Warum Schulungsnachweise unverzichtbar sind
Schulungen allein reichen nicht aus. Wer Mitarbeitende schult, muss das auch belegen können. Auditoren, Behörden und Versicherer fragen nicht, ob Sie geschult haben. Sie fragen: Können Sie es beweisen?
Die Anforderung zieht sich durch mehrere Regelwerke. NIS2 verlangt in Artikel 20 Absatz 2, dass die Geschäftsleitung an Schulungen teilnimmt und regelmäßige Schulungen für alle Beschäftigten anbietet. Die DSGVO fordert in Artikel 39, dass der Datenschutzbeauftragte die Sensibilisierung der Mitarbeitenden überwacht. ISO 27001 verlangt in Abschnitt 7.2 den Nachweis von Kompetenzen. Ohne Dokumentation ist all das wertlos.
In der Praxis scheitern Unternehmen selten an der Schulung selbst. Sie scheitern an der Nachweisführung. Eine Schulung ohne Nachweis ist aus Sicht eines Auditors eine Schulung, die nicht stattgefunden hat.
Was ein vollständiger Schulungsnachweis enthalten muss
Ein Schulungsnachweis ist mehr als eine Unterschriftenliste. Auditoren erwarten eine nachvollziehbare Dokumentation, die folgende Elemente enthält:
- Name des Teilnehmenden und Zuordnung zur Abteilung oder Rolle
- Datum und Dauer der Schulung
- Thema und Inhalte in ausreichender Detailtiefe
- Name des Schulungsanbieters oder der durchführenden Person
- Art der Schulung (Präsenz, E-Learning, Webinar, Selbststudium)
- Ergebnis (bestanden/nicht bestanden, Punktzahl bei Tests)
- Bestätigung des Teilnehmenden (Unterschrift, digitale Signatur oder Systemlog)
Bei E-Learning-Modulen ersetzen Systemprotokolle die physische Unterschrift. Entscheidend ist, dass die Teilnahme eindeutig einer Person zugeordnet werden kann und der Abschluss verifizierbar ist.
Anforderungen nach Regelwerk
NIS2 und das NIS2UmsuCG
Das NIS2-Umsetzungsgesetz verpflichtet betroffene Unternehmen, regelmäßige Cybersicherheitsschulungen durchzuführen. Die Geschäftsleitung muss nachweislich selbst an Schulungen teilnehmen. Das BSI kann im Rahmen von Aufsichtsmaßnahmen die Nachweise anfordern. Wer keine vorlegen kann, riskiert Bußgelder und behördliche Anordnungen.
Die Leitungsorgane müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken zu erlangen. — Art. 20 Abs. 2 NIS2-Richtlinie (EU 2022/2555)
DSGVO
Die DSGVO nennt keine konkreten Schulungsintervalle. Aber Artikel 5 Absatz 2 verlangt die Rechenschaftspflicht: Sie müssen nachweisen können, dass Sie die Grundsätze der Datenverarbeitung einhalten. Dazu gehört die Sensibilisierung der Beschäftigten. Aufsichtsbehörden haben in mehreren Fällen Bußgelder verhängt, weil Unternehmen keine Nachweise über Datenschutzschulungen vorlegen konnten.
ISO 27001
ISO 27001 ist beim Thema Nachweise besonders konkret. Abschnitt 7.2 fordert:
- Festlegung der erforderlichen Kompetenzen
- Sicherstellung, dass Personen diese Kompetenzen besitzen
- Maßnahmen zum Kompetenzerwerb (z. B. Schulungen)
- Aufbewahrung geeigneter dokumentierter Informationen als Nachweis
Im Zertifizierungsaudit wird der Auditor stichprobenartig Schulungsnachweise einzelner Mitarbeitender prüfen. Fehlen diese, ist das eine Abweichung, die das Zertifikat gefährden kann.
Häufige Fehler bei der Nachweisführung
In der Praxis sehen Auditoren immer wieder dieselben Probleme:
1. Keine zentrale Ablage. Nachweise liegen verstreut in E-Mail-Postfächern, auf lokalen Laufwerken oder in Papierordnern. Bei einer Prüfung dauert es Stunden, die richtigen Dokumente zusammenzusuchen. Das hinterlässt keinen guten Eindruck.
2. Fehlende Regelmäßigkeit. Eine Schulung im Onboarding allein reicht nicht. NIS2 und ISO 27001 verlangen regelmäßige Auffrischungen. Viele Unternehmen schulen einmalig und vergessen die Wiederholung. Auditoren prüfen gezielt, ob ein durchgängiger Schulungsrhythmus erkennbar ist.
3. Keine Erfolgskontrolle. Eine Teilnahmebestätigung belegt nur Anwesenheit. Sie belegt nicht, dass der Inhalt verstanden wurde. Wissenstests oder Quizfragen am Ende einer Schulung sind ein einfaches Mittel, um das Verständnis zu dokumentieren.
