NIS2 · Schulungspflicht
Die NIS2 Schulung steht im BSI-Gesetz an zwei Stellen. § 38 Abs. 3 verpflichtet die Geschäftsleitung, regelmäßig selbst an Schulungen teilzunehmen. § 30 Abs. 2 Nr. 7 verlangt grundlegende Schulungen und Sensibilisierung für alle anderen. Beides lässt sich mit Bordmitteln aus Microsoft 365 organisieren. Die eigentliche Arbeit liegt woanders: Im Audit zählt nicht, dass geschult wurde, sondern dass es sich belegen lässt.
Für besonders wichtige und wichtige Einrichtungen gibt es drei Gruppen mit unterschiedlichem Anspruch.
Geschäftsleitung. Nach § 38 Abs. 3 BSIG nehmen die Mitglieder der Geschäftsleitung regelmäßig an Schulungen teil. Ziel sind ausreichende Kenntnisse, um Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten, und um ihre Auswirkungen auf die Dienste der Einrichtung zu beurteilen. Die Pflicht nennt die Leitung selbst, nicht einen Beauftragten. Dieselbe Geschäftsleitung muss nach § 38 Abs. 1 die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen.
Mitarbeitende. § 30 Abs. 2 Nr. 7 BSIG zählt grundlegende Schulungen und Sensibilisierungsmaßnahmen zu den Mindestmaßnahmen. Nr. 6 verlangt zusätzlich Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten. Eine Schulung ohne Wirkungsmessung deckt also nur die Hälfte ab.
Administratoren. Das Gesetz nennt sie nicht gesondert. Sie fallen unter die allgemeine Pflicht, und über Nr. 9 (Sicherheit des Personals, Zugriffskonzepte) und den Stand der Technik landet ihr erhöhtes Risiko trotzdem im Audit. Wer Global Administrator ist, braucht mehr als das Phishing-Modul der Buchhaltung.
Was das Gesetz nicht festlegt: Intervall, Dauer, Format, Anbieter. "Regelmäßig" ist Ihre Entscheidung. Festgelegt ist nur, dass Sie die Einhaltung dokumentieren, so steht es in § 30 Abs. 1. Genau dort setzt Microsoft 365 an.
Baustein 1
Ohne saubere Gruppen gibt es keine Abschlussquote. Legen Sie drei Gruppen an: alle Mitarbeitenden, Geschäftsleitung, privilegierte Konten. Die Mitarbeitendengruppe pflegen Sie am besten als dynamische Microsoft 365-Gruppe über Attribute aus dem HR-Abgleich, damit neue Kolleginnen und Kollegen automatisch dazukommen. Dynamische Mitgliedschaft setzt Entra ID P1 voraus.
Ein Detail, das Zeit kostet: Das Angriffssimulationstraining akzeptiert als Zielgruppen Microsoft 365-Gruppen (statisch und dynamisch), Verteilerlisten und E-Mail-aktivierte Sicherheitsgruppen. Eine reine Sicherheitsgruppe ohne Postfach taucht dort nicht auf.
Aus meinen Checks: In 4 von 10 Tenants gibt es eine Gruppe, die genau die aktiven Mitarbeitenden enthält. Dynamische Gruppen gibt es oft, aber meist mit Gästen, Dienstkonten oder Ausgeschiedenen darin.
Prüferblick: Die erste Frage lautet "Wie viele Personen hätten geschult werden müssen?". Wer die Grundgesamtheit nicht kennt, kann keine Quote nennen, und eine Quote ohne Grundgesamtheit glaubt niemand.
Baustein 2
Die IT-Sicherheitsrichtlinie gelesen und anerkannt zu haben, ist der einfachste Teil der Sensibilisierung und der am schlechtesten belegte. In Entra ID finden Sie unter Bedingter Zugriff die Nutzungsbedingungen. Sie laden die Richtlinie als PDF hoch und erzwingen die Zustimmung über eine Richtlinie für bedingten Zugriff. Voraussetzung ist Entra ID P1.
Drei Einstellungen machen daraus einen Nachweis: "Benutzer müssen die Nutzungsbedingungen erweitern" auf Ein, damit niemand blind zustimmt. "Ablaufen" auf Ein mit jährlicher Häufigkeit, damit die Zustimmung erneuert wird. Und bei einer neuen Fassung "Erneutes Akzeptieren erforderlich". Dienstkonten nehmen Sie aus der Richtlinie aus.
