Schulungspflicht

Definition

Die Schulungspflicht nach NIS2UmsuCG verpflichtet betroffene Einrichtungen sicherzustellen, dass sowohl die Leitungsorgane als auch alle relevanten Mitarbeiter regelmäßig in Cybersicherheitsthemen geschult und für aktuelle Bedrohungslagen sensibilisiert werden. Ziel ist es, das Sicherheitsbewusstsein auf allen Ebenen der Organisation nachhaltig zu stärken und menschliche Fehler als häufigste Ursache für Sicherheitsvorfälle wie Phishing oder Social Engineering systematisch und kontinuierlich zu reduzieren. Die Schulungen müssen dokumentiert und an die spezifischen Risiken der Organisation angepasst sein. Rollenspezifische Schulungsinhalte — etwa für Admins, Entwickler und Leitungsorgane — sind wirksamer als generische Einheitsschulungen.

Rechtsgrundlage

Die Schulungspflicht für Leitungsorgane ist explizit in § 38 Abs. 3 BSIG verankert: Mitglieder von Leitungsorganen müssen an geeigneten Schulungen teilnehmen und ausreichende Kenntnisse zur Bewertung von Informationssicherheitsrisiken erwerben. Für Mitarbeiter ergibt sich die Schulungspflicht aus § 30 Abs. 2 Nr. 4 BSIG, der Konzepte zur Sensibilisierung und Schulung der Mitarbeiter als verpflichtende Sicherheitsmaßnahme vorschreibt. Schulungsnachweise können vom BSI im Rahmen von Audits und Kontrollen jederzeit angefordert werden. Das BSI hat in seiner Publikation BSI-CS 136 Mindestinhalte für Leitungsorgane-Schulungen definiert, die als Orientierungsrahmen für die Schulungsplanung herangezogen werden sollten.

Praktische Implikation

Ein praxistaugliches Schulungsprogramm umfasst mindestens jährliche Security-Awareness-Schulungen für alle Mitarbeiter sowie halbjährliche simulierte Phishing-Kampagnen zur Überprüfung des gelernten Verhaltens. Leitungsorgane benötigen zusätzlich spezifische NIS2-Compliance-Schulungen, die ihre persönliche Haftung und die konkreten gesetzlichen Anforderungen adressieren. Alle Schulungsdurchführungen müssen lückenlos dokumentiert werden — wer hat wann welche Schulung mit welchem Ergebnis absolviert. E-Learning-Plattformen ermöglichen kosteneffiziente Durchführung und vollständige automatisierte Nachweisführung, die beim BSI vorgelegt werden kann. Schulungsnachweise für Leitungsorgane sollten separat archiviert und auf Anfrage des BSI innerhalb von 48 Stunden bereitgestellt werden können.

Verwandte Begriffe

• Leitungsorganhaftung
• CISO
• ISMS
• Lieferkettensicherheit