BSI-Grundschutz und Mitarbeiterschulung: Was der Standard zu Awareness verlangt
Der IT-Grundschutz des BSI sieht Schulung und Sensibilisierung als eigenen Baustein vor, nicht als optionale Ergänzung. Der Grundgedanke: Technische Sicherheitsmaßnahmen wirken nur, wenn die Menschen, die mit den Systemen arbeiten, wissen, wie sie sich sicher verhalten. Für Kommunalverwaltungen gibt es dafür ein eigenes, vom BSI bereitgestelltes Einstiegsprofil.
#Was der IT-Grundschutz zu Schulung und Awareness vorsieht
Der Bereich Organisation und Personal (ORP) im IT-Grundschutz-Kompendium behandelt Schulung und Sensibilisierung als eigenständigen Baustein. Kernaussage: Mitarbeitenden soll die korrekte Verarbeitung schützenswerter Informationen sowie die sichere Bedienung von IT-Systemen und Anwendungen nahegebracht werden, insbesondere durch Awareness-Schulungen und regelmäßige Sensibilisierungsmaßnahmen, nicht als einmalige Aktion.
#Für wen das besonders relevant ist
| Organisationstyp | Relevanz |
|---|---|
| Bundesbehörden | IT-Grundschutz ist hier etablierter Standard |
| Kommunalverwaltungen | Eigenes Einstiegsprofil "Basis-Absicherung Kommunalverwaltung" verfügbar |
| Unter NIS-2 als wichtig/besonders wichtig eingestufte Einrichtungen | Awareness-Schulungen sind hier ausdrücklich vorgesehener Bestandteil |
| Sonstige Unternehmen | IT-Grundschutz als freiwillige, aber anerkannte Methodik nutzbar |
#Was eine Awareness-Schulung nach IT-Grundschutz-Logik abdecken sollte
- Sicherer Umgang mit schützenswerten Informationen: Was gilt als schützenswert, wie wird es korrekt gehandhabt.
- Sichere Bedienung von IT-Systemen: Grundlegende Verhaltensregeln, nicht nur technische Vorgaben.
- Erkennen typischer Angriffsversuche: Phishing und Social Engineering als wiederkehrende Praxisbeispiele.
- Regelmäßige Wiederholung statt Einmalschulung: Der Standard betont ausdrücklich Regelmäßigkeit, nicht eine einzelne Einführungsschulung.
#Häufige Fragen
#Ist BSI-IT-Grundschutz für jede Kommune verpflichtend?
Die Verbindlichkeit hängt vom konkreten Organisationstyp und rechtlichen Rahmen ab, etwa ob eine Einstufung als kritische Infrastruktur oder unter NIS-2 vorliegt. Pauschal für jede Kommune gesetzlich vorgeschrieben ist der volle IT-Grundschutz nicht, das BSI bietet aber mit dem Profil "Basis-Absicherung Kommunalverwaltung" einen strukturierten Einstieg, der sich an Kommunen richtet, die eine grundlegende Absicherung anstreben.
#Was ist der Unterschied zwischen IT-Grundschutz und NIS-2?
IT-Grundschutz ist eine vom BSI bereitgestellte Methodik zur Informationssicherheit. NIS-2 ist eine EU-Richtlinie, die bestimmte Organisationstypen zu konkreten Sicherheitsmaßnahmen verpflichtet, darunter ausdrücklich auch Schulungen. Beide überschneiden sich inhaltlich, sind aber unterschiedliche rechtliche Kategorien.
#Reicht eine einmalige Awareness-Schulung aus?
Nein, der IT-Grundschutz betont ausdrücklich regelmäßige Sensibilisierung, nicht eine einzelne Einführungsschulung. Wiederkehrende, kurze Auffrischungen sind wirksamer als eine einzelne umfangreiche Schulung zu Beginn.
#Wo findet man das BSI-Profil für Kommunalverwaltungen?
Das Profil "Basis-Absicherung Kommunalverwaltung" ist direkt auf der BSI-Website als PDF verfügbar und richtet sich speziell an Kommunen, die einen strukturierten Einstieg in die Informationssicherheit suchen.