---
title: "NIS2 Schulungsnachweis Geschäftsleitung: Kostenlose Vorlage (XLSX)"
description: "Schulungspflicht der Geschäftsleitung nach NIS2 Art. 20 und § 38 BSIG dokumentieren: Sitzungen, Stunden, Nachweise, Fälligkeiten. Kostenloses XLSX."
canonical: https://www.orbiqhq.com/de/vorlagen/nis2-geschaeftsleitung-schulungsnachweis
html: https://www.orbiqhq.com/de/vorlagen/nis2-geschaeftsleitung-schulungsnachweis
publisher: Orbiq GmbH
language: en
---
# NIS2 Schulungsnachweis Geschäftsleitung: Kostenlose Vorlage (XLSX)

Schulungspflicht der Geschäftsleitung nach NIS2 Art. 20 und § 38 BSIG dokumentieren: Sitzungen, Stunden, Nachweise, Fälligkeiten. Kostenloses XLSX.


**Dieser kostenlose NIS2-Schulungsnachweis ist eine herunterladbare Excel-Arbeitsmappe (plus PDF-Leitfaden und maschinenlesbarem Markdown), die die Schulungspflicht der Leitungsorgane aus [Artikel 20 Abs. 2 der Richtlinie (EU) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) und § 38 Abs. 3 BSIG prüffähig dokumentiert: ein namentliches Geschäftsleitungs-Register, ein Schulungsprotokoll mit einer Zeile pro Mitglied und Sitzung — Anbieter, Datum, Stunden, abgedeckte Artikel-20-Ziele, Nachweisreferenz — mit automatisch berechneten Fälligkeiten, die überfällige Mitglieder rot markieren, dazu ein Sitzungskatalog und eine Länderreferenz, wie nationale Gesetze das 'regelmäßig' quantifizieren. Ohne E-Mail-Schranke; die herunterladbaren Dateien sind auf Deutsch verfügbar.**

Artikel 20 ist der Teil von NIS2, den Prüfer in fünf Minuten kontrollieren können. Ob die Maßnahmen nach Artikel 21 greifen, ist eine monatelange Bewertung; ob jedes Mitglied der Geschäftsleitung einen gültigen, belegten Schulungsnachweis hat, ist eine Ja/Nein-Frage gegen eine Namensliste. In Deutschland ist sie seit dem **6. Dezember 2025** scharf: Das [NIS2UmsuCG](https://www.taylorwessing.com/en/insights-and-events/insights/2025/11/germanys-implementation-of-nis2) trat ohne Übergangsfrist in Kraft — mit persönlicher, verzichtsfester Haftung nach § 38 Abs. 2 BSIG. Dieser Nachweis existiert, damit die Antwort immer Ja lautet, schriftlich.

