen nach NIS-2 ca. 4 Stunden Zeitumfang.

Unser Programm liefert genau diese 4 Stunden — aufgeteilt in 12 Mini-Einheiten über 6 Monate. Kein 4-Stunden-Block am Stück, sondern mundgerechte Häppchen, die im Geschäftsalltag machbar bleiben.

→ BSI-Infopaket „NIS-2 Geschäftsleitungsschulung"

Was NIS-2 von Ihnen verlangt

Drei Säulen der NIS-2-Pflichten

Mit dem NIS2UmsuCG verlagert der Gesetzgeber die Cybersicherheits-Verantwortung ausdrücklich auf die Leitungsorgane. Schulung ist dabei keine freiwillige Maßnahme, sondern Teil der Sorgfaltspflicht.

Art. 20 (1)

Verantwortung der Leitungsorgane

Die Leitungsorgane billigen die Cybersicherheits-Maßnahmen, überwachen deren Umsetzung und haften persönlich für Verstöße — bis hin zum Privatvermögen.

Art. 20 (2)

Pflicht zur regelmäßigen Schulung

Geschäftsleitung und Aufsichtsorgane müssen Schulungen besuchen, die das Steuerungswissen zur Bewertung von Cyberrisiken vermitteln — dokumentiert und nachweisbar.

§ 38 BSIG

Bußgelder bis 10 Mio. €

Verstöße gegen die Risikomanagement- und Meldepflichten kosten bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes — je nachdem, was höher ausfällt.

Unsicher, ob NIS-2 Sie betrifft? Klären wir vorab in der Reifegrad-Erstanalyse — 499 € pauschal, 5 bis 7 Werktage.

Das Programm

Kick-off plus 12 Mini-Einheiten — didaktisch geordnet entlang der NIS-2-Logik

Das Programm beginnt mit einem 30-minütigen Kick-off und liefert dann alle zwei Wochen eine Mini-Einheit per Audio oder Video. Reihenfolge und Inhalt folgen einer didaktischen Logik: zuerst der gesetzliche Rahmen, dann die zehn Sachpflichten in der Reihenfolge ihrer Tragweite.

M 00

Kick-off — 30 Minuten Aufzeichnung, jederzeit abrufbar

Rahmen & Start
M 01

Geltungsbereich und „wichtige Einrichtung"

Art. 2, 3, 6
M 02

Haftung, Bußgelder, Reporting

Art. 20, 23, 32 – 34
M 03

Die zehn Pflichten Art. 21 · Big Picture

Art. 21 (2) a – j
M 04

Risikomanagement und Risikomethodik

Art. 21 (2) a
M 05

BCM, BIA, MTPD, RTO

Art. 21 (2) c · Teil 1
M 06

Backup, Disaster Recovery, Notfallübungen

Art. 21 (2) c · Teil 2
M 07

Schwachstellen-, Patch- und Beschaffungssicherheit

Art. 21 (2) e
M 08

Zugriff, MFA, Personalsicherheit

Art. 21 (2) i & j
M 09

Kryptografie und gesicherte Kommunikation

Art. 21 (2) h
M 10

Lieferketten-Sicherheit (SCRM)

Art. 21 (2) d
M 11

Incident Response und Meldepflicht 24 / 72 Stunden

Art. 21 (2) b · Art. 23
M 12

Cyberhygiene, Awareness und Wirksamkeits-Bewertung

Art. 21 (2) f & g

Versandtag ist der erste Werktag jeder geraden Kalenderwoche. Jede Einheit liegt als Audio- und Videodatei vor und wird im eigenen Tempo konsumiert — ein fester Termin ist nicht erforderlich.

Vollständige Pflichten-Abdeckung

Jede der zehn Pflichten aus Art. 21 (2) hat ihre Heimat-Einheit

Ihr Auditor wird fragen: „Welche Schulungseinheit deckt welche Pflicht ab?" Darauf hat das Programm eine dokumentierte Antwort: die Modulübersicht. Pflicht (c) — Betriebsaufrechterhaltung — verteilt sich auf zwei Einheiten, da hier der inhaltliche Umfang am größten ist.

