NIS2 Schulungsnachweis Geschäftsleitung: Kostenlose Vorlage (XLSX)

NIS2 Schulungsnachweis für die Geschäftsleitung: Kostenlose Vorlage

Dieser kostenlose NIS2-Schulungsnachweis ist eine herunterladbare Excel-Arbeitsmappe (plus PDF-Leitfaden und maschinenlesbarem Markdown), die die Schulungspflicht der Leitungsorgane aus Artikel 20 Abs. 2 der Richtlinie (EU) 2022/2555 und § 38 Abs. 3 BSIG prüffähig dokumentiert: ein namentliches Geschäftsleitungs-Register, ein Schulungsprotokoll mit einer Zeile pro Mitglied und Sitzung — Anbieter, Datum, Stunden, abgedeckte Artikel-20-Ziele, Nachweisreferenz — mit automatisch berechneten Fälligkeiten, die überfällige Mitglieder rot markieren, dazu ein Sitzungskatalog und eine Länderreferenz, wie nationale Gesetze das 'regelmäßig' quantifizieren. Ohne E-Mail-Schranke; die herunterladbaren Dateien sind auf Deutsch verfügbar.

Artikel 20 ist der Teil von NIS2, den Prüfer in fünf Minuten kontrollieren können. Ob die Maßnahmen nach Artikel 21 greifen, ist eine monatelange Bewertung; ob jedes Mitglied der Geschäftsleitung einen gültigen, belegten Schulungsnachweis hat, ist eine Ja/Nein-Frage gegen eine Namensliste. In Deutschland ist sie seit dem 6. Dezember 2025 scharf: Das NIS2UmsuCG trat ohne Übergangsfrist in Kraft — mit persönlicher, verzichtsfester Haftung nach § 38 Abs. 2 BSIG. Dieser Nachweis existiert, damit die Antwort immer Ja lautet, schriftlich.

Die wichtigsten Erkenntnisse

1. Die Schulungspflicht ist real und persönlich. Artikel 20 Abs. 2 verpflichtet die Mitglieder der Leitungsorgane zur Teilnahme — verpflichtet, nicht ermuntert. § 38 Abs. 3 BSIG macht die Pflicht ausdrücklich persönlich und nicht delegierbar: Die Geschäftsführung kann nicht den CISO schicken, und § 38 Abs. 2 knüpft an schuldhafte Verstöße die persönliche Haftung — ein Regressverzicht der Gesellschaft ist unwirksam.
2. 'Regelmäßig' ist eine Variable des nationalen Rechts — die Arbeitsmappe führt sie pro Zeile. Die deutsche Gesetzesbegründung nimmt als Richtwert ~4 Stunden mindestens alle 3 Jahre an (nicht 8 Stunden, und keine Frist Ende 2026 — das ist ein verbreiteter Irrtum); Lettland verlangt regelmäßige Schulungen mit mindestens jährlicher Inhaltsprüfung; Tschechiens Gesetz Nr. 264/2025 verlangt angemessen geschulte Leitungsorgane; Belgiens CCB überlässt Umfang und Dauer bewusst der Einrichtung. Das Wiederholungsintervall ist eine Spalte, keine Annahme.
3. Leitungs- und Mitarbeiterschulung strikt trennen. Management-Schulung ist Artikel 20 Abs. 2; Cyberhygiene-Schulung der Beschäftigten ist Artikel 21 Abs. 2 Buchst. g — eine andere Pflicht mit anderen Nachweisen, geführt im LMS. Die Vermischung ist der häufigste Grund, warum Einrichtungen am Ende keins von beidem sauber zeigen können.
4. Prüfer stichproben Einzelpersonen, nicht Durchschnitte. Die Aufsichtspraxis konvergiert auf Nachweise je Mitglied: wer, was, wann, wie lange, durch wen, belegt wie, fällig wann — plus Programmdokument und die Protokolle, in denen das geschulte Organ das Artikel-21-Maßnahmenset billigt. Das Register der Arbeitsmappe berechnet je Mitglied letzte Sitzung und nächste Fälligkeit und markiert Lücken.
5. Die Nachweisreferenz ist der Nachweis. Ein Schulungszertifikat, das auf Anfrage nicht vorgelegt werden kann, existiert aus Prüfungssicht nicht. Jede abgeschlossene Protokollzeile trägt einen Verweis auf ein abgelegtes Artefakt — Zertifikats-ID, Teilnehmerliste, LMS-Export.

