Schulungsanforderungen der NIS2-Richtlinie: Was Ihr Team abdecken muss

Im Bereich der Cybersicherheitsregulierung zeichnet sich ein subtiler Wandel ab. Die neue EU-Richtlinie NIS2 führt Verpflichtungen ein, die zunächst geringfügig erscheinen mögen, aber weitreichende Folgen für Organisationen verschiedenster Branchen haben. 

Langsam und fast unmerklich können diese Anforderungen jeden Bereich des Betriebs beeinflussen. Die Frage ist, ob die Teams bereit sind, diesem allmählichen Anstieg der Erwartungen gerecht zu werden.

NIS2 verpflichtet Organisationen zur Anwendung strengerer Praktiken, wobei die Schulung und Sensibilisierung der Mitarbeiter ein zentraler Bestandteil ist.

Dieser Blog erklärt, welche Anforderungen das sind und wie man sie effektiv umsetzt. Los geht's! 

NIS2-Schulungsanforderungen 101

Die wichtigsten Schulungsanforderungen des NIS2 sind in den Artikeln 20, 21 und 23 geregelt. Dies gewährleistet stärkere Cybersicherheitsmaßnahmen in verschiedenen Sektoren der Europäischen Union.

Werfen wir einen genaueren Blick auf diese Anforderungen:

1. Prüfen Sie die wichtigsten Artikel der Richtlinie.

Der erste Schritt besteht darin, den Originaltext der Artikel 20 und 21 sorgfältig zu lesen. 

Artikel 20 hebt die Verantwortlichkeit des oberen Managements und die Notwendigkeit unternehmensweiter Sensibilisierungsprogramme hervor. 

Artikel 21 behandelt die technischen und organisatorischen Maßnahmen, das Netzwerkmanagement, die Zugriffskontrolle und den Umgang mit Sicherheitsvorfällen. Er befasst sich außerdem mit den Meldepflichten, insbesondere damit, wie schnell eine Organisation Warnmeldungen im Falle eines Vorfalls weitergeben muss.

So implementieren Sie:

• Sammeln Sie den Originaltext dieser Artikel und extrahieren Sie jede einzelne Anforderung.
• Erstellen Sie eine einfache Tabelle oder Matrix, in der diese Anforderungen zusammen mit dem Team oder der Einzelperson in Ihrer Organisation aufgelistet sind, die für jeden einzelnen Punkt verantwortlich ist.
• Bestätigen Sie, dass jeder Punkt in den Artikeln 20, 21 und 23 mindestens einen Eigentümer im Unternehmen hat.

2. Anforderungen den entsprechenden Rollen zuordnen

Anforderungen, die Entscheidungen des oberen Managements betreffen, werden dem Vorstand oder der Geschäftsleitung vorgelegt. Cyberhygiene für alle könnte beispielsweise aus grundlegenden Anweisungen zum Passwortmanagement oder zum Erkennen von Phishing-Nachrichten bestehen. 

Spezialisiertere Aufgaben wie die Bearbeitung von Sicherheitsvorfällen sind am besten für das IT-Team oder die Sicherheitsmanager geeignet. Dieser zielgerichtete Ansatz stellt sicher, dass die Mitarbeiter nur die notwendigen Schulungen erhalten und wird so einer Überlastung vorgebeugt.

Wie Implementieren:

• Organisieren Sie eine kurze Umfrage oder ein Interview mit den Abteilungsleitern, um zu klären, wer welche Aufgaben hat.
• Ordnen Sie die spezifischen Anforderungen jeder Richtlinie den täglichen Aufgaben einer Abteilung zu.
• Verwenden Sie Farbcodes, um sicherzustellen, dass klar ist, welche Gruppe für welches Thema zuständig ist.

3. Planinhalt

Jedes Thema sollte einem echten Bedürfnis entsprechen: Governance-Schulungen für Führungskräfte, Best Practices für den Benutzerzugriff für das Management und Sensibilisierung für Passwörter oder Phishing für alle anderen. 

Je direkter die Schulung mit alltäglichen Aufgaben verknüpft ist, desto wahrscheinlicher ist es, dass die Mitarbeiter sich damit auseinandersetzen und die Informationen behalten.

Beispiel :

• Executive-ModulEine 30-minütige Sitzung zu den Themen Verantwortlichkeit, Entscheidungsfindung bei Investitionen in die Cybersicherheit und Überprüfung von Vorfallsberichten.
• IT-TechnikmodulSchrittweise Anleitungen zur Konfiguration sicherer Authentifizierung, zur Überprüfung von Protokollen und zur Reaktion auf Warnmeldungen.
• Allgemeines BewusstseinKurze Videos zur Erkennung verdächtiger E-Mails, zur korrekten Speicherung sensibler Daten und zur umgehenden Meldung von Vorfällen.

