NIS-2-Weiterbildung mit Bildungsgutschein: Was IT-Administratoren nach dem NIS-2-Umsetzungsgesetz können müssen

Eine eigene NIS-2-Weiterbildung schreibt das Gesetz IT-Fachkräften nicht vor: Für NIS-2 brauchen Sie eine Weiterbildung in IT-Sicherheit (Cyber Security), die die zehn Maßnahmen nach § 30 Abs. 2 BSIG praktisch übt. Eine solche nach AZAV zugelassene Weiterbildung kann nach einer Beratung durch die Agentur für Arbeit mit Bildungsgutschein gefördert werden; bei der IHQ Akademie (AZAV-Träger EPZ-25-15-T) ist das der Baustein IT-Sicherheit innerhalb der Weiterbildung IT-Administrator/in. Hintergrund: NIS-2 ist kein Beruf, sondern eine gesetzliche Pflicht für Einrichtungen. Seit dem 06.12.2025 müssen nach Schätzung des BSI rund 29.500 Einrichtungen in Deutschland Risikomanagementmaßnahmen für ihre IT umsetzen, sich beim BSI registrieren und erhebliche Sicherheitsvorfälle melden. In der Praxis setzen diese Pflichten die Menschen um, die Server und Netze betreiben und Berechtigungen, Protokollierung, Datensicherung und Verschlüsselung einrichten, im eigenen Haus oder bei einem IT-Dienstleister. Dieser Ratgeber zeigt, was das NIS-2-Umsetzungsgesetz verlangt, welche Kenntnisse IT-Administratorinnen und IT-Administratoren dafür brauchen und wie Sie eine passende Weiterbildung mit Bildungsgutschein finden.

Was ist NIS-2, und was regelt das NIS-2-Umsetzungsgesetz?

NIS-2 ist die europäische Richtlinie (EU) 2022/2555. In Deutschland setzt sie das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ vom 02.12.2025 um (BGBl. 2025 I Nr. 301), verkündet am 05.12.2025. Sein Kern ist ein neu gefasstes BSI-Gesetz (BSIG), das am 06.12.2025 in Kraft getreten ist und das bisherige BSIG von 2009 ersetzt. Eine allgemeine Übergangsfrist gibt es laut BSI nicht; die Pflichten gelten grundsätzlich unmittelbar. Bis dahin waren nach Angaben des BSI etwa 4.500 Organisationen reguliert. Das BSI nennt drei zentrale Pflichten:

• Registrieren: Betroffene Einrichtungen registrieren sich spätestens drei Monate, nachdem sie erstmals als wichtige oder besonders wichtige Einrichtung gelten, im BSI-Portal (§ 33 BSIG). Der Zugang läuft über „Mein Unternehmenskonto“, das auf ELSTER aufbaut; das BSI-Portal ist seit dem 06.01.2026 freigeschaltet und dient auch als Meldeweg.
• Melden: Erhebliche Sicherheitsvorfälle melden die Einrichtungen in mehreren Stufen an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (§ 32 BSIG, Fristen weiter unten).
• Absichern und dokumentieren: Die Einrichtungen ergreifen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT zu vermeiden, und dokumentieren deren Einhaltung (§ 30 BSIG). Die Maßnahmen müssen mindestens zehn Bereiche umfassen.

Verantwortlich bleibt die Geschäftsleitung. Nach § 38 BSIG muss sie die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen, sie haftet ihrer Einrichtung nach Gesellschaftsrecht für schuldhaft verursachte Schäden und muss regelmäßig an Schulungen teilnehmen. Ergreift eine Einrichtung die Maßnahmen nicht, dokumentiert sie deren Einhaltung nicht oder meldet sie erhebliche Sicherheitsvorfälle nicht, drohen ihr nach § 65 BSIG Geldbußen bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen; bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro bis zu 2 % beziehungsweise 1,4 % dieses Umsatzes. Ein Verstoß gegen die Registrierungspflicht kann bis zu 500.000 Euro kosten.

Wer ist betroffen, und was heißt das für den Arbeitsmarkt?

