NIS2-Compliance: Welches Security-Awareness-Training brauchen Sie?

Was NIS2 über Cybersicherheitsschulungen sagt

Die NIS2-Richtlinie (EU 2022/2555) trat im Januar 2023 in Kraft. Die Mitgliedstaaten mussten sie bis Oktober 2024 in nationales Recht umsetzen. Sie erweitert den Anwendungsbereich und die Durchsetzungskraft der EU-Cybersicherheitsregulierung erheblich.

Artikel 20 von NIS2 ist eindeutig: Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen Cybersicherheits-Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und selbst an Schulungen teilnehmen. Darüber hinaus müssen Einrichtungen ihren Mitarbeitern regelmäßig ähnliche Schulungen anbieten, damit diese Risiken erkennen und Cybersicherheitspraktiken bewerten können.

Dies ist keine Empfehlung. NIS2 sieht Durchsetzungsbestimmungen mit Bußgeldern von bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes für wesentliche Einrichtungen vor.

Wer muss NIS2 einhalten

NIS2 gilt für zwei Kategorien von Organisationen in der EU:

Wesentliche Einrichtungen umfassen Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement (B2B), öffentliche Verwaltung und Weltraum.

Wichtige Einrichtungen umfassen Postdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Computer, Elektronik, Maschinen, Kraftfahrzeuge), digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschungsorganisationen.

Die Richtlinie gilt für mittlere und große Organisationen in diesen Sektoren. Mitgliedstaaten können jedoch auch kleinere Einrichtungen einbeziehen, wenn sie als kritisch gelten.

Welche Schulungen tatsächlich erforderlich sind

NIS2 schreibt keinen bestimmten Lehrplan vor, aber die Richtlinie und die Erwägungsgründe weisen auf mehrere Anforderungen hin:

• Schulung der Leitungsorgane ist Pflicht. Artikel 20(2) verlangt ausdrücklich, dass Leitungsorgane ausreichende Kenntnisse und Fähigkeiten erwerben, um Risiken zu identifizieren und Cybersicherheits-Risikomanagementpraktiken zu bewerten.
• Mitarbeiterschulungen müssen regelmäßig stattfinden. "Regelmäßig" ist nicht definiert, aber jährliche Durchführung wird zum Standard.
• Inhalte müssen zum Risikoprofil der Einrichtung passen. Generisches Awareness-Material reicht nicht aus. Schulungen sollten die spezifischen Bedrohungen des Sektors adressieren.
• Grundlegende Cyberhygiene ist in Artikel 21(2)(g) als eine der Mindest-Risikomanagementmaßnahmen aufgeführt.

Die Dokumentationsanforderung

Wenn Sie es nicht beweisen können, ist es nicht passiert. Nationale Aufsichtsbehörden werden erwarten:

• Nachweise, wer geschult wurde und wann.
• Belege, dass Leitungsorgane ihre Schulungspflicht erfüllt haben.
• Dokumentation, dass Schulungsinhalte angemessen zum Risikokontext der Einrichtung waren.
• Nachweis regelmäßiger Durchführung, nicht einer einmaligen Übung.

Ein NIS2-konformes Awareness-Programm aufbauen

1. Beginnen Sie beim Vorstand. Führen Sie zuerst Cybersicherheitsschulungen für Leitungsorgane durch. Dies erfüllt die Anforderung aus Artikel 20 und signalisiert Commitment von oben.
2. Ordnen Sie Schulungen Ihrer Risikobewertung zu. Identifizieren Sie die relevantesten Bedrohungen für Ihren Sektor.
3. Schulen Sie alle Mitarbeiter regelmäßig. Jährliche Schulung als Basis, ergänzt durch Schulungen für neue Mitarbeiter und nach Vorfällen.
4. Sammeln Sie verifizierbare Nachweise. Jeder Abschluss sollte einen unabhängig verifizierbaren Nachweis erzeugen.
5. Überprüfen und aktualisieren Sie jährlich. Die Bedrohungslandschaft ändert sich. Ihr Schulungsprogramm sollte sich mitentwickeln.

Warum verifizierbare Nachweise für NIS2 wichtig sind

Die NIS2-Aufsicht ist proaktiv, nicht reaktiv. Nationale Behörden können Audits durchführen, Dokumentation anfordern und Strafen verhängen, ohne auf einen Vorfall zu warten.

Organisationen brauchen Nachweise, die:

• Manipulationssicher sind: Aufzeichnungen, die nachträglich nicht verändert werden können.
• Unabhängig verifizierbar sind: Eine Aufsichtsbehörde sollte einen Abschlussnachweis validieren können, ohne auf interne Systeme der Einrichtung angewiesen zu sein.
• Umfassend sind: alle Personen im Geltungsbereich abdeckend, einschließlich Leitungsorgane.
• Zeitgestempelt sind: belegen, wann die Schulung stattfand.

ProofAware's kryptographisch signierte Completion Signatures erfüllen alle vier Kriterien. Jeder Nachweis wird im Moment des Abschlusses HMAC-signiert und kann über eine öffentliche URL verifiziert werden, ohne Zugang zum Konto der Organisation.