Phishing-Schulungs-Konzept: 4 Quartals-Module + Simulation

Hauptartikel: § 30 BSIG: 10 Pflichtmaßnahmen — dort sind alle zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG mit Mapping zu ISO 27001 und Praxisbeispielen erläutert.

Rechtsrahmen: Pflicht ist die Schulung, Praxis ist der Takt

Verpflichtend ist, dass geschult und sensibilisiert wird — nicht, dass es quartalsweise in vier Modulen geschieht. Deutschland verlangt in § 30 Abs. 2 Nr. 7 BSIG „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“, Österreich in § 32 Abs. 4 lit. g NISG 2026 (BGBl. I Nr. 94/2025) „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“. Einen Turnus, eine Modulzahl oder eine Simulationsform enthält keiner der beiden Wortlaute. Der Vier-Quartals-Zuschnitt dieses Konzepts ist deshalb durchgehend Praxisempfehlung — der Schwester-Artikel zu § 30 BSIG führt „Phishing-Simulation quartalsweise mit Click-Rate-Monitoring“ ebenfalls als Praxis-Baustein zum Bereich Cyberhygiene.

Betroffen sind in Deutschland besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Als besonders wichtige Einrichtung gilt — neben Betreibern kritischer Anlagen und einigen größenunabhängig erfassten Arten — wer einer Einrichtungsart der Anlage 1 BSIG zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist. Als wichtige Einrichtung gilt, wer einer Art der Anlage 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist, soweit die Einrichtung nicht bereits besonders wichtige Einrichtung ist. Österreich stuft parallel nach § 24 i. V. m. § 25 Abs. 2 und 3 NISG 2026 ein: großes Unternehmen ab zumindest 250 Mitarbeitern oder über 50 Mio. EUR Jahresumsatz und über 43 Mio. EUR Bilanzsumme, mittleres Unternehmen ab zumindest 50 Mitarbeitern oder über 10 Mio. EUR Jahresumsatz und über 10 Mio. EUR Bilanzsumme.

Was davon Norm ist und was dieses Konzept vorschlägt, trennt die folgende Tabelle. Zeilen mit „—“ sind Praxisempfehlungen dieses Konzepts, für die hier keine Fundstelle angeführt wird.

Q0: Vorlauf vor der ersten Simulation

Vor der ersten Simulation sind vier Dinge zu klären — Mitbestimmung, Rechtsgrundlage, Auftragsverarbeitung und die Schwellenprüfung für die Datenschutz-Folgenabschätzung. Wie viel Zeit Sie dafür einplanen, schreibt kein Gesetz vor; der Vorlauf beginnt mit dem Quartal vor Q1.

1. Mitbestimmung (Deutschland). Die Einbindung des Betriebsrats ist nach § 87 Abs. 1 Nr. 6 BetrVG zwingend (technische Verhaltens- und Leistungs-Überwachungs-Einrichtungen). Auch wenn Phishing-Tests aggregiert ausgewertet werden, sind individuelle Klickraten technisch nachvollziehbar — daher mitbestimmungspflichtig. In der Praxis regelt eine Betriebsvereinbarung die Anonymisierungs-Garantie, die maximale Anzahl der Tests pro Jahr und den Ausschluss jedes Bezugs zur Leistungsbeurteilung. Ohne Zustimmung des Betriebsrats sind die Testergebnisse nicht verwertbar. Für Österreich benennt dieser Artikel keine entsprechende Fundstelle — das BetrVG gilt dort nicht; dieser Punkt bleibt offen und ist vor dem Start gesondert zu klären.

2. Rechtsgrundlage. Die Verarbeitung der Teilnahme- und Klickdaten ist nur rechtmäßig, wenn mindestens eine der Bedingungen des Art. 6 Abs. 1 DSGVO erfüllt ist. Ergänzend nennt die Erstfassung die Voraussetzungen des § 26 BDSG (Deutschland) und die Information der Mitarbeitenden. Welche Bedingung des Art. 6 Abs. 1 DSGVO die Verarbeitung im Einzelfall trägt, benennt dieser Artikel nicht; für Österreich benennt er auch keine dem § 26 BDSG entsprechende Fundstelle — dieser Punkt bleibt offen und ist vor dem Start gesondert zu klären.

