Erhalten Mitarbeiter Schulungen in grundlegenden Praktiken der Cyberhygiene?

Cyberhygiene und Schulungen: zwei getrennte Maßnahmen

Ja, dieses Feld gehört standardmäßig in Fragebögen zur Informationssicherheit, denn es ist eine der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie. Punkt (g) dieses Absatzes nennt wörtlich "grundlegende Praktiken im Bereich der Cyberhygiene und Schulung zur Cybersicherheit". Es geht also um zwei Dinge gleichzeitig: strukturelle grundlegende Praktiken (Passwortrichtlinie, Update-Disziplin, sicherer Umgang mit Anhängen und Links) und Schulungen, die Mitarbeiter darauf hinweisen. Ein Kunde, der dies fragt, möchte normalerweise wissen, ob es etwas neben technischen Maßnahmen gibt — der menschliche Teil der Sicherheit.

Als Beweismittel wird normalerweise ein Schulungsübersicht, ein E-Learning-Modul mit Abschlussquote oder ein internes Richtliniendokument mit den grundlegenden Praktiken darin verlangt. Falls Sie das nicht haben, dann ist "nein" oder "noch nicht vorhanden" eine ehrlichere Antwort als eine Schulung zu suggerieren, die es nicht gibt — der Kunde fragt dies oft gerade als Ergänzung zu Fragen zur Zugangsregelung, daher überprüfen Sie auch, ob die Zugangsregelung des Unternehmens schriftlich festgehalten wurde, denn Awareness ohne zugrunde liegende Regelung überzeugt selten. Beachten Sie auch die Regelmäßigkeit: eine einmalige Schulung bei Arbeitsbeginn ist etwas anderes als eine jährliche Wiederholung, und dieser Unterschied macht oft den Unterschied in der Bewertung durch den Kunden aus.

Woher das kommt: Artikel 21 Absatz 2, Punkt g

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 führt zehn Kategorien von Maßnahmen auf, die Entitäten ergreifen müssen, um ihre Netz- und Informationssysteme zu schützen. Punkt (g) nennt speziell Cyberhygiene und Sicherheitsschulung, neben anderem wie Punkt (a) zur Risikoanalysepolitik — siehe auch wie die Risikoanalysepolitik bewertet wird — und Punkt (d) zur Geschäftskontinuität. Diese Frage steht also nicht isoliert da: Sie ist einer der zehn obligatorischen Bestandteile, die ein Kunde systematisch durchläuft.