Schulung istkeine Kürmehr.
Der IKT-Minimalstandard des Bundes zählt Sensibilisierung und Schulung zu den Massnahmen, die ein Unternehmen ergreifen muss. Wer eine Einheit im Europäischen Wirtschaftsraum hat oder von Kunden auf NIS2 verpflichtet wird, trägt zusätzlich eine eigene Pflicht der Geschäftsleitung, die sich nicht an die IT weiterreichen lässt.
Was die Pflicht in der Praxis bedeutet
Vier Punkte, die in der Diskussion regelmässig untergehen.
Beschäftigte und Leitung sind getrennt geregelt
Sensibilisierung und Schulung gehören zu den Massnahmen des IKT-Minimalstandards. Wo NIS2 über eine EU-Einheit oder über Kundenvorgaben greift, stehen Schulungen für Beschäftigte in Art. 21 Abs. 2 der Richtlinie und die gesonderte Pflicht der Geschäftsleitung in Art. 20.
Die Leitung kann sie nicht delegieren
Die Überwachung der Massnahmen und die eigene Teilnahme an Schulungen liegen bei der Geschäftsleitung persönlich. Ein Auftrag an einen Dienstleister nimmt sie nicht heraus.
Ohne Nachweis ist die Pflicht nicht erfüllt
Entscheidend ist nicht die Absicht, sondern die Belegbarkeit. Wer nicht zeigen kann, wann was mit welchem Ergebnis geschult wurde, steht wie ohne Schulung da.
Einmalig genügt nicht
Die Anforderung zielt auf regelmässige Schulung. Eine Einführungsveranstaltung bei Eintritt bildet das nicht ab.
Was am Ende auf dem Tisch liegt.
Eine Prüfung fragt nicht, ob geschult wurde, sondern womit, wann und mit welchem Ergebnis. Genau diese drei Angaben liefert der Bericht, getrennt für Beschäftigte und Leitung.
Getrennte Nachweise für Beschäftigte und Geschäftsleitung
Inhalte und Zeiträume nachvollziehbar
Entwicklung über mehrere Runden statt Momentaufnahme
Export für die Dokumentation des Risikomanagements
Wie Sie die Pflicht erfüllen
Drei Schritte, die den Nachweis gleich mitliefern.
1. Kreis festlegen
Beschäftigte nach Abteilungen und Rollen, die Geschäftsleitung als eigener Kreis mit eigenem Nachweis.
2. Programm laufen lassen
Schulungseinheiten und Simulationen laufen verteilt über das Jahr, statt in einem Termin gebündelt zu werden.
3. Nachweis ausleiten
Berichte je Zeitraum und Abteilung lassen sich ausleiten und in die Dokumentation des Risikomanagements übernehmen.
Was Sie am Ende in der Hand haben
Sechs Punkte, die eine Prüfung erwartet.
Getrennte Nachweise
Beschäftigte und Geschäftsleitung werden getrennt geführt, weil die Pflichten unterschiedlich begründet sind.
Zeitliche Abdeckung
Die Berichte zeigen, dass über das Jahr verteilt geschult wurde, und nicht nur an einem Stichtag.
Inhaltliche Zuordnung
Erkennbar bleibt, welche Inhalte vermittelt wurden, nicht nur dass ein Termin stattgefunden hat.
Wirkungsnachweis
Simulationsergebnisse über mehrere Runden belegen eine Entwicklung, die eine reine Teilnahmeliste nicht zeigen kann.
Auswertung auf Gruppenebene
Der Nachweis kommt ohne personenbezogene Ranglisten aus, was die Abstimmung im Haus erleichtert.
Export für die Dokumentation
Berichte lassen sich ausleiten und den übrigen Unterlagen des Risikomanagements beifügen.
Was ein Nachweis leisten muss
Anwesenheitsliste gegen belastbare Dokumentation.
Mit Conbool | Anwesenheitsliste | |
|---|---|---|
| Zeigt, wann geschult wurde | ja | ja |
| Zeigt, welche Inhalte vermittelt wurden | ja | meist nicht |
| Zeigt eine Entwicklung über die Zeit | ja | nein |
| Getrennter Nachweis für die Geschäftsleitung | ja | selten |
| Ohne personenbezogene Rangliste | ja | abhängig von der Führung |
Diese Seite ist keine Rechtsberatung. Ob und in welchem Umfang Ihr Unternehmen betroffen ist, richtet sich nach Sektor, Grösse, Aufsichtsrecht und danach, ob eine Einheit im Europäischen Wirtschaftsraum besteht.
Häufige Fragen
Wer ist von der Schulungspflicht betroffen?
Warum wird die Geschäftsleitung getrennt genannt?
Wie oft muss geschult werden?
Ist eine Phishing-Simulation vorgeschrieben?
Reicht eine Unterweisung beim Eintritt?
Was ist mit dem Betriebsrat?
Verwandte Lösungen
NIS2 im Überblick
Richtlinie, Umsetzungsgesetz und BSIG: wer betroffen ist und was gilt.
Security Awareness Training
Schulung, die sich gegenüber einer Prüfung belegen lässt.
Phishing-Simulation
Den Ernstfall üben, ohne Einzelne vorzuführen.
Phishing-Schutz
Die technische Abwehr, bevor eine Nachricht den Menschen erreicht.
NIS-2 E-Mail-Sicherheit
Alle E-Mail-Anforderungen nach Paragraf 30 BSIG im Überblick.
Pflicht und Nachweis in einem Aufwasch
Wir richten das Programm für Beschäftigte und Leitung ein und zeigen, wie der Nachweis am Ende aussieht.