3. Auftragsverarbeitung. Soweit der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, gilt: Zulässig sind nur Auftragsverarbeiter, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegen (Art. 28 Abs. 1 und 3 DSGVO).

4. Schwellenprüfung. Klären Sie vorab, ob die geplante Auswertung ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt und damit eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO auslöst; Art. 35 Abs. 3 DSGVO nennt dafür unter anderem die systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung. Erst danach beginnt die Vorab-Information der Beschäftigten über Zweck, Ablauf und Auswertungsform der Simulationen.

Wer was tut (Praxisempfehlung dieses Konzepts, soweit in der Zeile keine Fundstelle genannt ist):

Der Jahresplan im Überblick

Der Zwölf-Monats-Plan besteht aus vier Modulen à 30 Minuten mit jeweils direkt folgender Simulation. Die folgende Tabelle legt fest, was je Quartal geschult, simuliert und dokumentiert wird. Die Stufen sind an beobachtbaren Merkmalen festgemacht, damit sie ohne Anbieter-Terminologie beauftragt und geprüft werden können.

Zeitachse innerhalb des Quartals (Praxisempfehlung dieses Konzepts):

Die Auswertungs- und Coaching-Fristen stehen in der Zeile „Klick in der Simulation“ im Abschnitt „Eskalations-Plan“. Versandzeiträume, in denen ein großer Teil der Belegschaft nicht erreichbar ist — Betriebsferien, Feiertage, Jahresabschluss —, nehmen Sie aus. Der konkrete Versandtermin wird nicht vorab angekündigt, sonst misst die Simulation die Ankündigung statt der Aufmerksamkeit; angekündigt wird nur, dass im laufenden Jahr Simulationen stattfinden (das gehört ohnehin zur Vorab-Information aus Q0).

Aufbau eines 30-Minuten-Moduls

Alle vier Module folgen demselben Minutenraster. Die Quartalsthemen der Jahresplan-Tabelle füllen dieses Raster, sie ersetzen es nicht.

Feste Größen über alle vier Module (Praxisempfehlung): zehn Quizfragen, Bestehensgrenze acht von zehn, eine Wiederholungsmöglichkeit innerhalb von zwei Wochen. Ob das Modul als Präsenzveranstaltung oder als E-Learning läuft, ist frei — dokumentiert werden in beiden Fällen Termin, Teilnahme und Quiz-Ergebnis.

Was ganzjährig läuft

Zwei Bausteine laufen neben den Quartalsmodulen durchgehend und sind vor Q1 einzurichten, nicht erst am Jahresende: der monatliche „Lessons Learned“-Newsletter und der Phish-Reporting-Button. Ein Newsletter mit rund fünf Minuten Lesezeit hält die Beispiele zwischen den Modulen präsent. Inhaltsraster je Ausgabe (Praxisempfehlung): ein anonymisierter Fall aus den Meldungen des Vormonats plus ein Erkennungsmerkmal aus dem laufenden Quartalsthema. Der Phish-Reporting-Button im E-Mail-Client liefert die zweite Messgröße: Die Zahl der gemeldeten Phishing-Versuche ist die positive Gegenkennzahl zur Klickrate und gehört neben ihr ins Quartals-Dossier. Weil Q3 die Meldequote misst, muss der Button spätestens vor der dritten Simulation stehen. Beide Bausteine sind Praxisempfehlungen, keine Rechtspflicht.

Q1: Grundlagen + Erste Simulation

Q1 legt die Grundlage für die drei Folgequartale und erzeugt die Messgröße, mit der Sie Wirksamkeit später belegen.

Was tun: Alle Beschäftigten einbeziehen. Für Österreich schreibt § 31 Abs. 2 NISG 2026 ausdrücklich vor, dass die Einrichtung ihren Mitarbeitern regelmäßig entsprechende Schulungen anzubieten hat; die NIS-2-Richtlinie verlangt dieselbe Vorgabe von den Mitgliedstaaten (Art. 20 Abs. 2 RL (EU) 2022/2555). Simulation 1 wird als Vollerhebung über alle Beschäftigten versandt, damit die Baseline für spätere Vergleiche belastbar ist. Neu eintretende Beschäftigte holen Sie über eine Onboarding-Schulung nach — der Schwester-Artikel zu § 30 BSIG nennt dafür die ersten vier Wochen und die jährliche Schulung aller Mitarbeitenden mit Quiz.

