Security Awareness: Jahresplan für Schulung und Sensibilisierung

Für wesentliche und wichtige Einrichtungen ist Schulung Pflicht: Die Leitungsorgane müssen an für sie spezifisch gestalteten Cybersicherheitsschulungen teilnehmen, und die Einrichtungen haben den Mitarbeitenden regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 2 NISG 2026, Umsetzung von Art. 20 Abs. 2 NIS-2-Richtlinie). Wer das nicht vorsieht, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 1 und 2 NISG 2026); für Stellen der öffentlichen Verwaltung gilt stattdessen § 46. Für alle anderen Unternehmen beschreiben BSI und NIST, wie ein gutes Programm aussieht.

Die Themen, Formate und der Jahresrhythmus in dieser Vorlage sind Empfehlungen von TOMORIS. Gesetzlich vorgegeben sind für NIS2-pflichtige Einrichtungen die genannten Inhalte von § 31 NISG 2026 und Anhang Nr. 8 der DVO; einen bestimmten Takt in Monaten schreiben sie nicht vor.

NIST teilt die Teilnehmenden in drei sich überschneidende Gruppen: alle Benutzerinnen und Benutzer, Inhaber privilegierter Konten und Personen mit wesentlichen Aufgaben in Cybersicherheit oder Datenschutz (SP 800-50 Rev. 1, Abschnitt 2.5). Das BSI empfiehlt eine Zielgruppenanalyse und ein darauf ausgerichtetes Programm (Standard-Anforderung ORP.3.A4).

Phishing-Übungen sind Lerngelegenheiten: NIST empfiehlt, zuerst die Ausgangs-Klickrate je Gruppe zu ermitteln, und betont, dass solche Übungen nicht bestrafen sollen und niemand für seine Reaktion bloßgestellt werden soll (Abschnitt 2.7.2). Klären Sie Simulationen vorab mit Betriebsrat und Datenschutz.

Die Themen sind ein Vorschlag von TOMORIS und decken die Inhalte ab, die Anhang Nr. 8.1.2 lit. c der DVO nennt: Cyberbedrohungen, bestehende Maßnahmen, Kontaktstellen und Verfahren der Cyberhygiene. Passen Sie Reihenfolge und Themen an Ihre Risiken, Vorfälle und Werkzeuge an und tragen Sie Termin und Verantwortliche ein.

Im Oktober läuft der Europäische Monat der Cybersicherheit, eine jährliche Kampagne der EU, die ENISA gemeinsam mit der Europäischen Kommission unterstützt. Eigene Aktionen in diesem Monat verbinden sich gut mit öffentlichem Material.

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen haben die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026). Die Schulung nach § 31 Abs. 2 sollte sie dazu befähigen. Auch das BSI verlangt, die Institutionsleitung ausreichend zu sensibilisieren und ihre Unterstützung einzuholen, bevor ein Programm beginnt (ORP.3.A1). Inhalte, Empfehlung von TOMORIS:

• Pflichten der Leitung: sicherstellen und beaufsichtigen (§ 31 Abs. 1), selbst an Schulungen teilnehmen (§ 31 Abs. 2).
• Die Mindestinhalte der Risikomanagementmaßnahmen nach § 32 Abs. 4 lit. a bis j NISG 2026 im Überblick, von Risikoanalyse bis Multi-Faktor-Authentifizierung.
• Meldepflichten bei erheblichen Vorfällen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach (§ 34 Abs. 2 NISG 2026).
• Selbstdeklaration und Nachweis der Maßnahmen gegenüber der Cybersicherheitsbehörde (§ 33 NISG 2026).
• Strafrahmen: für wesentliche Einrichtungen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige bis 7 Mio. Euro oder 1,4 %, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3 NISG 2026); für Stellen der öffentlichen Verwaltung Feststellungsbescheid statt Geldstrafe (§ 46).
• Die aktuelle Bedrohungslage und die Risiken des eigenen Unternehmens (DVO Nr. 8.1.3).
• Die eigene Rolle im Notfall: Entscheidungen, Erreichbarkeit, Kommunikation.
• Vorbildwirkung: Führungskräfte setzen Sicherheitsvorgaben um und weisen ihre Mitarbeitenden auf die Einhaltung hin (ORP.3.A1).

Teilnahmezahlen allein genügen nicht: NIST verlangt, über die bloße Erfüllung von Vorgaben hinaus auch Wirkung auf Fähigkeiten, Haltung und Verhalten zu messen (Abschnitt 2.4.1). Das BSI empfiehlt, den Lernerfolg zielgruppenbezogen quantitativ und qualitativ zu messen und die Ergebnisse in das Angebot einfließen zu lassen (ORP.3.A8).

• Teilnahme je Person dokumentiert: Datum, Thema, Format, Dauer, Bestätigung.
• Unterlagen jeder Schulung mit Stand archiviert, damit nachvollziehbar ist, was vermittelt wurde.
• Neue Mitarbeitende vor dem ersten Zugriff eingewiesen und das dokumentiert (Empfehlung von TOMORIS, vgl. NIST 3.1.2.2; das Programm muss neue Mitarbeitende erreichen, DVO Nr. 8.1.2 lit. a).
• Wirksamkeit gemessen, z. B. Quiz mit Bestehensgrenze, praktische Prüfung, Klickrate bei Phishing-Übungen (NIST 2.7.2 und 3.2, ORP.3.A8).
• Ergebnisse mit Personalabteilung und Datenschutz besprochen (ORP.3.A8).
• Programm in geplanten Abständen aktualisiert (DVO Nr. 8.1.3, 8.2.5; ORP.3.A4), zusätzlich nach Vorfällen (NIST 2.5.1).
• Für NIS2-pflichtige Einrichtungen: Nachweis über die Schulung der Leitungsorgane griffbereit.

• Nur ein Pflichttermin im Jahr. NIST beschreibt Sensibilisierung als laufende Aktivität über das ganze Jahr (Abschnitt 2.7.1).
• Die Leitung fehlt. Ohne ihre Unterstützung soll ein Programm laut BSI gar nicht beginnen (ORP.3.A1); NIS2-pflichtige Leitungsorgane müssen selbst teilnehmen.
• Alle bekommen dasselbe. Administratoren und Sicherheitsrollen brauchen zusätzliche, rollenbezogene Schulung (NIST 2.5.2, 2.5.3; DVO Nr. 8.2).
• Phishing-Übungen werden zum Pranger. NIST rät ausdrücklich zu einem Ansatz ohne Strafe und ohne Bloßstellung (Abschnitt 2.7.2).
• Gemessen wird nur die Teilnahmequote, nicht die Wirkung auf das Verhalten (NIST 2.4.1, ORP.3.A8).
• Neue Mitarbeitende und Externe werden vergessen (DVO Nr. 8.1.2, ORP.3.A3).