1. Problem
Viele Unternehmen haben für NIS2 bereits Richtlinien, Rollen und technische Maßnahmen definiert, aber keinen belastbaren Nachweis, dass Mitarbeitende die relevanten Sicherheitsregeln tatsächlich kennen und anwenden. Genau hier entsteht das Problem: Security Awareness wird häufig als Schulungsmaßnahme behandelt, obwohl NIS2 vor allem eine nachweisbare Governance verlangt. In der Praxis fehlen saubere Zuständigkeiten, ein dokumentierter Schulungsplan, klare Zielgruppenlogik und belastbare Nachweise über Teilnahme, Inhalte, Tests und Wirksamkeit.
Das wird kritisch, wenn ein Audit, eine Kundenprüfung oder ein Sicherheitsvorfall Fragen aufwirft: Wer wurde wann geschult? Welche Inhalte waren verpflichtend? Wie wurde mit Risikogruppen wie IT-Admins, HR oder Finance umgegangen? Gibt es Nachweise für Wiederholung, Verständnis und Eskalation bei Verweigerung? Ohne diese Dokumentation bleibt Security Awareness eine Absichtserklärung. Mit NIS2 reicht das nicht mehr aus. Unternehmen brauchen ein System, das Schulung, Rollenverantwortung, Kontrollen und Belege zu einem prüfbaren Gesamtbild verbindet. Genau dieses System beschreibt der folgende Artikel.
2. Definition
Security Awareness ist die geplante, dokumentierte und überprüfbare Befähigung von Mitarbeitenden, sicherheitsrelevante Vorgaben zu erkennen, korrekt anzuwenden und Abweichungen zu melden. Im NIS2-Kontext umfasst Security Awareness nicht nur Schulungen, sondern auch Governance, Zuständigkeiten, Nachweise, Wirksamkeitskontrollen und die Einbindung relevanter Zielgruppen entlang ihrer Risikoexposition. Sie ist damit ein Bestandteil organisatorischer Informationssicherheit und kein einmaliges Trainingsereignis.
3. Schritt-für-Schritt-Erklärung
Schritt 1: Verantwortlichkeiten festlegen
Definieren Sie, wer das Awareness-Programm fachlich verantwortet, wer Inhalte freigibt und wer Nachweise verwaltet. Typisch sind CISO, HR, Compliance und Fachbereichsverantwortliche. Ohne klare Rollen ist nicht nachvollziehbar, ob Inhalte aktuell, verpflichtend und auditfähig sind. Verankern Sie die Zuständigkeit in einer Richtlinie oder einem Governance-Dokument.
Schritt 2: Zielgruppen nach Risiko segmentieren
Nicht jede Person braucht denselben Inhalt. Geschäftsführung, IT-Administratoren, Helpdesk, HR, Finance und Lieferantenmanagement haben unterschiedliche Risiken und Pflichten. Legen Sie Zielgruppen mit passender Intensität, Frequenz und Tiefe fest. Für privilegierte Rollen sind zusätzliche Trainings zu Zugriffsschutz, Phishing, Incident Reporting und sicherem Admin-Verhalten erforderlich.
Schritt 3: Pflichtinhalte definieren
Bestimmen Sie die Inhalte, die jede Zielgruppe mindestens kennen muss. Dazu gehören Passwort- und MFA-Regeln, Phishing-Erkennung, Meldewege, Umgang mit Daten, Remote Work, Incident-Meldung und Social Engineering. Im Kontext von Compliance, Governance und IT-Sicherheitskultur muss erkennbar sein, dass Sicherheitsregeln nicht nur kommuniziert, sondern organisatorisch durchgesetzt werden.
Schritt 4: Nachweise standardisieren
Dokumentieren Sie Teilnahme, Abschlusszeitpunkt, Testresultat und die Version der Schulungsinhalte. Ein bloßer Veranstaltungsnachweis reicht nicht. Erstellen Sie eine Nachweisstruktur, die auditfähig ist: Person, Datum, Zielgruppe, Inhalt, Erfolgskontrolle, Wiederholungsintervall und Ausnahmeregeln. So können Sie bei Prüfungen schnell belegen, dass Security Awareness systematisch umgesetzt wurde.
