Sicherheitsbewusstseinstraining in der Softwareentwicklung ist kein separates Kapitel im Gesetz, sondern ergibt sich aus der Sorgfaltspflicht: der Verpflichtung, angemessene technische und organisatorische Maßnahmen gegen Risiken für Netz- und Informationssysteme zu ergreifen. Das Bewusstsein der Mitarbeiter ist eine der Maßnahmen, die darunter fällt, weil ein großer Teil der Vorfälle mit einem menschlichen Fehler beginnt: eine Phishing-E-Mail, die geöffnet wird, ein Passwort, das weitergegeben wird, ein falsch konfigurierter Zugriff, den niemand bemerkt.
Darüber hinaus gibt es in der Richtlinie eine zweite, separate Verpflichtung, die nicht um Mitarbeiter geht, sondern um die Führungskraft selbst: Diese muss sich selbst auch schulen und die Einführung der Cybersicherheit innerhalb der Organisation überwachen. Das ist eine andere Pflicht als die Schulungsverpflichtung für das Personal, mit einem anderen Zweck und einer anderen verantwortlichen Person. Für ein Softwareunternehmen, das unter die Sorgfaltspflicht fällt, oder das über einen Kunden mit NIS2-Anforderungen konfrontiert wird, ist die Unterscheidung zwischen diesen beiden Ebenen genau dort, wo viel Verwirrung entsteht.
Was die Sorgfaltspflicht von der Organisation verlangt
Die Sorgfaltspflicht beschreibt kein festgelegtes Schulungsprogramm mit einer Mindeststundenzahl oder einem erforderlichen Anbieter. Was die Richtlinie verlangt, ist, dass eine Organisation nachweislich Aufmerksamkeit für Sicherheitsbewusstsein als Teil ihres Risikomanagements aufbringt. In der Praxis bedeutet das: Mitarbeiter, die mit Code, Kundendaten oder Produktionsumgebungen arbeiten, müssen wissen, was Social Engineering ist, wie sie eine verdächtige Anfrage erkennen, und was sie tun, wenn sie unsicher sind.
Bei einem Softwareunternehmen liegt der Schwerpunkt oft auf einigen spezifischen Risiken, die nicht bei jedem KMU auftreten: Zugriff auf Quellcode, Geheimnisse in Konfigurationsdateien und die Versuchung, Testumgebungen weniger sicher zu schützen als die Produktion. Ein Bewusstseinsprogramm, das nur vor Phishing-E-Mails warnt, aber nichts über das Teilen eines API-Schlüssels in einer Chat-Nachricht sagt, verfehlt genau das Risiko, das in der Entwicklungsabteilung am häufigsten schiefgeht. Wer das systematisch dokumentieren möchte, findet in der Übersicht der Themen pro Sektor wie andere Maßnahmen aus der Sorgfaltspflicht hierauf abgestimmt sind, wie etwa Zugriffskontrolle und Vorfallregistrierung.
Die separate Pflicht für die Führungskraft
Neben der Schulungsverpflichtung für das Personal legt die Richtlinie eine eigene Verantwortung bei der Führungskraft auf: Diese muss selbst über ausreichend Kenntnisse verfügen, um die getroffenen Maßnahmen bewerten zu können, und muss die Risiken einschätzen können, die mit der Organisation verbunden sind. Dies ist keine Ergänzung zur Personalschulung, sondern eine eigenständige Verpflichtung, gerichtet an die Person, die letztlich verantwortlich ist.
Diese Unterscheidung ist relevant, weil sie oft übersehen wird: Ein Unternehmen organisiert ein E-Learning für alle Mitarbeiter und denkt damit auch, die Pflicht der Führungskraft erfüllt zu haben. Oder der Geschäftsführer eines Softwareunternehmens geht davon aus, dass der eigene technische Hintergrund ausreicht, ohne dass etwas dokumentiert ist. Beide Situationen zeigen eine Lücke zwischen dem, was tatsächlich geschieht, und dem, was nachweislich organisiert ist. Für die genaue Ausgestaltung dieser Verpflichtung und für das, was ländersspezifisch in der nationalen Umsetzung festgelegt ist, ist der Originaltext der Richtlinie der geeignete Ausgangspunkt; wir dokumentieren in der Wissensdatenbank, welche Veröffentlichungen wir gesehen haben und wann.
Was das in der Praxis für ein Softwareunternehmen bedeutet
Ein Softwareunternehmen, das selbst der Sorgfaltspflicht unterliegt, oder das einen Sicherheitsfragebogen von einem Auftraggeber erhält, der dies tut, erhält normalerweise zwei Arten von Fragen gleichzeitig: ob es ein Sensibilisierungsprogramm für Mitarbeiter gibt und ob die Geschäftsleitung selbst an Schulungsmaßnahmen teilgenommen oder diese organisiert hat. Wer nur das erste nachweisen kann, lässt auf dem Papier eine Anforderung unbeantwortet, die der Fragebogen tatsächlich stellt.
Um zu bestimmen, ob und in welcher Rolle dies für Ihre Organisation relevant ist, hilft es zunächst, den Sektor, die Größe und die Position in der Lieferkette zu ermitteln. Das ist genau das, womit die kostenlose NIS2-Check beginnt: In einigen Fragen wird deutlich, ob eine Organisation selbst verpflichtet ist, nur über einen Kunden betroffen ist oder beides nicht zutrifft.
Dokumentation: Nachweisdokument und Verantwortlicher
Eine Schulungsverpflichtung, die nur in den Köpfen existiert, ist bei einer Kontrolle oder einem Fragebogen nicht nachweisbar. Was funktioniert, ist für jede Verpflichtung einen Status, ein Nachweisdokument und einen Verantwortlichen zu dokumentieren: wann welche Mitarbeitergruppe welche Schulung absolviert hat, und ob es einen separaten Zeitpunkt gab, zu dem die Geschäftsleitung sich über die ergriffenen Maßnahmen und die Risiken der Organisation informieren ließ. Beides gehört in eine Akte, nicht in zwei separate E-Mails.
Häufig auftretende Unsicherheiten darüber, was genau unter die Schulungsverpflichtung fällt und wie sich dies zu anderen Maßnahmen der Sorgfaltspflicht verhält, sind ausführlich in der häufig gestellte Fragendargelegt. Dort erfahren Sie auch, wie secria.eu Quellen aktuell hält und wann eine Seite zuletzt überprüft wurde, auffindbar über die Erläuterung, wie die Informationen zusammengestellt werden.
Möchten Sie zunächst wissen, ob dieses Thema für Ihre Organisation relevant ist, oder kommt es nur über einen Kunden zu Ihnen? Führen Sie die kostenlose NIS2-Prüfung durch oder blättern Sie durch die Themen; beide können ohne Konto konsultiert werden und geben sofort einen konkreten nächsten Schritt.