Gesetzliche Grundlagen
Cybersicherheitsschulungen sind keine freiwillige Leistung mehr. Mehrere Rechtsrahmen verpflichten Unternehmen, ihre Mitarbeitenden regelmäßig zu schulen:
- NIS2-Richtlinie: Artikel 21 verlangt Schulungen im Bereich Cyberhygiene für alle betroffenen Unternehmen
- DSGVO: Artikel 32 und 39 verlangen technische und organisatorische Maßnahmen, zu denen Mitarbeiterschulungen gehören
- BSI-Grundschutz: ORP.3 definiert Sensibilisierung und Schulung als Pflichtbaustein
- ISO 27001: Annex A.6.3 fordert Awareness-Schulungen für das ISMS
- Branchenspezifisch: KRITIS-Verordnung, BAIT (Banken), VAIT (Versicherungen), KAIT (Kapitalverwaltung)
Pflichtinhalte
Unabhängig vom konkreten Rechtsrahmen umfassen die Kerninhalte:
- Aktuelle Bedrohungen: Ransomware, Phishing, Social Engineering
- Sichere Authentifizierung: Passwörter, MFA, Passkeys
- E-Mail- und Kommunikationssicherheit
- Umgang mit mobilen Geräten und Home Office
- Meldewege bei Sicherheitsvorfällen
- Datenschutz-Grundlagen im Kontext der IT-Sicherheit
Frequenz und Auffrischung
Die meisten Standards empfehlen mindestens jährliche Auffrischungen. Ergänzend sind anlassbezogene Schulungen sinnvoll, etwa nach einem Sicherheitsvorfall, bei neuen Bedrohungsszenarien oder bei Einführung neuer Systeme.
Nachweis und Dokumentation
Schulungsnachweise müssen prüfbar sein. Das bedeutet in der Praxis: datierte Teilnahmebestätigungen, Ergebnisse von Wissenstests und eine nachvollziehbare Zuordnung, welcher Mitarbeiter wann welche Schulung abgeschlossen hat.
Fehlende Nachweise können bei Audits, Versicherungsschäden oder behördlichen Prüfungen zum Problem werden. Titan automatisiert die Zuweisung, Durchführung und Dokumentation aller Pflichtschulungen.