NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 7 BSIG

Cyberhygiene & Schulungen

NIS2 fordert grundlegende Cyberhygiene-Praktiken und regelmäßige Schulungen für alle Beschäftigten, ausdrücklich auch für die Geschäftsleitung. Ziel ist ein durchgängiges Sicherheitsbewusstsein im gesamten Unternehmen.

NIS2§ 30 Abs. 2 Nr. 7, § 38 Abs. 3 BSIGA.6.3 A.8.7

Warum diese Pflicht wichtig ist

Der Mensch ist das häufigste Einfallstor. § 38 Abs. 3 BSIG verpflichtet zudem ausdrücklich die Geschäftsleitung, regelmäßig an Schulungen teilzunehmen, denn sie muss die Risikomanagementmaßnahmen umsetzen und überwachen.

So setzen Sie die Pflicht um

01Schulungsplan mit Zielgruppen, Themen und Intervallen erstellen
02Awareness regelmäßig und in kurzen Einheiten durchführen
03Phishing-Simulationen zur Messung des Lernerfolgs einsetzen
04Geschäftsleitung verpflichtend einbeziehen
05Teilnahme nachweisbar dokumentieren

Diese Nachweise erwartet die Aufsicht

Awareness- und Schulungskonzept
Teilnahmequoten und Abschlussnachweise
Ergebnisse von Phishing-Simulationen

Häufige Fehler

Einmal und nie wiederEine Onboarding-Schulung ohne jährliche Auffrischung erfüllt die Anforderung nicht.

Leitung außen vorDie Geschäftsführung nimmt nicht teil, obwohl NIS2 das ausdrücklich verlangt.

Passende ISO-27001-Controls

Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:

A.6.3Informationssicherheitsbewusstsein, Schulung und Training A.8.7Schutz vor Schadsoftware

Häufig gestellte Fragen

Muss die Geschäftsführung wirklich geschult werden?

Ja. NIS2 verpflichtet die Leitungsorgane ausdrücklich, an Schulungen teilzunehmen, um Risiken bewerten zu können.

Wie oft muss geschult werden?

Mindestens jährlich, ergänzt um anlassbezogene Sensibilisierung. Exponierte Rollen häufiger.

Zählt eine E-Learning-Plattform?

Ja, sofern Teilnahme und Abschluss nachweisbar dokumentiert werden.

In CompliantDesk