So implementieren Sie es :

• Erstellen Sie einen Modulplan mit folgenden Titeln: „Verantwortlichkeiten des höheren Managements“, „Grundlagen des Umgangs mit Zwischenfällen“, „Grundlagen der Zugangskontrolle“ usw.
• Prüfen Sie die Relevanz jedes Moduls anhand des genauen Wortlauts in den Artikeln 20, 21 und 23.
• Setzen Sie auf prägnante, themenbezogene Sitzungen anstatt auf einen großen Inhaltstrauß.
• Wählen Sie eine GRC-Plattform, die diese Kurse anbietet.

4. Wählen Sie ein Lieferformat.

Präsenzveranstaltungen bieten zwar eine hohe Interaktionsrate, können aber für große oder weit verstreute Teams unpraktisch sein. Online-Unterricht in Echtzeit (über Teams, Zoom oder ähnliche Plattformen) vereinfacht die Terminplanung, ist aber auf einen einzigen Zeitpunkt festgelegt. 

Vorab aufgezeichnete Videos ermöglichen es den Mitarbeitern, in ihrem eigenen Tempo zu lernen, allerdings werden Fragen möglicherweise nicht sofort beantwortet.

Beispielsweise könnte ein größeres Unternehmen mit Mitarbeitern in verschiedenen Zeitzonen einen kombinierten Ansatz wählen. Komplexe Themen wie der Umgang mit Sicherheitsvorfällen könnten dem IT-Team live vermittelt werden. Gleichzeitig könnten allgemeine Schulungsmodule in Form kurzer, vorab aufgezeichneter Videos für Mitarbeiter in unterschiedlichen Schichten bereitgestellt werden.

So implementieren Sie:

• Berücksichtigen Sie terminliche Einschränkungen. Wenn die Belegschaft geografisch zentralisiert ist, könnten Präsenz- oder Live-Sitzungen eine Option sein.
• Wo die Mitarbeiter weit verstreut sind, sollten On-Demand-Module integriert werden, auf die jederzeit zugegriffen werden kann.
• Wenn Ihre Mitarbeiter für asynchrone Optionen stimmen, richten Sie eine „Frage- und Antwortstunde“ oder ein Online-Forum ein, um sicherzustellen, dass die Mitarbeiter ihre Bedenken weiterhin äußern können.

5. Frequenz und Dauer bestimmen

Spezielle Schulungen mit intensiven Diskussionen können einen halben Tag oder länger dauern. Der allgemeine Unterricht kann in kürzere Module unterteilt und über Wochen oder Monate hinweg schrittweise freigegeben werden. 

Daher trägt eine konsequente Verstärkung dazu bei, das Bewusstsein aufrechtzuerhalten, ohne den Zeitplan zu überlasten.

Wie Implementieren:

• Prüfen Sie den Umfang jedes Themas. Technische oder übergeordnete Governance-Fragen erfordern möglicherweise ausführlichere Workshops.
• Gängige Themen (wie z. B. die Risiken von Social Engineering) sollten in 5- bis 15-minütige Videos unterteilt werden.
• Erstellen Sie einen Redaktionsplan, um die systematische Veröffentlichung der Module wöchentlich, zweiwöchentlich oder monatlich, je nach deren Komplexität, sicherzustellen.

6. Verwenden Sie ein Learning Management System (LMS)

Ein Lernmanagementsystem (LMS) organisiert Schulungsmaterialien, verfolgt den Lernfortschritt und kann Prüfungen durchführen. Automatische Erinnerungen reduzieren den Verwaltungsaufwand und sorgen für ein einheitliches Lernerlebnis.

Viele Plattformen ermöglichen es Nutzern beispielsweise, Schulungspfade zuzuweisen. Das IT-Team erhält möglicherweise einen Kurs zum Thema „Fortgeschrittene Sicherheit“, während die übrigen Mitarbeiter eine Playlist mit dem Titel „Grundlagen der IT-Sicherheit“ sehen. Ein Management-Dashboard zeigt an, wer welches Modul abgeschlossen hat, inklusive der erzielten Quiz-Ergebnisse.

Wie Implementieren:

• Vergleichen Sie die verfügbaren LMS-Plattformen; achten Sie auf Funktionen wie automatisierte Benachrichtigungs-E-Mails, Fortschrittsverfolgung und die Gruppierung von Benutzern nach Abteilung oder Senioritätsstufe.
• Richten Sie verschiedene Module auf Basis der Rollenmatrix ein.
• Aktivieren Sie die Berichtsfunktionen, damit der Compliance-Beauftragte jederzeit einen Schulungsnachweis abrufen kann.

7. Tests und Feedback einbeziehen

Kurze Tests oder szenariobasierte Herausforderungen helfen dabei, sicherzustellen, dass die Mitarbeiter jede Anforderung verstehen. 

