Anwendungsfall · NIS2
NIS2-Schulung: für das Leitungsorgan und für alle anderen
NIS2 verankert Schulung an zwei Stellen. Mitglieder von Leitungsorganen müssen an Cybersicherheitsschulungen teilnehmen, und Einrichtungen sollen ihren Beschäftigten regelmäßig vergleichbare Schulungen anbieten. Davon getrennt gehören grundlegende Cyberhygiene und Cybersicherheitsschulung zu den Risikomanagementmaßnahmen, die jede wesentliche und wichtige Einrichtung ergreifen muss.
Fünf Fragen, und keine davon lautet „haben Sie ein Programm?“
Die Pflicht ist kurz. Der Nachweis dahinter ist es nicht. Nationales Recht trägt beides in die örtliche Aufsicht, und was eine Aufsichtsbehörde sehen will, ist ein Nachweis.
- Dass ein Schulungsprogramm besteht und regelmäßig läuft, nicht einmalig lief
- Dass das Leitungsorgan selbst geschult wurde, nicht nur die Beschäftigten
- Dass die Schulung zu Rollen und Risiken passt — Finanzabteilung und Systemadministration treffen andere Angriffe als das Lager
- Dass ihre Wirkung gemessen wird und dass aus den Messungen etwas folgt
- Nachweise: wer was wann abgeschlossen hat
Die Zuordnung, Anforderung für Anforderung
- 01
Regelmäßige Schulung der Belegschaft
Eine monatliche Simulation und ein Monatsthema, Lehrpläne mit Fristen und Erinnerungen sowie automatisierte Kampagnen, die zwischen den Zyklen weiter testen.
- 02
Schulung des Leitungsorgans
Ein eigener Lehrplan für die Leitung mit eigenem Abschlussbericht und Simulationen rund um die Köder, die Führungskräfte tatsächlich erhalten.
- 03
Rollengerechte Inhalte
Lehrpläne je Gruppe oder Abteilung, automatisch aus Ihrem Verzeichnis zugewiesen.
- 04
Grundlagen der Cyberhygiene
Module zu Phishing, Passwörtern, sicherem Surfen, Datenschutz und physischer Sicherheit, auf Englisch, Deutsch und Ungarisch.
- 05
Wirksamkeit
Eine Basismessung, danach Klick- und Melderate über die Zeit verfolgt, je Person, Team und Abteilung.
- 06
Kenntnis der Richtlinien
Kampagnen zur Richtlinienbestätigung: eine datierte Bestätigung je namentlich genannter Person.
- 07
Nachweise
Excel- und CSV-Exporte je Person: Schulung, Versanddatum, Abschlussdatum, Quiz-Ergebnis gegen die Bestehensgrenze, Richtlinienbestätigungen.
Was die Managed-Option tatsächlich tut, Monat für Monat
- 01
Monat eins
Eine unangekündigte Basismessung, dazu ein Briefing und ein Lehrplan für die Leitung.
- 02
Monate zwei bis zwölf
Ein Thema und eine passende Simulation pro Monat. Wer klickt, erhält sofort die passende Schulung.
- 03
Quartalsweise
Ein Managementbericht für die Geschäftsleitung, mit dem Trend seit der Basismessung.
- 04
Laufend
Neue Mitarbeitende werden automatisch eingeschrieben, und Richtlinienbestätigungen werden eingeholt, sobald sich Richtlinien ändern.
- 05
Auf Anfrage
Der Prüfexport, für Ihre Aufsichtsbehörde oder Ihre Prüfer.
Die beiden Services, die daneben stehen
Phishing Investigation
Die Behandlung von Vorfällen ist eine weitere NIS2-Maßnahme, und gemeldetes Phishing ist oft das erste Anzeichen eines Vorfalls.
Virtual CISO
Für Governance, Risikomanagement und die Berichterstattung an die Aufsicht rund um das Programm.
Häufig gestellte Fragen
Die Fragen, die uns Sicherheits- und IT-Verantwortliche am häufigsten stellen.
Ihre Frage ist nicht dabei? Fragen Sie uns direkt
Diese Position ist schwer zu verteidigen. Die Richtlinie verlangt Schulung, die regelmäßig stattfindet, und Risikomanagementmaßnahmen, deren Wirkung bewertet wird — eine Sitzung im Jahr, gemessen an der Teilnahme, beantwortet beides nicht.
Ein Programm, das Verhalten testet, auf die Befunde hin schult und das Ergebnis je Person erfasst, ist eine deutlich stärkere Position — und es kostet Ihre Beschäftigten nicht mehr Zeit, es verteilt dieselbe Zeit anders.
Ja. Die Richtlinie verlangt, dass Mitglieder von Leitungsorganen selbst an Cybersicherheitsschulungen teilnehmen, und macht sie zugleich verantwortlich für die Billigung und Überwachung der Risikomanagementmaßnahmen der Einrichtung.
Ein kurzer, eigener Lehrplan für die Leitung mit eigenem Abschlussnachweis ist der einfachste Weg zu zeigen, dass es stattgefunden hat. Ob und wie persönliche Haftung Ihre Organisation trifft, ist eine Frage für Ihre eigene Rechtsberatung — der Schulungsnachweis ist der Teil, den wir unkompliziert machen können.
Je Person: die zugewiesene Schulung, das Versanddatum, das Abschlussdatum, das Quiz-Ergebnis gegen eine Bestehensgrenze und die Richtlinienbestätigungen.
Je Programm: den Plan, die Simulationsergebnisse über die Zeit und die Managementberichte, die zeigen, dass jemand sie gelesen hat. Die Plattform erzeugt all das als Export — was deshalb zählt, weil die Alternative darin besteht, es in der Woche von Hand zusammenzustellen, in der Prüfer danach fragen.
Wohin als Nächstes
Auswertung und Scores
Ein Awareness-Score je Person und Exporte, die Prüfer akzeptieren.
Schulung und Lehrpläne
Kurze Module, zu Lernpfaden mit Fristen und Zertifikaten zusammengestellt.
DORA und ISO 27001
Awareness-Nachweise in der Form, die diese beiden Rahmenwerke verlangen.
Bereit anzufangen?
Arbeiten Sie mit Spirity Enterprise zusammen, um die passenden Sicherheits- und IT-Lösungen für Ihr Unternehmen umzusetzen.