Aus meinen Checks: In 1 von 10 Tenants werden die Nutzungsbedingungen für die Sicherheitsrichtlinie genutzt. Die Funktion kennt kaum jemand.
Prüferblick: Die Zustimmungen speichert Entra für die Lebensdauer der Nutzungsbedingungen, die Überwachungsprotokolle nur 30 Tage. Löscht jemand die Nutzungsbedingungen, sind alle Zustimmungen weg. Nutzungsbedingungen werden deshalb nie gelöscht, nur versioniert, und der CSV-Export mit dem vollständigen Verlauf geht regelmäßig in die Ablage.
Baustein 3
Mit Microsoft 365 E5 oder Defender for Office 365 Plan 2 steht im Defender-Portal unter E-Mail und Zusammenarbeit das Angriffssimulationstraining zur Verfügung. Die Trainingskampagnen weisen Schulungsmodule direkt zu, ohne vorherige Phishing-Simulation. Microsoft liefert über 70 Module mit. Eigene Inhalte, etwa ein internes Video zur Meldekette, binden Sie über "Umleiten zu einer benutzerdefinierten URL" ein.
Setzen Sie ein Enddatum, sonst gehen nach der ersten Zuweisung keine Erinnerungen mehr raus. Die Erinnerung läuft wöchentlich oder zweimal pro Woche. Auf der Registerkarte Benutzer steht pro Person der Status mit Abschlussdatum, wer nicht fertig wird, erscheint als Überfällig. Der Export liefert diese Liste als CSV.
Aus meinen Checks: In 3 von 10 Tenants mit E5 wird das Angriffssimulationstraining aktiv genutzt. Die Lizenz ist da, die Funktion liegt meist brach.
Prüferblick: Ein Schulungskonzept in Word ist eine Absicht. Eine Kampagne mit Zielgruppe, Frist und Abschlussliste ist ein Nachweis. Der Prüfer fragt nach den Überfälligen und danach, was mit ihnen passiert ist.
Baustein 4
Die Simulationen im selben Werkzeug liefern, was Nr. 6 verlangt: eine Messung, ob die Sensibilisierung wirkt. Mit Simulationsautomatisierungen laufen sie nach Zeitplan und mit wechselnden Techniken, vom Credential Harvest bis zur QR-Code-Nachricht. Zwei Kennzahlen reichen für den Anfang: wie viele Empfänger die Nutzlast geöffnet oder Anmeldedaten eingegeben haben, und wie viele die Nachricht gemeldet haben.
Aussagekräftig wird das erst als Zeitreihe. Eine einzelne Simulation sagt wenig, vier pro Jahr mit vergleichbarem Schwierigkeitsgrad zeigen eine Richtung. Wer auf eine Simulation hereinfällt, bekommt automatisch ein passendes Trainingsmodul zugewiesen, wenn Sie das in der Simulation hinterlegen.
Aus meinen Checks: In 2 von 10 Tenants gibt es mehr als eine Phishing-Simulation pro Jahr. Wenn überhaupt simuliert wird, dann als einmalige Aktion.
Prüferblick: "Woran erkennen Sie, dass Ihre Schulungen wirken?" Die Antwort mit der Teilnahmequote beantwortet eine andere Frage. Gefragt ist die Melderate über die Zeit.
Baustein 5
Ein Phishing-Modul erfüllt § 38 Abs. 3 nicht. Dort geht es um Risiken bewerten, Risikomanagement verstehen und Auswirkungen auf die eigenen Dienste beurteilen. Das funktioniert am besten mit den eigenen Daten: Secure Score und seine Entwicklung, die Ergebnisse der letzten Simulation, die Sicherheitsvorfälle des Quartals, offene Maßnahmen aus dem Risikoregister. Ein Termin mit dieser Agenda bringt mehr als ein generischer Vortrag.
Dokumentieren Sie Einladung, Agenda mit Bezug auf die drei Inhalte aus § 38 Abs. 3, Teilnehmende mit Datum und die Unterlagen. Die Zuweisung als Trainingskampagne mit benutzerdefinierter URL ist zusätzlich möglich, ersetzt aber das Protokoll nicht.
Aus meinen Checks: In 1 von 10 Häusern liegt ein Nachweis über eine Schulung der Geschäftsleitung vor. Die Pflicht ist neu, die Nachweise fehlen fast überall.
