NIS2 Macht Mitarbeiterschulungen zur Rechtspflicht. Die Datenlage Zeigt: Das Meiste Davon Wirkt Nicht.

Der Budgetposten, den Sie Gleich Freigeben

Irgendwo in der NIS2-Lückenanalyse auf Ihrem Schreibtisch steht eine Zeile, die ungefähr lautet: „Cybersicherheitsschulung für das Leitungsorgan und alle Beschäftigten". Es ist einer der billigsten Posten der Liste. Eine Lizenz pro Kopf für eine E-Learning-Plattform, eine Bibliothek fünfminütiger Videomodule, eine simulierte Phishing-Kampagne pro Quartal, eine automatische Erinnerung an alle, die ihr Jahresmodul noch nicht abgeschlossen haben. Zwanzig Euro pro Person, eine Unterschrift, und die Lücke ist geschlossen.

Bevor Sie unterschreiben, lohnt es sich zu wissen, was die Forschung über genau dieses Produkt sagt. Die größte je durchgeführte kontrollierte Studie zu Anti-Phishing-Schulungen in Unternehmen wurde 2025 auf dem IEEE Symposium on Security and Privacy von einem Team der University of California San Diego veröffentlicht. Sie begleitete über 19.500 Beschäftigte von UC San Diego Health über acht Monate und zehn simulierte Phishing-Kampagnen. Gemessen wurde genau das, was fast jede Organisation in Luxemburg gerade einkaufen will: die verpflichtende jährliche Cybersicherheits-Awareness-Schulung und die eingebettete Anti-Phishing-Schulung, also jene kurze Lektion, die erscheint, wenn jemand auf ein simuliertes Phishing klickt.

Die jährliche Awareness-Schulung zeigte keinen signifikanten Zusammenhang damit, ob Beschäftigte an einer Phishing-Simulation scheiterten. Wer sie im vergangenen Monat abgeschlossen hatte, schnitt nicht besser ab als jemand, der über ein Jahr überfällig war. Die eingebettete Schulung wirkte besser als nichts, aber nur knapp: Sie senkte die Klickwahrscheinlichkeit im Schnitt um rund 1,7 Prozentpunkte.

Das ist die ehrliche Ausgangslage. Sie bedeutet nicht, dass Schulung wertlos ist, und schon gar nicht, dass Sie darauf verzichten können, denn in Luxemburg dürfen Sie das inzwischen rechtlich nicht mehr. Sie bedeutet, dass die Standardvariante ein Compliance-Artefakt und keine Sicherheitsmaßnahme ist, und dass Sie sich, wenn Sie sie in anderem Glauben kaufen, zusätzlich zu einer echten Rechtspflicht ein falsches Sicherheitsgefühl erkauft haben.

Was das Luxemburger Recht Tatsächlich Verlangt

Das Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus hat NIS2 in luxemburgisches Recht überführt und ist am 10. Mai 2026 in Kraft getreten. Betroffene Einrichtungen, im Wesentlichen solche mit 50 oder mehr Beschäftigten oder einem Jahresumsatz über 10 Millionen Euro in einem der achtzehn gelisteten Sektoren, hatten bis zum 10. Juli 2026 Zeit, sich bei ihrer zuständigen Behörde selbst zu registrieren, in den meisten Fällen beim Institut Luxembourgeois de Régulation. Die unterlassene Registrierung ist für sich genommen ein sanktionierbarer Verstoß; wenn dieses Datum verstrichen ist, ohne dass jemand in Ihrer Organisation Ihre Lage geklärt hat, ist das das erste Gespräch, das ansteht.

Bei der Schulung sind zwei Pflichten maßgeblich, und es sind nicht dieselben.

Die erste betrifft die Governance. Nach Artikel 20 der Richtlinie müssen Leitungsorgane die von der Einrichtung getroffenen Risikomanagementmaßnahmen im Bereich Cybersicherheit billigen, ihre Umsetzung überwachen und können für Verstöße der Einrichtung haftbar gemacht werden. Die Mitglieder dieser Organe sind verpflichtet, an Schulungen teilzunehmen, um ausreichende Kenntnisse und Fähigkeiten zu erwerben, Risiken zu erkennen, die Cybersicherheitspraktiken der Organisation zu bewerten und deren Auswirkungen auf die erbrachten Dienste zu verstehen. Die Einrichtungen sollen ihrerseits ihren Beschäftigten regelmäßig vergleichbare Schulungen anbieten. Die Sanktionen beschränken sich nicht auf Geldbußen: Nationale Behörden können ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen aussprechen.

Die zweite ist operativer Natur. Cyberhygiene und Cybersicherheitsschulungen gehören zu den zehn verpflichtenden Kategorien von Risikomanagementmaßnahmen, neben Risikoanalyse, Incident Handling, Betriebskontinuität, Lieferkettensicherheit, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Alle zehn gelten für wesentliche wie für wichtige Einrichtungen gleichermaßen. Der Unterschied liegt in der Aufsicht: Wesentliche Einrichtungen unterliegen sowohl proaktiver als auch reaktiver Aufsicht, wichtige Einrichtungen nur der reaktiven, was praktisch bedeutet, dass der erste ernsthafte Blick auf die Schulungsunterlagen einer wichtigen Einrichtung häufig erst nach einer Vorfallmeldung erfolgt. Die Bußgelder reichen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei wesentlichen und bis zu 7 Millionen Euro oder 1,4 % bei wichtigen Einrichtungen.

