Was fordert die NIS2-Richtlinie genau?
Artikel 21 der NIS2-Richtlinie schreibt vor, dass betroffene Einrichtungen geeignete technische und organisatorische Maßnahmen ergreifen müssen, um Risiken für ihre Netz- und Informationssysteme zu beherrschen. Explizit genannt werden dabei: grundlegende Cyber-Hygiene-Praktiken und Cybersecurity-Schulungen. Das ist keine Kann-Vorschrift, sondern eine verbindliche Anforderung.
Konkret bedeutet das: Unternehmen müssen sicherstellen, dass alle Mitarbeitenden, nicht nur die IT-Abteilung, ein Grundverständnis aktueller Cyberbedrohungen entwickeln. Wer Phishing-Mails nicht erkennt oder Passwörter nachlässig behandelt, ist ein Risikofaktor, den die NIS2 adressieren will.
Wen trifft die NIS2-Schulungspflicht?
NIS2 unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen. Wesentliche Einrichtungen kommen aus Sektoren wie Energie, Verkehr, Gesundheit, Wasser und digitaler Infrastruktur. Wichtige Einrichtungen umfassen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Lebensmittel, Chemie und digitale Dienste.
In Deutschland wurde die Richtlinie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuG) in nationales Recht überführt. Betroffen sind in der Regel Unternehmen ab 50 Mitarbeitenden oder einem Jahresumsatz von mehr als 10 Millionen Euro, je nach Sektor auch kleinere Betriebe, wenn sie kritische Infrastruktur betreiben. Auch wenn Ihr Unternehmen formal nicht unter NIS2 fällt: Als Zulieferer oder Dienstleister betroffener Einrichtungen werden Sie zunehmend durch vertragliche Anforderungen in die Pflicht genommen.
Was muss die Schulung abdecken?
Die Richtlinie gibt keinen starren Lehrplan vor, aber aus dem Kontext ergibt sich ein klares Bild: Schulungen sollen die Mitarbeitenden in die Lage versetzen, Angriffe zu erkennen und sicherheitsgerecht zu handeln. In der Praxis bedeutet das mindestens folgende Themen:
Phishing und Social Engineering: Der Klassiker, aber auch die häufigste Einstiegspforte für Angreifer. Mitarbeitende müssen nicht nur lernen, wie Phishing-Mails aussehen, sondern warum sie so gestaltet sind und wie man im Zweifelsfall vorgeht.
Passwortsicherheit und Zugangsdaten: Starke, einzigartige Passwörter, der Umgang mit Passwort-Managern und die Bedeutung von Multi-Faktor-Authentifizierung gehören zum Grundwissen, das jeder Mitarbeitende haben sollte.
Meldewege im Ernstfall: Wer muss informiert werden, wenn jemand auf einen verdächtigen Link geklickt hat? Klare interne Meldewege verhindern, dass ein Sicherheitsvorfall aus Scham oder Unsicherheit verschwiegen wird.
Umgang mit Unbekanntem: Was tun bei einem USB-Stick, den jemand auf dem Parkplatz findet? Was bei einer verdächtigen Anfrage per Telefon? Auch diese Szenarien gehören in eine vollständige Schulung.
Wie weist man Schulungen nach?
NIS2 verlangt nicht nur die Durchführung, sondern auch die Nachweisbarkeit von Schulungsmaßnahmen. Für Unternehmen bedeutet das: Teilnahmelisten, Schulungsprotokolle oder Teilnahmebescheinigungen müssen vorgehalten werden. Im Fall einer Prüfung durch Behörden oder im Rahmen eines Audits sind diese Unterlagen unverzichtbar.
Gut durchgeführte Präsenz- oder Online-Workshops mit ausgestellten Bescheinigungen erfüllen diese Anforderung. Reine Selbstlernmodule ohne Dokumentation sind dagegen im Zweifel nicht ausreichend. Achten Sie darauf, dass Schulungen regelmäßig wiederholt werden, einmal im Jahr ist für die meisten Sektoren eine vertretbare Mindestfrequenz, idealerweise ergänzt durch kurze Auffrischungen zu aktuellen Bedrohungslagen.
Fazit: Schulungspflicht als Chance, nicht als Bürde
Wer NIS2-Schulungspflichten nur als Compliance-Checkbox betrachtet, verschenkt Potenzial. Ein gut sensibilisiertes Team erkennt Angriffe früher, handelt im Ernstfall sicherer und verursacht deutlich weniger Schaden. Die gesetzliche Verpflichtung schafft den nötigen Anlass, um Awareness-Maßnahmen endlich konsequent umzusetzen, und das ist eine echte Chance für jedes Unternehmen.