Ist Schulung zum Sicherheitsbewusstsein für IKT-Dienstleister unter NIS2 erforderlich?
Die NIS2-Richtlinie nennt Bewusstsein und Training ausdrücklich als eine der Maßnahmen, die Artikel 21 von Organisationen verlangt, um Cyberrisiken zu beherrchen. Für ein wesentliches oder wichtiges Unternehmen ist dies daher keine unverbindliche Empfehlung, sondern Teil der Zorgplicht, zusammen mit beispielsweise Zugriffskontrolle und Vorfallmeldung. Für einen ICT-Dienstleister, der selbst nicht unter NIS2 fällt, aber als Lieferant bewertet wird, taucht die Frage häufig in einem Sicherheitsfragebogen auf: Bieten Sie Schulungen an, für wen und wie oft.
Wichtig ist die Unterscheidung: Die Richtlinie sieht neben dieser Maßnahme auch eine separate Bestimmung vor, die sich speziell auf die Geschäftsleitung selbst bezieht. Das ist eine andere Verpflichtung mit einem anderen Zweck und einer anderen Zielgruppe. Wer die beiden verwechselt, unterschätzt oft, was vom Rest der Organisation verlangt wird, oder übersieht, was speziell von der Geschäftsleitung verlangt wird.
Was die Zorgplicht der Organisation verlangt
Die zehn Maßnahmen aus Artikel 21 sind risikobasiert formuliert: Die Richtlinie schreibt nicht vor, wie viele Stunden Schulung, mit welcher Häufigkeit oder mit welchem Dienstleister. Entscheidend ist, dass Mitarbeiter die Risiken erkennen, die für ihre Funktion relevant sind. Bei einem ICT-Dienstleister geht es häufig um Phishing, Passwortverhalten, den Umgang mit Zugriff auf Kundenumgebungen und das Erkennen eines Vorfalls. Aufsichtsbehörden prüfen, ob die Maßnahme nachweislich durchgeführt wurde, nicht nach einer festgelegten Mindeststundenzahl für Schulungen.
Dies ist eine der Maßnahmen, bei denen ein MKB-Lieferant relativ schnell etwas Sinnvolles einrichten kann: ein kurzes Schulungsmoment, ein Test, ein Teilnahmezertifikat. Die Frage "Wer hat daran teilgenommen und wann" ist genau das, was ein Abnehmer in einem Fragebogen häufig sehen möchte, und genau das, was ein lebendes Dossier leicht zeigen kann.
Der Unterschied zur Schulungsverpflichtung für die Geschäftsleitung
Die Richtlinie legt darüber hinaus eine eigene Verantwortung bei der Geschäftsleitung eines wesentlichen oder wichtigen Unternehmens fest. Diese Bestimmung soll sicherstellen, dass Geschäftsführer selbst über ausreichende Kenntnisse von Cyberrisiken verfügen, um die Zorgplicht-Maßnahmen genehmigen und überwachen zu können. Dies ist also keine Schulung für die gesamte Organisation, sondern eine Verpflichtung, die auf der Geschäftsleitung selbst ruht und unabhängig von der allgemeinen Bewusstmaßnahme für Mitarbeiter ist.
Für einen ICT-Dienstleister, der selbst nicht verpflichtet ist, gilt diese Geschäftsleitungsbestimmung nicht unmittelbar. Aber in der Praxis fragt ein verpflichteter Abnehmer manchmal doch nach: nicht nur, ob Mitarbeiter geschult wurden, sondern auch, ob die Geschäftsleitung ausreichend in die Sicherheitspolitik eingebunden ist. Das gehört dann zur Bewertung des Lieferanten, nicht zu einer eigenen gesetzlichen Verpflichtung dieses Lieferanten.
Was dies bedeutet, wenn Sie über die Lieferkette betroffen sind
Wenn Ihre Organisation selbst nicht unter NIS2 fällt, aber Dienstleistungen für ein Unternehmen erbringt, das dem Geltungsbereich unterliegt, kann dieser Kunde im Rahmen seiner Zorgplicht nach Ihrem Schulungsansatz fragen. Dies geschieht normalerweise über einen Fragebogen oder eine Vertragsbestimmung, nicht über eine gesetzliche Verpflichtung, die unmittelbar auf Sie zutrifft. Der Unterschied ist mehr als eine Formalität: Er bestimmt, ob Sie verpflichtet sind oder ob Sie sich entscheiden, die Anforderung Ihres Abnehmers zu erfüllen, um den Vertrag zu behalten. die Erläuterung pro Thema lesen zeigt, wie dieser Unterschied auch bei anderen Maßnahmen wiederkehrt.
Ob Ihre Organisation über die Lieferkette betroffen ist und welche der zehn Maßnahmen dabei relevant sind, lässt sich mit einigen Fragen feststellen. in ein paar Fragen sehen, ob und wie dies Ihre Organisation betrifft gibt dort einen ersten Hinweis, ohne dass Sie dafür ein Konto benötigen.
Training als Beweisdokument dokumentieren
Was ein Training für ein Dossier wertvoll macht, ist nicht nur der Inhalt, sondern die Dokumentation: wer teilgenommen hat, wann und mit welchem Ergebnis. Ein Teilnahmenachweis pro Mitarbeiter, verknüpft mit einem Status und einem Verantwortlichen, ist genau die Art von Beweismaterial, das in einer Cybersecurity-Frageliste abgefragt wird und das bei Wiederholung Ermittlungsaufwand spart. sehen, woher diese Informationen stammen erläutert, wie ein solches Dossier aufgebaut ist und wie es gepflegt wird.
Für die genaue Formulierung der Richtlinie zu diesem Punkt und für die nationale Umsetzung, die auf Ihre Situation zutrifft, ist der offizielle Text maßgeblich. Sind Sie unsicher, ob eine spezifische Anforderung in einer Frageliste über das hinausgeht, was die Sorgfaltspflicht vernünftigerweise verlangt, dann ist das eine Frage für einen Juristen oder, bei Unsicherheit über Ihren eigenen Status, für die zuständige Aufsichtsbehörde.
Möchten Sie wissen, ob und wie Ihre Organisation über die Lieferkette mit diesen Anforderungen konfrontiert wird? Führen Sie die kostenlose NIS2-Überprüfung durch oder blättern Sie durch die Antworten auf häufig gestellte Fragen für einen ersten Überblick.