Serious Games : GF Games : Cyber-Serious-Games für die Geschäftsleiterschulungen

BSI-Empfehlungen

In seiner im April 2026 aktualisierten und veröffentlichten „Handreichung für die Empfehlung zur Schulungspflicht für Geschäftsleitungen wichtiger Einrichtungen und besonders wichtiger Einrichtungen nach dem BSI-Gesetz sowie für freiwillige Schulungen von Geschäftsleitungen nicht-regulierter Unternehmen“, kurz „Schulungen für Geschäftsleitungen“ [3], gibt das BSI „eine erste Hilfestellung sowohl für die Schulungspflicht als auch für alle anderen Unternehmen und Organisationen, die Risikomanagement auf der höchsten Ebene etablieren wollen“.

Wie das Amt betont, handelt es sich ausdrücklich um Empfehlungen – das bedeutet, dass keine rechtliche Verpflichtung zur Verwendung der Handreichung besteht. Zudem stellt die Handreichung „keine abschließende Empfehlung für die Schulungen von Geschäftsleitungen“ dar, sondern vermittelt vielmehr „das Verständnis des BSI für die notwendigen Schulungsinhalte“.

Besonders wichtig ist: An der Handreichung können sich grundsätzlich alle Einrichtungen orientieren, für welche die Schulungspflicht aus § 38 Abs. 3 BSIG gilt – ebenso aber auch nicht-regulierte Unternehmen. Auch Einrichtungen, die im Gesetz nicht ausdrücklich genannt werden, aber aufgrund anderer gesetzlicher Vorgaben vergleichbaren Schulungspflichten unterliegen, können sich also an den Empfehlungen orientieren. Gleiches gilt für Unternehmen, für die weder nach dem BSIG noch aufgrund anderer Normen eine Verpflichtung zur Durchführung von Geschäftsleitungsschulungen besteht, die Cybersicherheit jedoch zur Chefsache* machen wollen.

Was die BSI-Handreichung hingegen ausdrücklich nicht will, ist „der Ausbildung der Geschäftsleitungen zu Expertinnen und Experten im Risikomanagement dienen.“ Gerade deshalb sollten Inhalte und Formate anderer Awareness-Trainings – etwa Cybersecurity-, Datenschutz- oder Compliance-Schulungen für Mitarbeiter – nicht einfach übernommen und auf diese spezielle Zielgruppe übertragen werden. Genau darin liegt letztlich auch die Notwendigkeit dieser besonderen Handreichung.

Für Schulungsanbieter bietet sie die Möglichkeit, ihre Angebote inhaltlich am vorgesehenen Scope auszurichten und den Anforderungen an Geschäftsleitungsschulungen gerecht zu werden. Einrichtungen können sie für ein Self-Assessment der Erfüllung ihrer Pflichten aus dem BSIG nutzen. Und die „beschulten“ Geschäftsleitungen können mithilfe der Orientierungshilfe den Scope der vermittelten Schulungsinhalte überprüfen.

Gemeinte und mitgemeinte Adressaten der Schulungen

Die BSI-Handreichung „Schulungen für Geschäftsleitungen“ adressiert zwar ausdrücklich nur die Schulungspflicht gemäß § 38 Abs. 3 BSIG, lässt aber nicht unerwähnt, dass das BSIG weitere Schulungspflichten enthält. Bei der Umsetzung in deutsches Recht wurden die Schulungspflichten aus Art. 20 der NIS-2-Richtlinie nämlich zweigeteilt.

Das BSIG definiert die Geschäftsleitung als „eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist“ (§ 2 Nr. 13 BSIG). Von dieser Definition werden „Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung“ ausgenommen – allerdings nur, um dieselben Pflichten im nahezu gleichlautenden § 43 BSIG erneut aufzunehmen: Behördenleitungen werden unter anderem dafür verantwortlich gemacht, „die Voraussetzungen zur Gewährleistung der Informationssicherheit zu schaffen“ und dies dem BSI spätestens fünf Jahre nach Inkrafttreten des Gesetzes nachzuweisen. Darüber hinaus muss die Leitung der Einrichtung der Bundesverwaltung regelmäßig an Schulungen teilnehmen und darin „ausreichende Kenntnisse und Fähigkeiten“ zur Risikoerkennung, Risikobewertung sowie zu Risikomanagementpraktiken im Hinblick auf die von der Einrichtung erbrachten Dienste erwerben.

