Die Rechtsgrundlage
Artikel 21 Absatz 2 Buchstabe g der NIS2-Richtlinie verlangt „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit". Artikel 20 ergänzt: Die Geschäftsleitung muss selbst an Schulungen teilnehmen und ausreichende Kenntnisse erwerben.
Wer muss geschult werden?
- Alle Mitarbeitenden: Grundlegende Cyberhygiene, Phishing-Erkennung, sichere Passwörter, Meldewege bei Vorfällen
- IT-Fachkräfte: Vertiefte Schulungen zu Incident Response, Netzwerksicherheit, Schwachstellenmanagement
- Geschäftsleitung: Risikobewertung, Pflichten nach NIS2, Haftung, strategische Cybersicherheitsentscheidungen
Welche Inhalte sind erforderlich?
NIS2 definiert keine konkreten Lehrpläne, aber aus den Mindestanforderungen lassen sich die Themen ableiten:
- Erkennung von Phishing und Social Engineering
- Sichere Passwörter und Multi-Faktor-Authentifizierung
- Umgang mit Sicherheitsvorfällen und Meldepflichten
- Datensicherheit und Verschlüsselung im Arbeitsalltag
- Sicheres Arbeiten im Home Office und unterwegs
- Lieferkettensicherheit und Umgang mit externen Dienstleistern
Wie oft muss geschult werden?
NIS2 nennt keine feste Frequenz. In der Praxis hat sich ein jährlicher Rhythmus mit anlassbezogenen Zusatzschulungen etabliert. Ergänzend empfehlen sich quartalsweise Phishing-Simulationen als praktische Übung.
Nachweisführung
Entscheidend ist die Dokumentation. Aufsichtsbehörden und Auditoren werden prüfen wollen:
- Wer wurde wann zu welchem Thema geschult?
- Wurde ein Wissenstest durchgeführt?
- Gibt es datierte Zertifikate oder Teilnahmebestätigungen?
- Hat die Geschäftsleitung nachweisbar teilgenommen?
Titan bildet diesen gesamten Prozess ab: Schulungen zuweisen, durchführen, testen und die Nachweise zentral dokumentieren.