Prüfprogramm Security Awareness und Schulung.
Wie Sie prüfen, ob Mitarbeitende, Führungskräfte und IT-Personal regelmäßig und passend zu ihren Aufgaben sensibilisiert und geschult werden und ob das messbar wirkt.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation ein Konzept zur Sensibilisierung und Schulung in Informationssicherheit hat, das alle Zielgruppen einschließlich Geschäftsleitung, IT-Personal und Dienstleistern erreicht. Sie beurteilt außerdem, ob Teilnahme nachverfolgt, Wirksamkeit gemessen und das Melden von Auffälligkeiten gefördert wird.
Geltungsbereich
- Sensibilisierungs- und Schulungsangebote zur Informationssicherheit für alle Beschäftigten
- Schulungen der Geschäftsleitung und Fachschulungen für IT-Personal und Administratoren
- Phishing-Simulationen, Lernplattform und Teilnahmeverfolgung
- Nicht Gegenstand: allgemeine fachliche Weiterbildung ohne Sicherheitsbezug
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Konzept regelt Ziele, Zielgruppen, Inhalte, Formate und Turnus der Sensibilisierung und Schulung. | BSI ORP.3; ISO/IEC 27001:2022 Anhang A 6.3 | Konzept lesen, Freigabe und Aktualität prüfen und mit dem Schulungsplan des laufenden Jahres abgleichen. | Sensibilisierungs- und Schulungskonzept, Jahresplan |
| 2 | Inhalte sind auf Rollen und Risiken der Zielgruppen zugeschnitten. | DORA Art. 13 Abs. 6; BSI ORP.3 | Für drei Zielgruppen die Inhalte mit typischen Risiken der Tätigkeit vergleichen. | Schulungsunterlagen je Zielgruppe |
| 3 | Neue Mitarbeitende werden vor oder unmittelbar mit dem Zugang zu Informationen eingewiesen; alle nehmen regelmäßig teil. | ISO/IEC 27001:2022 Anhang A 6.3; ISO/IEC 27001:2022 Kapitel 7.3 | Für zehn Eintritte das Datum der Einweisung mit dem Datum der Kontoeinrichtung vergleichen. | Eintrittsliste, Teilnahmenachweise, Kontoerstellungsdaten |
| 4 | Mitglieder der Geschäftsleitung nehmen regelmäßig an Schulungen zu Cyberrisiken teil. | NIS2-Richtlinie Art. 20 Abs. 2; § 38 Abs. 3 BSIG | Teilnahmenachweise der Leitung der letzten zwei Jahre und Inhalte der Schulung prüfen. | Teilnahmenachweise, Schulungsunterlagen der Leitung |
| 5 | Grundlegende Verhaltensregeln der Cyberhygiene werden vermittelt und sind leicht auffindbar. | NIS2-Richtlinie Art. 21 Abs. 2 lit. g; § 30 Abs. 2 Nr. 7 BSIG | Verhaltensregeln im Intranet suchen lassen und bei fünf Mitarbeitenden Kenntnis wichtiger Regeln erfragen. | Verhaltensregeln, Interviewnotizen |
| 6 | IT-Personal und Administratoren erhalten Fachschulungen, die ihre Kompetenz für Sicherheitsaufgaben sichern. | ISO/IEC 27001:2022 Kapitel 7.2 | Kompetenzanforderungen für zwei IT-Rollen mit Schulungsnachweisen vergleichen. | Kompetenzprofile, Schulungsnachweise, Zertifikate |
| 7 | Phishing-Simulationen werden regelmäßig durchgeführt, ausgewertet und mit Lernangeboten verbunden. | ISO/IEC 27001:2022 Anhang A 6.3; BSI ORP.3 | Ergebnisse der letzten Simulationen ansehen: Klickquote, Meldequote und Folgemaßnahmen. | Auswertungen der Simulationen, Folgeschulungen |
| 8 | Die Teilnahme wird verfolgt; ausstehende Pflichtschulungen werden erinnert und eskaliert. | ISO/IEC 27001:2022 Anhang A 6.3 | Teilnahmequote je Bereich abrufen und den Umgang mit Säumigen nachvollziehen. | Teilnahmebericht, Erinnerungen, Eskalationen |
| 9 | Die Wirksamkeit der Maßnahmen wird gemessen und in die Planung zurückgeführt. | ISO/IEC 27001:2022 Kapitel 9.1 | Kennzahlen zur Wirksamkeit ansehen und prüfen, ob Ergebnisse zu Anpassungen des Programms geführt haben. | Kennzahlenbericht, Anpassungen im Schulungsplan |
| 10 | Mitarbeitende kennen den Meldeweg für Sicherheitsereignisse und nutzen ihn. | ISO/IEC 27001:2022 Anhang A 6.8 | Zahl der Meldungen über die Zeit auswerten und bei fünf Mitarbeitenden den Meldeweg erfragen. | Meldestatistik, Interviewnotizen |
| 11 | Dienstleister mit Zugriff auf Systeme oder Informationen sind in die Sensibilisierung einbezogen. | DORA Art. 13 Abs. 6 | Verträge und Teilnahmenachweise für zwei Dienstleister mit Zugriff prüfen. | Vertragsklauseln, Teilnahmenachweise der Dienstleister |
| 12 | Schulungen zum Datenschutz sind mit dem Datenschutzbeauftragten abgestimmt. | Art. 39 Abs. 1 lit. b DSGVO | Abstimmung der Inhalte und Zuständigkeiten zwischen Informationssicherheit und Datenschutz erfragen. | Schulungsplan Datenschutz, Abstimmungsprotokoll |
| 13 | Für Sensibilisierung und Schulung sind Budget und Verantwortliche festgelegt. | DORA Art. 5 Abs. 2 lit. g | Budget und Ressourcen des Programms ansehen und mit dem Umfang des Jahresplans vergleichen. | Budgetplanung, Rollenbeschreibung |
Unterlagen zur Anforderung
- Sensibilisierungs- und Schulungskonzept
- Jahresplan der Schulungen
- Schulungsunterlagen je Zielgruppe
- Teilnahmeberichte je Bereich
- Teilnahmenachweise der Geschäftsleitung
- Auswertungen der Phishing-Simulationen
- Kennzahlen zur Wirksamkeit
- Meldestatistik für Sicherheitsereignisse
Typische Feststellungen
- Schulungen sind für alle gleich und berücksichtigen keine Rollen.
- Neue Mitarbeitende erhalten Zugang Wochen vor ihrer ersten Schulung.
- Die Geschäftsleitung ist von Pflichtschulungen ausgenommen.
- Teilnahmequoten sind niedrig, Säumige werden nicht nachverfolgt.
- Phishing-Simulationen werden durchgeführt, aber nicht ausgewertet.
- Dienstleister mit Administratorzugriff sind nicht einbezogen.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen