NIS-2-Schulungsnachweise für die Belegschaft: Von der Pflicht zur prüffähigen Dokumentation

Über die NIS-2-Schulungspflicht der Geschäftsleitung wird viel geschrieben. Der größere Teil der Arbeit steht aber in § 30: Schulungen und Sensibilisierung für die Belegschaft sind eine der zehn Pflicht-Maßnahmen, deren Umsetzung die Geschäftsleitung überwachen muss. Ein Seminar besucht zu haben ist ein Termin. Belegen zu können, dass die richtige Belegschaft zum richtigen Zeitpunkt geschult und qualifiziert ist, ist ein Zustand, und genau den fragen Prüfsituationen ab: vom ISO-27001-Audit über Kundenfragebögen bis zum Versicherer im Schadenfall.

Dieser Beitrag richtet sich an die Menschen, die diesen Zustand herstellen müssen: Informationssicherheitsbeauftragte, CISOs, Compliance-Verantwortliche und die HR-Seite der Weiterbildung. Für die Pflichten der Geschäftsleitung selbst, einschließlich ihrer eigenen Schulungspflicht, lohnt der Blick in unseren Beitrag zu § 38 BSIG.

Wo die Personal-Schulungen im Gesetz stehen

§ 30 Absatz 2 BSIG zählt die Risikomanagementmaßnahmen auf, die besonders wichtige und wichtige Einrichtungen treffen müssen. Nummer 7 lautet wörtlich: "grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik". Das ist keine Empfehlung, sondern Teil des Pflichtenkatalogs, auf gleicher Ebene wie Backup-Management, Lieferkettensicherheit oder Multi-Faktor-Authentifizierung.

Dazu kommt die zweite Ebene: Nach § 38 Absatz 1 muss die Geschäftsleitung die Umsetzung dieser Maßnahmen überwachen, und an dieser Pflicht hängt ihre persönliche Haftung. Praktisch heißt das: Irgendjemand im Haus muss jederzeit zeigen können, dass die Schulungs-Maßnahme läuft, nicht nur, dass sie einmal lief.

Was "Nachweis" praktisch bedeutet

Das Gesetz definiert nicht, wie die Dokumentation auszusehen hat. Einen harten Anker gibt es trotzdem: Wer parallel ein ISMS nach ISO/IEC 27001 betreibt, schuldet dort ohnehin dokumentierte Kompetenznachweise, die Norm verlangt sie in Kapitel 7.2 ausdrücklich. Und unabhängig von der Norm stellen Prüfsituationen erfahrungsgemäß immer wieder dieselben vier Fragen, die eine belastbare Dokumentation beantworten können sollte:

Wer wurde geschult? Personenscharf, nicht "die Abteilung".
Was war der Inhalt? Eine Awareness-Unterweisung ist etwas anderes als eine Fachschulung für Administratoren.
Wann, und wann wieder? Einmalige Maßnahmen veralten; Wiederholungsrhythmen und Ablaufdaten gehören zur Dokumentation.
Passt die Qualifikation zur Rolle? Ein Incident-Responder braucht anderes Wissen als der Vertrieb. Rollenbezug ist der Unterschied zwischen einer Teilnahmeliste und einem Kompetenznachweis.

Die Anlässe dafür sind selten eine anlasslose BSI-Prüfung: Wahrscheinlicher fragen ISO-27001-Auditoren im Zertifizierungsaudit, im Finanzsektor die Aufsicht entlang der DORA-Anforderungen, Cyberversicherer bei Antrag oder Schadenfall und Geschäftskunden in ihren Sicherheitsfragebögen. Wer die Dokumentation sauber führt, beantwortet alle diese Anfragen aus derselben Quelle.

