NIS2 Security-Awareness-Schulung: Was Artikel 21(2)(g) wirklich verlangt
Eine belgische Einrichtung zahlte dieses Jahr 185.000 €. Die italienische Aufsichtsbehörde verhängte 450.000 €. Ungarn kam mit 78.000 € hinzu. Keine dieser Geldbußen ging auf eine Firewall-Lücke zurück. Sie gingen auf Mängel zurück, die Prüfer auf dem Papier sehen konnten — und der schnellste Weg, ein NIS2-Audit nicht zu bestehen, ist eine Belegschaft, die nie geschult wurde.
Artikel 21(2)(g) der NIS2 verlangt "grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit." Eine Zeile in der Richtlinie. Aber es ist die Maßnahme, die Aufsichtsbehörden zuerst prüfen, weil sie am günstigsten zu verifizieren und am schwersten vorzutäuschen ist. Dies ist die Maßnahme, die Ihre Kunden unterschätzen werden — und diejenige, die Sie als deren MSP oder vCISO am energischsten verkaufen sollten.
Artikel 21(2)(g) ist die Maßnahme ohne technische Ausrede
Die meisten der zehn Risikomanagementmaßnahmen aus Artikel 21 lassen eine Organisation sich hinter dem Budget verstecken. Kryptografie, Netzwerksegmentierung, Endpoint-Tools — all das kostet Geld, und eine Aufsichtsbehörde versteht, dass eine kleine wesentliche Einrichtung nicht denselben Stack ausrollen kann wie eine Bank.
Cyberhygiene und Schulung kennen keine solche Ausrede. MFA durchsetzen, planmäßig patchen, Phishing-Simulationen durchführen und Mitarbeitern beibringen, Social Engineering zu erkennen, ist kostengünstig, gut dokumentiert und wird von jeder Einrichtung unabhängig von der Größe erwartet. Wenn eine Aufsichtsbehörde ungeschultes Personal vorfindet, liest sie das als Fahrlässigkeit, nicht als Ressourcenproblem.
Deshalb steht (g) dort, wo es im Rahmenwerk steht: Es ist die Grundlage, die jede andere Maßnahme funktionieren lässt. Verschlüsselung hilft nicht, wenn ein Mitarbeiter sein Passwort auf einer gefälschten Login-Seite herausgibt.
Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
Artikel 21
10 Cybersicherheitsmaßnahmen
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien6Bewertung der Wirksamkeit von SicherheitsmaßnahmenVorfälle & Kontinuität
2Vorfallsbehandlung & Meldung3Geschäftskontinuität & NotfallwiederherstellungLieferkette & Systeme
4Sicherheit der Lieferkette5Sicherheit bei der Entwicklung von Netz- und InformationssystemenTechnische Kontrollen
8Kryptografie & Verschlüsselung10Multi-Faktor-Authentifizierung & sichere KommunikationPersonal & Ressourcen
7Cyber-Hygiene & Schulung9Personalsicherheit & Zugangskontrolle
Eine vollständige Erläuterung, wie (g) mit den anderen neun Kontrollen zusammenhängt, finden Sie in unserem Leitfaden zu den zehn Maßnahmen aus Artikel 21.
"Grundlegend" bedeutet nicht "jährliches E-Learning"
Das Wort "grundlegend" führt in die Irre. Es bedeutet nicht ein einmal jährliches Foliendeck mit einem Häkchen für den Abschluss. Die Durchführungsverordnung (EU) 2024/2690 der Kommission — das technische Regelwerk für eine große Gruppe von Einrichtungen im digitalen Sektor — beschreibt Sensibilisierung und Schulung als messbare, wiederkehrende Kontrolle mit Nachweispflichten.
Die Leitlinien der ENISA folgen derselben Logik: Ergebnisse vor Papierkram. Eine Aufsichtsbehörde will nicht sehen, dass eine Schulung stattgefunden hat. Sie will sehen, dass sie das Verhalten verändert hat — niedrigere Phishing-Klickraten, schnellere Meldungen, weniger wiederholte Fehler.