Ob ein Unternehmen unter NIS-2 fällt, hängt von Sektor und Größe ab (§ 28 BSIG, hier vereinfacht). Wichtige Einrichtungen sind Unternehmen aus den Sektoren der Anlagen 1 und 2 des BSIG mit mindestens 50 Mitarbeitenden oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Besonders wichtige Einrichtungen sind Unternehmen aus den Sektoren der Anlage 1 mit mindestens 250 Mitarbeitenden oder mit mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme. Unabhängig von der Größe erfasst sind unter anderem qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter; Betreiber kritischer Anlagen gelten als besonders wichtige Einrichtungen. Ob es betroffen ist, prüft jedes Unternehmen selbst. Das BSI bietet dafür eine anonyme Betroffenheitsprüfung an, die nur der Orientierung dient und rechtlich nicht bindet.

Die ersten beiden Zahlen sind nicht direkt vergleichbar: 29.500 ist eine Schätzung, 20.141 eine Zählung. Für den Arbeitsmarkt ist etwas anderes wichtiger: Eine eigene Stellenbezeichnung „NIS-2“ gibt es kaum. Nach einer Auswertung der IHQ Akademie vom September 2026 erscheint der Begriff „NIS2“ nur in wenigen Berliner Stellenanzeigen, die Bezeichnung „IT-Sicherheitsadministrator“ in keiner. In der Jobsuche der Bundesagentur für Arbeit ergab „Systemadministrator“ am 09.09.2026 bundesweit 2.778 Treffer, „IT-Sicherheit Administrator“ 128 und „IT Security Administrator“ 129; die Zahlen schwanken täglich. Sicherheitsaufgaben werden also überwiegend als Teil der Systemadministration ausgeschrieben. Wer NIS-2-Maßnahmen umsetzen kann, sucht passende Stellen deshalb am besten auch unter Bezeichnungen der Systemadministration.

Auch die Arbeitsagenturen planen mit IT-Sicherheit, nicht mit NIS-2. Die Bildungszielplanung Berlin 2026 der Agenturen für Arbeit und Jobcenter zählt „IT-Sicherheit & Datenschutz“ zu den wichtigsten Tätigkeitsfeldern und will vorhandene digitale Kernkompetenzen wie IT-Sicherheit auf Experten- und Spezialistenniveau vertiefen. Zugleich hält sie einen Quereinstieg in die IT-Branche derzeit nur für schwer möglich. NIS-2 erwähnt die Berliner Planung nicht, ebenso wenig die Planungen für München, Köln, Stuttgart und Dresden; dort heißt das Bildungsziel IT-Sicherheit, Cybersecurity oder IT-Security.

Die zehn Maßnahmen nach § 30 Abs. 2 BSIG: Was IT-Fachkräfte dafür können müssen

§ 30 Abs. 2 BSIG zählt auf, was die Risikomanagementmaßnahmen mindestens umfassen müssen. Die Maßnahmen sollen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen; sie müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Tabelle ordnet jedem der zehn Bereiche zu, was eine IT-Fachkraft dafür praktisch können muss und in welchem Modul des Bausteins IT-Sicherheit der IHQ Akademie das geübt wird. Die Zuordnung stammt aus dem Maßnahmekonzept der IHQ Akademie (Stand 10.09.2026); ein Modul kann mehrere Bereiche abdecken. Eine Unterrichtseinheit (UE) dauert 45 Minuten.

Zu den Fachmodulen B3.1 bis B3.11 (584 UE) kommen das Einstiegsmodul B3.0 (32 UE), sechs KI-Teilmodule (56 UE) und B3.12 Projektarbeit und Leistungsfeststellung (48 UE); zusammen sind das 720 Unterrichtseinheiten. Geübt wird an einer Referenzumgebung: einem kleinen Unternehmensnetz mit Domäne, Linux-Diensten, Segmenten und Internetanbindung, das im Lauf des Bausteins gehärtet, überwacht und im Labor angegriffen wird. In der Projektarbeit erstellen die Teilnehmenden dafür ein Sicherheitskonzept mit Risikoanalyse, setzen Härtung, Firewall, VPN, Multi-Faktor-Authentifizierung, zentrale Protokollierung mit Erkennungsregeln und eine getestete Datensicherung um, behandeln einen simulierten Vorfall mit den Meldungen nach § 32 BSIG und legen einen Maßnahmennachweis vor.

