NIS2 ist Chefsache. Im wörtlichen Sinn.
Am 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft getreten – ohne Übergangsfrist. Rund 30.000 Unternehmen aus 18 Sektoren haben seitdem neue Pflichten in der Informationssicherheit. Darunter: eine Schulungspflicht für Geschäftsleitung und Mitarbeitende, die dokumentiert, regelmäßig und nachweisbar sein muss.
Bislang war Informationssicherheit oft Thema der IT. Seit NIS2 trifft die Pflicht die Geschäftsführung – mit den genannten Konsequenzen bei mangelnder Umsetzung.
Die Standardreaktion: E-Learning buchen und durchklicken
Die naheliegende Antwort vieler Unternehmen: eine E-Learning-Plattform, eine Klickstrecke, ein Zertifikat. Pflicht erfüllt. Haken dran.
"Wirksam" ist das Stichwort im Gesetz
§30 Abs. 2 Nr. 7 BSIG verlangt Maßnahmen, die „geeignet, verhältnismäßig und wirksam“ sein müssen. Ein Kurs, den man nebenbei durchklickt, während die Inbox blinkt, ist oft weder Wirksamkeit noch Ernsthaftigkeit – sondern dokumentierter Selbstbetrug.
30.000
Unternehmen in Deutschland mit NIS2-Schulungspflicht. Persönliche Haftung der Geschäftsführung.
NIS2-Umsetzungsgesetz (NIS2UmsuCG), in Kraft seit 06.12.2025
4 Thesen aus dem Whitepaper
Nicht gegen die NIS2-Regulierung. Gegen eine Schulungspraxis, die den Zweck des Gesetzes verfehlt und Unternehmen in falscher Sicherheit wiegt.
Compliance-Theater schützt kein Unternehmen.
Es gibt zwei Arten, eine NIS2-Schulung durchzuführen. Die eine produziert ein Zertifikat. Die andere trainiert den Mitarbeiter, eine Phishing-Mail zu erkennen, bevor er den Anhang öffnet. Im Ernstfall fragt niemand nach dem Zertifikat.
Die Geschäftsleitung kann Cybersicherheit nicht mehr wegdelegieren.
§38 Abs. 3 BSIG: persönliche Teilnahme. Nicht delegierbar. Nicht an den CISO, nicht an den IT-Leiter, nicht an einen externen Berater. Die ersten BSI-Prüfungen werden für Q3/Q4 2026 erwartet.
70 Prozent vergessen in 24 Stunden. Bei NIS2 ist das fahrlässig.
Eine NIS2-Schulung einmal im Jahr – und dann elf Monate lang Mitarbeiter, die den Stoff nicht mehr präsent haben. Elf Monate, in denen ein Angriff jederzeit passieren kann.
Adaptives Lernen schließt die Lücke zwischen Schulung und Ernstfall.
Vier Probleme klassischer Schulungen: Gleichbehandlung, Passivität, Einmaligkeit, Pflichtcharakter. Adaptive Module lösen alle vier gleichzeitig – und erzeugen Compliance, die sich nicht wie Compliance anfühlt.
Im Ernstfall zählt, ob der Mitarbeiter die Phishing-Mail erkannt hat – nicht ob er ein Zertifikat hat.
Jetzt kostenlos herunterladenKostenlos. Ohne Haken. Sofort per E-Mail.
Für wen ist dieses Whitepaper?
- Sie sind Compliance-Verantwortlicher und müssen die NIS2-Schulungspflicht umsetzen – ohne genau zu wissen, was „wirksam“ in der Praxis bedeutet.
- Sie sind IT-Leiter oder CISO und suchen ein Awareness-Programm, das mehr bewirkt als eine Klickstrecke.
- Sie sind Geschäftsführer und wissen, dass Sie persönlich haften – und wollen einen Nachweis, der einer BSI-Prüfung standhält.
- Sie sind ISB und müssen Schulungen dokumentieren, die inhaltlich angemessen und nachweisbar wirksam sind.
- Sie suchen eine Lösung, die bestehende Sicherheitsdokumente in adaptive Lernmodule verwandelt – ohne eigene Inhalte erstellen zu müssen.
Was Sie nach dem Lesen wissen werden
Whitepaper jetzt kostenlos sichern
E-Mail eintragen, Link erhalten – sofort lesen.
Kein Spam. Alle 2 Wochen ein Tipp. Jederzeit abmelden.
Über dieses Whitepaper
Dieses Whitepaper wurde von tutoreon.academy erstellt. Im Kontext von NIS2 eignet sich tutoreon besonders für Mitarbeiter-Awareness: Bestehende Sicherheitsrichtlinien, Meldeketten und Incident-Dokumentationen werden zu adaptiven Szenarien, die Verhalten verändern statt nur Wissen abzufragen. EU-gehostet, dokumentiert, nachweisbar.
Häufig gestellte Fragen
Weitere Whitepapers
Lernen im KI-Zeitalter: 7 Thesen
Die übergreifende Vision: KI in der Bildung.
Zum WhitepaperDie 50-Prozent-Schande: §34a
Warum 50 % bei der §34a-Prüfung durchfallen.
Zum Whitepaper