Das BSI legt fest, was Geschäftsleitungen über Cybersicherheit wissen sollten#

Am 28. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf der it-sa ein Beispielcurriculum für NIS-2-Geschäftsleitungsschulungen vorgestellt. Solche Schulungen sieht § 38 des BSI-Gesetzes (BSIG) für die Leitungsebene besonders wichtiger und wichtiger Einrichtungen vor. Das Curriculum ist nicht verbindlich. Es versteht sich als Orientierungs- und Arbeitsgrundlage und als eine mögliche Umsetzung der gesetzlichen Anforderungen.

Für Mittelstand und KMU ist die Botschaft klar: Cybersicherheit ist eine strategische Führungsaufgabe. Und wer KI-Agenten einsetzt oder plant, sollte sie in dieselbe Risikobetrachtung holen wie den Rest der IT.

Was das BSI vorgelegt hat#

Das Curriculum wurde in enger fachlicher Abstimmung mit Verbänden der Allianz für Cybersicherheit erarbeitet, unter anderem mit GI, Bitkom, ZDH, VDMA, VOICE, ZVEI und DIHK. Ergänzend stellt die Gesellschaft für Informatik eine korrespondierende Checkliste bereit. Sie bezieht sich auf die Inhalte des Beispielcurriculums und soll helfen, vermitteltes Wissen zu überprüfen und in die Praxis zu übertragen.

Dr. Judith Nink, Leiterin des Fachbereichs Cybersicherheit bei Unternehmen im BSI, brachte es auf der it-sa auf den Punkt: Cybersicherheit ist eine strategische Führungsaufgabe. Geschäftsleitungen müssen Risiken fundiert bewerten, ihrer Verantwortung für die Informationssicherheit gerecht werden und geeignete Maßnahmen anstoßen.

Sechs Module, vier Stunden#

Das Curriculum empfiehlt für die Initialschulung sechs Module. Die Beispielagenda ohne Übungen liegt bei vier Stunden. Es gibt auch eine Kürzungsvariante von drei Stunden. Die Module decken ab:

1. BSIG, NIS-2 und Anwendungsbereich. Warum betrifft das Thema die Führungsebene? Welche Einrichtungen und Dienste sind im Scope?
2. Verantwortung der Geschäftsleitung nach § 38 BSIG. Pflichten zur Umsetzung, Überwachung und Schulung, persönliche Verantwortung und Grenzen der Delegation.
3. Cyberrisiken als Unternehmensrisiken. Risikoerkennung und -bewertung, Schutzziele, Auswirkungen auf Dienste und Geschäftsziele.
4. Risikomanagement nach § 30 BSIG. Mindestmaßnahmen in Clustern, Ressourcen, Priorisierung, Wirksamkeitskontrolle, Lieferkette, Personal und Technik.
5. Registrierung, Meldung und Unterrichtung. Meldekette, Fristen und Unterrichtungspflichten.
6. Governance, Nachweis und Transfer. Wie wird umgesetztes Wissen dokumentiert und in Entscheidungen überführt?

Wichtig: Das Curriculum sagt ausdrücklich, dass Übungen und Planspiele nicht Teil dieser Initialschulung sind. Der Fokus liegt auf Pflicht- und Steuerungswissen für die Leitung, nicht darauf, dass die Geschäftsleitung operative IT-Aufgaben selbst übernimmt.

Was § 38 BSIG von der Leitung verlangt#

§ 38 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen unter anderem dazu, Risikomanagementmaßnahmen nach § 30 umzusetzen und zu überwachen, und regelmäßig an Schulungen teilzunehmen. Ziel der Schulung ist, Risiken zu erkennen und zu bewerten, Risikomanagementpraktiken einzuordnen und Auswirkungen auf die erbrachten Dienste beurteilen zu können.

Das Curriculum unterstreicht: Details wie eine Risikoanalyse oder technische Maßnahmen können an Fachfunktionen delegiert werden. Die Verantwortung für Steuerung, Priorisierung und Nachweis bleibt bei der Leitung.

Warum KI-Agenten in dieselbe Betrachtung gehören#

Das BSI-Curriculum behandelt KI nicht als eigenes Pflichtmodul. Trotzdem ist der Übertrag für Unternehmen, die KI und Agenten einsetzen, naheliegend. Ein Agent, der auf Tickets, Kundenakten, Shop-Daten oder Freigaben zugreift, ist ein System mit Rechten, Risiken und potenziellen Auswirkungen auf Dienste. Genau das prüft eine Leitung laut Curriculum für die übrige IT: Welche Rechte hat das System? Wer haftet bei Fehlern? Wer wird informiert? Wie wird nachgewiesen, dass Freigaben und Überwachung greifen?