Sie können Feedbackgespräche führen, persönlich oder schriftlich, um etwaige bestehende Lücken aufzuzeigen.

Nach einem kurzen Video zum Thema Phishing beantworten die Mitarbeiter beispielsweise einen kurzen Test mit drei Fragen: „Welche dieser E-Mail-Betreffzeilen sehen verdächtig aus?“ „Welche Schritte unternehmen Sie, wenn Sie versehentlich auf einen schädlichen Link klicken?“ Daraus lässt sich ableiten, ob die Mitarbeiter den Inhalt verstanden haben.

Wie Implementieren:

• Erstellen Sie am Ende jedes Moduls ein kurzes Quiz.
• Fördern Sie eine offene Kommunikation. Sollten Mitarbeiter bestimmte Fragen wiederholt nicht beantworten können, wiederholen Sie den Inhalt oder bieten Sie eine Fragerunde mit häufig gestellten Fragen (FAQ) an.
• Die Testergebnisse werden im LMS für Compliance-Audits erfasst.

8. Nachweise über die Einhaltung aufbewahren.

Artikel 20 legt ausdrücklich fest, dass die Geschäftsleitung diese Maßnahmen überwachen muss. Die sorgfältige Dokumentation belegt, dass der Schulungsaspekt der Richtlinie eingehalten wurde. 

Der Nachweis der Teilnahme und der Quiz-Ergebnisse kann von entscheidender Bedeutung sein, wenn Aufsichtsbehörden Unterlagen anfordern.

Wie Implementieren:

• Protokollieren Sie die Anwesenheit, die Quiz-Ergebnisse und die Abschlussdaten aller Teilnehmer.
• Dokumente zentralisieren, damit sie problemlos geteilt oder exportiert werden können.
• Überprüfen Sie die Aufzeichnungen regelmäßig, um sicherzustellen, dass nichts fehlt oder ungenau ist.

9. Regelmäßig überprüfen und aktualisieren.

Bedrohungslandschaften entwickeln sich stetig weiter, und auch regulatorische Vorgaben können sich ändern. Eine kontinuierliche Überprüfung stellt sicher, dass die Schulungen relevant bleiben und das Unternehmen auf neue Anforderungen vorbereitet ist. Jegliche Aktualisierungen von NIS2 sollten umgehend in die Schulungsunterlagen einfließen.

Wie Implementieren:

• Planen Sie eine formelle Überprüfung ein, vielleicht jährlich, um festzustellen, ob die Themen und Materialien überarbeitet werden müssen.
• Verfolgen Sie aktuelle Nachrichten und Bulletins zum Thema Cybersicherheit, um relevante Bedrohungen zu identifizieren, die berücksichtigt werden sollten.
• Halten Sie Kontakt zu Branchenkollegen, um zu sehen, wie andere sich anpassen. So können Sie bewährte Verfahren in interne Schulungen einfließen lassen.

Wie erhält man ein offizielles Zertifikat?

Es gibt zwei unterschiedliche Wege, um eine offizielle Zertifizierung zu erlangen. Der erste Weg basiert auf Selbststudium und schließt mit einer Online-Prüfung ab. Wer diese besteht, erhält ein Zertifikat, das messbare Kenntnisse der wichtigsten Grundsätze der Richtlinie nachweist. 

Der zweite Weg setzt auf einen direkteren Ansatz: Schulungen unter Anleitung von Ausbildern, entweder bei Ihnen vor Ort oder über virtuelle Live-Sitzungen, bei denen die Kerninhalte in Echtzeit vermittelt werden. 

Die andere Möglichkeit besteht in Präsenzschulungen an Ihrem Arbeitsplatz oder in Live-Online-Kursen mit Dozenten. 

Jeder Lernweg entspricht unterschiedlichen Lernpräferenzen, egal ob Sie lieber selbstständig lernen oder Wert auf Interaktion in Echtzeit legen. Die für Sie passende Option führt zu einem Zertifikat, das Ihre professionellen Kenntnisse im Bereich Cybersicherheit und Compliance unterstreicht.

Option 1: Fernstudium mit Abschlusszertifikat

Ein Online-Studiengang, der mit einer Prüfung abschließt, führt zur Anerkennung als NIS2-Richtlinien-zertifizierter Experte (NIS2DTP) . Dieser Kurs vermittelt ein klares Verständnis der Anforderungen der NIS2-Richtlinie und bietet praktische Methoden zur Unterstützung der Einhaltung.

Teilnehmer, die die Prüfung erfolgreich absolvieren, erhalten ein Teilnahmezertifikat, das messbare Kenntnisse der Bestimmungen der Richtlinie bescheinigt. 

Weitere Details sind verfügbar werden auf dieser Seite erläutert.

Option 2: Präsenzschulungen mit Dozenten oder Online-Live-Training

Diese Option bringt erfahrene Trainer an Ihren Arbeitsplatz oder bietet Live-Unterricht virtuell an. 