## Die wichtigsten Erkenntnisse

1. **Die Schulungspflicht ist real und persönlich.** Artikel 20 Abs. 2 verpflichtet die Mitglieder der Leitungsorgane zur Teilnahme — verpflichtet, nicht ermuntert. § 38 Abs. 3 BSIG macht die Pflicht ausdrücklich persönlich und nicht delegierbar: Die Geschäftsführung kann nicht den CISO schicken, und § 38 Abs. 2 knüpft an schuldhafte Verstöße die persönliche Haftung — ein Regressverzicht der Gesellschaft ist unwirksam.
2. **'Regelmäßig' ist eine Variable des nationalen Rechts — die Arbeitsmappe führt sie pro Zeile.** Die deutsche Gesetzesbegründung nimmt als Richtwert ~4 Stunden mindestens alle 3 Jahre an (nicht 8 Stunden, und keine Frist Ende 2026 — das ist ein verbreiteter Irrtum); Lettland verlangt regelmäßige Schulungen mit mindestens jährlicher Inhaltsprüfung; Tschechiens Gesetz Nr. 264/2025 verlangt angemessen geschulte Leitungsorgane; Belgiens CCB überlässt Umfang und Dauer bewusst der Einrichtung. Das Wiederholungsintervall ist eine Spalte, keine Annahme.
3. **Leitungs- und Mitarbeiterschulung strikt trennen.** Management-Schulung ist Artikel 20 Abs. 2; Cyberhygiene-Schulung der Beschäftigten ist Artikel 21 Abs. 2 Buchst. g — eine andere Pflicht mit anderen Nachweisen, geführt im LMS. Die Vermischung ist der häufigste Grund, warum Einrichtungen am Ende keins von beidem sauber zeigen können.
4. **Prüfer stichproben Einzelpersonen, nicht Durchschnitte.** Die Aufsichtspraxis konvergiert auf Nachweise je Mitglied: wer, was, wann, wie lange, durch wen, belegt wie, fällig wann — plus Programmdokument und die Protokolle, in denen das *geschulte* Organ das Artikel-21-Maßnahmenset billigt. Das Register der Arbeitsmappe berechnet je Mitglied letzte Sitzung und nächste Fälligkeit und markiert Lücken.
5. **Die Nachweisreferenz ist der Nachweis.** Ein Schulungszertifikat, das auf Anfrage nicht vorgelegt werden kann, existiert aus Prüfungssicht nicht. Jede abgeschlossene Protokollzeile trägt einen Verweis auf ein abgelegtes Artefakt — Zertifikats-ID, Teilnehmerliste, LMS-Export.

## Was in der Arbeitsmappe steckt

| Blatt | Inhalt | Warum es zählt |
|---|---|---|
| **1. Geschäftsleitungs-Register** | Eine Zeile pro Mitglied: Name, Rolle, Organ, Bestellungsdatum, Anwendbarkeit der Art.-20-Pflicht mit Begründung, Status, berechnete Spalten für letzte Sitzung und nächste Fälligkeit | Die Liste, gegen die Prüfer stichproben — einschließlich ausgeschiedener Mitglieder, die im Register bleiben |
| **2. Schulungsprotokoll** | Eine Zeile pro Mitglied und Sitzung: Titel, Anbieter und Typ, Datum, Dauer in Stunden, Format, abgedeckte Art.-20-Ziele, Wiederholungsintervall, berechnete Fälligkeit, Nachweisreferenz, Abschlussstatus | Der Einzelnachweis, den Aufsichtsbehörden tatsächlich anfordern |
| **3. Sitzungskatalog** | Das Programm nach vorn: geplante Sitzungen, Zielgruppe, Ziele, Frequenz, Durchführungsform, Anbieter, Wirksamkeitsmessung | Das Schulungsprogramm-Dokument neben den Einzelnachweisen |
| **4. Länderreferenz** | EU-Basis plus Deutschland, Lettland, Tschechien, Belgien, Norwegen und UK: Instrument, Regel, Quantifizierung, Stand | Das 'regelmäßig' je Land, auf einem Blatt |

Überfällige Mitglieder werden automatisch rot markiert, Dropdowns halten die Werte konsistent, und ausgefüllte Beispielzeilen zeigen einen vollständigen Nachweissatz für eine fiktive Geschäftsführung. Die [maschinenlesbare Markdown-Variante](/downloads/templates/de/nis2-management-training-log.md) trägt die vollständigen Felddefinitionen, Enums und Agenten-Workflow-Regeln — Abdeckungs-, Onboarding-, Nachweis- und Zielvollständigkeitsprüfungen —, sodass ein KI-Agent den Nachweis pflegen und einen Prüfauszug allein aus der Datei erzeugen kann.