Was in der Arbeitsmappe steckt

Blatt	Inhalt	Warum es zählt
1. Geschäftsleitungs-Register	Eine Zeile pro Mitglied: Name, Rolle, Organ, Bestellungsdatum, Anwendbarkeit der Art.-20-Pflicht mit Begründung, Status, berechnete Spalten für letzte Sitzung und nächste Fälligkeit	Die Liste, gegen die Prüfer stichproben — einschließlich ausgeschiedener Mitglieder, die im Register bleiben
2. Schulungsprotokoll	Eine Zeile pro Mitglied und Sitzung: Titel, Anbieter und Typ, Datum, Dauer in Stunden, Format, abgedeckte Art.-20-Ziele, Wiederholungsintervall, berechnete Fälligkeit, Nachweisreferenz, Abschlussstatus	Der Einzelnachweis, den Aufsichtsbehörden tatsächlich anfordern
3. Sitzungskatalog	Das Programm nach vorn: geplante Sitzungen, Zielgruppe, Ziele, Frequenz, Durchführungsform, Anbieter, Wirksamkeitsmessung	Das Schulungsprogramm-Dokument neben den Einzelnachweisen
4. Länderreferenz	EU-Basis plus Deutschland, Lettland, Tschechien, Belgien, Norwegen und UK: Instrument, Regel, Quantifizierung, Stand	Das 'regelmäßig' je Land, auf einem Blatt

Überfällige Mitglieder werden automatisch rot markiert, Dropdowns halten die Werte konsistent, und ausgefüllte Beispielzeilen zeigen einen vollständigen Nachweissatz für eine fiktive Geschäftsführung. Die maschinenlesbare Markdown-Variante trägt die vollständigen Felddefinitionen, Enums und Agenten-Workflow-Regeln — Abdeckungs-, Onboarding-, Nachweis- und Zielvollständigkeitsprüfungen —, sodass ein KI-Agent den Nachweis pflegen und einen Prüfauszug allein aus der Datei erzeugen kann.

So nutzen Sie die Vorlage

1. Erst das Leitungsorgan erfassen. Eine Zeile pro Mitglied, einschließlich Aufsichtsorganen, wo Ihre nationale Umsetzung sie einbezieht — und die Begründung in beiden Fällen dokumentieren. Ausscheiden setzt den Status auf 'Ausgeschieden'; aus dem Register fällt niemand, denn historische Billigungen werden gegen die historische Zusammensetzung geprüft.
2. Sitzungen je Mitglied protokollieren, nicht je Veranstaltung. Eine Governance-Sitzung mit fünf Geschäftsleitern sind fünf Zeilen, jede mit eigener Nachweisreferenz. Stunden erfassen — Aufsichtsbehörden erwarten die Dauer je Nachweis, nicht je Programm.
3. Inhalte auf die drei Ziele des Artikels 20 Abs. 2 mappen. Risiken erkennen, Risikomanagementpraktiken bewerten, Auswirkungen auf die Dienste. Über die gültigen Sitzungen eines Mitglieds soll die Summe alle drei abdecken — eine Tabletop-Übung allein ist Ergänzung, nicht Erfüllung.
4. Das Wiederholungsintervall aus dem Recht ableiten, nicht aus Präferenz. 36 Monate als deutscher Richtwert, 12 Monate wo strengere Regeln gelten — und dokumentieren, wo Ihr Land es offenlässt. Die Fälligkeit berechnet sich aus dem Intervall und färbt sich rot, wenn sie verstreicht.
5. Den Kreis in den Protokollen schließen. Die Schulung existiert, damit das Organ die Artikel-21-Maßnahmen kompetent billigen kann — die Billigungsprotokolle sollten Teilnehmende und Maßnahmenversion nennen. Kombinieren Sie diesen Nachweis mit unserer Artikel-21-Checkliste für die Maßnahmenseite.