Pflicht (Art. 21 Abs. 2) Thema Heimat-Einheit
(a)Risikoanalyse und Sicherheit der InformationssystemeM 04
(b)Bewältigung von SicherheitsvorfällenM 11
(c)Betriebsaufrechterhaltung — Backup, Recovery, KrisenmanagementM 05 + M 06
(d)Sicherheit der LieferketteM 10
(e)Erwerb, Entwicklung, Wartung — SchwachstellenmanagementM 07
(f)Bewertung der Wirksamkeit der MaßnahmenM 12
(g)Cyberhygiene und SchulungM 12
(h)Konzepte und Verfahren für KryptografieM 09
(i)Personalsicherheit, Zugriffskontrolle, Asset-ManagementM 08
(j)MFA und gesicherte KommunikationM 08 + M 09

Die vorgeschalteten Einheiten M 01 bis M 03 vermitteln den gesetzlichen Rahmen und die übergreifende Pflichtenlogik, in den die zehn Sachpflichten eingeordnet werden.

Für die Geschäftsleitung

GF-Checkliste je Einheit: welche Nachweise Sie einfordern sollten

Zu jeder Schulungseinheit gehört eine konkrete Führungs-Checkliste: welche Reports und Nachweise die Geschäftsleitung von den verantwortlichen Rollen einfordern sollte — und worauf sie dabei achten muss. So wird aus der Schulung nachweisbare Aufsicht nach Art. 20 NIS-2. Viele dieser Nachweise liefert der NIS2 Manager auf Knopfdruck (Risikoreport, SoA, BIA, Fristen).

M 01 · NIS-2-Betroffenheit & gesetzlicher Rahmen

Diese Nachweise einfordern

  • Schriftliche Betroffenheitsanalyse (besonders wichtige/wichtige Einrichtung nach §28 BSIG, Sektor, Schwellenwerte)
  • Registrierungsnachweis beim BSI inkl. Fristen
  • Liste der einschlägigen Melde- und Nachweispflichten mit Terminen

Worauf achten

  • Ist die Einstufung begründet und datiert — nicht nur eine Annahme?
  • Sind Tochtergesellschaften und Standorte mitbetrachtet?
M 02 · Leitungsverantwortung & persönliche Haftung (Art. 20)

Diese Nachweise einfordern

  • Billigungsnachweis: protokollierte Freigabe der Risikomanagement-Maßnahmen durch die Leitung
  • Schulungsnachweis der Geschäftsleitung selbst
  • Nachweis, wie die Leitung die Umsetzung überwacht

Worauf achten

  • Ist die Billigung dokumentiert und aktuell? (Haftung nach §38 BSIG)
  • Delegation ist keine Enthaftung — bleibt die Überwachung bei der Leitung?
M 03 · Risikomanagement-Pflichtenlogik (Art. 21 Überblick)

Diese Nachweise einfordern

  • Gebilligte, versionierte Risikomanagement-Leitlinie
  • Gesamtübersicht der 10 Maßnahmenbereiche mit Umsetzungsstand
  • Definierter Geltungsbereich (Scope) der Maßnahmen

Worauf achten

  • Deckt der Scope alle kritischen Prozesse und Systeme ab?
  • Ist der All-Hazards-Ansatz verhältnismäßig begründet?
M 04 · (a) Risikoanalyse & Sicherheit der Informationssysteme

Diese Nachweise einfordern

  • Aktuelle Risikoanalyse mit Methodik, Bewertung und Datum
  • Risikobehandlungsplan mit Verantwortlichen und Terminen
  • Liste akzeptierter Restrisiken mit Leitungs-Freigabe

Worauf achten

  • Ist die Analyse jünger als 12 Monate bzw. nach wesentlichen Änderungen aktualisiert?
  • Sind Restrisiken bewusst akzeptiert — nicht übersehen?
M 05 · (c) Betriebsaufrechterhaltung I — Backup & Recovery

Diese Nachweise einfordern

  • Backup-Konzept und letzter erfolgreicher Restore-Test (mit Datum/Protokoll)
  • RTO/RPO je kritischem Prozess (aus der BIA)
  • Nachweis getrennter Offline-/Offsite-Backups (Ransomware-Schutz)