Praktisch bedeutet "grundlegende Cyberhygiene" die langweiligen Grundlagen konsequent umzusetzen: durchgesetzte MFA, diszipliniertes Patch-Management, getestete Backups, Zugriff nach dem Least-Privilege-Prinzip und Mitarbeiter, die wissen, wie eine Phishing-E-Mail aussieht. Wenn Ihr Kunde diese fünf nicht nachweisen kann, ist die Raffinesse des restlichen Programms irrelevant.
Jeder mit Systemzugriff fällt in den Anwendungsbereich — auch die Geschäftsleitung
Der häufigste Fehler beim Anwendungsbereich ist, Schulung als Aufgabe der IT-Abteilung zu behandeln. Das ist sie nicht. Unter NIS2 fällt jeder mit Zugriff auf Unternehmenssysteme oder Geschäftsdaten in den Anwendungsbereich: Festangestellte, befristete Auftragnehmer, Remote-Mitarbeiter und Dritte mit Logins.
Die Geschäftsleitung ist ausdrücklich eingeschlossen. Artikel 20 verlangt, dass Leitungsorgane an Cybersicherheitsschulungen teilnehmen und sicherstellen, dass diese den Mitarbeitern angeboten werden. Das ist nicht symbolisch. In mehreren Mitgliedstaaten tragen Führungskräfte persönliche Haftung für Aufsichtsversäumnisse — ein Thema, das wir in NIS2 und Haftung der Geschäftsleitung behandeln. Ein Managementteam, das seine eigene Schulung ausgelassen hat, überreicht der Aufsichtsbehörde einen Befund und sich selbst ein Haftungsrisiko.
Für MSPs ist dies der Upsell, der sich von selbst schreibt. Die Geschäftsleitung will eine verteidigbare Position. Die Geschäftsleitung zu schulen — und das zu dokumentieren — ist eine kleine Leistung, die ein großes Risiko beseitigt.
Ungeschultes Personal macht aus einer 24-Stunden-Uhr eine verpasste Frist
Die NIS2-Vorfallmeldung läuft nach einem straffen Zeitplan: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Vorfalls, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Die Uhr beginnt bei der "Kenntnisnahme" — und die hängt vollständig davon ab, dass Mitarbeiter einen Vorfall erkennen und eskalieren.
Ein Mitarbeiter, der eine Ransomware-Meldung nicht als solche erkennt oder annimmt, dass "jemand anderes das schon meldet," verbrennt Stunden, die die Einrichtung nicht zurückholen kann. Schulung ist es, was die Meldepflicht überlebbar macht. Sie ist das menschliche Sensornetzwerk, das die Zeitleiste speist.
NIS2 Zeitplan für die Vorfallmeldung
24hFrühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
Schritt 172hVorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
Schritt 21moAbschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Schritt 324hFrühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
72hVorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
1moAbschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Bauen Sie den Eskalationspfad in die Schulung selbst ein: wen anrufen, welcher Kanal und was "erheblich" für diesen Kunden bedeutet. Testen Sie ihn dann. Eine Tabletop-Übung, die eine gebrochene Eskalationskette aufdeckt, ist mehr wert als zehn abgeschlossene E-Learning-Module. Zur vollständigen Fristenmechanik siehe NIS2-Fristen für die Vorfallmeldung.
Der Nachweis ist die Leistung, nicht die Schulung
Hier gewinnen oder verlieren MSPs das Audit. Die Schulung selbst ist ein Massenprodukt. Der Nachweis, dass sie stattgefunden hat, alle erreicht und Ergebnisse gebracht hat, ist das Compliance-Artefakt — und genau das können die meisten internen Teams nicht auf Anfrage vorlegen.
Ein verteidigbarer Schulungsnachweis umfasst Anwesenheits- und Abschlussprotokolle, die der gesamten Belegschaft zugeordnet sind, datierte Inhalte zur aktuellen Bedrohungslage, Ergebnisse von Phishing-Simulationen im Zeitverlauf mit fallendem Trend, Schulungsnachweise der Geschäftsleitung und ein dokumentiertes Eskalationsverfahren, das das Personal tatsächlich geübt hat.
