NIS2-Schulungspflicht nach § 31: Was wirklich im Gesetz steht
§ 31 NISG 2026 verpflichtet die Leitungsorgane, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen und an speziell für sie gestalteten Cybersicherheitsschulungen teilzunehmen. Den Mitarbeitenden muss das Unternehmen regelmäßig entsprechende Schulungen anbieten. Eine feste Frist, einen Mindestumfang oder ein vorgeschriebenes Zertifikat nennt das Gesetz nicht – dokumentieren sollten Sie die Teilnahme trotzdem.
Was § 31 verlangt
Der Paragraf hat zwei Teile. Nach Absatz 1 haben die Leitungsorgane die Einhaltung der Risikomanagementmaßnahmen nach § 32 sicherzustellen und zu beaufsichtigen. Nach Absatz 2 müssen sie an Cybersicherheitsschulungen teilnehmen, die spezifisch für sie gestaltet sind – also nicht an der allgemeinen Awareness-Schulung der Belegschaft. Außerdem hat das Unternehmen seinen Mitarbeitenden regelmäßig entsprechende Schulungen anzubieten. Bei den Mitarbeitenden geht Österreich damit über die EU-Richtlinie hinaus, die das nur empfiehlt.
Was nicht drinsteht
Keine Frist wie jährlich für die Geschäftsführung, keine Mindeststundenzahl, kein vorgeschriebener Anbieter, kein Zertifikat mit Prüfung. Auch das Wort genehmigen fehlt: Anders als die Richtlinie spricht das österreichische Gesetz vom Sicherstellen und Beaufsichtigen. Wer eine bestimmte Stundenzahl oder ein Datum als gesetzliche Pflicht darstellt, sollte die Stelle im Gesetz oder in einer Verordnung nennen können.
| Kriterium | Leitungsorgane | Mitarbeitende |
|---|---|---|
| Schulung ist gesetzlich vorgeschrieben | ja | ja |
| Ausdrücklich „regelmäßig“ | nein | ja |
| Feste Frist oder Mindeststunden | nein | nein |
| Vorgeschriebenes Zertifikat | nein | nein |
| Teilnahme dokumentieren ist sinnvoll | ja | ja |
Leitungsorgane nehmen an für sie gestalteten Schulungen teil; den Mitarbeitenden hat das Unternehmen regelmäßig entsprechende Schulungen anzubieten. Stand: September 2026.
Und die Haftung?
Das NISG 2026 enthält keine eigene Bestimmung über die persönliche Haftung von Geschäftsführern. Geldstrafen richten sich gegen die Einrichtung, die dabei auch für Verstöße ihrer Leitungsorgane und für mangelnde Aufsicht einsteht. Bei wesentlichen Einrichtungen kann die Behörde einer Person in Leitungsfunktion die Ausübung vorübergehend untersagen. Daneben gelten die allgemeinen Sorgfaltspflichten aus dem Gesellschaftsrecht. Für die Bewertung im Einzelfall ist das eine Frage an eine Kanzlei, nicht an einen Berater.
Was eine gute Schulung der Geschäftsführung enthält
Sie soll die Leitungsorgane in die Lage versetzen, ihre Aufgabe nach Absatz 1 zu erfüllen: Risiken einschätzen, Maßnahmen beurteilen, die Umsetzung beaufsichtigen. Also: Betroffenheit und Pflichten des eigenen Unternehmens, die zehn Maßnahmenbereiche in der Sprache der Geschäftsführung, typische Angriffswege, die Rolle der Leitung bei einem Vorfall und bei der Frühwarnung binnen 24 Stunden – und die Fragen, die man der eigenen IT stellen sollte. Drei Stunden sind dafür ein realistischer Rahmen.
So dokumentieren Sie es
Auch ohne vorgeschriebenes Zertifikat: Belegen können sollten Sie die Teilnahme – bei der Selbstdeklaration, wenn die Behörde Nachweise verlangt, oder wenn ein Kunde fragt. Sinnvoll sind Datum, Dauer, Inhalte, Teilnehmende und Vortragende, für die Belegschaft eine Teilnahmeliste und ein Plan, wann wieder geschult wird. Viele Kundenfragebögen fragen genau danach.
Häufige Fragen
Wer zählt als Leitungsorgan?
Die Personen, die das Unternehmen leiten – bei einer GmbH die Geschäftsführung, bei einer AG der Vorstand. Aufsichtsorgane wie der Aufsichtsrat sind nach dem NISG 2026 nicht erfasst; eine Informationssicherheitsbeauftragte fällt nur darunter, soweit ihr Leitungsbefugnisse übertragen wurden.
Reicht ein Online-Kurs?
Das Gesetz schreibt kein Format vor. Entscheidend ist, dass die Schulung für Leitungsorgane gestaltet ist und sie befähigt, ihre Aufsichtsaufgabe zu erfüllen. Ein allgemeiner Awareness-Kurs für alle erfüllt das kaum.
Wie oft sollte die Geschäftsführung geschult werden?
Eine Frist nennt das Gesetz nicht. Sinnvoll ist eine Auffrischung, wenn sich Wesentliches ändert – neue Verordnung, neue Bedrohungslage, neue Geschäftsführung – und sonst in einem festen Rhythmus, den Sie selbst festlegen und dokumentieren.
Quellen
- NISG 2026, BGBl. I Nr. 94/2025 – Rechtsinformationssystem des Bundes (RIS) (öffnet in neuem Tab)
- Richtlinie (EU) 2022/2555 (NIS2) – EUR-Lex (öffnet in neuem Tab)
- WKO: FAQ zum NISG 2026 (öffnet in neuem Tab)
Stand: . Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.
Geschrieben von
Ing. Özgür Deli, MSc CMSE
Geschäftsführer & Gründer, WeDev-IT GmbH
Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.
Mehr über unsSchulung der Geschäftsführung
3 Stunden, inhouse oder online, bis zu fünf Leitungsorgane, mit Teilnahmebestätigung – ohne Mythen. Ab 1.190 € netto.
Zur GF-SchulungWeiterlesen
Die 10 NIS2-Maßnahmen nach § 32 NISG 2026 – verständlich erklärt
Was hinter jedem der zehn Bereiche steckt, was ein Betrieb mit 80 Mitarbeitenden konkret tut – und woran man erkennt, dass es reicht.
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.
Bin ich von NIS2 betroffen? Das Prüfschema in sechs Schritten
Sektor, Größe, Konzern, Sonderfälle, Lieferkette – in dieser Reihenfolge prüfen und am Ende eine von vier Einstufungen haben.