Prüferblick: Diese Frage geht nicht an die IT. Der Prüfer fragt die Geschäftsführung direkt, wann sie zuletzt geschult wurde und was sie daraus für die Risikobewertung mitgenommen hat.
Baustein 6
Für privilegierte Konten lohnt eine eigene Fassung der Nutzungsbedingungen mit den Regeln für Adminarbeit: getrennte Adminkonten, phishingresistente Anmeldung, Aktivierung von Rollen nur bei Bedarf. Die Zustimmung erzwingen Sie mit einer eigenen Richtlinie für bedingten Zugriff, die auf die Gruppe der privilegierten Konten zielt. Ergänzend bekommen Admins eine eigene Trainingskampagne und Simulationen mit Techniken, die sie wirklich treffen, etwa die OAuth-Zustimmungserteilung.
Am wirksamsten ist die Verbindung mit dem Rollenmodell. Wer eine Rolle über PIM nach dem Enterprise Access Model aktivieren darf, steht in genau der Gruppe, die geschult und bestätigt sein muss.
Aus meinen Checks: In 2 von 10 Tenants gibt es für Admins eine eigene Schulung oder Richtlinie. Meist läuft das informell über Erfahrung.
Prüferblick: Bei einem Vorfall über ein Adminkonto lautet die erste Frage, ob die Person die Regeln für privilegierte Zugänge kannte. Eine Zustimmung mit Datum beantwortet sie in einem Satz.
Die Berichte im Portal sind keine Ablage. Ziehen Sie die Nachweise quartalsweise in eine eigene SharePoint-Bibliothek und versehen Sie sie mit einer Aufbewahrungsbezeichnung, damit niemand sie versehentlich löscht. Wie so ein Ordner insgesamt aufgebaut ist, beschreibe ich in NIS2-Nachweise aus Microsoft 365 ziehen. Für die Schulung gehören hinein:
Das Schulungskonzept mit Zielgruppen, Intervall und Verantwortlichen. Der CSV-Export der Nutzungsbedingungen mit allen Zustimmungen. Die Benutzerliste jeder Trainingskampagne mit Abschlussdatum. Die Simulationsberichte als Zeitreihe. Das Protokoll der Schulung der Geschäftsleitung. Und eine kurze Notiz, wie mit Überfälligen umgegangen wurde.
Das ist überschaubare Arbeit pro Quartal. Ohne sie entsteht der Ordner in der Woche vor dem Audit, mit Lücken, die sich nicht mehr schließen lassen, weil die Protokolle bis dahin abgelaufen sind.
Die NIS2 Schulung scheitert selten an fehlenden Inhalten. Microsoft 365 bringt Module, Simulationen und Bestätigungen mit, in vielen Tenants ist die Lizenz längst bezahlt. Sie scheitert an der Frage, die der Prüfer stellt: Wer hätte geschult werden müssen, wer wurde es, wann, und woran sehen Sie die Wirkung?
Wer mit den Gruppen beginnt und den Nachweisordner von Anfang an mitdenkt, beantwortet diese Frage aus dem Tenant heraus. Wer mit der Auswahl der Module beginnt, beantwortet sie aus dem Gedächtnis.
Die Geschäftsleitung persönlich nach § 38 Abs. 3 BSIG und alle Beschäftigten im Rahmen der grundlegenden Schulungen nach § 30 Abs. 2 Nr. 7. Administratoren nennt das Gesetz nicht gesondert, wegen ihrer Rechte sollten sie aber eine eigene, vertiefte Schulung bekommen.
Das Gesetz sagt "regelmäßig" und nennt kein Intervall. Ich empfehle einen jährlichen Termin und einen zusätzlichen nach wesentlichen Änderungen, etwa nach einem schweren Vorfall. Wichtiger als das Intervall ist, dass Sie es festlegen und einhalten.
Für die Sensibilisierung der Mitarbeitenden deckt es mit Trainingskampagnen und Simulationen viel ab, einschließlich der Wirkungsmessung. Für die Geschäftsleitung reicht es nicht, weil § 38 Abs. 3 auf Risikobewertung und Auswirkungen auf die eigenen Dienste zielt.
Für Nutzungsbedingungen und dynamische Gruppen Entra ID P1. Für das Angriffssimulationstraining mit Trainingskampagnen Microsoft 365 E5 oder Defender for Office 365 Plan 2. E3 bekommt davon nur einen eingeschränkten Testumfang.