Vorlage aus dem NIS2-Paket
Wer wird wann, wie oft und womit geschult, und wie belegen Sie das? Das Schulungskonzept beantwortet diese Fragen für alle Beschäftigten, das IT-Personal, die Führungskräfte und die Geschäftsleitung. Es ist im NIS2-Paket enthalten.
Das Dokument
Die Vorlage NIS-KZ-14 ist ein Konzept in Word. Kern ist eine Tabelle mit sieben Zielgruppen: alle Beschäftigten, neue Beschäftigte, Fremdpersonal von Dienstleistern mit Systemzugang, IT-Personal, Führungskräfte, Geschäftsleitung und Personen mit besonderen Aufgaben wie Zahlungsverkehr, Personal, Einkauf und Empfang. Für jede Zielgruppe sind Schulung, erster Termin, Auffrischung, Mindestdauer und Format festgelegt, die Zahlen als Platzhalter zum Anpassen.
Abschnitt 5 beschreibt die Inhalte je Zielgruppe, von Passwörtern, Phishing und Meldewegen in der Grundschulung bis zur Leitungsschulung, die auf die Pflichten der Geschäftsleitung nach § 38 BSIG zugeschnitten ist und keine Wiederholung der Grundschulung sein soll. Dazu kommen Formate mit Mindestanforderungen, etwa ein Abschlusstest im Lernprogramm, sechs Kennzahlen zur Erfolgskontrolle, Regeln für Phishing-Übungen und ein Jahresplan von Januar bis Dezember mit laufenden Maßnahmen für Erst- und Nachschulungen.
Anhang A ist ein Protokoll für Phishing-Übungen: verwendetes Muster, Zahl der Empfänger, Beteiligung von datenschutzbeauftragter Person und Betriebsrat, Ergebnis je Bereich, Vergleich zur letzten Übung und das Datum, an dem die Rohdaten gelöscht wurden.
Vorschau
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-KZ-14: Deckblatt mit Dokumentenlenkung
NIS-KZ-14: Inhalt und Änderungshistorie
Gliederung
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
Tabelle mit sieben Zielgruppen, erstem Termin, Auffrischung, Dauer und Format. Neue Beschäftigte erhalten Berechtigungen über den Grundzugang hinaus erst nach der Erstschulung, Fremdpersonal von Dienstleistern erhält vor dem ersten Zugang eine Kurzunterweisung, und wer fehlt, wird innerhalb einer festgelegten Frist nachgeschult.
Themen der Grundschulung, der Erstschulung, der Fachschulung für IT-Personal, der Führungskräfteschulung und der Leitungsschulung, meist mit Verweis auf die Richtlinie, aus der das Thema stammt.
Sechs Kennzahlen von der Teilnahmequote bis zur Meldequote der Phishing-Übung. Testergebnisse werden je Thema ausgewertet, nicht je Person, und nicht für Beurteilungen genutzt.
Regelmäßige Sicherheitshinweise, Themen in Teambesprechungen und Regeln für Phishing-Übungen: keine realen Kolleginnen und Kollegen mit Namen, keine Behörden, eine Lernseite statt gespeicherter Zugangsdaten, Auswertung nur als Quote.
Welche Nachweise je Schulung geführt werden, wie lange sie aufbewahrt werden und dass die oder der ISB das Konzept mindestens jährlich prüft.
Monatsplan mit Maßnahme, Zielgruppe, Format und Verantwortlichen, von der Phishing-Übung bis zur Notfallübung. Verschobene Termine bleiben mit neuem Datum im Plan und werden nicht gestrichen.
Auszug
Jedes Mitglied der Geschäftsleitung nimmt persönlich teil; eine Vertretung durch die oder den ISB ist nicht möglich.
Reine Standardinhalte ohne Bezug zum Betrieb sind nicht ausreichend.
Wer geklickt hat, wird nicht an Führungskräfte gemeldet, nicht namentlich genannt und nicht sanktioniert.