## So nutzen Sie die Vorlage

1. **Erst das Leitungsorgan erfassen.** Eine Zeile pro Mitglied, einschließlich Aufsichtsorganen, wo Ihre nationale Umsetzung sie einbezieht — und die Begründung in beiden Fällen dokumentieren. Ausscheiden setzt den Status auf 'Ausgeschieden'; aus dem Register fällt niemand, denn historische Billigungen werden gegen die historische Zusammensetzung geprüft.
2. **Sitzungen je Mitglied protokollieren, nicht je Veranstaltung.** Eine Governance-Sitzung mit fünf Geschäftsleitern sind fünf Zeilen, jede mit eigener Nachweisreferenz. Stunden erfassen — Aufsichtsbehörden erwarten die Dauer je Nachweis, nicht je Programm.
3. **Inhalte auf die drei Ziele des Artikels 20 Abs. 2 mappen.** Risiken erkennen, Risikomanagementpraktiken bewerten, Auswirkungen auf die Dienste. Über die gültigen Sitzungen eines Mitglieds soll die Summe alle drei abdecken — eine Tabletop-Übung allein ist Ergänzung, nicht Erfüllung.
4. **Das Wiederholungsintervall aus dem Recht ableiten, nicht aus Präferenz.** 36 Monate als deutscher Richtwert, 12 Monate wo strengere Regeln gelten — und dokumentieren, wo Ihr Land es offenlässt. Die Fälligkeit berechnet sich aus dem Intervall und färbt sich rot, wenn sie verstreicht.
5. **Den Kreis in den Protokollen schließen.** Die Schulung existiert, damit das Organ die Artikel-21-Maßnahmen kompetent billigen kann — die Billigungsprotokolle sollten Teilnehmende und Maßnahmenversion nennen. Kombinieren Sie diesen Nachweis mit unserer [Artikel-21-Checkliste](/de/eu-vorschriften/nis2-checkliste-artikel-21) für die Maßnahmenseite.

## Rechtsgrundlage

- **[Richtlinie (EU) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) (NIS2), Artikel 20 Abs. 1** — die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach Artikel 21 billigen, ihre Umsetzung überwachen und können für Verstöße der Einrichtung verantwortlich gemacht werden.
- **Artikel 20 Abs. 2** — die Mitglieder der Leitungsorgane sind verpflichtet, an Schulungen teilzunehmen; den Beschäftigten sollen vergleichbare Schulungen angeboten werden, damit ausreichende Kenntnisse zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken und deren Auswirkungen auf die Dienste erworben werden.
- **Artikel 21 Abs. 2 Buchst. g** — grundlegende Cyberhygiene und Cybersicherheitsschulungen als verpflichtende Risikomanagementmaßnahme: die separate Mitarbeiterpflicht, die dieser Nachweis bewusst nicht erfasst.
- **§ 38 BSIG (NIS2UmsuCG)** — Abs. 1: Billigung und Überwachung; Abs. 2: persönliche Haftung der Geschäftsleiter bei schuldhaften Verstößen, Regressverzicht unwirksam; Abs. 3: die persönliche, regelmäßige Schulungspflicht. In Kraft seit 6. Dezember 2025 (BGBl. 2025 I Nr. 301), ohne Übergangsfrist.

## UK und Norwegen/EWR

**UK:** Die [Cyber Security and Resilience Bill](https://bills.parliament.uk/bills/4035) — im Juli 2026 im House of Lords, Royal Assent Ende 2026 erwartet — verschärft die Aufsicht über Cyber-Governance auf Board-Ebene, enthält aber **keine gesetzliche Schulungspflicht nach dem Muster des Artikels 20**; die Erwartungen laufen über den freiwilligen Cyber Governance Code of Practice. Wer in die EU verkauft oder dort operiert, sollte dennoch gegen NIS2 nachweisen. **Norwegen:** Die Digitalsikkerhetsloven ([in Kraft seit 1. Oktober 2025](https://www.wr.no/en/news/five-things-you-need-to-know-about-the-digital-security-act)) macht die Leitung für das Sicherheitsniveau verantwortlich und verlangt die Billigung des Sicherheitsmanagementsystems mit jährlicher Überprüfung; Schulungen der Leitung werden im Einklang mit NIS2 erwartet — Aufsichtsbehörde ist die [Nasjonal sikkerhetsmyndighet (NSM)](https://nsm.no/), auch wenn NIS2 selbst noch nicht ins EWR-Abkommen übernommen ist.