Das „regelmäßig“ legt das BSI in seiner Handreichung für Geschäftsleitungen, Behördenleitungen sowie andere regulierte und nicht-regulierte Einrichtungen gleichermaßen aus. Es empfiehlt, „die Schulungs-Intervalle und -Dauer dem Risiko angemessen zu wählen und sich nach der Risikoexposition der Einrichtung und individuellen Fähigkeiten der Geschäftsleitungen zu richten“.

Geeignete Formate

Geschäftsleitungen, Vorstände sowie Behörden- oder Institutsleitungen bilden eine Zielgruppe, die im besonderen Maße sensibel auf Versuche reagieren dürfte, ihre – oft äußerst knappen – Zeitressourcen zu „verschwenden“. Für den Erfolg der Wissensvermittlung sind deshalb nicht nur Dauer und Inhalte der Geschäftsleitungsschulung von wesentlicher Bedeutung, sondern ebenso ihre Form.

In der Orientierungshilfe für Geschäftsleitungsschulungen nennt das BSI deshalb Formate, die über den klassischen Frontalunterricht hinausgehen. Dazu gehören das Risikomanagement-Quarterly, die Tabletop-Exercise beziehungsweise das Planspiel, die Audit-Simulation, das Management-Red-/Blue-Teaming, Szenarien, Übungen und Case-Studies, ergänzt durch Live-Hacking.

Die Begründung ist unmittelbar aus der Praxis abgeleitet: Solange Risikomanagement nicht anhand von Beispielszenarien, interaktiven Übungen oder Case-Studies handhabbar gemacht wird, bleibe es „sehr abstrakt und wenig greifbar“. Gerade interaktive und zeitlich dezentrale Formate eignen sich dazu, den Bezug zwischen Schulungsinhalten und gelebter Risikomanagementpraxis herzustellen.

Wer eine solche Schulung nachweispflichtig dokumentieren muss (Teilnehmer, Datum, Dauer, Inhalte und den Bezug zu § 38 Abs. 3 BSIG), braucht deshalb von Anfang an geeignete Formate.

Cyber-Serious-Games

Drei ausgewählte, aktuelle und öffentlich zugängliche Cyber-Serious-Games zeigen exemplarisch, wie sich interaktive Schulungsformate in das Training integrieren lassen – und wie sie dazu beitragen können, die Ziele, die der Gesetzgeber mit den Geschäftsleitungsschulungen verfolgt, besser und effektiver zu erreichen:

• ein behördliches Investitionsspiel,
• eine sektorielle Improvisationsübung,
• in Akteurs-Kartenspiel zur deutschen Cybersicherheitsarchitektur.

Cyberkrise – ein Micro Game für die Verwaltung inklusive Investitionsentscheidungen unter Unsicherheit

Das Bundesministerium des Innern (BMI) hat mit „Cyberkrise – Ein Micro Game für die Verwaltung“ [4] ein kompaktes, barrierefrei gestaltetes Format veröffentlicht: 13 Seiten auf Deutsch, Englisch oder Französisch, kostenfrei als PDF erhältlich (unter Creative-CommonsLizenz CC BY-NC-SA 4).

Das Spiel ist in vier klar getaktete Phasen unterteilt: Zunächst müssen vier bis fünf Teams à zwei bis drei Personen exakt zwölf Investitionsentscheidungen (12 „Einheiten“) auf sieben kritische Bereiche verteilen, darunter nationaler Sicherheitsrat, internationale Kooperation und kritische Infrastruktur. Jeder Bereich startet mit einem Defizit von minus zwei, sodass die erste investierte Einheit den Bereich lediglich auf das Niveau von „Null“ zurückführt. Ressourcenknappheit ist also von Beginn an Teil des Spiels (wie im realen Leben) – sie wird nicht nachträglich simuliert.

Für die Verteilung der Einheiten bleiben genau zehn Minuten. Anschließend haben die Teilnehmer drei Minuten für die schriftliche Begründung und drei weitere Minuten für deren Präsentation vor den anderen Teams. Danach würfelt die Spielleitung für jeden Bereich die „Wesentlichkeit“ und addiert das Ergebnis zum jeweiligen Investitionsniveau. Diese Zufallselemente des Games berücksichtigen, dass reale Krisenverläufe immer auch externe, unerwartete Faktoren enthalten, die keine Investitionsstrategie vollständig auffangen kann.

