Seit dem NIS-2-Umsetzungsgesetz ist Security Awareness für viele Einrichtungen keine Kür mehr, sondern Pflicht. Einmal im Jahr ein E-Learning und ein Phishing-Test erfüllt die Vorgabe auf dem Papier, ändert am Verhalten der Beschäftigten aber wenig.
Mit dem NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 in Kraft ist, sind Schulungen ausdrücklich vorgeschrieben. Die zugrunde liegende NIS-2-Richtlinie verpflichtet in Artikel 20 die Leitungsorgane zur Teilnahme an Schulungen und fordert die Einrichtungen auf, allen Beschäftigten regelmäßig entsprechende Schulungen anzubieten[1]. Das deutsche Recht verlangt in § 30 Abs. 2 Nr. 7 BSIG von besonders wichtigen und wichtigen Einrichtungen grundlegende Schulungen und Sensibilisierungsmaßnahmen und verpflichtet in § 38 Abs. 3 BSIG die Geschäftsleitungen, regelmäßig an Schulungen teilzunehmen[2], [5]. Für die Leitung von Einrichtungen der Bundesverwaltung enthält § 43 Abs. 2 BSIG eine eigene Schulungspflicht.
Für öffentliche Auftraggeber, die unter das BSIG fallen, heißt das doppelt: Sie müssen Awareness intern sicherstellen, und wenn sie die Leistung einkaufen, entscheidet die Ausschreibung darüber, ob am Ende ein wirksames Programm oder nur ein abgehaktes Pflichtmodul dabei herauskommt.
Ein jährliches E-Learning zum Durchklicken, dazu ein Phishing-Test, dessen Klickrate dann als Erfolgsmaß dient: Das erfüllt die Dokumentationspflicht, ändert aber selten das Verhalten. Die Wirtschaftspsychologin Jill Wick, die Psychologie und Cybersicherheit mit Fokus auf den menschlichen Faktor verbindet[3], schreibt dazu auf ihrer Website: Die meisten Trainings seien technisch und trocken und änderten kein Verhalten[4].
Der Grund liegt in der Psychologie. Wissen allein führt nicht zu Verhalten. Menschen handeln unter Zeitdruck, aus Routine und unter Ausnutzung genau der sozialen Reflexe, die Angreifer bei Phishing und Social Engineering gezielt ansprechen[3]. Ein einmaliges Modul, das Monate später vergessen ist, setzt an der falschen Stelle an.
Wirksame Awareness ist kein Ereignis, sondern ein fortlaufender Prozess. Einige Merkmale, an denen Sie ein gutes Programm erkennen:
Phishing-Simulationen sind ein nützliches Werkzeug, aber ihr Nutzen hängt davon ab, wie sie eingesetzt werden. Als Falle, die Beschäftigte vorführt und deren Ergebnis zur Bestrafung dient, erzeugen sie Angst und Verschleierung. Der umgekehrte Weg setzt auf Lernen: Die Führung kündigt Simulationen nicht nur an, sondern nimmt selbst teil und geht offen mit eigenen Fehlern um.
Für die Praxis heißt das: Die Simulation misst nicht, wer klickt, sondern ob die Meldequote steigt und die Reaktionszeit sinkt. Und sie ist datenschutzkonform anzulegen, denn die Auswertung des Verhaltens einzelner Beschäftigter berührt Beschäftigtendatenschutz und Mitbestimmung. Beides gehört vor der ersten Simulation geklärt.
Wenn Sie Awareness als Leistung einkaufen, entscheidet das Leistungsverzeichnis über die Wirkung. Statt „ein jährliches Schulungsmodul“ zu fordern, sollten Sie die Merkmale beschreiben, die ein wirksames Programm ausmachen:
| Statt | Besser im Leistungsverzeichnis |
|---|---|
| „jährliches E-Learning“ | fortlaufendes Programm mit regelmäßigen, kurzen Einheiten über die Vertragslaufzeit |
| „Phishing-Simulation“ | Simulationen mit datenschutzkonformer Auswertung, Messgröße Meldequote statt reiner Klickrate |
| „für alle Mitarbeiter“ | zielgruppenspezifische Inhalte für Sachbearbeitung, IT und Leitung |
| „Nachweis der Teilnahme“ | Wirkungsmessung und Reporting, das Verhaltensänderung erkennbar macht |
Dazu gehören deutschsprachige, barrierefreie Inhalte und, bei Simulationen, die frühzeitige Einbindung des Personalrats. So bekommen Sie ein Programm, das nicht nur die Pflicht erfüllt, sondern die Angriffsfläche tatsächlich verkleinert.
Ein Muster-Leistungsverzeichnis Security Awareness und Vorlagen für verwandte Sicherheitsthemen finden Sie in unseren Muster-Leistungsverzeichnissen, und wie andere Auftraggeber vergleichbare Verfahren aufgebaut haben, sehen Sie im Vergabe-Archiv.
Quellen
Das Muster-Leistungsverzeichnis Security Awareness als Vorlage für den technischen Teil Ihrer Unterlagen, dazu vergleichbare Verfahren im Vergabe-Archiv.
Sie haben eine konkrete Beschaffung vor sich und wollen sehen, wie andere sie aufgesetzt haben? Das Vergabe-Archiv zeigt vergleichbare Verfahren. Bei Fragen zu den Produkten melden Sie sich gern.