Rechtsrahmen im Unterricht: das Modul NIS-2-Umsetzung

Das Modul B3.2 Rechtsrahmen und NIS-2-Umsetzung (40 UE) behandelt den Anwendungsbereich (§ 28 BSIG), die Registrierung (§ 33), die Risikomanagementmaßnahmen (§ 30 Abs. 2), die Meldepflichten (§ 32), die Pflichten und die Haftung der Geschäftsleitung (§ 38) und den Bußgeldrahmen (§ 65). Die Teilnehmenden prüfen an einem Beispielunternehmen anhand der gesetzlichen Schwellenwerte, ob es betroffen ist, erstellen einen Umsetzungsplan mit Lückenanalyse, in dem jede Maßnahme einem der zehn Bereiche zugeordnet ist, und erläutern einer fiktiven Geschäftsleitung ihre Pflichten nach § 38 BSIG. Rechtsberatung ist das nicht: Das Modul zeigt, was die administrierende Person für die Umsetzung wissen muss.

Meldepflichten nach § 32 BSIG: Fristen und wie man sie übt

Einen erheblichen Sicherheitsvorfall melden besonders wichtige und wichtige Einrichtungen an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. § 32 Abs. 1 BSIG legt dafür vier Stufen fest:

1. Frühe Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntniserlangung. Die Erstmeldung gibt an, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte.
2. Meldung: unverzüglich, spätestens 72 Stunden nach Kenntniserlangung. Die Meldung bestätigt oder aktualisiert die Angaben der Erstmeldung und enthält eine erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls mit Kompromittierungsindikatoren.
3. Zwischenmeldung: auf Ersuchen des BSI, mit relevanten Statusaktualisierungen.
4. Abschlussmeldung: spätestens einen Monat nach Übermittlung der Meldung, mit ausführlicher Beschreibung, Art der Bedrohung oder Ursache, getroffenen und laufenden Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen. Dauert der Vorfall zu diesem Zeitpunkt noch an, legt die Einrichtung zunächst eine Fortschrittsmeldung vor und die Abschlussmeldung nach abschließender Bearbeitung.

Wie das unter Zeitdruck abläuft, üben die Teilnehmenden im Modul B3.9 Vorfallbehandlung und Meldewesen (56 UE): den Ablauf der Vorfallbehandlung von der Vorbereitung über Erkennung, Eindämmung und Beseitigung bis zur Wiederherstellung und Nachbereitung, die Beweissicherung mit Nachweiskette, Ablaufpläne für Ransomware, Phishing und kompromittierte Konten und die Meldung von Datenschutzverletzungen nach Art. 33 DSGVO. In einem Planspiel mit verteilten Rollen für Administration, Geschäftsleitung, Dienstleister und Behörde behandeln sie einen simulierten Vorfall in der Referenzumgebung und erstellen frühe Erstmeldung, Meldung und Abschlussmeldung mit vollständigen Pflichtangaben und fristgerecht.

KI im Sicherheitsalltag: nur mit Prüfung

Im Baustein IT-Sicherheit folgen auf die Fachmodule sechs KI-Teilmodule mit zusammen 56 von 720 Unterrichtseinheiten (7,8 %). Kern ist das Verifikationsprinzip: Jede Ausgabe des KI-Werkzeugs wird gegen die Primärquelle geprüft, also gegen Rohdaten, Systemzustand, Baseline oder Gesetzestext, und erst danach übernommen. Personenbezogene Daten, Zugangsdaten, Schlüssel und Vorfalldaten Dritter werden nie an einen KI-Dienst übergeben. Die Teilmodule im Überblick:

