SCHULUNG ZU IT‑SICHERHEIT: WAS IST WIRKLICH PFLICHT?
Welche Anforderungen gelten, hängt von Ihrem Betrieb, dem KI-Einsatz und Ihrer Versicherungspolice ab. So ordnen Sie Schulung und Dokumentation ein.
Zuletzt aktualisiert:
Eine einzelne, allgemeine Pflicht zur IT-Sicherheitsschulung gibt es nicht. Welche Anforderungen für Ihren Betrieb gelten, hängt unter anderem von Ihrer Versicherungspolice, den verarbeiteten Daten und dem Einsatz von KI ab. Schulungen und deren Dokumentation sollten sich an diesen Anforderungen orientieren.
Cyber-Versicherung: die Obliegenheit im Kleingedruckten
Cyber-Versicherer koppeln ihren Schutz an Sorgfaltspflichten, die sogenannten Obliegenheiten. Ob Schulungen zu IT-Sicherheit und Phishing dazugehören und in welchen Abständen sie stattfinden müssen, hängt vom Vertrag ab. Auch die GDV-Musterbedingungen sind unverbindlich; abweichende Bedingungen können vereinbart werden. Was genau Ihre Police verlangt, steht in den Bedingungen und klären Sie mit Ihrem Versicherer oder Makler.
DSGVO: Sensibilisierung ist Teil der Pflichten
Die DSGVO schreibt kein allgemeines jährliches Schulungsintervall vor. Sie verlangt technische und organisatorische Maßnahmen für die Sicherheit der Verarbeitung (Artikel 32) und erlaubt den Umgang mit Personendaten nur auf Weisung (Artikel 29). Schulungen können diese organisatorischen Maßnahmen unterstützen. Wo es einen Datenschutzbeauftragten gibt, zählt Artikel 39 die Sensibilisierung und Schulung der beteiligten Mitarbeiter ausdrücklich zu seinen Aufgaben. Dokumentieren Sie, wie Beschäftigte für ihre Aufgaben vorbereitet werden.
EU AI Act: KI-Kompetenz kommt dazu
Seit dem 2. Februar 2025 verpflichtet Artikel 4 der EU-KI-Verordnung Unternehmen, die KI einsetzen, Maßnahmen für die KI-Kompetenz ihres Personals zu ergreifen; seit August 2026 gelten die Aufsichtsregeln. Das ist eine eigene Pflicht neben der klassischen Sicherheitsschulung, auch wenn sich die Themen berühren: Moderne Phishing-Angriffe arbeiten mit Deepfakes und geklonten Stimmen. Was Artikel 4 konkret verlangt, steht in unserem Artikel KI-Kompetenz nach Artikel 4 umsetzen.
Woran Sie einen belastbaren Nachweis erkennen
Eine nachvollziehbare Dokumentation hilft bei internen Prüfungen und bei Rückfragen. Sinnvolle Merkmale sind:
- Pro Person nachvollziehbar. Wer wurde wann zu welchen Inhalten geschult, mit welchem Ergebnis.
- Wissenskontrolle statt Abspielbestätigung. Ein Test mit Bestehensschwelle zeigt, dass Inhalte angekommen sind.
- Änderungen nachvollziehbar. Zugriffsrechte und Integritätsprüfungen unterstützen die Verlässlichkeit des Protokolls.
- Mit organisierter Wiederholung. Fristen passend zu Ihren Anforderungen und ein geregelter Einstieg für neue Mitarbeiter.
- Exportierbar. Im Ernstfall brauchen Sie ein Paket zum Weiterreichen, keine Screenshot-Sammlung.
Wie SEGUAI unterstützt
Unsere Online-Sicherheitsschulung deckt Datenschutz, Cybersicherheit und Phishing ab und erzeugt genau diesen Nachweis: Zertifikat pro Person, Gesamtexport mit prüfbarem Protokoll, echte Phishing-Simulation und jährliche Auffrischung mit automatischen Erinnerungen. Auf Wunsch läuft die Schulung vollständig auf Ihrem eigenen Server; alternativ hosten wir sie auf Servern in Deutschland. Zugriffe für Betreuung und Wartung werden gesondert vereinbart. Details unter IT-Sicherheitsschulung. Den KI-Kompetenz-Block nach Artikel 4 ergänzen wir auf Wunsch als Erweiterung der Schulung; rollenspezifische Trainings dazu gibt es in der KI-Schulung.
Hinweis: Dieser Artikel ist eine Umsetzungshilfe und keine Rechtsberatung. Ob Ihre Police oder Ihr Datenschutzkonzept im Einzelfall mehr verlangt, klären Sie mit Ihrem Versicherer beziehungsweise Ihrer Rechtsberatung.
Häufige Fragen
Gibt es ein Gesetz, das IT-Sicherheitsschulung für alle Unternehmen vorschreibt?
Nein, eine einzelne, allgemeine Schulungspflicht existiert nicht. Je nach Betrieb können Anforderungen aus Ihrer Versicherungspolice, dem Datenschutz und beim KI-Einsatz aus Artikel 4 der EU-KI-Verordnung relevant sein. Für einzelne Branchen und kritische Infrastrukturen kommen eigene Vorgaben dazu.
Reicht ein jährliches Video mit Abspielbestätigung?
Als Nachweis ist das dünn. Eine Abspielbestätigung belegt nur, dass ein Video lief, nicht, dass jemand etwas verstanden hat. Belastbar wird der Nachweis durch eine Wissenskontrolle mit Bestehensschwelle, nachvollziehbare Ergebnisse pro Person und Schutz gegen nachträgliche Änderungen.
Wie oft sollten Mitarbeiter geschult werden?
Legen Sie Intervalle anhand Ihrer Risiken, internen Vorgaben und Versicherungspolice fest. Neue Mitarbeiter sollten vor dem Umgang mit relevanten Daten und Systemen eingewiesen werden. Wichtig ist, dass die Wiederholung organisiert ist, mit Fristen und Erinnerungen, und nicht vom Erinnerungsvermögen einzelner abhängt.
Zählt eine Phishing-Simulation zur Schulung?
Ja, als praktischer Teil. Simulierte Phishing-Mails messen, wie das Team im Alltag reagiert, und machen den Lerneffekt sichtbar: Wer klickt, bekommt eine Nachschulung, wer meldet, hat bestanden. Das Ergebnis gehört mit in den Nachweis.
Konkrete Frage zu Ihrem Betrieb?
Im Erstgespräch klären wir, was das für Ihr Unternehmen bedeutet. Online, ehrlich, unverbindlich.
Erstgespräch