Wer seine Leitung zu NIS-2 schult und KI als Extra-Thema auslagert, erzeugt eine Lücke. Die sinnvollere Linie: Dieselben Fragen zu Rechten, Freigaben, Protokollen und Eskalation gelten für klassische Systeme und für KI-Agenten.

Praxis-Checkliste für Geschäftsleitungen und KMU#

Auch wenn Ihr Unternehmen (noch) nicht unter die NIS-2-Einrichtungskategorien fällt, lohnt sich der Blick auf das Curriculum. Die Struktur hilft, Cybersicherheit und KI-Einsatz führungsfähig zu machen:

1. Scope klären. Welche Systeme, Dienste und Partner sind kritisch für Ihren Betrieb? Wo hängen KI-Tools und Agenten dran?
2. Rollen und Rechte dokumentieren. Wer darf was freigeben? Welche Rechte haben Agenten auf Daten und Systeme?
3. Delegationsgrenzen festlegen. Was darf die Fachabteilung entscheiden, was braucht die Leitung?
4. Melde- und Eskalationswege üben. Nicht nur für NIS-2-Meldepflichten, sondern auch für Vorfälle mit KI-Ausgaben und Agentenfehlern.
5. Nachweise sammeln. Schulungsteilnahme, Freigaben, Änderungen an Rechten und Konfigurationen so ablegen, dass sie prüfbar sind.
6. KI in die Risikobetrachtung holen. Für jeden produktiven Agenten: Zweck, Datenquellen, Rechte, menschliche Prüfpunkte, Abbruchkriterien.
7. Initialschulung der Leitung planen. Vier Stunden ohne Übungen als Orientierung, Inhalte an Ihr Risikoprofil anpassen.
8. Regelmäßige Auffrischung vorsehen. § 38 spricht von regelmäßigen Schulungen, nicht von einem einmaligen Termin.

Was ein KI-Readiness-Audit und das AI Trust Gateway leisten#

Wenn Sie unsicher sind, wo KI-Tools und Agenten in Ihrer Landschaft sitzen und welche Rechte sie haben, ist ein strukturiertes Inventar der erste Schritt. Im KI-Readiness-Audit für 3.500 Euro erfassen wir Systeme, Schnittstellen und KI-Tools und ordnen sie einer klaren Risikobetrachtung zu. Das passt gut zu dem, was das BSI-Curriculum von der Leitung verlangt: Risiken erkennen, priorisieren und nachweisen können.

Für den laufenden Betrieb hilft das AI Trust Gateway: Rechte, Freigaben und Protokolle für KI-Zugriffe so einbauen, dass "sicher" nicht nachträglich draufgeschraubt wird. Genau die Steuerungslogik, die NIS-2 für Cybersicherheit von der Leitung erwartet.

Unser Fazit#

Das BSI hat mit dem Beispielcurriculum eine praxisnahe Vorlage geliefert: sechs Module, empfohlene Initialschulung von vier Stunden ohne Übungen, ergänzt um eine GI-Checkliste. Es ist nicht verbindlich, aber es macht sichtbar, was Leitungswissen zu Cybersicherheit umfassen sollte. Für KMU und Mittelstand in Schwäbisch Gmünd und darüber hinaus heißt das: Schulung der Leitung und Steuerung von KI-Agenten gehören zusammen, nicht in getrennte Schubladen.

Wenn Sie KI-Agenten in dieselbe Risikobetrachtung holen wollen wie den Rest Ihrer IT, sprechen Sie uns gern an. Im KI-Readiness-Audit für 3.500 Euro legen wir Inventar, Rechte und Prüfpunkte so an, dass die Leitung steuerungsfähig bleibt.

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Ob Ihr Unternehmen unter NIS-2 fällt, hängt von Einrichtungskategorie und Schwellenwerten ab. Das BSI-Curriculum ist eine mögliche Umsetzung von § 38 BSIG, keine verbindliche Vorgabe.

Quellen#

• BSI: BSI stellt Curriculum für NIS2-Geschäftsleitungsschulung vor (Meldung vom 28. Oktober 2026)
• BSI: Curriculum für eine Geschäftsleitungsschulung nach NIS-2 (PDF, Version 1 vom 28.10.2026; sechs Module, Beispielagenda ohne Übungen 4 Stunden)