## Vom Schulungsnachweis zum käufersichtbaren Nachweis

Dieselben Governance-Nachweise, die eine Aufsichtsbehörde stichprobt, fragen Enterprise-Käufer zunehmend in Sicherheitsfragebögen ab — 'Erhält das Management Cybersicherheitsschulungen?' ist eine Standardzeile. [Orbiq](/de/plattform/trust-updates) veröffentlicht Governance-Nachweise — Schulungsbestätigungen, Richtlinienfreigaben, Management-Review-Kadenz — in einem kontrollierten [Trust Center](/de/trust-center/was-ist-ein-trust-center), sodass der Nachweis für das [NIS2-Audit](/de/eu-vorschriften/nis2-nachweispflicht-kontinuierliche-evidenz) zugleich dem Kunden antwortet. Für den größeren Nachweisstapel: unsere Leitfäden zur [NIS2-Compliance](/de/eu-vorschriften/nis2-compliance) und zu [internem vs. externem Nachweis](/de/eu-vorschriften/nis2-interner-vs-externer-nachweis).

## Quellen & Referenzen

1. [Richtlinie (EU) 2022/2555 (NIS2) — Volltext](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) — Artikel 20 Abs. 1, 20 Abs. 2, 21 Abs. 2 Buchst. g.
2. [Taylor Wessing — Germany's implementation of NIS2](https://www.taylorwessing.com/en/insights-and-events/insights/2025/11/germanys-implementation-of-nis2) — NIS2UmsuCG, Pflichten und persönliche Haftung nach § 38 BSIG; in Kraft seit 6. Dezember 2025.
3. [Heise — NIS2: Mandatory cyber security training for management boards](https://www.heise.de/en/background/NIS2-Mandatory-cyber-security-training-for-management-boards-10282487.html) — Analyse des § 38 Abs. 3 und der Richtwert 'alle 3 Jahre / ~4 Stunden' aus der Gesetzesbegründung.
4. [Transferstelle Cybersicherheit — NIS2-Schulungspflicht für Geschäftsleitungen](https://transferstelle-cybersicherheit.de/nis2-schulungspflicht-fuer-geschaeftsleitungen-das-muessen-sie-wissen/) — der deutsche Richtwert als Richtwert, nicht als gesetzliches Minimum.
5. [Centre for Cybersecurity Belgium — NIS2-Broschüre](https://atwork.safeonweb.be/sites/default/files/2024-10/NIS2%20Brochure%20EN.pdf) — belgische Erwartungen an Management-Schulungen.
6. [Schjødt — Norway's Digital Security Act now in effect](https://schjodt.com/news/norways-digital-security-act-now-in-effect) — Billigung und jährliche Überprüfung des Sicherheitsmanagementsystems durch die Leitung.
7. [Wikborg Rein — Five things you need to know about the Digital Security Act](https://www.wr.no/en/news/five-things-you-need-to-know-about-the-digital-security-act) — norwegische Leitungs-Pflichten.
8. [UK Parliament — Cyber Security and Resilience Bill](https://bills.parliament.uk/bills/4035) — Gesetzesstand; keine Schulungspflicht nach NIS2-Muster.

## Weiterführende Artikel

- [NIS2-Compliance: Anforderungen, Fristen & Umsetzung](/de/eu-vorschriften/nis2-compliance)
- [NIS2-Nachweispflicht: Kontinuierliche Evidenz statt Audit-Hektik](/de/eu-vorschriften/nis2-nachweispflicht-kontinuierliche-evidenz)
- [NIS2: Interner vs. externer Nachweis](/de/eu-vorschriften/nis2-interner-vs-externer-nachweis)
- [Kostenlose Vorlage: NIS2-Lieferanten-Nachweis-Checkliste](/de/vorlagen/nis2-lieferanten-nachweis-checkliste) — das Lieferketten-Gegenstück nach Art. 21 Abs. 2 Buchst. d
- [Kostenlose Vorlage: NIS2-Vorfallsmeldungs-Paket](/de/vorlagen/nis2-vorfallsmeldung-vorlagenpaket) — die Meldeformulare nach Artikel 23