Personal und Schulungen
Betreiber (KRITIS) und Einrichtungen (NIS2) müssen in ihrem Geltungsbereich der regulierten Dienstleistungen Personalprozesse im Sinne der Informationssicherheit schützen und das Personal durch Schulungen und Awareness fortbilden. Diese Vorgaben werden üblicherweise durch das ISMS definiert und gesteuert – die Umsetzung dann in HR-Prozessen.
NIS2 und das KRITIS-Dachgesetz vertiefen die Vorgaben für Schulungen und Awareness (Cyberhygiene) bei regulierten Einrichtungen und Betreibern seit 2026. Die folgende Ausarbeitung führt die Kernkomponenten der Personalsicherheit anhand der neuen Anforderungen von NIS2 für Einrichtungen und KRITIS-Dachgesetz für Betreiber sowie der alten KRITIS-Anforderungen von RUN-KdA aus.
| Bereich | Anforderung | NIS2 BSIG |
KRITIS DachG |
RUN KdA |
|---|---|---|---|---|
| Personelle Sicherheit | Personalprozesse und HR | NS.22 | DG.15 | 2 (57,70) 3 (56,69) |
| Schulungen | Training und Awareness | NS.19 NS.20 | DG.16 | 3 (68) |
| Schulungen | Geschäftsleitungen | NS.38 |
Personalsicherheit
Prozesse und HR
Informationssicherheit und Sicherheitsanforderungen für KRITIS müssen in den Personal- und HR-Prozessen ab der Einstellung berücksichtigt und kontinuierlich durch entsprechende Trainings-Maßnahmen vom ISMS begleitet werden.
| Anforderung | NIS2 DVO‑EU |
KRITIS DachG |
ISO 27001 2022 |
RUN KdA |
|---|---|---|---|---|
| Einstellung und Beschäftigungsvereinbarungen | 10.1.1 | DG.15 | A.6.2 | 2 (57) |
| Screenings und Background-Checks | 10.2.1 10.2.2 |
DG.15 | A.6.1 | 3 (56) |
| Sicherheits- und Zuverlässigkeitsüberprüfungen | -* | DG.15† | A.6.1 | |
| Disziplinarverfahren | 10.4.1 10.4.2 |
DG.15 | A.6.4 | 3 (69) |
| Beendigung des Beschäftigungsverhältnisses | 10.3.1 | DG.15 | A.6.5 | 2 (70) |
Prozesse
In mindestens den folgenden Personalprozessen von von Betreibern (KRITIS) und Einrichtungen (NIS2) sollten die Anforderungen an Personalsicherheit berücksichtigt werden:
- Einstellung: Dokumentierte Vorgaben für Informationssicherheit in Einstellungsdokumenten
- Sicherheitsüberprüfung: Mögliche weitergehende Überprüfungen vor der Einstellung von Personal in sensiblen Sicherheits- oder Betriebsbereichen.
* In der NIS2-Umsetzung nicht aufgeführt, teilweise in Sektorgesetzen (EnWG)
† Im KRITIS-Dachgesetz Teil von §13 (3) Nr. 5, siehe auch Gesetzesbegründung KRITIS-Dachgesetz - Beendigung: Verpflichtung für Informationssicherheit über das Beschäftigungsende hinaus
- Diszplinar: Dokumentierte Disziplinarverfahren für Verstöße gegen Informationssicherheit
Nachweise
Nachweise für angemessene personelle Informationssicherheit sind u.a.:
- Klauseln in Arbeitsverträgen
- Laufzettel bei Austritt
- Wirksame HR-Prozesse
Schulungen und Awareness
Informationssicherheit und Sicherheitsanforderungen für KRITIS müssen in den Personal- und HR-Prozessen ab der Einstellung berücksichtigt und kontinuierlich durch entsprechende Trainings-Maßnahmen vom ISMS begleitet werden.
| Anforderung | NIS2 DVO‑EU |
KRITIS DachG |
ISO 27001 2022 |
RUN KdA |
|---|---|---|---|---|
| Schulungen und Awareness | 8.1 8.2 |
DG.16 | A.6.3 7.2 |
3 (68) |
| Schulungen Geschäftsleitung | NS.38 8.2.2 |
7.2 7.3 A.5.2 A.5.31 A.6.3 |
3 (68) |
Schulungen für Personal
Das Personal muss regelmäßig in Informationssicherheit geschult und sensibilisiert werden. Schulungsprogramme sollten mit dem Onboarding beginnen und in festen Zyklen Wissen und Fähigkeiten vermitteln.
Schulungen für Personal
Awareness-Programme zur Sensibilisierung sollten regelmäßig in verschiedenen Formaten durchgeführt werden. Beides muss auch Dienstleister und weitere Externe umfassen.
Geschäftsleitungsschulungen
Mit NIS2 muss die Geschäftsleitung selbst verpflichtend Schulungen zu Cybersecurity und Risiko-Management absolvieren. Die Schulungen sind für Geschäftsleitungen nach § 38 Absatz 3 BSIG (NIS2) verpflichtend und müssen regelmäßig erfolgen. Es gibt dazu eine Handreichung des BSI.
Nachweise
Nachweise für angemessene personelle Informationssicherheit sind u.a.:
- Auswertung Awareness
- Teilnahmeprotokolle
- Schulungsprogramm
- Teilnahmezertifikate GF
Integration im Unternehmen
Die Personalsicherheit muss für eine nachhaltige Verbesserung der Informationssicherheit im Betrieb mit weiteren Management-Systemen beim KRITIS-Betreiber vernetzt sein.
- Sicherheits-Management (ISMS): Austausch zu Vorgaben, Prozessen, Schulungen, Kontrollen
- Business Continuity (BCM): Austausch von Risiken und Maßnahmen, Notfallplänen
Weitere Informationen
Standards
- ISO/IEC 27001:2013, Information technology - Security techniques - Information security management systems - Requirements, International Organization for Standardization
- DIN EN ISO/IEC 27001, Informationstechnik - Sicherheitsverfahren - Informationssicherheitsmanagementsysteme - Anforderungen, Deutsche Fassung EN ISO/IEC 27001:2017
- IT-Grundschutz-Baustein (200-1): ORP.2 Personal, Bundesamt für Sicherheit in der Informationstechnik, Februar 2023
- IT-Grundschutz-Baustein (200-1): ORP.3 Sensibilisierung und Schulung zur Informationssicherheit, Bundesamt für Sicherheit in der Informationstechnik, Februar 2023
- Handreichung Schulungen für Geschäftsleitungen, April 2026, Bundesamt für Sicherheit in der Informationstechnik
- Reife- und Umsetzungsgradbewertung (RUN) im Rahmen der Nachweisprüfung, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
- Mapping von Anforderungen aus der Konkretisierung der KRITIS-Anforderungen auf RUN-Umsetzungsgrade, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
Quellen
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2)
- Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66)
- ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements