Die Frage „soll Sicherheitsschulung verpflichtend sein?\“ klingt einfach, hat aber zwei Ebenen. Rechtlich ist Schulung in vielen Rahmen Pflicht. Praktisch wirkt sie nur, wenn man die Pflicht richtig umsetzt; sonst entstehen Häkchen ohne Verhaltensänderung. Wo liegt die Balance, und wie richten Sie verpflichtende Schulung so ein, dass sie wirklich etwas verändert?
Was das Gesetz zur Pflicht sagt
2026 ist Awareness-Schulung in NL und EU faktisch Pflicht: NIS2/Cbw (Art. 21 und Art. 24), DORA Art. 13, EU AI Act Art. 4, DSGVO Art. 39.
Eine Organisation ohne verpflichtendes Basistraining gerät in jedem Audit oder Vorfall in Schwierigkeiten. Die Frage ist nicht mehr ob, sondern wie.
Kein Gesetz schreibt Länge oder Frequenz vor. Verhaltenswissenschaftlich wirkt kurz und häufig (Microlearning) deutlich besser.
Warum reine Pflicht nicht reicht
Pflicht ohne Erklärung: hohe Abschlussquote, wenig Lerneffekt.
Reine Freiwilligkeit: unter 30 % Teilnahme; falsche Gruppe meldet sich an.
Mittelweg: verpflichtende Basis mit Erklärung, plus empfohlene rollenbasierte Vertiefung.
Drei Zutaten akzeptierter Pflicht
Drei Bausteine:
- Warum erklären.
- Angemessene Fristen und eigenes Tempo.
- Bezug zur Realität. Privat anwendbare Beispiele.
Was tun mit Verweigerern
Drei Typen:
Skeptischer Senior: anerkennen, beraten, Botschafter machen.
Vielbeschäftigte Spezialistin: leicht halten, Spielraum.
Prinzipielle Verweigerin: über HR, mit arbeitsrechtlicher Prüfung. Zugang an Abschluss koppeln möglich.
Sanktionen und Folgen
Harte Sanktionen sind kontraproduktiv. Was funktioniert:
Zugriffsbeschränkung auf spezifische Systeme bei nicht abgeschlossenem Basistraining.
Sichtbarkeit über Aggregation: Quoten pro Abteilung, ohne Namen.
Vorstand (Cbw Art. 24): persönliche Haftung möglich. Dokumentation kritisch.
Was nicht wirkt: Naming and Shaming, Pflicht-Nachschulung nach Klick, Disziplinarmaßnahmen ohne Warnung.
Wie Sie das im Awareness-Programm verankern
Verpflichtende Basis für alle, jährlich, 20–30 Minuten Microlearning. DSGVO, AUP, Cbw, AI Act Art. 4. Rechtlichen Bezug erklären.
Rollenbasierte Vertiefung empfohlen. Mit gutem Warum melden 70–90 % freiwillig.
Vorstandsschulung verbindlich und dokumentiert.
Phishing-Simulationen mit kurzem Microlearning bei Klicks, ohne Sanktion.
Eine Plattform mit Audit-bereiten Berichten.
Entdecken Sie, wie 2LRN4 dieses Thema in ein funktionierendes Programm mit Training, Phishing-Simulation und Management-Reporting überführt.
Zur NIS2-SeiteVerwandte Artikel
- Compliance-Anforderungen für Awareness
- Mitarbeitende zur Schulung bringen
- Unterschied Sicherheits- und Compliance-Schulung
- Richtlinie für akzeptable Nutzung (AUP)
Quellen
FAQ
Ist Sicherheitsschulung gesetzlich Pflicht?
Faktisch ja: NIS2/Cbw, DORA, DSGVO, AI Act. Cbw Art. 24 ausdrücklich für Vorstand.
Pflicht besser als freiwillig?
Nicht automatisch. Mittelweg: Pflicht mit Erklärung plus empfohlene Module.
Was bei Verweigerung?
Widerstandstyp analysieren; bei Prinzipverweigerung HR und Arbeitsrecht.
Zugang sperren bei Nicht-Abschluss?
Ja, wenn proportional und richtlinienverankert. Vor allem für kritische Systeme und Rollenwechsel.
Sanktion für Vorstand?
Cbw Art. 24: persönliche Haftung möglich.
Pflicht-Nachschulung nach Klick?
Kontraproduktiv. Untergräbt Meldekultur.
Wie messen, ob Pflicht wirkt?
Abschlussquote plus Phishing-Simulationsmetriken kombinieren.
Externe Quelle: European Commission - NIS2 Directive