In der dritten Phase vollziehen die Spielleitung und die Spieler einen Zeitsprung von fünf Jahren, nach dem ein finaler Würfelwurf über die dann tatsächlich eintretende Krise entscheidet. Die Bandbreite potenzieller Krisen reicht von einem gezielten Angriff auf die Verwaltung bis zu einem großflächigen, naturbedingten Stromausfall. Nun zeigt sich, ob die Investitionen in den richtigen Bereichen erfolgt sind, um auf die Krise angemessen reagieren zu können. Im abschließenden Debriefing müssen die Teams ihre früheren Entscheidungen begründen, Fehleinschätzungen benennen und eigene Denkverzerrungen offenlegen. Die zentrale Frage lautet dabei nicht, wer gewonnen hat, sondern ob getroffene Entscheidungen im (künftigen) Ernstfall tatsächlich Bestand hätten.

Wer sich bei dem Micro Game des BMI und der Bundeswehr an den Kobayashi-Maru-Test aus der Science-Fiction-Kultserie Star Trek erinnert fühlt, liegt nicht ganz falsch: In dieser Simulation soll das Kommando eines Sternenflottenschiffs eine Rettungsaktion des auf feindlichem Territorium gestrandeten (zivilen) Handelsschiffs „Kobayashi Maru“ durchführen, wobei jede Entscheidung zu Verlusten führt – entweder bei der eigenen oder der gestrandeten Crew. Die Kadetten der Sternenflottenakademie sollen in diesem „No-Win“-Szenario den Umgang mit ausweglosen Situationen und Unsicherheiten lernen. Dadurch sollten die Konsequenzen eigener Entscheidungen erfahrbar gemacht werden.

Das BMI formuliert das Ziel von „Cyberkrise“ wie folgt: „Entscheiden zu lernen bei unvollkommener Information, unter Zeitdruck und unter Unsicherheit.“ Dies deckt sich nahezu wörtlich mit den Kompetenzfeldern der BSI-Handreichung: Risikoerkennung und -bewertung, Beurteilung der Auswirkungen von Risiken und Risikomanagementpraktiken auf die erbrachten Dienste. Da das Spiel ursprünglich für die Verwaltung konzipiert wurde, ist es kostenfrei und in genau 90 Minuten (online oder offline) spielbar. Es lässt sich ohne Lizenzkosten und mit einem – für sachverständige Dritte – überschaubaren Vorbereitungsaufwand als Tabletop-Exercise in eine Geschäftsleitungsschulung integrieren.

Der entscheidende Mehrwert liegt im Debriefing: Es ermöglicht den Teilnehmern, frühere Managemententscheidungen a posteriori zu reflektieren – in einer sicheren, aber realistischen Spielumgebung. Die Fähigkeit, Entscheidungen gegenüber Aufsicht, Aufsichtsrat oder Öffentlichkeit begründen zu können, verlangt auch das BSIG von Leitungsorganen. Zugleich hilft das Debriefing, die Konsequenzen der Investitionsentscheidungen besser zu verstehen – und schließlich bessere, informierte Entscheidungen zu treffen.

disconnected unexpected – eine Cyber-Impro-Übung als laufendes Format

„disconnected unexpected“ [5] ist grundsätzlich kein einmaliges Planspiel, sondern ein sich fortlaufend weiterentwickelndes Format, das von einer Community aus den Bereichen IT, Cybersecurity und Krisenmanagement getragen wird – es besteht aus drei Bausteinen: die „Cyber Impro Tabletop Exercises“ (CITTX), Serious Games sowie die 72-Stunden-Übung – alle Formate finden regelmäßig live und kostenlos online statt.

Bei der Cyber Impro Tabletop Exercise (#CITTX) stellt sich ein gemischtes Team aus verschiedenen Funktionen (IT, Sicherheit, Datenschutz, Kommunikation, Stab etc.) innerhalb von rund 60 Minuten einem Cyberszenario, testet seine Reaktionsfähigkeit und trägt erste Erkenntnisse zusammen. Ein Rollenmodell ordnet Positionen den vorhandenen Skills und Interessen zu, sodass auch bei Ausfällen ein vollständiges Krisenteam spielfähig bleibt. Die Teams erleben realitätsnahe Stresssituationen – Abhängigkeiten zwischen Teams und Organisationen zeigen sich erst, wenn man sie tatsächlich durchsteht. Im Anschluss findet ein nichtöffentliches Debriefing mit dem Team sowie allgemein und öffentlich ein praktischer Lerntransfer via Discord statt.

