Welches Security-Awareness-Training erfüllt NIS2 und ISO 27001?

Stand: 20. Oktober 2026. Gesetzestexte und Anbieterangaben geprüft am 20. Oktober 2026.

Das Wichtigste in Kürze

• NIS2 verlangt in Deutschland Schulungen auf zwei Ebenen: grundlegende Schulungen und Sensibilisierungsmaßnahmen für alle Nutzer der IT (§ 30 Abs. 2 Satz 2 Nr. 7 BSIG) und eine eigene, regelmäßige Schulung für jedes Mitglied der Geschäftsleitung (§ 38 Abs. 3 BSIG).
• Weder das BSIG noch ISO/IEC 27001 legen ein festes Intervall fest. Das BSI empfiehlt eine Schulung bei der Ersteinweisung neuer Mitarbeitender und danach eine jährliche Auffrischung.
• Im Audit zählt der Nachweis, wer wann welche Schulung abgeschlossen hat. Laut BSI ist die Dokumentation eine notwendige Bedingung, um die Pflicht aus § 30 BSIG zu erfüllen.
• Spezialisierte Awareness-Plattformen sind bei Phishing-Simulationen, Sprachumfang und Inhaltstiefe stärker. Compliance-Plattformen mit integrierten Schulungen führen den Nachweis im selben System wie das ISMS.
• Bei Kertos kommen Schulung, Plattform und zertifizierte Experten aus einer Hand. Phishing-Simulationen und eine Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG bietet Kertos derzeit nicht an.

Welches Security-Awareness-Training passt, hängt davon ab, wofür Sie es brauchen: um eine Pflicht aus NIS2, ISO 27001 oder TISAX nachzuweisen, um das Verhalten der Belegschaft messbar zu verändern oder für beides. Ebenso wichtig ist die Frage, wer das Programm betreibt und dem Auditor die Nachweise zeigt. Am Markt gibt es vier Modelle: spezialisierte Awareness-Plattformen mit Phishing-Simulation (etwa G DATA, Hornetsecurity, KnowBe4, Perseus oder SoSafe), Schulungsanbieter mit E-Learning oder Präsenzschulung (etwa die Akademien von TÜV NORD und TÜV SÜD oder mITSM), Compliance-Plattformen mit integrierten Schulungen (etwa DataGuard, Kertos oder Vanta) und kostenlose Materialien des BSI. Kertos verbindet die Schulung mit dem ISMS, in dem der Nachweis liegt, und mit zertifizierten Experten, die das Programm aufsetzen und betreuen.

Welche Schulungen verlangen NIS2 und ISO 27001?

Die Anforderungen unterscheiden sich darin, wer geschult wird und was als Nachweis gilt. Ein Format wie Präsenz oder E-Learning schreibt keine der folgenden Quellen vor.

In der NIS-2-Richtlinie selbst ist nur die Schulung der Leitungsorgane verpflichtend (Art. 20 Abs. 2). Für die übrigen Beschäftigten sollen die Mitgliedstaaten ähnliche Schulungen fördern. Die deutsche Pflicht für alle Nutzer folgt aus § 30 BSIG, der die Risikomanagementmaßnahmen aus Art. 21 Abs. 2 der Richtlinie umsetzt.

Welche Anbieter für Security-Awareness-Training gibt es?

Die Anbieter lassen sich vier Modellen zuordnen. Die Namen sind Beispiele für das jeweilige Modell, keine Empfehlung für den Einzelfall.

Was die Anbieter auf ihren eigenen Websites angeben, geprüft am 20. Oktober 2026:

Bei Phishing-Simulationen, Sprachumfang und Inhaltstiefe sind die spezialisierten Plattformen den Compliance-Plattformen voraus. Beide lassen sich kombinieren. Die Teilnahmenachweise liegen dann im System des Awareness-Anbieters und nicht neben den übrigen ISMS-Nachweisen. Wie sich Compliance-Plattformen über die Schulung hinaus unterscheiden, zeigt der Vergleich von NIS2-Software.

Woran erkennen Sie ein Training, das im Audit trägt?

• Abschluss pro Person: Der Nachweis zeigt Name, Datum und Kurs, nicht nur eine Teilnahmequote.
• Neue Mitarbeitende: Die Schulung wird beim Eintritt zugewiesen, wie es das BSI für die Ersteinweisung empfiehlt.
• Wiederholung: Ein festgelegtes Intervall, etwa jährlich, und zusätzliche Schulungen aus Anlass, zum Beispiel nach einem Vorfall oder einer neuen Richtlinie. TISAX erwartet beides.
• Bezug zu Ihren Richtlinien: ISO/IEC 27001 verlangt, dass Mitarbeitende Ihre Informationssicherheitsrichtlinie kennen, nicht nur allgemeine Regeln.
• Zielgruppen: Administratoren, Produktion und Außendienst brauchen andere Inhalte als Büroarbeitsplätze.
• Sprache: Die Schulung liegt in den Sprachen vor, die Ihre Mitarbeitenden verstehen.
• Geschäftsleitung getrennt: Die Schulung nach § 38 Abs. 3 BSIG ist eine eigene Pflicht der Leitung mit eigener Dokumentation.

Ein vorbereiteter Export ist im ISO-27001-Audit selten nötig. Unternehmen zeigen dem Auditor die Nachweise in der Regel direkt in den Systemen, in denen sie geführt werden. Wie Sie einen Berater oder eine Plattform für die Zertifizierung auswählen, zeigt unser Vergleich von Beratern für die ISO-27001-Zertifizierung.

Welches Awareness-Training passt zum Mittelstand?