Die Inhalte lassen sich leicht an spezifische Bedürfnisse anpassen und bieten maximale Interaktivität durch Echtzeitdiskussionen und Frage-Antwort-Runden.

Mögliche Module in einem maßgeschneiderten Programm

Einführung

• Erklärung der NIS2-Richtlinien-geschulter Fachmann (NIS2DTP) Prüfungsanforderungen
• Überblick über das Abschlusszertifikat und seine Vorteile für die Karrierewege

Teil 1: Kontext des Gesetzgebungsprozesses der Europäischen Union

• Wichtige EU-Institutionen
  Erforscht die Rollen von Institutionen wie der Europäischen Kommission, dem Europäischen Datenschutzbeauftragten und dem Europäischen Auswärtigen Dienst.
• Rechtsrahmen
  Untersucht, wie Gesetze, delegierte Rechtsakte und technische Normen im Rahmen des Vertrags von Lissabon entstehen.
• Aufsicht und Kontrolle
  Beinhaltet Institutionen wie das Europäische System der Finanzaufsicht (ESFS), den Ausschuss der europäischen Aufsichtsorgane für die Rechnungsprüfung (CEAOB) und andere, die an der Gestaltung und Überwachung der Einhaltung regulatorischer Bestimmungen beteiligt sind.
• Sicherheit und Verteidigung
  Begutachtet die Gemeinsame Außen- und Sicherheitspolitik (GASP), die Gemeinsame Sicherheits- und Verteidigungspolitik (GSVP) sowie spezialisierte Initiativen wie die Europäische Multidisziplinäre Plattform gegen kriminelle Bedrohungen (EMPACT).
• Cyberspezifische Initiativen
  Es werden ENISA (die EU-Agentur für Cybersicherheit), TIBER-EU für Übungen zur Bedrohungsanalyse und CIISI-EU für den Informationsaustausch vorgestellt.

Teil 2: Grundlagen der Cyberresilienz der EU und der NIS-Richtlinie

• EU-Strategie für einen sicheren Cyberspace
  Umreißt fünf entscheidende Ziele: Aufbau von Cyberresilienz, Reduzierung von Cyberkriminalität und Förderung industrieller und technologischer Cybersicherheitskapazitäten.
• NIS-Richtlinie (EU 2016/1148)
  Der Bericht gibt einen Überblick über die erste EU-weite Cybersicherheitsgesetzgebung und beschreibt detailliert die nationalen Kapazitäten, die grenzüberschreitende Zusammenarbeit und die Methoden zur Überwachung kritischer Sektoren.
• NIS-Richtlinienkooperationsgruppe
  Im Fokus stehen die Rolle und Bedeutung des Kooperationsrahmens, der gemeinsame Cyberinitiativen zwischen den Mitgliedstaaten ermöglicht.

Teil 3: Einführung der NIS2-Richtlinie

• Allgemeine vs. spezielle Gesetze
  Erläutert, wie NIS2 als allgemeine Anforderung (lex generalis) funktioniert und was dies bedeutet, wenn bereits spezifische sektorale Gesetze (lex specialis) in Kraft sind.
• Wechselwirkungen mit anderen Vorschriften
  Erörtert werden der Digital Operational Resilience Act (DORA), die Critical Entities Resilience Directive (CER) und die Datenschutz-Grundverordnung (DSGVO).
• Umfang und Struktur
  Untersucht Anhang I (Sektoren von hoher Kritikalität) und Anhang II (andere kritische Sektoren) und hebt hervor, wie diese Listen die Compliance-Verpflichtungen prägen.

Quelle: Schulung zur NIS2-Richtlinie

NIS2-Schulung: Brauchen Sie Unterstützung?

Die Forschung von Kaspersky zeigt besorgniserregende Trends auf: Der Missbrauch von IT-Ressourcen und die Vernachlässigung von Sicherheitsmaßnahmen zählen weiterhin zu den größten Gefahren. Ein einzelner Vorfall kann ein Unternehmen durchschnittlich 337,561 US-Dollar kosten.

Die Daten legen außerdem nahe, dass 38 % der Cybervorfälle auf ehrliche menschliche Fehler zurückzuführen sind, während 26 % auf Verstöße gegen Sicherheitsrichtlinien zurückzuführen sind.

Die Einführung eines umfassenden Sicherheitsschulungsprogramms kann diese Bedenken ausräumen. Es verringert die Häufigkeit von Sicherheitsvorfällen aufgrund menschlichen Versagens, reduziert die Kosten für die Reaktion auf Sicherheitsvorfälle und hilft allen, Kundendaten zu schützen und sicher im Internet zu surfen. NIS2 unterstreicht diese Ziele durch die Forderung nach strikter Einhaltung der Vorschriften.