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[vier Wochen] | Die Frist nach Eintritt, in der neue Beschäftigte die Erstschulung erhalten. | NIS-KZ-14 |
[60] | Die Mindestdauer der Grundschulung in Minuten. | NIS-KZ-14 |
[30] | Die Dauer der Kurzunterweisung für Fremdpersonal vor dem ersten Zugang in Minuten; derselbe Klammerwert steht in Abschnitt 4 für die zusätzliche Unterweisung von Personen mit besonderen Aufgaben. | NIS-KZ-14 |
[halbjährlich] | Wie oft Phishing-Übungen stattfinden. | NIS-KZ-14 |
[externer Anbieter oder ISB mit externem Anteil] | Wer die Leitungsschulung der Geschäftsleitung durchführt. | NIS-KZ-14 |
[30. November] | Bis wann der Jahresplan für das Folgejahr erstellt ist. | NIS-KZ-14 |
[Sprachen] | In welchen Sprachen Unterlagen für Beschäftigte ohne ausreichende Deutschkenntnisse bereitstehen. | NIS-KZ-14 |
Einsatz
§ 30 Abs. 2 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen. Im NIS2-Paket ist das Bereich 7, zu dem das Schulungskonzept und der Schulungsnachweis Beschäftigte (NIS-NW-15) gehören. Das Konzept legt fest, was geschult wird und was die Nachweise belegen sollen, der Nachweis zeigt, dass die Schulung stattgefunden hat.
Die Geschäftsleitung muss nach § 38 BSIG regelmäßig an Schulungen teilnehmen. Das Konzept sieht dafür eine eigene Leitungsschulung vor, mit Themen wie den zehn Maßnahmenbereichen, der Risikobewertung, den Meldepflichten und der Rolle im Krisenstab. Jedes Mitglied nimmt persönlich teil, die Teilnahme wird mit dem Schulungsnachweis Geschäftsleitung (NIS-NW-23) belegt.
Fragt ein Kunde oder ein Versicherer nach Schulungen, sieht das Konzept mehr vor als eine Teilnehmerliste: Teilnahmequote, Ergebnisse der Testfragen je Thema und Klick- und Meldequoten der Phishing-Übungen. Diese Kennzahlen gehen in die Wirksamkeitsprüfung nach NIS-VF-13 ein und werden der Geschäftsleitung berichtet.
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Das Konzept regelt, was die Nachweise belegen sollen. Die Formulare selbst sind eigene Dokumente im NIS2-Paket: der Schulungsnachweis Beschäftigte (NIS-NW-15) und der Schulungsnachweis Geschäftsleitung (NIS-NW-23). Alle drei sind im Paket für 1.490 € netto enthalten, einzeln werden sie nicht abgegeben.
Nein. Das Konzept legt Zielgruppen, Themen, Formate und Rhythmus fest, enthält aber keine fertigen Schulungsfolien. Es verlangt, dass jede Schulung mindestens ein Beispiel aus dem eigenen Unternehmen enthält, etwa einen anonymisierten Vorfall oder eine gemeldete Phishing-Mail.
Das Konzept sieht vor, vor der ersten Übung die datenschutzbeauftragte Person und, falls vorhanden, den Betriebsrat zu beteiligen und das Vorgehen in Textform festzuhalten. Die Regeln sind auf Lernen ausgelegt: Auswertung nur als Quote, keine Meldung an Führungskräfte, Löschung der personenbezogenen Rohdaten nach kurzer Frist. Ob das für Ihren Betrieb so passt, klären Sie mit diesen Stellen.
14 Seiten in Word, mit Tabellen für Zielgruppen, Formate, Kennzahlen und Jahresplan sowie dem Protokoll der Phishing-Übung in Anhang A. Die vorgeschlagenen Zahlenwerte stehen in eckigen Klammern und werden von Ihnen festgelegt; die jährliche Auffrischung ist als Mindestregel fest.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.