• KI-B3.a Datenumgang mit Sicherheitsdaten, Vertraulichkeit, Verifikationsprinzip (8 UE): Vorfalldaten, Schwachstellenberichte, Meldungsentwürfe und Konfigurationen einstufen; falsche Fristen und Pflichtangaben in KI-Ausgaben am Gesetzestext erkennen.
• KI-B3.b Auswertung von Sicherheitsereignissen und Logs (12 UE): die Einordnung als Fehlalarm, Vorfall oder Priorität gegen die Rohdaten prüfen; in mindestens einem Fall nachweisen, dass die KI einen echten Vorfall als Fehlalarm bewertet hat.
• KI-B3.c Review von Sicherheitskonfigurationen (10 UE): Firewall-Regelwerke, Härtung und Berechtigungskonzepte gegen die Baseline prüfen und eine Regel erkennen, die die KI für unbedenklich hält, die aber einen unzulässigen Zugriff erlaubt.
• KI-B3.d Prüf- und Automatisierungsskripte (10 UE): KI-erzeugte Prüfskripte statisch prüfen, in einer Wegwerfmaschine testen und ein Skript erkennen, das eine Prüfung nur scheinbar durchführt.
• KI-B3.e Sicherheitsdokumentation und Maßnahmennachweis (6 UE): Entwürfe für den Maßnahmennachweis nach § 30 Abs. 2 BSIG und die Risikodokumentation gegen die Nachweise prüfen.
• KI-B3.f Aufbereitung von Meldungen (10 UE): Entwürfe für Erstmeldung, Meldung und Abschlussmeldung nach § 32 BSIG sowie für die interne Meldung an die Geschäftsleitung gegen Vorfallprotokoll, Pflichtinhalte und Fristen prüfen.

Wie die KI-Teilmodule in allen drei Bausteinen der Weiterbildung aufgebaut sind und welche Daten an einen KI-Dienst übergeben werden dürfen, erklärt unser Ratgeber zur KI-Weiterbildung mit Bildungsgutschein.

NIS-2-Weiterbildung mit Bildungsgutschein: Bedingungen und Ablauf

Der Bildungsgutschein nach § 81 SGB III ist themenneutral. Ein eigenes Förderprogramm nur für NIS-2 haben wir nicht gefunden, und die Bildungszielplanungen der Arbeitsagenturen nennen NIS-2 nicht. Gefördert werden kann aber eine Weiterbildung in IT-Sicherheit oder IT-Systemadministration, die NIS-2-Inhalte enthält, wenn die Bedingungen des § 81 Abs. 1 SGB III erfüllt sind:

• Die Weiterbildung ist notwendig, um Sie bei Arbeitslosigkeit beruflich einzugliedern oder eine drohende Arbeitslosigkeit abzuwenden.
• Die Agentur für Arbeit hat Sie vor Beginn der Teilnahme beraten.
• Träger und Maßnahme sind für die Förderung zugelassen (AZAV).

Seit dem 01.01.2025 erhalten auch Kund:innen des Jobcenters die Förderung über die Agentur für Arbeit; sie sprechen zuerst mit dem Jobcenter. Den Bildungsgutschein gibt es nur nach einer Beratung, und ob Sie ihn bekommen, entscheidet die Agentur für Arbeit im Einzelfall. Der Gutschein nennt ein Bildungsziel und gilt höchstens drei Monate. Mit bewilligtem Bildungsgutschein übernimmt die Agentur für Arbeit die Weiterbildungskosten.

1. Angebote vergleichen: In mein NOW, der Weiterbildungssuche der Bundesagentur für Arbeit, suchen Sie zugelassene Weiterbildungen in IT-Sicherheit oder IT-Systemadministration. Prüfen Sie, ob die zehn Bereiche des § 30 Abs. 2 BSIG und die Meldepflichten vorkommen und wie viel Laborpraxis es gibt.
2. Beratung vereinbaren: als Kund:in der Agentur für Arbeit dort, als Kund:in des Jobcenters zuerst im Jobcenter.
3. Notwendigkeit begründen: Im Beratungsgespräch erklären Sie, warum die Weiterbildung für Ihre berufliche Eingliederung notwendig ist, zum Beispiel mit Ihrer IT- oder technischen Vorbildung und Stellenanzeigen aus der Systemadministration.
4. Bildungsgutschein prüfen: Passt das Bildungsziel zur gewählten Weiterbildung, und wie lange gilt der Gutschein?
5. Anmelden: Melden Sie sich beim Träger an und reichen Sie den Gutschein rechtzeitig vor Beginn ein; der erste Kurstag muss in der Gültigkeitszeit liegen.

