KRITIS Schulungen & Awareness-Kampagnen

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) verpflichtet KRITIS-Betreiber seit Dezember

2025 zu regelmäßigen Cybersicherheitsschulungen für alle Mitarbeiter. Die Geschäftsleitung muss persönlich an Schulungen zu Risikomanagement und IT-Sicherheit teilnehmen — diese Pflicht ist nicht delegierbar. Zusötzlich fordert — 8a BSIG den Nachweis angemessener organisatorischer Vorkehrungen, zu denen Schulungsprogramme ausdrücklich z�hlen. Bei Verstö�en drohen Bußgelder bis zu

10 Millionen Euro oder

2 Prozent des Jahresumsatzes.

Eine BSI-konforme KRITIS-Schulung umfasst: Erkennung von Phishing und Social Engineering, sicherer Umgang mit Zugangsdaten und Berechtigungen, Meldewege bei Sicherheitsvorf�llen (Incident Response), branchenspezifische Bedrohungsszenarien für Ihren KRITIS-Sektor, physische Sicherheit in kritischen Bereichen sowie Grundlagen der NIS2-Compliance. Die Inhalte werden rollenspezifisch aufbereitet — Führungskr�fte erhalten andere Schwerpunkte als operative Mitarbeiter oder IT-Fachkr�fte.

KRITIS-Betreiber müssen alle zwei Jahre den Nachweis angemessener Sicherheitsvorkehrungen gegenüber dem BSI erbringen. In der Praxis bedeutet das: mindestens jährliche Pflichtschulungen für alle Mitarbeiter, quartalsweise Phishing-Simulationen zur Wirksamkeitskontrolle und anlassbezogene Schulungen bei neuen Bedrohungslagen oder nach Sicherheitsvorf�llen. Kontinuierliche Awareness-Kampagnen mit monatlichen Kurzinhalten ergänzen die formalen Schulungen.

Eine KRITIS-Schulung ist ein strukturiertes Trainingsprogramm mit definierten Lernzielen, Teilnahmenachweis und WissensÜberprüfung — sie erfüllt die regulatorischen Anforderungen des BSI und der NIS2-Richtlinie. Eine Awareness-Kampagne ist eine begleitende Maßnahme, die das Sicherheitsbewusstsein im Arbeitsalltag wach hält: durch Poster, kurze Videos, simulierte Phishing-Mails oder interaktive Quizformate. Beide Elemente ergänzen sich und sind für KRITIS-Betreiber gemeinsam erforderlich.

Die Wirksamkeitsmessung erfolgt über mehrere Kennzahlen: Phishing-Simulationsraten (Klickrate vor und nach der Schulung), Ergebnisse von Wissenstests, Anzahl gemeldeter Sicherheitsvorf�lle durch Mitarbeiter, durchschnittliche Reaktionszeit bei Incident-Meldungen und Audit-Ergebnisse bei der BSI-Prüfung. ADVISORI liefert ein Reporting-Dashboard mit diesen KPIs, damit Sie den Schulungsfortschritt gegenüber Auditoren und Geschäftsleitung nachweisen können.

Alle acht KRITIS-Sektoren (Energie, Wasser, Ern�hrung, IT und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung) haben grundlegende Schulungspflichten. Besonders strenge Anforderungen gelten im Gesundheitssektor (Patientensicherheit), im Energiesektor (OT-Sicherheit für Steuerungssysteme) und im Finanzsektor (BaFin-Anforderungen zusötzlich zu BSI). Unsere Schulungsinhalte werden sektorspezifisch angepasst.

Die Einführung eines KRITIS-Schulungsprogramms dauert typischerweise

4 bis

8 Wochen: Bedarfsanalyse und Konzeptentwicklung (1–2 Wochen), Erstellung rollenspezifischer Inhalte (2–3 Wochen), Pilotdurchführung und Anpassung (1–2 Wochen), Rollout und Awareness-Kampagnenstart (

1 Woche). Die Kosten richten sich nach Unternehmensgröße, Anzahl der Sektoren und gew�nschtem Schulungsformat — kontaktieren Sie uns für ein individuelles Angebot.