Worauf achten

  • Wurde der Restore wirklich getestet — nicht nur die Aussage, dass Backups laufen?
  • Liegen Backups getrennt vom Produktivnetz?
M 06 · (c) Betriebsaufrechterhaltung II — Krisen- & Notfallmanagement

Diese Nachweise einfordern

  • Notfall-/BCM-Handbuch und Krisenkommunikationsplan
  • Protokoll der letzten Notfall- oder Tabletop-Übung
  • Wiederanlaufreihenfolge aus der BIA

Worauf achten

  • Gibt es eine geübte Krisenorganisation mit Rollen und 24/7-Erreichbarkeit?
  • Sind Melde- und Eskalationswege klar geregelt?
M 07 · (e) Beschaffung, Entwicklung, Wartung & Schwachstellen

Diese Nachweise einfordern

  • Schwachstellen-/Patch-Management-Report (offene kritische CVEs, Alter)
  • Sicherheitsanforderungen in Beschaffung und Verträgen
  • Letzter Schwachstellen-Scan oder Pentest-Bericht

Worauf achten

  • Wie lange bleiben kritische Lücken offen (SLA)?
  • Werden Sicherheitsanforderungen schon vor dem Kauf gestellt?
M 08 · (i)/(j) Personalsicherheit, Zugriffskontrolle, Asset-Management & MFA

Diese Nachweise einfordern

  • Berechtigungskonzept und letzte Zugriffs-Rezertifizierung
  • Vollständiges, aktuelles Asset-Inventar
  • MFA-Abdeckungsgrad mit Lückenliste

Worauf achten

  • Ist Least-Privilege umgesetzt und sind Admin-Konten getrennt?
  • Ist MFA flächendeckend — vor allem bei Fernzugriff und Admin?
M 09 · (h)/(j) Kryptografie & gesicherte Kommunikation

Diese Nachweise einfordern

  • Kryptokonzept (Verschlüsselung at rest/in transit, Schlüsselverwaltung)
  • Nachweis Transport- und Datenträgerverschlüsselung
  • Verfahren für sichere und Notfall-Kommunikation

Worauf achten

  • Sind veraltete Verfahren ausgeschlossen und Schlüssel gesichert?
  • Funktioniert Kommunikation auch im Krisenfall (out-of-band)?
M 10 · (d) Sicherheit der Lieferkette

Diese Nachweise einfordern

  • Lieferanten-/Dienstleister-Inventar mit Kritikalität
  • Sicherheitsanforderungen und Meldepflicht-Klauseln in Verträgen
  • Risikobewertung kritischer Lieferanten

Worauf achten

  • Sind kritische Dienstleister (Cloud, IT-Dienstleister) bewertet?
  • Greifen vertragliche Melde- und Audit-Rechte?
M 11 · (b) Bewältigung von Sicherheitsvorfällen (Incident)

Diese Nachweise einfordern

  • Incident-Response-Plan und Meldeprozess (24 h / 72 h / 1 Monat nach §32 BSIG)
  • Protokoll des letzten Vorfalls oder einer Incident-Übung
  • Kontaktkette zum BSI und intern

Worauf achten

  • Sind die NIS-2-Meldefristen (Früh-/Folgemeldung) operativ abbildbar?
  • Wer entscheidet und meldet — ist das geübt?
M 12 · (f)/(g) Wirksamkeitsmessung & Cyberhygiene/Schulung

Diese Nachweise einfordern

  • Kennzahlen/KPIs zur Wirksamkeit der Maßnahmen (mit Trend)
  • Internes Audit oder Management-Review-Bericht
  • Schulungs- und Awareness-Nachweis der Belegschaft

Worauf achten

  • Werden Maßnahmen gemessen und verbessert (PDCA) — nicht nur eingeführt?
  • Ist die Schulung regelmäßig und nachgewiesen, auch für die Leitung?

Wer mitmacht

Geschäftsleitung plus drei Schlüsselrollen

Art. 20 (2) NIS-2 adressiert die Leitungsorgane. Damit Risikoentscheidungen in der Praxis tragen, ergänzen drei Schlüsselrollen das Programm: BCM, ISB und IT-Leitung. Eine Lizenz je Unternehmen, bis zu 5 Teilnehmer.