Der entscheidende Unterschied zu geskripteten Tabletop-Übungen liegt im Improvisationsprinzip: Es gibt kein Drehbuch, an dem sich die Teilnehmer orientieren könnten. Genau das entspricht der Definition von „Management Red-/Blue-Teaming“ und „Übungen“ in der BSI-Handreichung: Managemententscheidungen werden im tatsächlichen Erleben eines sich entwickelnden Angriffsszenarios getroffen, nicht in der Simulation eines Ablaufs, dessen Auflösung von Anfang an feststeht. Für Leitungsorgane ist das relevanter, als es zunächst klingt, da reale Krisen selten einem vorab eingeübten Skript folgen.

Bei den Cyber Serious Games kommen anstelle eines frei entstehenden Krisenverlaufs fertige Titel zum Einsatz, die sofort spielbar sind. Diese erprobten Spiele bringen ein festes Regelwerk, vorbereitete Materialien und einen klar definierten Ablauf mit. Dadurch können sie ohne aufwändige Szenariokonstruktion direkt starten. In kompakten, regelgeleiteten Runden trainieren die Teilnehmer gezielt einzelne Kompetenzen und Teamdynamiken wie Entscheidungsverhalten, Priorisierung unter Unsicherheit, Kommunikation und Kooperation. Der spielerische Rahmen senkt die Einstiegshürde und macht Fehlentscheidungen folgenlos erlebbar – man darf ausprobieren, scheitern und sofort neu ansetzen. Da die Spiele standardisiert und wiederholbar sind, werden Ergebnisse zwischen verschiedenen Gruppen vergleichbar und Muster im eigenen Verhalten sichtbar. Serious Games wirken somit als niedrigschwelliger Kompetenzaufbau und als Eisbrecher, der heterogene Gruppen zu spielfähigen Teams zusammenwachsen lässt – und liefern so die Grundlage für anspruchsvollere Formate wie die #CITTX.

Für die Formate „Cyber Tabletop Exercise“ und „Cyber Serious Games“ hält eine Cyber Impro Reserve Teilnehmer bereit, die kurzfristig unbesetzte Rollen übernehmen, sodass auch bei Ausfällen ein vollständiges Krisenteam entstehen kann und spielfähig bleibt.

Das Langzeitformat der 72-Stunden-Übung verlässt den Rahmen der einstündigen Session, um einen Krisenverlauf über bis zu drei Tage hinweg abzubilden. Anstelle einer punktuellen Reaktionsprobe entsteht eine durchgehende Lage, in der sich Ermüdung, Informationsflut, Schichtwechsel und die Erosion anfänglicher Routinen realitätsnah entfalten. Die Teilnehmer erleben dabei, was in kurzen Formaten systematisch ausgeblendet bleibt: die Notwendigkeit von Ablösung und Reserve, den Umgang mit unvollständiger und widersprüchlicher Information über lange Zeiträume, das Nachlassen der Entscheidungsqualität unter anhaltender Belastung sowie die Bedeutung von Dokumentation, Übergaben und belastbaren Kommunikationsketten.

^{Standbild aus einer „Cyber Impro Tabletop Exercise“ (CITTX) von disconnected unexpected}

Abhängigkeiten zwischen Teams, Organisationen und externen Stellen werden so nicht nur punktuell sichtbar, sondern über eine gewisse Dauer auch wirklich strapaziert.

Die 72-Stunden-Übung prüft somit weniger die erste Reaktion als vielmehr die Durchhaltefähigkeit und organisatorische Resilienz einer Krisenorganisation. Sie liefert einen Lerntransfer, der bis in Strukturen, Rollenpläne und Business-Continuity-Konzepte hineinreicht.In der eigenen Schulungspraxis der Autorinnen ist „disconnected unexpected“ bereits fester Bestandteil einer NIS-2- und DORAkonformen Geschäftsleitungsschulung. Ein 45-minütiges Rollenspiel bildet dort den Baustein „Der Ernstfall – Tabletop-Übung“. Darin werden Systemabschaltung, Meldezeitpunkt und Kommunikationsinhalte unter Zeitdruck durchlebt, bevor Leitfragen zur Entscheidungsfähigkeit der Geschäftsleitung die Schulung abschließen. Ein konkretes, dokumentierbares Format – und eines, das keine Vorbereitung erlaubt, die den Ernstfall entschärfen würde.

