Unwissenheit schützt vor Strafe nicht: Warum Cybersicherheitsschulungen für Vorstände heute unverzichtbar – aber längst nicht mehr ausreichend – sind

Was die Regulierungsbehörden jetzt fordern

NIS2 (Richtlinie (EU) 2022/2555), die seit Oktober 2024 für wesentliche und wichtige Einrichtungen in Kraft ist, bewirkt in einem einzigen Artikel zweierlei. Artikel 20 Absatz 1 verpflichtet die Leitungsorgane dazu, die Cybersicherheits-Risikomanagementmaßnahmen der Einrichtung zu genehmigen und deren Umsetzung zu überwachen, und ermöglicht es, sie bei Nichteinhaltung haftbar zu machen. Artikel 20 Absatz 2 schließt daraufhin die offensichtliche Lücke: Mitglieder des Leitungsorgans müssen selbst regelmäßig an Schulungen teilnehmen, um über ausreichend Wissen und Fähigkeiten zu verfügen, Risiken zu erkennen und die Angemessenheit der von ihnen genehmigten Maßnahmen zu beurteilen. Man kann eine Aufsichtspflicht nicht wahrnehmen, wenn man die Materie nicht versteht; daher schreibt die Verordnung das Verständnis nun als Voraussetzung für die Aufsicht vor.

DORA (Verordnung (EU) 2022/2554), die für den gesamten Finanzsektor gilt, geht in einem Punkt weiter: Die Verpflichtung in Artikel 5 Absatz 4 ist explizit individuell, nicht kollektiv. Jedes Mitglied des Leitungsorgans muss sein eigenes Wissen über IKT-Risiken durch Schulungen, die dem IKT-Risikoprofil der Einrichtung angemessen sind, aktiv auf dem neuesten Stand halten. Artikel 5 Absatz 2 Buchstabe g verlangt zudem, dass das Gremium das Budget für diese Schulungen genehmigt und regelmäßig überprüft, wodurch die Frage „Haben wir dies angemessen finanziert?“ zu einer eigenständigen Governance-Aufgabe wird.

Der AI Act (Verordnung (EU) 2024/1689) weitet diese Logik über die Cybersicherheit hinaus auf die KI-Governance aus. Artikel 4, der seit Februar 2025 in Kraft ist, verpflichtet Anbieter und Betreiber dazu, ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitern und allen anderen Personen sicherzustellen, die in ihrem Auftrag KI-Systeme betreiben – abgestimmt auf die jeweilige Rolle und den Nutzungskontext. Für Führungskräfte, die KI-gestützte Produkte genehmigen, risikoreiche Anwendungsfälle absegnen oder KI-generierte Analysen zur Unterstützung ihrer Entscheidungsfindung nutzen, besteht die Pflicht, über ein ihrer Rolle angemessenes Maß an KI-Kompetenz zu verfügen.

Bei allen drei Regelwerken ist das Muster dasselbe: Die Teilnahme ist zwar notwendig, aber der geforderte Standard ist das Verständnis – und dieses Verständnis liegt beim Individuum, nicht bei der Institution.

Wo die meisten Schulungsprogramme den Standard verfehlen

Hier wird es unangenehm. Ein Großteil der Cyber-Schulungen für Führungskräfte erfüllt zwar den Buchstaben dieser Verpflichtungen: Eine Sitzung wurde abgehalten, die Teilnahme protokolliert, ein Zertifikat ausgestellt – ohne jedoch das zu erreichen, worauf es eigentlich ankommt: ob die Führungskraft nun in der Lage ist, ein Risiko zu identifizieren und zu beurteilen, ob die vorgelegten Maßnahmen angemessen sind. Informiert zu sein und Urteilsvermögen ausüben zu können, ist nicht dasselbe, und Regulierungsbehörden, Wirtschaftsprüfer und letztlich auch Gerichte werden Letzteres prüfen.

Nirgendwo zeigt sich diese Lücke deutlicher als darin, wie Vorstände die Zahlen konsumieren, die ihnen ihr CISO vorlegt.

‍

Eine Zahl ist noch kein Verständnis

Die meisten Vorstände erhalten mittlerweile eine Form von quantifizierter Cyber-Risikoberichterstattung: einen Risikoscore, einen Reifegrad in Prozent, eine Schätzung des jährlichen Verlustrisikos oder die Wahrscheinlichkeit eines schwerwiegenden Sicherheitsvorfalls. Das ist ein Fortschritt: Es ist weitaus besser als eine rot-gelb-grüne Heatmap ohne fundierte Basis. Doch eine Zahl allein erfüllt weder die NIS2-Pflicht zur Bewertung noch die DORA-Pflicht zum Verständnis.