Warum: Ohne Ausgangswert lässt sich später keine Verbesserung darstellen. Die Baseline-Klickrate ist der Anker für die Bewertung der Wirksamkeit von Risikomanagementmaßnahmen, die § 30 Abs. 2 Nr. 6 BSIG als eigenen Maßnahmenbereich verlangt. Dokumentiert wird ab Q1, nicht rückwirkend; was ins Quartals-Dossier gehört und welcher Nachweis wann fällig wird, steht im Abschnitt „Nachweis“.

Q2: Spear-Phishing + Whaling

Q2 adressiert die gezielten Angriffe, die Rollen mit Zahlungs-, Vertrags- und Freigabebefugnis treffen.

Was tun: Den rollenspezifischen Teil für Finanzbuchhaltung, Einkauf und Geschäftsleitung getrennt zuschneiden; die Teilnahme der Leitungsebene ist dabei kein freiwilliges Extra, sondern eine eigene gesetzliche Pflicht — Fundstellen und Begründung stehen im Abschnitt „Aufsicht, Geschäftsleitung und Bußgeldrahmen“. Simulation 2 geht wieder an alle Beschäftigten, wird aber getrennt für die drei vertieft geschulten Rollen ausgewertet. Als Praxisempfehlung: Liegt die Klickrate der vertieft geschulten Rollen nicht unter der Gesamt-Klickrate desselben Versands, wird der rollenspezifische Teil vor Q3 wiederholt statt auf den nächsten Jahreszyklus verschoben; das Ergebnis des Rollenvergleichs gehört als eigene Zeile ins Quartals-Dossier.

Warum: Der Lieferanten-Betrug verbindet dieses Modul mit dem Katalogbereich Sicherheit der Lieferkette — § 30 Abs. 2 Nr. 4 BSIG, in Österreich § 32 Abs. 4 lit. d NISG 2026. Wer den Angriffsvektor „gefälschte Lieferanten-Kommunikation“ schult, sollte die vertragliche Seite mitprüfen; der Schwester-Artikel nennt dafür Lieferanten-Bewertung mit Risikoklassifizierung, Cybersecurity-Klauseln in Standardverträgen, Right-to-Audit für kritische Lieferanten und eine Vorfall-Notification durch Lieferanten binnen maximal 24 Stunden.

Q3: Voice-Phishing + Smishing

Q3 verlagert die Übung von der E-Mail auf Telefon und Mobilgerät — dorthin, wo technische Filter kaum greifen.

Was tun: Den MFA-Bypass praktisch durchspielen (Push-Bestätigung auf Zuruf, telefonische Abfrage von Einmalcodes, Hilfsbereitschaft gegenüber angeblichen IT-Kollegen) und den internen Meldeweg mitüben: Wer meldet wohin, wenn ein Anruf verdächtig war, und was passiert in der ersten Stunde danach? Weil die Voice-Komponente aufwendiger ist als ein Mailversand, genügt hier eine Stichprobe der Beschäftigten mit Diensttelefon oder MFA-Zugang. Als Praxisempfehlung: mindestens 10 % dieser Zielgruppe, mindestens jedoch 20 Personen, gestreut über alle Standorte und Abteilungen; die Ziehung wird dokumentiert und gehört als eigenes Artefakt ins Quartals-Dossier, sonst ist die Meldequote gegenüber der Aufsicht nicht einzuordnen. Gemessen wird die Meldequote über den internen Meldeweg — der Phish-Reporting-Button aus dem Abschnitt „Was ganzjährig läuft“ muss dafür bereits stehen. Abweichend von den übrigen Quartalen läuft das Auswertungsfenster hier ab der letzten Kontaktaufnahme, nicht ab dem Versandende.

Warum: Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierung und gesicherte Kommunikation bilden in Deutschland den zehnten Maßnahmenbereich (§ 30 Abs. 2 Nr. 10 BSIG) und stehen in Österreich im Katalog des § 32 Abs. 4 NISG 2026. Eine technisch ausgerollte MFA verliert ihren Wert, wenn Beschäftigte Bestätigungen auf Zuruf freigeben — dieser Rest ist Schulungsstoff, kein Konfigurationsproblem. Erreicht ein echter Vorfall aus dieser Kategorie die Meldeschwelle, gelten die Fristen aus dem Abschnitt „Eskalations-Plan“.