Das Rollenkonzept der Cyber-Impro-Übung hat einen weiteren Mehrwert, den das BSI in seinen Empfehlungen wie folgt erläutert: „Es kann sinnvoll sein, die Schulungspflicht im Sinne des BSIG bzw. die Schulungen für Geschäftsleitungen von nicht-regulierten Einrichtungen auf weitere Personen auszuweiten, die den Geschäftsleitungen zuarbeiten oder anderweitige Entscheidungsvollmacht innehaben.“ Das Format ist darauf ausgelegt, die Interaktion auf weitere – interne wie externe – Rollen und Funktionen auszuweiten.

Cybersicherheitsarchitektur – das Akteurs-Kartenspiel für Verantwortlichkeiten im Ernstfall

Das Spiel kann über die Website kostenpflichtig bestellt werden, um sich damit selbst als „Facilitator“ (Spielkoordinator) auszubilden – alternativ kann man einen Facilitator auch kostenpflichtig buchen.

Acht Ereigniskarten im Grundspiel basieren jeweils auf einem realen, quellenbasiert dokumentierten Vorfall. Zwei identische Kartendecks ermöglichen es zwei Teams, unabhängig voneinander zu entscheiden, welche Akteure bei einem konkreten Fall sinnvollerweise einzubinden wären. Ein Beispiel ist der Cyberangriff auf die Stadtverwaltung, die Stadtwerke und die Sozialstationen Rodgau im Februar 2023, bei dem die Verwaltungssysteme wochenlang ausfielen, während die kritische Infrastruktur wie die Abwasserentsorgung und die Straßenbeleuchtung funktionsfähig blieb. Für jeden korrekt benannten Akteur gibt es einen Punkt, für jeden fälschlich benannten einen Punktabzug. Das Facilitator-Paket liefert die quellenbasiert belegte Lösung samt Reflexionsfragen und Originalzitaten. Im Rodgau-Fall ist es etwa das Zitat der damaligen Pressesprecherin, jede betroffene Kommune müsse „das Rad neu erfinden“.

Die eigentliche Designleistung besteht darin, aus einem notorisch unübersichtlichen Akteursfeld ein Format mit klarer Punktelogik zu entwickeln, ohne dabei die Komplexität zu unterschlagen. Konzeptioneller Ausgangspunkt war die von Interface (zuvor: Stiftung Neue Verantwortung) erarbeitete Visualisierung der deutschen staatlichen Cybersicherheitsarchitektur (www.cybersicherheitsarchitektur.de). Das Spiel übersetzt diese Landkarte in erlebbare Entscheidungssituationen.

„Cybersicherheitsarchitektur“ wurde über einen Zeitraum von eineinhalb Jahren im Fachseminar der Bundesakademie für Sicherheitspolitik erprobt und weiterentwickelt. An dem Seminar nahmen Personen aus dem Auswärtigen Amt und dem BSI ebenso teil wie Praktiker, die bereits reale Fälle bearbeitet hatten. Beim Spielen fällt auf, dass die Akteursbeteiligung von Fall zu Fall variiert und die Architektur trotz ihrer Komplexität in der Praxis überraschend flexibel funktioniert.

Für Geschäftsleitungen ist das ein unmittelbar nutzbarer Erkenntnisgewinn, da es die verbreitete Annahme korrigiert, das System sei zu kompliziert, um im Ernstfall zu funktionieren. Da sämtliche Ereignisse dokumentiert und belegt sind, deckt das Format zwei der in der BSI-Handreichung genannten Bausteine ab: Szenarien und Case-Studies. Seine Modularität macht es zusätzlich praktikabel: Zwei Ereignisse sind in 30 bis 45 Minuten spielbar, alle acht in einer entsprechend längeren Session. Auch das BSI stellt es regulierten Einrichtungen übrigens frei, ob Inhalte „in nur einer Schulung oder aufgeteilt auf mehrere Schulungen vermittelt werden“. Ebenso gut lässt sich das Spiel als Impuls für eine vertiefende Diskussion einsetzen.

Homo ludens inter pares

Die drei vorgestellten Formate ergänzen sich: „disconnected unexpected“ trainiert die Kommunikation und Entscheidungsfähigkeit unter hoher Unsicherheit, da kein Drehbuch vorgibt, was als Nächstes passiert. Beim Micro-Game des BMI werden die strategische Ressourcenallokation unter unvollständiger Information sowie das Verstehen und die Reflexion über die getroffenen Entscheidungen trainiert. Und „Cybersicherheitsarchitektur“ vermittelt Struktur- und Zuständigkeitswissen im deutschen und europäischen Akteursgefüge anhand realer Fälle.