Beachten Sie das Muster: Jeder Punkt ist etwas, das eine Aufsichtsbehörde anfordern und mit einem Zeitstempel versehen kann. Wenn Ihr Kunde das nicht an einem Nachmittag vorlegen kann, ist er exponiert — egal wie gut seine tatsächliche Sicherheitskultur ist. Das ist dieselbe Nachweis-zuerst-Logik, die für Backup und Geschäftskontinuität unter CIR 2024/2690 gilt: Eine Kontrolle ist nur so viel wert, wie Sie beweisen können.
Das Durchsetzungsmuster belohnt zuerst die günstigen Erfolge
Sehen Sie sich an, wo die ersten Geldbußen 2026 gelandet sind. Belgien, Italien und Ungarn begannen nicht mit forensischen Zerlegungen von Verschlüsselungsschemata. Sie begannen mit den sichtbaren, dokumentierbaren Grundlagen — Governance, Registrierung und ob Einrichtungen nachweisen konnten, dass sie die offensichtlichen Dinge getan hatten.
Cyberhygiene und Schulung sind die offensichtlichen Dinge. Es sind auch die Maßnahmen, bei denen der Befund einer Aufsichtsbehörde am schnellsten eskaliert, denn "wir haben unser Personal nie geschult" liest sich als Governance-Versagen, und Governance-Versagen löst persönliche Haftung und das obere Ende der Bußgeldskala aus.
NIS2-Sanktionseskalation — Jenseits der Geldbuße
!Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen▼Nicht-finanzielle Sanktionen1Anordnungen mit bindenden Fristen
2Verpflichtende Sicherheitsaudits auf eigene Kosten
3Öffentliche Bekanntmachung von Verstößen
4Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu▼Betriebliche und persönliche Konsequenzen1Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2Vorübergehendes Verbot von Leitungsfunktionen für Personen
3Öffentliche Benennung verantwortlicher natürlicher Personen
AuslöserNicht-finanziellBetrieblich / persönlich
Die Lektion für Berater, die wesentliche und wichtige Einrichtungen beraten: Priorisieren Sie zuerst die günstigen, gut sichtbaren Kontrollen. Sie reduzieren die Audit-Exposition des Kunden schneller, indem Sie Schulung und Hygiene in Ordnung bringen, als indem Sie dieselben Wochen für ein teures technisches Projekt aufwenden, nach dem noch keine Aufsichtsbehörde gefragt hat. Zu den Zahlen dahinter siehe NIS2-Bußgelder: Was Ihre Geschäftsleitung wissen muss.
Was Sie einem Kunden in diesem Quartal liefern
Wenn Sie Sicherheitsprogramme für wesentliche oder wichtige Einrichtungen betreiben, behandeln Sie Artikel 21(2)(g) als produktisierte Dienstleistung, nicht als Nebensache. Ein praktikables Paket: ein rollenbasiertes Schulungscurriculum, das an aktuelle Bedrohungen angepasst wird, vierteljährliche Phishing-Simulationen mit Trendberichten, ein dokumentiertes und getestetes Eskalationsverfahren, eine eigene Schulung für die Geschäftsleitung mit eigenem Nachweis und ein Nachweispaket, das für eine Anfrage der Aufsichtsbehörde bereitliegt.
Dieses Paket ist günstig im Betrieb, margenstark im Verkauf und beseitigt direkt den Befund, nach dem Aufsichtsbehörden zuerst greifen. Es ist das klarste Beispiel in NIS2 für eine Kontrolle, bei der die Grundlagen gut zu machen besser ist, als die fortgeschrittene Arbeit überhaupt zu machen. MSPs, die das verstehen — und wir gehen im Modell tiefer in NIS2 für MSPs — verwandeln eine Compliance-Pflicht in wiederkehrenden Umsatz.
Die Richtlinie gab dieser Maßnahme eine Zeile. Die Aufsichtsbehörden werfen ihr ihren ersten Blick zu. Sorgen Sie dafür, dass Ihre Kunden dafür bereit sind.
Sie wissen nicht, wo die Cyberhygiene-Lücken eines Kunden liegen? Machen Sie einen kostenlosen NIS2-Quick-Scan und erhalten Sie in wenigen Minuten eine priorisierte Readiness-Momentaufnahme.