Warum Tabellen hier irgendwann kippen

Die meisten Organisationen starten mit einer Excel-Schulungsmatrix, und das ist zunächst vernünftig: Für eine Handvoll Leute und eine jährliche Unterweisung reicht sie. Sie kippt an drei vorhersehbaren Stellen: bei Ablaufdaten (niemand schaut täglich in die Tabelle, ob eine Qualifikation oder ein Zertifikat ausläuft), bei Rollenbezug (sobald verschiedene Rollen verschiedene Anforderungen haben, wird aus der Matrix ein Gebirge) und bei Mehrfach-Anforderungen (dieselbe Person zahlt auf NIS-2, ISO 27001, im Finanzumfeld auf DORA und dazu auf Kundenverträge gleichzeitig ein, die Tabelle kennt aber nur eine Dimension). Ab da wird die Pflege selbst zum Risiko: Eine veraltete Matrix sieht im Audit schlechter aus als gar keine, weil sie dokumentiert, dass die Überwachung nicht funktioniert.

Von der Teilnahmeliste zur Kompetenzübersicht

Für die Grundstufe, Sensibilisierung der gesamten Belegschaft, genügen dokumentierte Unterweisungen mit Datum und Teilnehmern. Interessant wird die Fachebene: Für Schlüsselrollen wie Administratoren, Incident-Responder oder den Informationssicherheitsbeauftragten sind Personenzertifizierungen die belastbarste Nachweisform, weil sie geprüfte Kompetenz durch eine unabhängige Stelle belegen, nicht nur Anwesenheit. Verpflichtend sind sie nach NIS-2 nicht, aber wer sie im Team hat, führt den stärksten Beleg, den es für Kompetenz gibt, und viele davon bringen ihre Erneuerungslogik gleich mit. Was eine Personenzertifizierung von einer Teilnahmebescheinigung unterscheidet, erklärt unser Grundlagen-Artikel.

Genau an dieser Stelle arbeiten wir selbst, und der Ehrlichkeit halber mit klarer Abgrenzung: CertMap für Unternehmen ist kein Schulungsanbieter und kein Lernsystem, dort finden keine Unterweisungen statt. Was es tut: Zertifikate, Ablaufdaten, Weiterbildungspflichten und Rollenbezug der Belegschaft in einer Übersicht führen, auch intern vergebene Nachweise lassen sich als eigene Einträge erfassen. Es beantwortet also die Überwachungsfrage "Wer ist wofür qualifiziert, und woher wissen wir das in einem Jahr noch?" per Klick statt per Tabellen-Archäologie. Die Durchführung der Schulungen bleibt Sache der Anbieter, ihre Nachweisbarkeit nicht.

Die Schulung ist ein Termin, der Nachweis ein Zustand. Geprüft wird nicht, ob geschult wurde, sondern ob man es jederzeit belegen kann.

Häufige Fragen

Reicht eine jährliche Awareness-Schulung für alle?

Für die Grundstufe der Sensibilisierung ist eine regelmäßige, dokumentierte Unterweisung der übliche Weg. § 30 verlangt aber Maßnahmen, die zum Risiko passen: Rollen mit besonderen Aufgaben in der Informationssicherheit brauchen darüber hinausgehende, fachliche Qualifikation. Eine einzige Jahresschulung für alle deckt das in aller Regel nicht ab.

Müssen die Nachweise an das BSI gemeldet werden?

Eine laufende Meldepflicht für Schulungsnachweise gibt es nicht. Die Dokumentation muss aber verfügbar sein, wenn sie gebraucht wird, sei es gegenüber der Aufsicht, im Audit, gegenüber Kunden oder dem Versicherer. Nachweisfähigkeit ist der Maßstab, nicht die unaufgeforderte Meldung.

Sind Personenzertifizierungen für NIS-2 verpflichtend?

Nein. Das Gesetz verlangt Schulungen und Sensibilisierung, keine bestimmten Abschlüsse. Personenzertifizierungen sind die freiwillige Ausbaustufe: der stärkste Kompetenznachweis für Schlüsselrollen, mit eingebauter Aktualitätspflicht durch ihre Erneuerungszyklen.

Dieser Beitrag informiert allgemein über die Rechtslage auf Basis des verkündeten Gesetzestextes und ersetzt keine Rechtsberatung im Einzelfall.