Müssen Geschäftsleitungen nach dem BSIG an Cybersicherheitsschulungen teilnehmen?
Ja, regelmäßig. § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken in der Informationssicherheit zu erlangen und deren Auswirkungen auf die Dienste der Einrichtung beurteilen zu können. Stundenzahl, Format oder Zertifikat schreibt das Gesetz nicht vor; wählen Sie also eine Schulung, die zu Branche und Größe passt, und wiederholen Sie sie in sinnvollem Abstand, etwa jährlich und nach größeren Änderungen der Bedrohungslage oder der Rechtslage. Die Pflicht trifft die Mitglieder der Geschäftsleitung persönlich; sie an die IT-Leitung zu delegieren, genügt nicht. Bewahren Sie Teilnahmebescheinigungen und Agenda auf: Das BSI kann die Einhaltung von § 38 Abs. 3 in Audits einbeziehen, die es nach § 61 Abs. 1 für besonders wichtige Einrichtungen anordnet, und bei wichtigen Einrichtungen nach § 62 tätig werden.
Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.