Ist Schulung zur Cybersicherheitsbewusstsein im Installationsgewerk verpflichtend?
Wenn Ihr Installationsbetrieb unter die NIS2-Richtlinie fällt, gehört die Sensibilisierung von Mitarbeitern zu den Maßnahmen, die die Sorgfaltspflicht von Ihnen erwartet. Die Richtlinie nennt Schulung und Sensibilisierung ausdrücklich als Teil der Cybersicherheitsmaßnahmen, die ein kritisches oder wichtiges Unternehmen ergreifen muss. Darüber hinaus besteht eine separate Verpflichtung, die speziell auf Geschäftsführer ausgerichtet ist, und diese beiden werden in der Praxis oft verwechselt.
Der Unterschied liegt darin, wer verpflichtet wird und wie verbindlich diese Verpflichtung ist. Für Mitarbeiter allgemein spricht die Richtlinie von angemessenen und verhältnismäßigen Maßnahmen, wobei Schulung eines der genannten Elemente innerhalb der breiteren Sorgfaltspflicht gemäß Artikel 21 ist. Für Geschäftsführer und andere Mitglieder des Leitungsorgans besteht eine eigene, persönliche Verpflichtung, selbst Schulung zu absolvieren, um Cyberrisiken erkennen und bewerten zu können. Dies ist keine unverbindliche Empfehlung, sondern eine Anforderung an die Personen, die für die Genehmigung der Richtlinie verantwortlich sind.
Warum dieser Unterschied für einen Installationsbetrieb relevant ist
In einem Installationsbetrieb arbeiten Installateure vor Ort, eine Planungsabteilung, Verwaltungspersonal und normalerweise ein oder wenige Geschäftsführer, die die tägliche Leitung ausüben. Für die Gruppe der Mitarbeiter dreht sich Sensibilisierung vor allem um erkennbare Risiken: Phishing-E-Mails, die sich als Lieferant oder Auftraggeber ausgeben, verdächtige Anfragen um Anmeldedaten und sorgfältiger Umgang mit dem Zugriff auf Kunden- und Projektdaten auf mobilen Geräten in Firmenfahrzeugen. Die Sorgfaltspflicht verlangt, dass diese Art von Schulung regelmäßig stattfindet und dass Sie nachweisen können, dass sie stattgefunden hat, nicht dass es eine festgelegte Mindeststundenzahl pro Jahr gibt.
Für die Geschäftsführung oder den Eigentümer des Betriebs liegt die Messlatte etwas anders. Diese Person muss selbst in der Lage sein, Risiken zu erkennen und die daraus folgende Richtlinie ordnungsgemäß zu genehmigen. Das bedeutet nicht, dass der Geschäftsführer ein technischer Experte sein muss, aber er oder sie muss verstehen, welche Hauptrisiken für das Unternehmen bestehen und warum bestimmte Maßnahmen erforderlich sind. Diese Verpflichtung steht unabhängig von dem, was für Mitarbeiter organisiert wird, und kann daher nicht durch beispielsweise nur einen allgemeinen Phishing-Test für das gesamte Team ersetzt werden.
Was dies in der Praxis für Ihr Dossier bedeutet
Da Schulung Teil der Sorgfaltspflicht ist, gehört zu jeder Schulungsmaßnahme eine Dokumentation: wer hat an der Schulung teilgenommen, wann und welcher Inhalt war es. Dies gilt sowohl für die allgemeine Sensibilisierung von Mitarbeitern als auch für die Schulung, die Geschäftsführer absolvieren. Eine einfache E-Mail mit Tipps zählt nicht als Nachweis; eine Übersicht mit Teilnehmern, Datum und Thema zählt jedoch. die zehn Maßnahmen der Sorgfaltspflicht im Überblick bietet einen Überblick darüber, wo Schulung genau ansetzt und wie sie sich zu anderen Verpflichtungen wie Zugriffskontrolle und Vorfallregistrierung verhält.
Für Unternehmen, die über die Lieferkette betroffen sind, ohne selbst verpflichtet zu sein, spielt dieses Thema auch eine Rolle. Ein Auftraggeber, der selbst unter NIS2 fällt, kann in einer Sicherheitsfrageliste fragen, ob Mitarbeiter regelmäßig für Cyberrisiken sensibilisiert werden und ob dies dokumentiert ist. Ein Installationsbetrieb, der als Unterauftragnehmer für ein Energieunternehmen oder ein Krankenhaus arbeitet, erhält diese Frage häufig zurück, auch ohne selbst verpflichtet zu sein.
Ob Ihr Unternehmen selbst unter die Sorgfaltspflicht fällt, unter die Geschäftsführerverpflichtung unterliegt oder nur über einen Auftraggeber mit Schulung zu tun hat, hängt von Sektor, Größe und Rolle in der Lieferkette ab. in wenigen Fragen herausfinden, wo Ihr Unternehmen steht gibt darin einen ersten Hinweis mit einer Erklärung, warum. Häufig gestellte Fragen darüber, was genau unter Training fällt und ob ein Zertifikat erforderlich ist, finden Sie zusammengefasst in den häufig gestellten Fragen.
Keine Schulung ohne Dokumentation, keine Dokumentation ohne Dossier
Der Kern für einen Installationsbetrieb ist daher leicht zu merken: die Sensibilisierung von Mitarbeitern ist Teil der umfassenderen Sorgfaltspflicht, die Schulung von Führungskräften ist eine separate persönliche Verpflichtung. Beide erfordern eine Dokumentation, die Sie einer Aufsichtsbehörde oder einem Auftraggeber auf Anfrage vorlegen können. Für die genaue Formulierung und den Fundort im offiziellen Text verweisen wir auf die Richtlinie selbst und auf die nationale Umsetzung, die für Ihr Land gilt.
Möchten Sie sich für Ihren Installationsbetrieb ein klares Bild davon machen, was bereits geregelt ist und was noch fehlt? Beginnen Sie mit der kostenlosen NIS2-Check oder erstellen Sie ein geschäftliches Konto, um das Dossier aufzubauen sobald Sie wissen, welche Maßnahmen für Ihre Situation gelten.