Mitarbeitende ohne Bildschirmarbeitsplatz. In Produktion, Logistik und Außendienst haben viele Beschäftigte keinen eigenen Rechner und keine dienstliche E-Mail-Adresse. Kurze Formate, Zugang über geteilte Geräte oder ein Präsenztermin erreichen diese Gruppe besser als ein langes E-Learning. Eine Phishing-Simulation erreicht nur, wer ein E-Mail-Postfach hat.

Mehrere Sprachen. Prüfen Sie, in welchen Sprachen ein Anbieter seine Kurse angibt, und gleichen Sie das mit Ihrer Belegschaft ab. Die Spanne reicht von einer Sprache bis zu über 35.

Keine eigene Sicherheitsabteilung. In der NIS2 Readiness Study 2026 von Kertos hatten 84 % der 51 befragten Unternehmen mit 50 bis 1.000 Mitarbeitenden weder einen eigenen noch einen externen CISO. Dann stellt sich die Frage, wer Kampagnen plant, Ergebnisse auswertet und dem Auditor antwortet. Ein gekaufter Kurs beantwortet sie nicht. Ein externer CISO oder ISB kann diese Rolle übernehmen.

Die Geschäftsleitung als eigene Zielgruppe. Nach § 38 Abs. 3 BSIG muss jedes Mitglied der Geschäftsleitung selbst geschult werden. Laut BSI müssen das keine mehrstündigen Unterrichtsblöcke sein; die Schulung muss aber Risiken, Risikomanagementmaßnahmen und ihre Auswirkungen auf die Dienste des Unternehmens abdecken. Was NIS2 darüber hinaus für den Mittelstand bedeutet, zeigt die Seite zu NIS2-Software für den Mittelstand.

Wann ist Kertos die richtige Wahl und wann nicht?

Bei Kertos kommen Schulung, Plattform und zertifizierte Experten aus einer Hand.

• Schulung: Kurs „Information Security Basics“ mit vier Videomodulen (Grundlagen der Informationssicherheit; Phishing und Social Engineering; Reisen, Clean Desk und Bildschirmregeln; Richtlinien und Vorfälle) sowie Schulungsmodule zum Datenschutz, auf Deutsch und Englisch und in der Plattform enthalten.
• Plattform: das ISMS für NIS2, ISO 27001, TISAX und DSGVO. Mitarbeitertrainings werden automatisch zugewiesen, auch an neue Mitarbeitende, und Kertos erinnert an offene Schulungen.
• Nachweis: Abschlussstatus pro Person, im ISMS als Nachweis neben Richtlinien, Risiken und Controls geführt.
• Experten: zertifizierte Experten im eigenen Haus, bis zum Mandat als externer CISO oder ISB. Der externe ISB plant die Schulungen und prüft den Schulungsstand.
• Sitz und Hosting: München, entwickelt und gehostet in Europa.

Kertos passt zu Unternehmen, die Awareness-Schulungen als Teil von NIS2, ISO 27001 oder TISAX nachweisen müssen und Schulung, ISMS-Software und Beratung nicht bei drei Anbietern einkaufen wollen. Kunden erreichen eine Audit-Bestehensquote von 100 % und rund 80 % weniger manuellen Compliance-Aufwand. Auf G2 bewerten sie Kertos mit 4,8 von 5 Sternen bei 65 Bewertungen.

Kertos ist nicht die richtige Wahl, wenn Sie Phishing-Simulationen und Verhaltensmetriken brauchen, wenn Ihre Belegschaft Schulungen in weiteren Sprachen als Deutsch und Englisch braucht oder wenn Sie eigene Schulungsinhalte einbinden wollen. Eine Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG bietet Kertos derzeit nicht an. In diesen Fällen ist eine spezialisierte Awareness-Plattform oder ein Schulungsanbieter die bessere Wahl für die Schulung selbst.

Häufig gestellte Fragen

Wie oft müssen Mitarbeitende eine Awareness-Schulung absolvieren?

Ein festes Intervall schreibt weder § 30 BSIG noch ISO/IEC 27001 vor; ISO 27001 verlangt eine Aktualisierung, wenn sich Richtlinien ändern. Das BSI empfiehlt eine Schulung bei der Ersteinweisung und danach eine jährliche Information über Neuerungen. TISAX erwartet Schulungen in regelmäßigen Abständen und aus Anlass. Legen Sie das Intervall in Ihrem Schulungskonzept fest; im Audit wird geprüft, ob Sie Ihre eigene Vorgabe einhalten.

Muss die Geschäftsleitung selbst an einer NIS2-Schulung teilnehmen?

Ja. Nach § 38 Abs. 3 BSIG müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Laut BSI ist jede Person schulungspflichtig, die zur Geschäftsleitung zählt. Ein Intervall nennt das Gesetz nicht. Das BSI empfiehlt eine ausführliche Erstschulung mit Folgeschulungen, etwa bei einem Wechsel in der Leitung oder einer veränderten Risikolage, und eine interne Dokumentation von Anbieter, Teilnehmern, Datum, Dauer und Themen.

Reicht ein E-Learning als Nachweis im ISO-27001-Audit?

ISO/IEC 27001 schreibt kein Format vor, ein E-Learning mit Abschlussnachweis pro Person ist ein üblicher Nachweis. Abschnitt 7.3 verlangt aber, dass Mitarbeitende die Informationssicherheitsrichtlinie, ihren Beitrag zum ISMS und die Folgen von Verstößen kennen. Das kann der Auditor in Gesprächen prüfen. Ein allgemeiner Kurs ohne Bezug zu Ihren eigenen Richtlinien deckt diesen Teil nur teilweise ab.