Geschäftsleitung

Geschäftsführer, Vorstand, Inhaber — die persönlich Verpflichteten nach Art. 20.

QM- / BCM-Leitung

Verantwortlich für Business Continuity, BIA und MTPD nach Art. 21 (2) c.

ISB

Informations­sicher­heits­beauftragte/r — operative Risikomanagement-Leitung.

IT-Leitung

Patchmanagement, Krypto, Zugriff, Vorfallbehandlung — der technische Hebel.

Was im Programm-Paket steckt

Programm, Selbst-Checks, Nachweis — aus einer Hand

30-min Kick-off + 12 Mini-Einheiten

Audio- und Video-Format, je 5 bis 10 Minuten. Ab Freischaltung vollständig verfügbar, empfohlen eine Einheit alle zwei Wochen.

Selbst-Check-Fragen pro Modul

Jede Einheit enthält vier bis fünf Sach-Abschnitte mit Selbst-Check-Fragen und konkreten Take-aways für die Geschäftsleitung.

Auditfähiger Schulungsnachweis

PDF-Nachweis je Teilnehmer mit den bestätigten Lerneinheiten samt Datum, Nachweis-Nummer und Online-Verifikation.

Im eigenen Tempo

Kein fester Termin. Mini-Einheiten in 5 bis 10 Minuten am Stück — auf dem Weg ins Büro, zwischen zwei Meetings oder am Wochenende.

Auch für Aufsichts­organe

Beirat, Aufsichtsrat oder Gesellschafterversammlung — Art. 20 NIS-2 nennt ausdrücklich auch Aufsichtsorgane. Eine Lizenz je Unternehmen, bis zu 5 Teilnehmer.

Datenhaltung in Deutschland

Hosting im deutschen Rechenzentrum, AVV nach Art. 28 DSGVO, keine US-Sub-Auftragsverarbeiter.

Der Nachweis fürs Audit

So sieht Ihr Schulungsnachweis aus

Was auf dem Nachweis steht

  • Eindeutige Nachweis-Nr. für die Online-Prüfung
  • Liste der bestätigten Lerneinheiten mit Datum der Bestätigung
  • Ausgestellt von TSMONDO UG (haftungsbeschränkt), Geschäftsführung; ohne Unterschrift gültig.
  • Online-Verifikation unter https://tsmondo.de/verify/

Nicht auf dem Nachweis, aber Teil des Programms: Aktualisierungen der Inhalte während der Laufzeit ohne Aufpreis. Wir empfehlen, die Schulung jährlich zu wiederholen.

Preis & Lizenz

Eine Lizenz je Unternehmen, gestaffelt nach Größe — nicht pro Kopf.

Der Preis hängt an der Größe Ihres Unternehmens, nicht an der Zahl der Teilnehmer — bis zu 5 Teilnehmer sind je Lizenz enthalten. Buchbar für Unternehmen in Deutschland und Österreich.

bis 49 Beschäftigte — 49 € einmalig, netto

bis 49 Beschäftigte

49 €

einmalig, netto

50–249 Beschäftigte

99 €

einmalig, netto

250–999 Beschäftigte

199 €

einmalig, netto

1.000–4.999 Beschäftigte

299 €

einmalig, netto

ab 5.000 Beschäftigte

Angebot

Preis gesondert vereinbart — Angebot anfordern

Preise netto, zzgl. gesetzlicher USt. Die Lizenz gilt für den Rechtsträger, der bucht — einschließlich aller Standorte und Betriebsstätten, für bis zu 5 Teilnehmer. Tochter- und Schwestergesellschaften benötigen je eine eigene Lizenz. Angebot ausschließlich für Unternehmer (§ 14 BGB; in Österreich § 1 UGB).

Anmelden — sofort starten

NIS-2 Geschäftsleitungs-Schulungsprogramm

12 Mini-Einheiten + Kick-off · ca. 4 Stunden Gesamt-Lernzeit · empfohlener Abschluss nach sechs Monaten · Schulungsnachweis je Teilnehmer

Ab
49 €einmalig, netto

Eine Lizenz je Unternehmen, gestaffelt nach Größe. Einmalzahlung per Karte oder SEPA, Rechnung per E-Mail.