Was die IHQ Akademie nicht anbietet

Die IHQ Akademie schult weder Belegschaften noch Geschäftsleitungen zu NIS-2 und berät Unternehmen nicht bei der Umsetzung. Die Weiterbildung IT-Administrator/in richtet sich an Einzelpersonen, deren Teilnahme die Agentur für Arbeit mit einem Bildungsgutschein fördert – seit dem 01.01.2025 auch bei Kund:innen des Jobcenters, die zuerst mit dem Jobcenter sprechen; Selbstzahlende nimmt die IHQ Akademie in diese Weiterbildung nicht auf. Einen Vorbereitungslehrgang auf CISSP, CISM, CEH oder OSCP bietet sie ebenfalls nicht an. Unternehmen finden die ersten Schritte beim BSI: die anonyme NIS-2-Betroffenheitsprüfung, die Registrierung im BSI-Portal über „Mein Unternehmenskonto“ und eine Handreichung zu Geschäftsleitungsschulungen nach § 38 Abs. 3 BSIG für Schulungsanbieter und Geschäftsleitungen. Einzelne Anbieter empfiehlt das BSI nicht. Eine finanzielle Förderung des Bundes für die NIS-2-Umsetzung in Unternehmen ist laut BSI derzeit nicht vorgesehen.

IT-Sicherheit (Cyber Security) in der Weiterbildung IT-Administrator/in bei der IHQ Akademie

Bei der IHQ Akademie ist NIS-2 Inhalt des Bausteins IT-Sicherheit, keine eigene Weiterbildung. Der Baustein ist der dritte von drei Unterrichtsbausteinen der Weiterbildung IT-Administrator/in (Maßnahme 962/128/2026): Linux- und Serveradministration, Netzwerkadministration und IT-Sicherheit, danach folgen zwei Monate Praktikum in einem Betrieb. Sein Bildungsziel: Die Teilnehmenden setzen die Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG in kleinen und mittleren Umgebungen technisch um, betreiben sie, erkennen und behandeln Sicherheitsvorfälle, erfüllen die Meldepflichten und weisen die Maßnahmen nach, und zwar aus der Rolle der administrierenden Person heraus. Der Praxisanteil liegt in jedem Modul bei mindestens 60 % der Unterrichtseinheiten; der Unterricht findet live online mit Lehrkraft statt, die Laborumgebung erreichen Sie über das Internet.

Die Weiterbildung richtet sich an Arbeitsuchende und von Arbeitslosigkeit Bedrohte mit IT-Vorbildung, etwa mit einer IT-Ausbildung, einem IT-Studium oder mehrjähriger IT-Berufserfahrung, die in der Linux-, Netzwerk- oder Sicherheitsadministration keine oder veraltete Kenntnisse haben, an Personen mit im Ausland erworbenen IT-Abschlüssen oder IT-Berufserfahrung sowie an Personen mit Ausbildung oder Berufserfahrung in technisch verwandten Feldern wie Elektrotechnik, Mechatronik, Informationselektronik oder IT-Support, die sich zur Systemadministration weiterentwickeln wollen. Ein Quereinstieg ohne jede technische Vorbildung ist nicht das Ziel. Formale Voraussetzungen sind Deutsch ab B1 und PC-Grundkenntnisse; ob Ihre Vorbildung passt, besprechen wir im Erstgespräch.

Zertifikate: ISC2 CC oder CompTIA Security+, und was sie nicht prüfen

Im Baustein IT-Sicherheit können Sie freiwillig eine von zwei externen Zertifizierungsprüfungen ablegen: ISC2 Certified in Cybersecurity (CC) auf Deutsch, nur im Testcenter, oder CompTIA Security+ auf Englisch, im Testcenter oder online; für die englische Prüfung gewährt CompTIA in Deutschland automatisch 30 Minuten Zeitzuschlag. Je Zertifizierung ist ein Prüfungsversuch aus den Maßnahmekosten finanziert. Die Prüfung ist keine Voraussetzung für den Abschluss des Bausteins. Die Prüfungsinhalte sind im Unterricht enthalten, soweit sie zum Bildungsziel gehören.

Nach dem Abgleich der IHQ Akademie mit den veröffentlichten Prüfungszielen (Stand der Prüfungsziele: September 2026) decken die beiden Zertifizierungen nur einen Teil des Bausteins ab: Security+ 280 von 720 Unterrichtseinheiten vollständig oder überwiegend, CC 128. Den deutschen Rechtsrahmen, die Meldekette nach § 32 BSIG und die praktische Umsetzung von Härtung, Netzwerksicherheit, Protokollierung und Vorfallbehandlung prüft keine der beiden. Genau diese Teile übt der Baustein in der Referenzumgebung.

Häufige Fragen (FAQ)