Schulung istkeine Kürmehr.
Der IKT-Minimalstandard des Bundes zählt Sensibilisierung und Schulung zu den Massnahmen, die er Unternehmen empfiehlt. Wer eine Einheit im Europäischen Wirtschaftsraum hat oder von Kunden auf NIS2 verpflichtet wird, trägt zusätzlich eine eigene Pflicht der Geschäftsleitung, die sich nicht an die IT weiterreichen lässt.
Was Schulungspflichten für Schweizer Unternehmen bedeuten
Vier Punkte, die in der Diskussion regelmässig untergehen.
Auch der IKT-Minimalstandard trennt Mitarbeitende und Führung
Sensibilisierung und Schulung gehören zu den Massnahmen des IKT-Minimalstandards. Wo NIS2 über eine EU-Einheit oder über Kundenvorgaben greift, stehen Schulungen für Beschäftigte in Art. 21 Abs. 2 der Richtlinie und die gesonderte Pflicht der Geschäftsleitung in Art. 20.
Die Oberaufsicht bleibt beim Verwaltungsrat
Die Überwachung der Massnahmen und die eigene Teilnahme an Schulungen liegen bei der Geschäftsleitung persönlich. Art. 716a OR zählt die Oberaufsicht zu den unübertragbaren Aufgaben des Verwaltungsrats; ein Auftrag an einen Dienstleister ändert daran nichts.
Ohne Nachweis lässt sich die Sorgfalt nicht belegen
Gegenüber EU-Kunden, Revisionsstelle oder Aufsicht zählt, was sich belegen lässt. Wer nicht zeigen kann, wann welche Inhalte mit welchem Ergebnis geschult wurden, hat für die Sorgfalt nach Art. 717 OR wenig in der Hand.
Einmalig genügt nicht
Die Richtlinie verlangt in Art. 20 Abs. 2 regelmässige Schulungen, und der IKT-Minimalstandard empfiehlt eine regelmässige Ausbildung von Mitarbeitenden und externen Partnern. Eine Einführung beim Stellenantritt deckt das nicht ab.
Was die Revisionsstelle am Ende sieht.
Ob Revisionsstelle, Aufsicht oder Lieferantenaudit eines EU-Kunden: gefragt wird, womit, wann und mit welchem Ergebnis geschult wurde. Der Bericht liefert diese drei Angaben, getrennt für Mitarbeitende und Geschäftsleitung.
Getrennte Nachweise nach PR.AT-1 und PR.AT-4
Inhalte und Zeiträume nachvollziehbar
Entwicklung über mehrere Runden, als Beleg der Wirksamkeit nach lit. f
Export für Risikomanagement und Lieferantenfragebogen
Wie Sie Richtlinie und Minimalstandard erfüllen
Drei Schritte, die den Nachweis für EU-Kunden und Revisionsstelle gleich mitliefern.
1. Kreis festlegen
Mitarbeitende nach Abteilungen und Rollen, Geschäftsleitung und Verwaltungsrat als eigener Kreis mit eigenem Nachweis, wie PR.AT-4 es für Führungskräfte vorsieht.
2. Programm laufen lassen
Schulungseinheiten und Simulationen verteilen sich über das Jahr und bilden so die Regelmässigkeit ab, die Art. 20 Abs. 2 der Richtlinie und der IKT-Minimalstandard erwarten.
3. Nachweis ausleiten
Berichte je Zeitraum und Abteilung gehen in die Dokumentation des Risikomanagements, als Beleg für Revisionsstelle, Aufsicht oder Lieferantenaudit.
Was Revisionsstelle und Kunden am Ende sehen
Sechs Punkte, die eine Prüfung nach NIS2 oder IKT-Minimalstandard erwartet.
Getrennte Nachweise
Mitarbeitende und Geschäftsleitung werden getrennt geführt, weil die Richtlinie der Leitung eine eigene Teilnahmepflicht auferlegt und der IKT-Minimalstandard Führungskräfte gesondert anspricht.
Zeitliche Abdeckung
Die Berichte zeigen, dass über das ganze Jahr geschult wurde, und nicht erst kurz vor dem Audit eines EU-Kunden.
Inhaltliche Zuordnung
Erkennbar bleibt, welche der 31 Lektionen wann abgeschlossen wurde, nicht nur dass ein Termin stattgefunden hat.
Wirkungsnachweis
Simulationsergebnisse über mehrere Runden belegen eine Entwicklung, die eine reine Teilnahmeliste nicht zeigen kann.
Gruppenauswertung statt Verhaltensüberwachung
Der Nachweis kommt ohne personenbezogene Ranglisten aus. Das erleichtert die Abstimmung mit der Arbeitnehmervertretung und berücksichtigt Art. 26 ArGV 3, der Systeme zur Verhaltensüberwachung am Arbeitsplatz untersagt.
Export für Revisionsstelle und Kunden
Berichte lassen sich als PDF oder Tabelle ausleiten, etwa für den Fragebogen eines EU-Kunden nach Art. 21 Abs. 2 lit. d der Richtlinie.
Was Revisionsstelle und Aufsicht von einem Nachweis erwarten
Unterschriebene Präsenzliste gegen belastbare Dokumentation.
Mit Conbool | Präsenzliste | |
|---|---|---|
| Zeigt, wann geschult wurde | ja | ja |
| Zeigt, welche Inhalte vermittelt wurden | ja | meist nicht |
| Zeigt eine Entwicklung über die Zeit | ja | nein |
| Eigener Nachweis für Geschäftsleitung und Verwaltungsrat | ja | selten |
| Ohne Rangliste, mit Blick auf Art. 26 ArGV 3 | ja | abhängig von der Führung |
Diese Seite fasst Richtlinie, IKT-Minimalstandard und Schweizer Arbeitsrecht zusammen und ist keine Rechtsberatung. Ob und in welchem Umfang Ihr Unternehmen betroffen ist, richtet sich nach Sektor, Grösse, Aufsichtsrecht und danach, ob eine Einheit im Europäischen Wirtschaftsraum besteht.
Häufige Fragen
Wer muss in der Schweiz schulen?
Warum werden Geschäftsleitung und Verwaltungsrat getrennt geführt?
Wie oft sehen Richtlinie und Minimalstandard eine Schulung vor?
Schreibt das Schweizer Recht eine Phishing-Simulation vor?
Reicht eine Einführung beim Stellenantritt?
Was gilt für die Arbeitnehmervertretung?
Verwandte Lösungen
NIS2 im Überblick
Richtlinie, Umsetzungsgesetz und Pflichten: wer betroffen ist und was gilt.
Security Awareness Training
Schulung, die sich gegenüber einer Prüfung belegen lässt.
Phishing-Simulation
Den Ernstfall üben, ohne Einzelne vorzuführen.
Phishing-Schutz
Die technische Abwehr, bevor eine Nachricht den Menschen erreicht.
NIS-2 E-Mail-Sicherheit
Alle E-Mail-Anforderungen aus Art. 21 NIS2 im Überblick.
Schulung und Nachweis in einem Aufwasch, für EU-Kunden und Revisionsstelle
Wir richten das Programm für Mitarbeitende, Geschäftsleitung und Verwaltungsrat ein und zeigen, wie der Nachweis für Prüfer in der Schweiz und in der EU aussieht.