NIS2 Schulungpflicht

Zu den wie ich finde interessantesten Neuerungen des BSIG gehört, dass die Geschäftsführungen der Unternehmen, die dem BSIG unterliegen, geschult werden müssen. In § 38 Abs. 3 heißt es dort:

Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

Zur Erinnerung: Das BSIG ist das deutsche Umsetzungsgesetz der NIS2-Richtlinie.

Die Geschäftsleitungen der entsprechenden Unternehmen sind also nun qua Gesetz verpflichtet, sich zum Thema IT-Risikomanagement im weitesten Sinne fortzubilden. Und das regelmäßig.

Ich leite seit vielen Jahren als Referentin Informationsveranstaltungen zum Datenschutz in Unternehmen. Von wenigen Ausnahmen abgesehen sitzen dort aber ausschließlich die Mitarbeitenden, nicht die Geschäftsführung. Meistens ist das ein Vorteil. Auf diese Weise trauen sich die Teilnehmenden eher, auch mal von internen Ereignissen zu berichten, die datenschutzrechtlich heikel waren oder sind. Aber die Abwesenheit von Geschäftsführungen bei solchen Terminen ist auch ein Nachteil, signalisiert sie doch, dass das Thema für die Leitung nicht wichtig sei.

Workshops für Geschäftsführungen

Jedoch habe ich auch schon Workshops speziell für Geschäftsführungen oder Vorstände durchgeführt. Die Themen in so einem „DSGVO-Workshop für Geschäftsführungen“ sind denen vergleichbar, die jetzt vom BSIG gefordert sind. Auch in puncto DSGVO steht die „Governance“ im Mittelpunkt – die Steuerung und die Frage, wie organisiert eine Geschäftsführung, dass es im Unternehmen klappt mit dem Datenschutz. Datenschutz und Informationssicherheit sind letztlich zwei Seiten derselben Medaille. Von daher war (und ist) Informationssicherheit auch immer Thema in meinen Veranstaltungen mit den Mitarbeitenden in Unternehmen.

Es lohnt sich

Ich mache solche Veranstaltungen sehr gerne. Leider lagern immer mehr Unternehmen diese Schulungen an eine Software aus. Auf diese Weise bekommen die Mitarbeitenden online ein paar Informationen zum Datenschutz, die sie durcharbeiten müssen, und am Ende einen kleinen Test. Damit scheint die Informationspflicht erledigt. Auch online Veranstaltungen mittels Teams o.ä. sind aus meiner Sicht nur ein halb guter Ersatz für vor-Ort Termine, in denen man sich sieht, diskutieren und Fragen individuell beantworten kann.

Insofern wäre meine Empfehlung für Geschäftsführungen: nehmen Sie sich die Zeit, es lohnt sich. Wissen und Transparenz ist mit die beste Prävention gegen Sicherheitsvorfälle. Wer gleich einen Termin vereinbaren möchte, ist hier richtig. (Si apre in una nuova finestra)