Wenn ein CISO berichtet, dass „das jährliche Verlustrisiko von 2 Mio. € auf 3,5 Mio. € gestiegen ist“, sollte eine Führungskraft mit aktiver Aufsichtspflicht in der Lage sein, fundierte Fragen zu stellen, um Folgendes zu verstehen:

●      Woher stammt diese Zahl? Interne Vorfalldaten, Branchen-Benchmarks, Expertenurteile, die anhand eines Modells kalibriert wurden: Jede Quelle hat ein unterschiedliches Konfidenzniveau, und eine belastbare Kennzahl sollte offenlegen, worauf sie basiert.

●      Was verbirgt oder offenbart der Bereich um diesen Wert? Eine einzelne Punktschätzung suggeriert eine Präzision, die bei Cyber-Risiken selten gegeben ist. Das wahrscheinlichste Ergebnis und das Extremrisiko (das Szenario mit geringer Wahrscheinlichkeit, aber hohem Schadensausmaß) erfordern unterschiedliche Reaktionen – etwa Risikominderung versus Versicherung oder Kapitalrückstellungen. Ein Vorstand, der nur eine einzige Zahl sieht, kann diese Unterscheidung nicht treffen.

●      Was hat sich geändert und warum? Ein Anstieg, der durch eine tatsächlich schlechter werdende Bedrohungslage verursacht wird, erfordert eine andere Reaktion als ein Anstieg, der lediglich auf eine verbesserte Datenerfassung zurückzuführen ist, die ein bereits bestehendes Risiko sichtbar macht.

●      Welche Entscheidung soll diese Zahl unterstützen? Eine Kennzahl, die ohne eine damit verknüpfte Entscheidung präsentiert wird, ist lediglich ein Status-Update, kein Risikomanagement.

Eine Führungskraft, die bei „7,2 von 10“ oder „3,5 Mio. €“ nickt, ohne diese Fragen stellen zu können, hat zwar an einer Schulung teilgenommen, aber nicht den Standard erfüllt, den NIS2 Artikel 20(2) und DORA Artikel 5(4) tatsächlich fordern. Die regulatorische Messlatte liegt nicht bei „dem Vorstand wurde eine Zahl genannt“, sondern bei „der Vorstand hat genug verstanden, um sie kritisch zu hinterfragen“.

Die praktische Konsequenz

Cyber-Risiko-Schulungen für Führungskräfte und Vorstandsmitglieder müssen mehr leisten, als nur ein Bewusstsein für Bedrohungen und Terminologien zu schaffen. Sie müssen die spezifische, dauerhafte Fähigkeit aufbauen, quantitative Risikoberichte zu hinterfragen: nach der Herkunft zu fragen, einen Wertebereich statt nur einer Punktschätzung zu lesen und eine Kennzahl mit der Entscheidung zu verknüpfen, die sie stützen soll. Alles, was darüber hinausgeht, lässt das Unternehmen zwar auf dem Papier konform erscheinen, lässt es aber in der Sache ungeschützt – genau diese Lücke sollen NIS2, DORA und der EU AI Act schließen.

Genau diese Lücke schließt C-Risk mit Erfüllung Ihrer Aufsichtspflichten gemäß NIS2, DORA und dem EU AI Act wurde entwickelt, um diese Lücke zu schließen. Anstatt lediglich ein Bewusstsein für Bedrohungen und Terminologien zu schaffen, baut das Programm genau die Kompetenzen auf, die von Regulierungsbehörden geprüft werden: die Fähigkeit, die quantifizierte Risikoberichterstattung eines CISO zu hinterfragen, deren Annahmen und Herkunft zu prüfen und Kennzahlen direkt mit den Entscheidungsprozessen zu verknüpfen. So können Führungskräfte und Vorstandsmitglieder das nach NIS2 Artikel 20(2), DORA Artikel 5(4) und dem AI Act Artikel 4 geforderte Verständnis nicht nur behaupten, sondern aktiv nachweisen.

Unwissenheit war noch nie eine Entschuldigung. Unter EU-Recht ist sie nun explizit ein Haftungsrisiko.

‍