Rechtsgrundlage

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 20 Abs. 1 — die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach Artikel 21 billigen, ihre Umsetzung überwachen und können für Verstöße der Einrichtung verantwortlich gemacht werden.
• Artikel 20 Abs. 2 — die Mitglieder der Leitungsorgane sind verpflichtet, an Schulungen teilzunehmen; den Beschäftigten sollen vergleichbare Schulungen angeboten werden, damit ausreichende Kenntnisse zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken und deren Auswirkungen auf die Dienste erworben werden.
• Artikel 21 Abs. 2 Buchst. g — grundlegende Cyberhygiene und Cybersicherheitsschulungen als verpflichtende Risikomanagementmaßnahme: die separate Mitarbeiterpflicht, die dieser Nachweis bewusst nicht erfasst.
• § 38 BSIG (NIS2UmsuCG) — Abs. 1: Billigung und Überwachung; Abs. 2: persönliche Haftung der Geschäftsleiter bei schuldhaften Verstößen, Regressverzicht unwirksam; Abs. 3: die persönliche, regelmäßige Schulungspflicht. In Kraft seit 6. Dezember 2025 (BGBl. 2025 I Nr. 301), ohne Übergangsfrist.

UK und Norwegen/EWR

UK: Die Cyber Security and Resilience Bill — im Juli 2026 im House of Lords, Royal Assent Ende 2026 erwartet — verschärft die Aufsicht über Cyber-Governance auf Board-Ebene, enthält aber keine gesetzliche Schulungspflicht nach dem Muster des Artikels 20; die Erwartungen laufen über den freiwilligen Cyber Governance Code of Practice. Wer in die EU verkauft oder dort operiert, sollte dennoch gegen NIS2 nachweisen. Norwegen: Die Digitalsikkerhetsloven (in Kraft seit 1. Oktober 2025) macht die Leitung für das Sicherheitsniveau verantwortlich und verlangt die Billigung des Sicherheitsmanagementsystems mit jährlicher Überprüfung; Schulungen der Leitung werden im Einklang mit NIS2 erwartet — Aufsichtsbehörde ist die Nasjonal sikkerhetsmyndighet (NSM), auch wenn NIS2 selbst noch nicht ins EWR-Abkommen übernommen ist.

Vom Schulungsnachweis zum käufersichtbaren Nachweis

Dieselben Governance-Nachweise, die eine Aufsichtsbehörde stichprobt, fragen Enterprise-Käufer zunehmend in Sicherheitsfragebögen ab — 'Erhält das Management Cybersicherheitsschulungen?' ist eine Standardzeile. Orbiq veröffentlicht Governance-Nachweise — Schulungsbestätigungen, Richtlinienfreigaben, Management-Review-Kadenz — in einem kontrollierten Trust Center, sodass der Nachweis für das NIS2-Audit zugleich dem Kunden antwortet. Für den größeren Nachweisstapel: unsere Leitfäden zur NIS2-Compliance und zu internem vs. externem Nachweis.

Quellen & Referenzen

1. Richtlinie (EU) 2022/2555 (NIS2) — Volltext — Artikel 20 Abs. 1, 20 Abs. 2, 21 Abs. 2 Buchst. g.
2. Taylor Wessing — Germany's implementation of NIS2 — NIS2UmsuCG, Pflichten und persönliche Haftung nach § 38 BSIG; in Kraft seit 6. Dezember 2025.
3. Heise — NIS2: Mandatory cyber security training for management boards — Analyse des § 38 Abs. 3 und der Richtwert 'alle 3 Jahre / ~4 Stunden' aus der Gesetzesbegründung.
4. Transferstelle Cybersicherheit — NIS2-Schulungspflicht für Geschäftsleitungen — der deutsche Richtwert als Richtwert, nicht als gesetzliches Minimum.
5. Centre for Cybersecurity Belgium — NIS2-Broschüre — belgische Erwartungen an Management-Schulungen.
6. Schjødt — Norway's Digital Security Act now in effect — Billigung und jährliche Überprüfung des Sicherheitsmanagementsystems durch die Leitung.
7. Wikborg Rein — Five things you need to know about the Digital Security Act — norwegische Leitungs-Pflichten.
8. UK Parliament — Cyber Security and Resilience Bill — Gesetzesstand; keine Schulungspflicht nach NIS2-Muster.

Weiterführende Artikel

• NIS2-Compliance: Anforderungen, Fristen & Umsetzung
• NIS2-Nachweispflicht: Kontinuierliche Evidenz statt Audit-Hektik
• NIS2: Interner vs. externer Nachweis
• Kostenlose Vorlage: NIS2-Lieferanten-Nachweis-Checkliste — das Lieferketten-Gegenstück nach Art. 21 Abs. 2 Buchst. d
• Kostenlose Vorlage: NIS2-Vorfallsmeldungs-Paket — die Meldeformulare nach Artikel 23