NIS2-Richtlinie: Neue Anforderungen an Schulung und Governance
Veröffentlicht am: 02.09.2026 um 04:39 Uhr | Redaktion boerse-global.de
Der aktuelle SANS Report 2026 verdeutlicht eine drastische Verschiebung in der digitalen Bedrohungslandschaft: Künstliche Intelligenz ist innerhalb von zwei Jahren von Platz 4 auf Platz 2 der größten menschlichen Cyberrisiken aufgestiegen. Nur das Social Engineering wird derzeit als noch gefährlicher eingestuft. Diese Entwicklung zwingt Unternehmen dazu, ihre Strategien für Mitarbeiterschulungen und Security Awareness grundlegend anzupassen.
Die Ergebnisse der Untersuchung zeigen, dass der Faktor Mensch im Zentrum der Sicherheitsbemühungen steht. Während KI-basierte Angriffe massiv zunehmen, greifen professionelle Security-Awareness-Teams paradoxerweise zunehmend auf dieselbe Technologie zurück: Laut SANS nutzen bereits 75 Prozent der Teams KI-Werkzeuge für ihre tägliche Arbeit.
Ressourcenbedarf für nachhaltige Verhaltensänderungen
Ein zentraler Aspekt des Berichts ist der personelle und zeitliche Aufwand, der für effektive Schulungsprogramme erforderlich ist. Experten des SANS Institute betonen, dass eine bloße Wissensvermittlung nicht ausreiche, um echte Verhaltensänderungen bei den Beschäftigten herbeizuführen. Hierfür seien mindestens drei Mitarbeiter im Security-Awareness-Team und ein Zeitraum von drei bis fünf Jahren notwendig.
Für Unternehmen, die eine tief verwurzelte Sicherheitskultur etablieren wollen, liegen die Anforderungen noch höher. Hierfür werden laut den Studienergebnissen mehr als vier Vollzeitstellen sowie ein Zeithorizont von fünf bis zehn Jahren veranschlagt. Diese langfristige Ausrichtung spiegelt sich auch in der Vergütung wider. Das weltweite Durchschnittsgehalt im Bereich Security Awareness ist im Jahr 2026 auf 123.624 US-Dollar gestiegen, was einem Zuwachs von 7.000 US-Dollar gegenüber dem Vorjahr entspricht. In Europa liegt die durchschnittliche Vergütung bei 106.896 US-Dollar.
Verschärfte Regulierung durch NIS2 und Gefahrstoffrecht
Neben der technologischen Bedrohungslage erhöhen neue gesetzliche Rahmenbedingungen den Druck auf die betriebliche Aus- und Fortbildung. Die NIS2-Richtlinie weitet den Anwendungsbereich für IT-Sicherheitsvorgaben erheblich aus und verschärft die Anforderungen an Governance und Risikomanagement.
Die neuen EU-Vorgaben fordern von Unternehmen eine präzise Auseinandersetzung mit regulatorischen Pflichten und Fristen. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über Risikoklassen und Dokumentationspflichten, damit Ihre Fachabteilungen rechtlich auf der sicheren Seite bleiben. EU AI Act in 5 Schritten verstehen
In diesem Zusammenhang raten Rechtsexperten dazu, die Rechtsabteilungen frühzeitig einzubinden. Dies gelte insbesondere für die Prüfung des Anwendungsbereichs, die Begleitung von Registrierungsprozessen sowie die Anpassung von Lieferketten-Verträgen.
Zudem müsse das Management intensiv zu Haftungsfragen beraten werden, da NIS2 ein komplexes, mehrstufiges Meldeverfahren vorsieht, das von der Erstmeldung bis zum Abschlussbericht reicht.
Auch im Bereich des Arbeitsschutzes nehmen die Dokumentations- und Schulungspflichten zu. So verpflichtet die seit Ende 2024 novellierte Gefahrstoffverordnung Auftraggeber zur detaillierten Informationsweitergabe an ausführende Betriebe.
Angesichts steigender Anforderungen an die Dokumentationspflichten im Arbeitsschutz ist eine rechtssichere Vorlage unerlässlich. Sichern Sie sich diesen kostenlosen Ratgeber inklusive bearbeitbarer Word-Vorlage, um Ihre Unterweisungspflichten gegenüber Behörden und Versicherungen lückenlos nachzuweisen. Unterweisungen rechtssicher dokumentieren
Bei Gebäuden der Baujahre 1993 bis 1996 muss beispielsweise das genaue Datum des Baubeginns mitgeteilt werden, um Risiken durch Asbest zu minimieren. Verstöße gegen diese Informationspflichten können zu Bußgeldern, Baustopps und Haftungskonsequenzen führen.
Branchenspezifische Zertifizierungen und Schulungsformate
Wie wichtig formale Qualifikationen sind, zeigen aktuelle Urteile und Reformen in spezialisierten Sektoren. Das Landesarbeitsgericht Hamburg erklärte im Februar 2026 die Kündigung einer Strahlenschutzbeauftragten für unwirksam, da die Aufgabenübertragung nicht den strengen schriftlichen Anforderungen des Strahlenschutzgesetzes entsprach. Das allgemeine Weisungsrecht reiche hier nicht aus.
In der pharmazeutischen Branche ist das Fortbildungszertifikat für Pharmazeutisch-technische Assistenten (PTA) seit der Reform von 2023 Voraussetzung für das Arbeiten unter Verantwortung. Hierfür müssen 100 Fortbildungspunkte innerhalb von drei Jahren nachgewiesen werden. Eine neue Verordnung vom Mai 2026 ermöglicht PTA mit diesem Zertifikat zudem unter bestimmten Bedingungen eine befristete Alleinverantwortung in ländlichen Regionen.
Deregulierung und Effizienzsteigerung bei Online-Kursen
Während die inhaltlichen Anforderungen steigen, gibt es Erleichterungen bei der Administration von Schulungen. Das Bildungsministerium forciert das Ende der staatlichen Zulassungspflicht für Online-Kurse. Die entsprechende Pflicht nach dem Fernunterrichtsschutzgesetz soll zum 1. Juli 2027 entfallen, wodurch die Wirtschaft jährlich um rund 4,8 Millionen Euro entlastet werde.
Gleichzeitig gewinnen effiziente Erstellungsmethoden an Bedeutung. Unternehmen wie die Rational AG nutzen bereits KI-Editoren für die Prozessdokumentation, wodurch diese viermal schneller erstellt werden könne. Solche Technologien ermöglichen es zudem, Schulungsvideos automatisiert in über 100 Sprachen zu übersetzen, was insbesondere für global agierende Konzerne die Skalierung von Sicherheitsunterweisungen erleichtert.