Keines der drei Formate verlangt technische Vorkenntnisse. Alle drei sind (wenngleich nicht alle kostenlos) öffentlich zugänglich und mit – für Sachverständige – überschaubarem Aufwand nutzbar. Ihre klare Struktur liefert die von der BSI-Handreichung verlangte Dokumentationsgrundlage. Und alle drei lassen sich auch in traditionelle Schulungsformate wie Impulsvortrag, Fallstudie oder Diskussion integrieren.

Was die Ansätze eint, ist der Anspruch, die Anforderungen des BSIG an Leitungsorgane effektiv und zugleich unterhaltsam zu erfüllen: Nicht technisches Detailwissen steht im Vordergrund, sondern die belastbare Fähigkeit, unter Unsicherheit Entscheidungen zu treffen und begründen zu können sowie ihre Konsequenzen zu verstehen.

Anders als von Mitarbeitern, von denen Expertise in ihrem jeweiligen Zuständigkeitsbereich erwartet werden darf, sollten Geschäftsleitungen vielmehr „dafür sorgen, dass die richtigen Kompetenzen an den richtigen Stellen der Einrichtungen verfügbar […] und mit ausreichenden Mitteln ausgestattet sind“ [3]. In den geübten, gespielten oder improvisierten Situationen der vorgestellten CyberSerious-Games wird das vom BSI geforderte Verständnis dafür, „was mit den geforderten bzw. empfohlenen technisch-organisatorischen Maßnahmen gemeint ist“, erlebbar und erfahrbar gemacht, „wie sich eine (Nicht-) Implementation betriebswirtschaftlich auswirkt“.

Sabine Griebsch ist Krisenmanagerin (Cyber/IT), Senior Advisor Government Resilience und Managing Director von GovThings und begleitet kommunale IT-Krisenfälle und ITKrisenübungen in Praxis und Theorie.

Dr. Aleksandra Sowa ist zertifizierte Datenschutzbeauftragte, Datenschutzauditorin und IT-Compliance-Manager, Sachverständige für IT-Sicherheit sowie Mitglied im Leitungskreis der Fachgruppe „Datenschutzfördernde Technik (Privacy-Enhancing Technologies, PETs)“ der Gesellschaft für Informatik (GI) e.V

Literatur

^{[1] Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Hinweise zur Umsetzung von DORA im IKTRisikomanagement und IKT-Drittparteienrisikomanagement, Aufsichtsmitteilung, Juni 2024, www.bafin.de/SharedDocs/Downloads/DE/Anlage/Aufsichtsmitteilung/dl_2024_07_08_Aufsichtsmitteilung_Umsetzungshinweise_DORA.pdf}  

^{[2] Deutscher Bundestag, Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, in: Bundesgesetzblatt Teil I Nr. 301, Dezember 2025, www.recht.bund.de/eli/bund/bgbl1/2025/301}

^{[3] Bundesamt für Sicherheit in der Informationstechnik (BSI), Schulung für Geschäftsleitungen, Handreichung für die Empfehlung zur Schulungspflicht für Geschäftsleitungen wichtiger Einrichtungen und besonders wichtiger Einrichtungen nach dem BSI-Gesetz sowie für freiwillige Schulungen von Geschäftsleitungen nicht-regulierter Unternehmen, Version 1.0, April 2026, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/NIS-2/nis-2-geschaeftsleitungsschulung.pdf}

^{[4] Bundesministerium des Innern (BMI), Bundeswehr, Cyberkrise, Ein Micro Game für die Verwaltung, Dezember 2025, www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/it-digitalpolitik/BMI25074-microgame-cyberkrise.pdf}

^{[5] Sabine Griebsch, Dirk Kunze, Franz Lantenhammer, Marie-Luise Wegg, Disconnected Unexpected, Cyber Impro Tabletop Exercise (CITTX), undatiert, www.disconnected-unexpected.de}  

 ^{[6] Sabine Griebsch, Interview Cybersicherheitsarchitektur, Gespräch mit Julia Schütze, YouTube-Video, Juni 2026, www.youtube.com/watch?v=0sKtBcT1bAU}