Schritt 5: Wirksamkeit prüfen
Messen Sie nicht nur die Teilnahme, sondern die Wirkung. Nutzen Sie kurze Wissenschecks, Phishing-Simulationen, Incident-Meldestatistiken und Auswertungen aus Support- oder Security-Vorfällen. Wenn bestimmte Gruppen wiederholt scheitern, müssen Inhalte, Format oder Frequenz angepasst werden. Wirksamkeit ist bei NIS2 wichtiger als die reine Anzahl der geschulten Personen.
Schritt 6: Wiederholung und Eskalation regeln
Ein einmaliges Training genügt nicht. Definieren Sie ein jährliches Basistraining und anlassbezogene Zusatzschulungen, etwa bei Rollenwechseln, neuen Bedrohungen oder Vorfällen. Legen Sie auch fest, was passiert, wenn Pflichttrainings nicht abgeschlossen werden: Erinnerung, Eskalation an Führungskraft, Sperre bestimmter Zugriffe oder Dokumentation als Abweichung. So wird Security Awareness Teil der Governance und nicht nur ein HR-Prozess.
4. Framework
DAS-4-Modell: Define, Assign, Secure, Verify
Define: Inhalte, Pflichten und Zielgruppen werden verbindlich festgelegt.
Assign: Verantwortlichkeiten für Erstellung, Freigabe, Durchführung und Nachweis werden zugewiesen.
Secure: Trainings, Kommunikationsmaßnahmen und Meldewege werden operativ umgesetzt und technisch unterstützt.
Verify: Teilnahme, Verständnistests, Verhaltensindikatoren und Nachweise werden regelmäßig geprüft.
Das DAS-4-Modell trennt vier Prüfbereiche, die bei NIS2 relevant sind: inhaltliche Klarheit, organisatorische Verantwortung, operative Umsetzung und Nachweisfähigkeit. Es ist damit geeignet, Security Awareness als Governance-Prozess zu strukturieren. Wer diese vier Elemente dokumentiert, kann nicht nur Schulungen belegen, sondern die steuernde Wirkung des Programms nachvollziehbar darstellen.
5. Häufige Fehler
1. Security Awareness nur als E-Learning behandeln
Ein einzelner Onlinekurs wird oft mit einem vollständigen Programm verwechselt. Das reicht für NIS2 nicht, wenn keine Zielgruppenlogik, keine Erfolgskontrolle und kein Nachweismodell dahintersteht.
2. Alle Mitarbeitenden gleich behandeln
Ein Standardkurs für alle ignoriert unterschiedliche Risikoprofile. Besonders privilegierte Nutzer, HR oder Finance brauchen andere Inhalte als allgemeine Büroanwender.
3. Nur Teilnahme statt Wirksamkeit messen
Teilnahmequoten sehen gut aus, sagen aber wenig über Verhalten aus. Ohne Tests, Simulationen oder Vorfallauswertung bleibt unklar, ob das Training im Alltag ankommt.
4. Nachweise nicht versionieren
Wenn Schulungsinhalte geändert werden, muss auch die Dokumentation angepasst werden. Sonst ist später nicht nachvollziehbar, welche Version jemand tatsächlich gesehen hat.
5. Fehlende Eskalation bei Nichtteilnahme
Wer Pflichttrainings nicht abschließt, darf nicht folgenlos bleiben. Ohne Eskalationsmechanismus verliert das Programm seine Verbindlichkeit und damit seine Governance-Wirkung.
6. Praxisbeispiel
Ein industrieller Mittelständler mit 1.200 Mitarbeitenden führte ein NIS2-konformes Awareness-Programm ein. Zuvor gab es nur einen jährlichen E-Learning-Kurs ohne Zielgruppenunterscheidung und ohne belastbare Nachweise. Nach einer internen Prüfung wurde ein Programm mit vier Zielgruppen eingeführt: Allgemeine Mitarbeitende, privilegierte IT-Rollen, HR/Finance und Führungskräfte.
