ISO 27001:2022 · A.6.3 · A.6 Personenbezogene Maßnahmen

Informationssicherheitsbewusstsein, Schulung und Training

Alle Beschäftigten und relevante Externe müssen ein angemessenes Bewusstsein für Informationssicherheit erhalten sowie regelmäßige Schulungen und Aktualisierungen passend zu ihrer Funktion.

ISO 27001NIS2TISAXBSI

Was fordert dieses Control?

Alle Beschäftigten und relevante Externe müssen ein angemessenes Bewusstsein für Informationssicherheit erhalten sowie regelmäßige Schulungen und Aktualisierungen passend zu ihrer Funktion.

Warum ist das wichtig?

Der Mensch ist das häufigste Einfallstor. Regelmäßige Awareness senkt die Erfolgsquote von Phishing und Social Engineering messbar und ist eine zentrale NIS2-Pflicht.

Bezug zu anderen Normen

Norm	Stelle	Thema	Bezug
NIS2	§ 38 Abs. 3, § 30 Abs. 2 Nr. 7 BSIG	Schulung der Leitung & Mitarbeiter	Direkt
TISAX	2.1.2	Sensibilisierung	Direkt
BSI	ORP.3	Sensibilisierung und Schulung	Direkt

Was der Auditor erwartet

Schulungsplan mit Zielgruppen, Themen und Intervallen
Teilnahmenachweise und Ergebnisse (z.B. Quiz, Phishing-Tests)
Rollenangepasste Inhalte für besonders exponierte Funktionen

Audit-Checkliste

Dokumente

Awareness- und SchulungskonzeptZielgruppen, Themen, Frequenz und Verantwortliche

Nachweise

Teilnahmequoten und AbschlüsseWer wann welche Schulung absolviert hat

Phishing-SimulationsergebnisseKlickraten und Lernfortschritt über die Zeit

GF-SchulungsnachweisTeilnahme der Geschäftsleitung an der Awareness-Schulung

Interviews

Stichprobe MitarbeiterKennen sie Melde- und Verhaltensregeln im Ernstfall

Praxis-Tipps zur Umsetzung

Kurz und regelmäßigMehrere kurze Einheiten über das Jahr wirken besser als eine jährliche Pflichtschulung.

Mit Simulationen messenPhishing-Tests machen den Lernerfolg sichtbar und liefern Audit-Nachweise.

Leitung einbeziehenNIS2 verlangt ausdrücklich auch Schulung der Geschäftsführung.

Häufige Fehler

Einmal und nie wiederOnboarding-Schulung ohne jährliche Auffrischung erfüllt die Anforderung nicht.

Externe vergessenDienstleister mit Systemzugriff bleiben oft ungeschult.

Häufig gestellte Fragen

Wie oft muss geschult werden?

Mindestens jährlich, ergänzt um anlassbezogene Sensibilisierung. Exponierte Rollen häufiger.

Zählt eine E-Learning-Plattform?

Ja, sofern Teilnahme und Abschluss nachweisbar dokumentiert werden.

Muss die Geschäftsführung teilnehmen?

Unter NIS2 ja, Schulung der Leitungsorgane ist verpflichtend.

So hilft CompliantDesk bei A.6.3

Das Awareness-Modul plant Kampagnen, versendet Schulungen per Magic-Link, führt Phishing-Simulationen durch und liefert auditfähige Teilnahme-Reports.

Demo buchen Kostenloser NIS2-Check

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten