Warum brauche ich ein Teilnahmezertifikat für ein Cybersicherheitstraining

Nachweis, dass Cyberhygiene und Schulung geregelt sind

Ein Schulungsteilnahmenachweis dient als Beweismittel, dass Personalschulung tatsächlich stattgefunden hat, und genau das ist es, was sowohl die eigene Dokumentation als auch eine Sicherheitsfrageliste eines Kunden verlangt. Cybersicherheit dreht sich nicht nur um Technik, sondern auch um Menschen, die wissen, wie sie Phishing erkennen, Passwörter verwalten und Vorfälle melden. Schulung ist daher eines der wiederkehrenden Elemente innerhalb der Sorgfaltspflicht, und ein Schulungsteilnahmenachweis ist das greifbare Ergebnis, mit dem diese Schulung nachgewiesen werden kann – nicht nur gegenüber einer Aufsichtsbehörde, sondern auch gegenüber einem Auftraggeber, der um Untermauerung bittet.

Für verpflichtete Organisationen gehört ein Schulungsteilnahmenachweis zu dem Beweismittel, das pro Sicherheitsmaßnahme vorgelegt werden muss: nicht die Maßnahme selbst ("wir schulen unser Personal") sondern der konkrete Nachweis, dass es auch geschehen ist, mit Name, Datum und Thema. Für MKB-Lieferanten in der Lieferkette, die selbst nicht unter das Gesetz fallen, ist es genauso relevant: wer eine Sicherheitsfrageliste eines Kunden ausfüllen muss bekommt oft genau diese Frage gestellt, weil ein Auftraggeber nachweisen muss, dass auch die Lieferkette ausreichend widerstandsfähig ist. Ohne einen Schulungsteilnahmenachweis bleibt "wir schulen unser Personal" eine Behauptung ohne Untermauerung, und das reicht normalerweise nicht aus.

Wo dies aus der Sorgfaltspflicht folgt

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt unter den zehn erforderlichen Maßnahmen ausdrücklich grundlegende Cyberhygiene und Cybersicherheitsschulung als Teil der Sorgfaltspflicht, was im Cybersicherheitsgesetz als niederländische Umsetzung übernommen wird. ISO/IEC 27001 arbeitet dies in Anlage A weiter aus als Kontrollmaßnahme rund um Bewusstsein und Schulung der Mitarbeiter, wobei Nachweisbarkeit – also eine Dokumentation darüber, wer wann welche Schulung absolviert hat – ein wiederkehrendes Element ist. Das NCSC betont in seinen Hinweisen zur Sorgfaltspflicht, dass Maßnahmen nicht nur getroffen, sondern auch nachgewiesen werden müssen.