Q4: KI-Phishing + Deepfakes

Q4 schließt den Zyklus mit den KI-gestützten Varianten ab, bei denen die klassischen Erkennungsmerkmale wie Rechtschreibfehler entfallen.

Was tun: Erkennungsmerkmale von der Textoberfläche auf den Prozess verlagern — Rückruf über bekannte Nummern statt über die im Anschreiben genannte, Vier-Augen-Prinzip bei Zahlungsfreigaben, definierter Rückkanal bei ungewöhnlichen Anweisungen aus der Führungsebene. Simulation 4 geht wieder als Vollerhebung an alle Beschäftigten, damit der Jahresvergleich zur Baseline aus Q1 dieselbe Grundgesamtheit hat.

Regulatorischer Kontext: Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt seit dem 2. August 2026 grundsätzlich; für einzelne Kapitel gelten abweichende Termine (Art. 113 KI-VO). Art. 50 Abs. 4 KI-VO verpflichtet Betreiber, die Deepfakes erzeugen oder manipulieren, offenzulegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden; Art. 50 Abs. 2 verlangt von Anbietern, synthetische Audio-, Bild-, Video- oder Textinhalte maschinenlesbar als künstlich erzeugt zu kennzeichnen. Ob und wie diese Pflichten auf intern eingesetzte Simulationsinhalte durchschlagen, ist eine Frage des Einzelfalls — klären Sie das anwaltlich, bevor Sie für Q4 selbst Deepfake-Material erzeugen. Die Frage stellt sich nur, wenn Sie eigenes synthetisches Material herstellen: Q4 lässt sich auch ohne selbst erzeugte Inhalte durchführen — mit dokumentierten Fallbeispielen, mit dem Material der eingesetzten Awareness-Plattform und mit einer reinen Prozessübung (Rückruf über die bekannte Nummer, Vier-Augen-Prinzip bei Zahlungsfreigaben).

Tools-Vergleich: Anbieter und Übermittlungsgrundlage

Die folgende Tabelle fasst die Anbieter zusammen, die die Erstfassung nennt, mit Sitz und Übermittlungsgrundlage. Ob die Liste den Markt vollständig abbildet, sagt dieser Artikel nicht.

Sämtliche Marktangaben dieses Artikels — Anbieterliste, Sitz und Übermittlungsgrundlage, die Eignungseinschätzungen unter der Tabelle und die Klickraten-Orientierungswerte im Abschnitt „Nachweis“ — stammen aus der Erstfassung (Stand: 2. Mai 2026) und wurden für diese Aktualisierung nicht neu erhoben. Preise nennt dieser Artikel nicht: Sie hängen von der Zahl der Mitarbeitenden, dem Modul- und Sprachumfang, den Simulationskanälen (E-Mail, Telefon, SMS) und der Vertragslaufzeit ab und sind beim Anbieter als Angebot anzufragen.

Zur Eignung äußert sich die Erstfassung nur zu zwei Anbietern, als Praxiseinschätzung ohne eigene Prüfung: SoSafe nennt sie für kleine und mittlere Unternehmen im DACH-Raum wegen Mehrsprachigkeit (Deutsch, Englisch, Französisch, Italienisch) und anonymisierter Auswertung, KnowBe4 für nach ISO 27001 zertifizierte Einrichtungen wegen umfangreicher Reports. Ob die Anonymisierung eine Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG trägt, prüfen Sie anhand der folgenden Kriterienliste.