4. Geschäftsleitung fehlt. Bei NIS2-relevanten Unternehmen wird gezielt geprüft, ob die Geschäftsführung an Schulungen teilgenommen hat. Das ist keine optionale Empfehlung. Es ist eine gesetzliche Pflicht.
5. Veraltete Inhalte. Schulungsnachweise, die auf Inhalte von vor drei Jahren verweisen, werfen Fragen auf. Regelwerke ändern sich. Bedrohungslagen ändern sich. Die Schulungsinhalte müssen das widerspiegeln.
So bauen Sie ein belastbares Nachweissystem auf
Ein gutes Nachweissystem muss drei Dinge leisten: vollständig dokumentieren, jederzeit abrufbar sein und die Regelmäßigkeit sichtbar machen.
Schritt 1: Schulungsplan erstellen
Definieren Sie, welche Schulungen für welche Rollen vorgeschrieben sind. Unterscheiden Sie zwischen Pflichtschulungen (z. B. Datenschutz, Cybersicherheit) und rollenspezifischen Schulungen (z. B. sichere Softwareentwicklung für Entwickler). Legen Sie fest, in welchem Intervall jede Schulung wiederholt werden muss.
Schritt 2: Durchführung standardisieren
Nutzen Sie ein einheitliches Format für alle Schulungen. Bei E-Learning-Modulen erfolgt die Dokumentation automatisch. Bei Präsenzschulungen erfassen Sie Teilnehmerlisten und lassen diese unterschreiben. Integrieren Sie eine Lernzielkontrolle in jede Schulung.
Schritt 3: Zentrale Ablage einrichten
Alle Nachweise gehören an einen Ort. Das kann ein Learning-Management-System sein, eine Compliance-Plattform oder ein strukturiertes Dokumentenmanagementsystem. Entscheidend ist: Jeder Nachweis muss innerhalb von Minuten auffindbar sein.
Schritt 4: Automatische Erinnerungen
Schulungsfristen laufen ab. Ohne automatische Erinnerungen vergessen Mitarbeitende die Wiederholung. Setzen Sie Fristüberwachungen auf, die rechtzeitig vor Ablauf benachrichtigen. So vermeiden Sie Lücken in der Nachweiskette.
Schritt 5: Reporting für Auditoren
Bereiten Sie Berichte vor, die auf einen Blick zeigen: Wer wurde wann zu welchem Thema geschult? Wie hoch ist die Abschlussquote? Wo gibt es Lücken? Ein Auditor, der diese Informationen strukturiert erhält, bewertet Ihr Unternehmen deutlich positiver als eines, das erst suchen muss.
Aufbewahrungsfristen beachten
Schulungsnachweise unterliegen Aufbewahrungspflichten. Konkrete Fristen hängen vom Regelwerk ab:
- DSGVO: Die Rechenschaftspflicht gilt dauerhaft. Bewahren Sie Nachweise mindestens für die Dauer des Beschäftigungsverhältnisses auf, zuzüglich der Verjährungsfristen (in der Regel drei Jahre).
- ISO 27001: Nachweise müssen für den gesamten Zertifizierungszyklus (drei Jahre) plus Folgezyklus verfügbar sein.
- NIS2: Das NIS2UmsuCG legt keine explizite Frist fest. Orientieren Sie sich an den allgemeinen Aufbewahrungspflichten für Compliance-Dokumentation (mindestens sechs Jahre nach handelsrechtlichen Grundsätzen).
Im Zweifel gilt: Bewahren Sie Schulungsnachweise lieber zu lange als zu kurz auf. Digitale Dokumentation verursacht kaum Speicherkosten.
Schulungsnachweise als Werkzeug zur Risikominimierung
Schulungsnachweise schützen Ihr Unternehmen nicht nur bei Audits. Sie sind auch im Haftungsfall relevant. Wenn ein Sicherheitsvorfall eintritt, prüfen Behörden und Versicherer, ob angemessene Schulungsmaßnahmen durchgeführt wurden. Dokumentierte Nachweise können die Haftung der Geschäftsleitung reduzieren und den Versicherungsschutz sichern.
Ein strukturiertes Nachweissystem zahlt sich auch intern aus. Sie erkennen Schulungslücken frühzeitig, können den Fortschritt messen und Ressourcen gezielt einsetzen. Es verwandelt Pflichtübungen in ein steuerbares Element Ihrer Sicherheitsstrategie.
Plattformen wie Titan bilden diesen Prozess durchgängig ab: von der Schulungszuweisung über die automatische Fristüberwachung bis zum fertigen Auditbericht. Die Nachweise werden dabei automatisch im System dokumentiert und sind jederzeit exportierbar.