Fragen? Kontakt
  • 30-min Kick-off als Aufzeichnung, sofort verfügbar
  • 12 Mini-Einheiten, sofort verfügbar
  • Audio + Video, im eigenen Tempo
  • Selbst-Check-Fragen pro Modul
  • PDF-Schulungsnachweis & Online-Verifikation
  • 12 Monate Login + kostenlose Updates
  • Auch für Aufsichtsorgane buchbar

Häufig gefragt

Antworten auf typische Geschäftsleitungs-Fragen

Wieso 6 Monate? Reicht nicht ein kurzer Workshop?

Art. 20 (2) NIS-2 verlangt Schulungen, die das „Steuerungswissen zur Bewertung und Beaufsichtigung der Risikomanagement-Maßnahmen" vermitteln. Das ist mehr als eine Pflicht-Unterweisung. Mit Mini-Einheiten über mehrere Monate verankern Sie das Wissen nachhaltig — und die zwölf Einheiten decken die Themen des Art. 21 (2) a – j ab. Auditoren akzeptieren ein dauerhaftes Programm besser als einen einmaligen Workshop.

Wie viel Zeit kostet das Programm wirklich?

Rund 4 Stunden pro Teilnehmer, verteilt auf 6 Monate: 30 Minuten Kick-off, 12 Einheiten à 5 bis 10 Minuten (~90 bis 120 Minuten), plus 60 bis 90 Minuten stille Reflexion. Das entspricht 40 Minuten pro Monat — verkraftbar selbst für Geschäftsführer mit dichtem Kalender.

Muss jedes Mitglied der Geschäftsleitung separat geschult werden?

Ja. Art. 20 (2) NIS-2 adressiert die Mitglieder der Leitungsorgane einzeln. Bei drei Geschäftsführern bedeutet das drei Teilnehmer mit drei eigenen Nachweisen. Aufsichtsorgane unterliegen der Pflicht ebenfalls, sobald sie an Cybersicherheits-Entscheidungen mitwirken. Die Lizenz gilt für das Unternehmen: jeder Teilnehmer bekommt seinen eigenen Nachweis, der Preis hängt an der Unternehmensgröße. Bis zu 5 Teilnehmer sind je Lizenz enthalten; weitere Teilnehmer auf Anfrage.

Wie oft muss die Schulung wiederholt werden?

Der Gesetzestext sagt „regelmäßig". In der Praxis hat sich ein jährlicher Auffrisch-Rhythmus etabliert. Deshalb empfehlen wir, die Schulung jährlich zu wiederholen. Ein bereits ausgestellter Nachweis verliert seine Gültigkeit nicht; er dokumentiert den Stand zum Ausstellungsdatum.

Gibt es eine zentrale Wissensprüfung am Ende?

Nein — und das ist Absicht. Statt einer Abschlussprüfung enthält jede Einheit Selbst-Check-Fragen, die das Verstehen sofort verankern. Die Wirksamkeits-Bewertung in Modul 12 schließt das Programm fachlich ab. Der Schulungsnachweis dokumentiert die bestätigten Lerneinheiten mit Datum.

Für welche Länder ist das Programm buchbar?

Für Unternehmen mit Sitz in Deutschland und in Österreich. Kursinhalte, Nachweis und Rechnung sind deutschsprachig. Die Umsatzsteuer richtet sich nach der Rechnungsadresse, die Sie im Bezahlfenster angeben; österreichische Unternehmen tragen dort ihre UID-Nummer ein. Für andere Länder schreiben Sie uns bitte an info@tsmondo.de.

Wie prüfen Auditoren einen Schulungsnachweis?

Jeder Nachweis trägt eine eindeutige Nachweis-Nummer. Unter tsmondo.de/verify/ kann jeder diese Nummer eingeben und bekommt zurück, ob der Nachweis echt ist, zu welchem Kurs er gehört und wann er ausgestellt wurde. Personenbezogene Daten zeigt die Auskunft nicht.