Was der Einkauf vor der Beauftragung abfragt. Weil die Erstfassung zu den übrigen Anbietern keine Eignung nennt, entscheidet nicht die Liste, sondern eine Kriterienliste — abgeleitet aus dem, was dieses Konzept an anderer Stelle bereits verlangt:

• Anonymisierung, die eine Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG trägt: aggregierte Auswertung ohne Rückschluss auf einzelne Beschäftigte (Q0, Punkt 1).
• Auftragsverarbeitungsvertrag mit dem Mindestinhalt des Art. 28 Abs. 1 und 3 DSGVO (Q0, Punkt 3).
• Hosting-Ort beziehungsweise Übermittlungsgrundlage — die zweite Spalte der Tabelle.
• Sprachen, in denen die Belegschaft tatsächlich arbeitet; sonst erreichen Modul und Simulation nur einen Teil der Zielgruppe.
• Phish-Reporting-Button für den E-Mail-Client, sonst fehlt die Meldequote als zweite Messgröße (Abschnitt „Was ganzjährig läuft“).
• Auswertung getrennt nach Rollen, sonst ist der Q2-Vergleich für Finanzbuchhaltung, Einkauf und Geschäftsleitung nicht zu führen.
• Kanalwechsel auf Telefon und SMS, sonst ist Q3 mit dem Werkzeug nicht durchführbar.
• Getrennt ausweisbarer Teilnahmenachweis für die Leitungsebene, sonst ist er außerhalb des Werkzeugs zu führen.

Die drei datenschutzrechtlichen Prüfpunkte aus Q0 — Rechtsgrundlage, Auftragsverarbeitungsvertrag und Schwellenprüfung für die Datenschutz-Folgenabschätzung — gehören zeitlich vor die Vertragsunterschrift, nicht in die Einführungsphase.

Eskalations-Plan

Der Eskalations-Plan trennt zwei Fälle, die in der Praxis oft vermischt werden: die Reaktion auf einen Klick in der Simulation und die Reaktion auf einen echten Vorfall. Der Klick in der Simulation ist ein Lernanlass; die Meldepflichten der folgenden Tabelle knüpfen dagegen an einen erheblichen Sicherheitsvorfall beziehungsweise an eine Verletzung des Schutzes personenbezogener Daten an.

Für den echten Vorfall ist die Schwelle normiert: Meldepflichtig ist der erhebliche Sicherheitsvorfall — ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG; in Österreich § 35 Abs. 1 Z 1 und 2 NISG 2026, dort in Z 1 „schwerwiegende finanzielle Verluste“).

Die österreichischen Fundstellen dieser Tabelle gelten ab dem 1. Oktober 2026 (§ 51 Abs. 1 und 2 NISG 2026); die deutschen Pflichten gelten seit dem 6. Dezember 2025. Auch die Meldewege unterscheiden sich: In Deutschland gehen Vorfallsmeldungen an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG), in Österreich an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT (§ 34 Abs. 1 NISG 2026). Die Fristen der Art. 33 und 34 DSGVO gelten in beiden Ländern unabhängig davon.

Nachweis: Was Sie der Aufsicht vorlegen können

Vorgelegt wird ein Dossier je Quartal: Termin, Teilnehmerliste und Inhalte des Moduls, Quiz-Ergebnis, aggregierte Klickrate im Vergleich zur Baseline, Meldequote über den internen Meldeweg, ergriffene Folgemaßnahmen wie Coaching oder Wiederholungstermin sowie der getrennt geführte Teilnahmenachweis der Leitungsebene (Praxisempfehlung dieses Konzepts). Welcher Nachweis wann fällig wird, zeigt die Termin-Tabelle im Abschnitt „Österreich (NISG 2026)“.

Wer nicht teilgenommen hat (Praxisempfehlung). Die Teilnehmerliste ist das zentrale Artefakt des Dossiers — sie wird lückenhaft, sobald Krankheit, Elternzeit oder Schichtdienst dazwischenkommen. Halten Sie deshalb eine Nachhol-Frist für versäumte Quartalsmodule fest, etwa bis zum Ende des Folgequartals, und dokumentieren Sie jede Nichtteilnahme mit Grund und Nachholtermin. Für Neueintritte gilt die Onboarding-Regel aus Q1.

Wer bereits nach ISO/IEC 27001:2022 zertifiziert ist, findet Schulung und Sensibilisierung als eigene Maßnahme im Anhang A der Norm. ISO 27001 greift die Anforderungen des § 30 BSIG strukturell in allen zehn Bereichen auf, deckungsgleich aber in keinem; der Schwester-Artikel stuft die Lückenwahrscheinlichkeit für diesen Bereich als mittel ein.

