Cyberhygiene und Awareness unter NIS2
§ 30 Abs. 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik. Die NIS2-Richtlinie beschreibt diesen Themenbereich als grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen. Für Unternehmen bedeutet das: sichere Grundpraktiken müssen nicht nur kommuniziert, sondern im Alltag verankert und überprüft werden.
Nicht jeder braucht dieselbe Schulung
Basis-Awareness gilt breit. Rollen mit erhöhtem Risiko brauchen zusätzliche Inhalte: Administratoren, Entwickler, Einkauf, HR, Finance, Führungskräfte, Incident-Rollen und Mitarbeitende mit privilegierten oder extern exponierten Zugängen.
Welche Grundpraktiken gehören dazu?
- Phishing und Social Engineering erkennen und melden
- sicherer Umgang mit Identitäten, Passwörtern und MFA
- Updates und freigegebene Software
- Umgang mit Daten und mobilen Arbeitsmitteln
- sichere Zusammenarbeit und Kommunikation
- Meldung verdächtiger Ereignisse
- rollenbezogene Regeln für privilegierte Tätigkeiten
Vom Jahrestraining zum Steuerungsprozess
Ein belastbares Programm definiert Zielgruppen, Lernziele, Frequenz, Pflichtinhalte, Onboarding, Wiederholungen, anlassbezogene Kommunikation, Nachweis und Maßnahmen bei wiederholten Defiziten. Die Inhalte sollten sich an realen Risiken der Einrichtung orientieren.
Teilnahme ist ein Nachweis – aber noch keine Wirksamkeit
Teilnahmequoten zeigen Durchführung. Wirksamkeit lässt sich zusätzlich über Wissenstests, Meldeverhalten, simulierte Szenarien, reale Vorfallmuster und rollenbezogene Kontrolltests beurteilen. Ergebnisse gehören in die allgemeine NIS2-Wirksamkeitsprüfung.
Executive-Schulung ist eine eigene Pflicht
Die allgemeine Awareness nach § 30 ersetzt nicht die regelmäßige Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG. Diese zielt auf Risikoerkennung, Bewertung von Risikomanagementpraktiken und Auswirkungen auf die erbrachten Dienste. Mehr dazu unter NIS2-Schulung der Geschäftsleitung.
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für Standortbestimmung und Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.