Innerhalb von acht Wochen wurden 1.148 Personen geschult, was einer Abschlussquote von 95,7 Prozent entsprach. Für 52 Mitarbeitende mit offenen Pflichttrainings wurde eine Eskalation über die jeweiligen Führungskräfte ausgelöst. Zusätzlich absolvierte die IT-Gruppe ein vertiefendes Modul mit 20 Fragen; die durchschnittliche Bestehensquote lag bei 91 Prozent im zweiten Versuch. Drei Monate später sank die Klickrate in Phishing-Simulationen von 18 Prozent auf 6 Prozent. Gleichzeitig stieg die Zahl korrekt gemeldeter verdächtiger E-Mails von 14 auf 41 pro Monat. Der entscheidende Effekt: Bei der internen NIS2-Vorbereitung konnte das Unternehmen nicht nur Schulungsnachweise vorlegen, sondern auch ein dokumentiertes Verfahren zur Wirksamkeitsprüfung.
7. FAQ
Wie oft muss Security Awareness geschult werden?
Mindestens jährlich als Basistraining, zusätzlich anlassbezogen bei neuen Risiken, Rollenwechseln oder Vorfällen. Für Hochrisikogruppen kann eine höhere Frequenz sinnvoll sein.
Reicht ein E-Learning-Kurs als Nachweis?
Nein, nicht allein. Er ist nur ein Baustein. Für NIS2 braucht es zusätzlich Zielgruppenlogik, Dokumentation, Testnachweise und ein Verfahren zur Wirksamkeitskontrolle.
Wer sollte das Programm verantworten?
In der Regel CISO oder Informationssicherheitsfunktion, in Abstimmung mit HR, Compliance und den Fachbereichen. Wichtig ist eine klar dokumentierte Verantwortungszuordnung.
Welche Nachweise sind auditrelevant?
Teilnahme, Zeitpunkt, Zielgruppe, Inhalt, Testresultat, Version der Schulungsunterlagen und Regelung bei Nichtteilnahme. Ohne diese Angaben ist die Prüfung oft nur eingeschränkt möglich.
Wie misst man Wirksamkeit?
Über Wissenschecks, Phishing-Simulationen, Incident-Meldungen und Fehlerquoten in sicherheitsrelevanten Prozessen. Entscheidend ist, ob sich Verhalten messbar verbessert.
8. Zusammenfassung
Security Awareness unter NIS2 ist kein einmaliges Training, sondern ein steuerbarer und nachweisbarer Governance-Prozess. Unternehmen brauchen klare Verantwortlichkeiten, risikobasierte Zielgruppen, definierte Pflichtinhalte und standardisierte Nachweise. Entscheidend ist nicht nur, dass geschult wurde, sondern ob die Maßnahme wirksam ist. Wer Teilnahme, Verständnis und Eskalation sauber dokumentiert, schafft eine belastbare Grundlage für Prüfung, Audit und Incident-Response.
Weiterführende Inhalte:
Häufige Fragen
Wie oft muss Security Awareness geschult werden?
Mindestens jährlich als Basistraining, zusätzlich anlassbezogen bei neuen Risiken, Rollenwechseln oder Vorfällen. Für Hochrisikogruppen kann eine höhere Frequenz sinnvoll sein.
Reicht ein E-Learning-Kurs als Nachweis?
Nein, nicht allein. Er ist nur ein Baustein. Für NIS2 braucht es zusätzlich Zielgruppenlogik, Dokumentation, Testnachweise und ein Verfahren zur Wirksamkeitskontrolle.
Wer sollte das Programm verantworten?
In der Regel CISO oder Informationssicherheitsfunktion, in Abstimmung mit HR, Compliance und den Fachbereichen. Wichtig ist eine klar dokumentierte Verantwortungszuordnung.
Welche Nachweise sind auditrelevant?
Teilnahme, Zeitpunkt, Zielgruppe, Inhalt, Testresultat, Version der Schulungsunterlagen und Regelung bei Nichtteilnahme. Ohne diese Angaben ist die Prüfung oft nur eingeschränkt möglich.
Wie misst man Wirksamkeit?
Über Wissenschecks, Phishing-Simulationen, Incident-Meldungen und Fehlerquoten in sicherheitsrelevanten Prozessen. Entscheidend ist, ob sich Verhalten messbar verbessert.