Woran Sie das Ergebnis messen. Damit die dokumentierte Klickrate bewertbar wird, braucht sie einen Maßstab. Die folgenden Orientierungswerte sind keine gesetzlichen Schwellen; die Erstfassung stützt sie auf den KnowBe4 Phishing Industry Benchmarks Report 2025 (Stand: 2. Mai 2026, für diese Aktualisierung nicht neu erhoben).

Aufsicht, Geschäftsleitung und Bußgeldrahmen

Aufsicht führt in Deutschland das BSI, in Österreich das Bundesamt für Cybersicherheit; die Geschäftsleitung trifft eine eigene Umsetzungs- und Überwachungspflicht, und die Verletzung der Risikomanagementpflicht ist in beiden Ländern bußgeldbewehrt.

Wer beaufsichtigt

Aufsicht führt in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (§ 1 BSIG), in Österreich die Cybersicherheitsbehörde — das Bundesamt für Cybersicherheit, dem Bundesminister für Inneres unmittelbar nachgeordnet (§ 3a Abs. 1 und 2 NISG 2026). In Deutschland ist das BSI zugleich die zuständige Verwaltungsbehörde für Geldbußen (§ 65 BSIG); in Österreich verhängt die Bezirksverwaltungsbehörde die Verwaltungsstrafen (§ 44 Abs. 1 NISG 2026), die Aufsicht bleibt bei der Cybersicherheitsbehörde.

Was die Geschäftsleitung persönlich trifft

Die Geschäftsleitung steht doppelt in der Pflicht: Sie muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG); verletzt sie diese Pflichten, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 2 BSIG). Das NISG 2026 enthält in § 31 keine entsprechende ausdrückliche Innenhaftungs-Regel — das ist der schärfste Unterschied zwischen beiden Rechtsordnungen für die Leitungsebene. Für dieses Konzept heißt das: Der Teilnahmenachweis der Leitungsebene nach § 38 Abs. 3 BSIG bzw. § 31 Abs. 2 NISG 2026 wird getrennt vom Belegschafts-Dossier geführt, weil er eine eigene Pflicht belegt und im Streitfall die Überwachungspflicht nach § 38 Abs. 1 BSIG stützt.

Bußgeldrahmen

Bußgeldbewehrt ist die Verletzung der Risikomanagementpflicht nach § 30 BSIG als Ganzes — und damit auch der Maßnahmenbereich „Schulungen und Sensibilisierungsmaßnahmen“ nach § 30 Abs. 2 Nr. 7 BSIG; der Schwester-Artikel zu § 30 BSIG hält fest, dass Pflichtverletzungen unabhängig vom einzelnen Bereich bußgeldbewehrt sind, und führt die fehlende Phishing-Simulation in seiner Praxiseinschätzung als typischen Prüfbefund 2026. Der Rahmen für Verstöße gegen die Risikomanagement- und Meldepflichten: in Deutschland bis 10 Mio. EUR gegen besonders wichtige (§ 65 Abs. 5 Satz 1 Nr. 1 Buchst. a BSIG) und bis 7 Mio. EUR gegen wichtige Einrichtungen (§ 65 Abs. 5 Satz 1 Nr. 1 Buchst. b BSIG); die Umsatzvariante von 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes greift erst ab einem Gesamtumsatz von mehr als 500 Mio. EUR (§ 65 Abs. 6 und 7 BSIG). In Österreich beträgt der Rahmen bis 10 Mio. EUR oder 2 % bzw. bis 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3 NISG 2026). Die Einordnung der Rahmen im Übrigen behandelt der Artikel zu § 30 BSIG.

Österreich (NISG 2026): gleiche Schulungspflicht, andere Fundstelle

Inhaltlich läuft die Schulungspflicht gleich — sie steht in einer anderen Norm und wird später anwendbar; welche Fundstelle wofür gilt, steht im Abschnitt „Rechtsrahmen“. Was ausschließlich hier steht, ist der Terminfahrplan: Deutschland ist seit Dezember 2025 im Vollzug, Österreich startet erst im Oktober 2026, und daran hängen alle weiteren Fristen.

Für das Quartals-Konzept folgt daraus nur eines: Der Zuschnitt der Module und Simulationen ist in beiden Ländern unverändert einsetzbar; verschieden sind die Fundstelle, die Aufsichtsbehörde und der Zeitpunkt, ab dem das Dossier vorzuliegen hat.