Keine Rechtsberatung
Dieser Artikel gibt einen allgemeinen Überblick über regulatorische Anforderungen an Security-Awareness-Schulungen. Er ersetzt keine Rechtsberatung und trifft keine Aussage darüber, welche Pflichten Ihr Unternehmen konkret treffen. Ob und in welchem Umfang Sie betroffen sind, klären Sie im Einzelfall mit einer fachkundigen Beratung.
„Müssen wir unsere Mitarbeitenden eigentlich schulen?“ – diese Frage hat sich mit NIS2 für viele Unternehmen neu gestellt. Die kurze Antwort: Eine Pflicht, die pauschal für jedes Unternehmen gilt, gibt es nicht. Für Unternehmen im Anwendungsbereich von NIS2 sind Schulungen seit dem neuen BSI-Gesetz aber gesetzlich vorgeschrieben; ISO 27001 verlangt sie ebenfalls, und Cyberversicherer setzen sie häufig voraus. Dieser Ratgeber ordnet das ein.
Die kurze Antwort
Es gibt kein Gesetz, das pauschal „jedes Unternehmen muss Awareness-Schulungen durchführen“ anordnet. Für Unternehmen im Anwendungsbereich von NIS2 schreibt das Gesetz Schulungen inzwischen aber ausdrücklich vor; für viele weitere ergibt sich die Pflicht aus einer ISO-27001-Zertifizierung oder aus den Bedingungen der Cyberversicherung. Entscheidend ist deshalb vor allem, ob Ihr Unternehmen in einen dieser Anwendungsbereiche fällt.
Was NIS2 und das BSI-Gesetz verlangen
Die NIS2-Richtlinie (EU 2022/2555) ist das zentrale EU-Regelwerk für Cybersicherheit. In Deutschland ist sie seit dem 6. Dezember 2025 über das neue BSI-Gesetz (BSIG) umgesetzt und gilt ohne Übergangsfrist. Für betroffene Einrichtungen sind zwei Punkte zentral:
- Risikomanagement-Maßnahmen (§ 30 BSIG): Betroffene Einrichtungen müssen angemessene technische und organisatorische Maßnahmen ergreifen. Dazu gehören ausdrücklich Cyberhygiene und Schulungen im Bereich der Cybersicherheit.
- Pflichten der Geschäftsleitung (§ 38 BSIG): Die Geschäftsleitung muss diese Maßnahmen umsetzen und ihre Umsetzung überwachen – diese Verantwortung ist nicht an die IT oder einen Dienstleister delegierbar. Zusätzlich muss sie selbst regelmäßig an Schulungen teilnehmen und haftet für Versäumnisse.
Ob ein Unternehmen betroffen ist, hängt von Sektor, Größe und Sondertatbeständen ab: NIS2 richtet sich an „wesentliche“ und „wichtige“ Einrichtungen in bestimmten Sektoren (etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, Teile des verarbeitenden Gewerbes), die bestimmte Schwellen bei Mitarbeiterzahl und Jahresumsatz bzw. Bilanzsumme erreichen. Einzelne Einrichtungen sind unabhängig von ihrer Größe erfasst. In Deutschland fallen schätzungsweise rund 30.000 Unternehmen darunter – deutlich mehr als unter den alten Regeln.
ISO 27001 und andere Normen
Auch jenseits von NIS2 verlangen etablierte Standards Awareness. Die ISO/IEC 27001:2022 – der international führende Standard für Informationssicherheits-Managementsysteme – fordert in den Abschnitten 7.2 und 7.3, dass Beschäftigte die nötige Kompetenz und das nötige Bewusstsein für Informationssicherheit besitzen; die ergänzende Maßnahme A.6.3 im Anhang nennt dafür ausdrücklich Sensibilisierung, Aus- und Weiterbildung. Ein bestimmtes Kursformat schreibt die Norm nicht vor, aber ohne ein nachweisbares Awareness-Programm ist eine Zertifizierung kaum zu halten. Ähnliches gilt für Branchenstandards wie TISAX in der Automobilindustrie.
Cyberversicherungen
Je nach Versicherer und Vertrag können Awareness-Schulungen Voraussetzung für den Abschluss einer Cyber-Police oder eine vertragliche Obliegenheit sein, deren Verletzung im Schadensfall die Leistung kürzen kann. Maßgeblich sind die konkreten Versicherungsbedingungen. Ein dokumentiertes Schulungsprogramm ist hier nicht nur Pflichterfüllung, sondern oft auch ein finanzielles Argument.
Was eine gute Awareness-Schulung leistet
Eine Schulung erfüllt nur dann ihren Zweck, wenn sie Verhalten verändert – nicht, wenn sie einen Haken auf einer Checkliste setzt. Darauf kommt es an:
- Praxisnah statt theoretisch: Echte Beispiele aus dem Arbeitsalltag statt abstrakter Regeln.
- Regelmäßig statt einmalig: Wissen verblasst. Kurze, wiederkehrende Einheiten sind in der Regel wirksamer als eine jährliche Großveranstaltung.
- Messbar: In Verbindung mit einem Phishing-Test lassen sich Hinweise gewinnen, ob die Schulung wirkt.
- Dokumentiert: Für NIS2, ISO 27001 und Versicherer sollte nachweisbar sein, wer wann mit welchen Inhalten geschult wurde.
So läuft es bei Serancon
Die Security-Awareness-Schulung von Serancon vermittelt praxisnah, wie Mitarbeitende Phishing, Social Engineering und typische Angriffswege erkennen. Auf Wunsch kombinieren wir die Schulung mit einer Phishing-Simulation, um die Wirkung sichtbar zu machen und die Durchführung für Ihre Nachweispflichten – etwa nach NIS2 oder gegenüber der Cyberversicherung – sauber zu dokumentieren. Wie ein solcher Phishing-Test abläuft, erklärt unser Ratgeber Phishing-Test für Mitarbeiter.
Fazit
Seit dem neuen BSI-Gesetz sind Awareness-Schulungen für Unternehmen im Anwendungsbereich von NIS2 Pflicht; für viele weitere ergibt sie sich aus ISO 27001 oder der Cyberversicherung. Wer zuerst prüft, ob er betroffen ist, und dann ein dokumentiertes, praxisnahes Schulungsprogramm aufsetzt, erfüllt nicht nur Vorgaben, sondern senkt sein Risiko real. Ihre Fragen zur passenden Security-Awareness-Schulung beantworten wir gern über das Kontaktformular.