Lesen Sie diese beiden Pflichten genau, und Ihnen fällt etwas auf, das die E-Learning-Broschüre verschweigt. Die Pflicht auf Leitungsebene betrifft das Urteilsvermögen: Können diese Personen beurteilen, ob die Sicherheitsmaßnahmen der Organisation angemessen sind? Ein zwanzigminütiges Video über das Erkennen verdächtiger Links leistet das nicht, und kein Prüfer, der die Kompetenz eines Geschäftsleiters untersucht, wird ein Teilnahmezertifikat als Nachweis akzeptieren. Falls Sie Ihre Pflichten noch nicht durchgängig kartiert haben: Unser NIS2-Compliance-Angebot für luxemburgische Organisationen und unser früherer Praxisleitfaden zu NIS2 für KMU behandeln die weitergehende Frage des Anwendungsbereichs.

Warum das Standardprogramm Scheitert

Die Daten aus San Diego erklären den Fehlermechanismus klar genug, dass Präzision sich lohnt.

Rund drei Viertel der Beschäftigten, die auf einer eingebetteten Schulungsseite landeten, verbrachten dort eine Minute oder weniger, und etwa ein Drittel schloss sie sofort, ohne sich mit dem Material zu befassen. Das ist keine Geschichte über nachlässige Mitarbeitende. Es ist eine Geschichte darüber, wie sich eine Unterbrechung mitten in der Arbeit anfühlt: Die Schulung erscheint genau in dem Moment, in dem jemandem gesagt wurde, er habe einen Fehler gemacht, sich unangenehm berührt fühlt und weiterarbeiten möchte. Das didaktische Design arbeitet gegen genau den Moment, für den es entworfen wurde.

Der zweite Befund sollte Ihre Erwartungen dauerhaft zurechtrücken. Im ersten Monat der Studie klickten etwa 10 % der Beschäftigten auf einen simulierten Phishing-Link. Bis zum achten Monat hatte mehr als die Hälfte mindestens einmal geklickt. Bei genügend Versuchen und genügend Zeit klickt fast jeder irgendwann auf irgendetwas. Das ist keine Schulungslücke, die Sie schließen können. Es ist eine Eigenschaft menschlicher Aufmerksamkeit unter Arbeitslast, und jedes Programm, dessen Erfolg von ihrer Beseitigung abhängt, wird scheitern.

Planen Sie für den Klick, nicht dagegen. Gehen Sie davon aus, dass eine kompetente, gutwillige Person irgendwann auf einen schädlichen Link klickt oder eine betrügerische Anfrage freigibt. Aufgabe Ihres Programms ist es, diesen Moment überstehbar und behebbar zu machen, nicht ihn unmöglich zu machen.

Die Schlussfolgerung der Forschenden wies in dieselbe Richtung: die Last von den Nutzenden auf technische Gegenmaßnahmen verlagern. Zwei hoben sie besonders hervor: hardware- und anwendungsgestützte Zwei-Faktor-Authentifizierung sowie Passwortmanager, die nur auf der korrekten Domain ausfüllen. Beide funktionieren, indem sie die Anforderung beseitigen, dass ein Mensch zum falschen Zeitpunkt etwas Feines bemerken muss.

Dafür gibt es Praxisbelege. Google stellte seine über 85.000 Beschäftigten Anfang 2017 verpflichtend auf FIDO-Sicherheitsschlüssel um und berichtet seither von keinem erfolgreichen Phishing dienstlicher Konten. Der Mechanismus ist nicht Überzeugung. Ein FIDO-Authentifikator ist an die legitime Domain gebunden, sodass eine auf einer nachgebauten Seite abgefangene Anmeldung nicht gegen die echte wiedereingespielt werden kann. Die Person kann vollständig getäuscht werden, und der Angriff scheitert trotzdem.

Was Sie Stattdessen Aufbauen Sollten

Nichts davon spricht dafür, Schulungen wegzulassen. Es spricht dafür, den Aufwand dorthin zu lenken, wo er ein Ergebnis verändert, und die Dokumentation, die das ILR benötigt, als Nebenprodukt statt als Ziel zu erzeugen.

1. Investieren Sie zuerst in Authentifizierung, dann in Inhalte

Multi-Faktor-Authentifizierung gehört bereits zu den zehn verpflichtenden Maßnahmenkategorien; sie ist also kein Extra, das Sie gegen Schulung abwägen. Sie ist eine ohnehin zu erfüllende Anforderung, und die gewählte Variante entscheidet darüber, ob Phishing ein lebendiges Risiko bleibt. Phishing-resistente Verfahren, FIDO2-Sicherheitsschlüssel oder Passkeys, widerstehen dem Wiedereinspielen von Anmeldedaten und Angreifer-in-der-Mitte-Angriffen auf eine Weise, wie SMS-Codes, Einmalkennwörter und Push-Bestätigungen es nicht tun. Beginnen Sie bei den Konten mit dem größten Schadenspotenzial: Administratoren, Finanz- und Zahlungsfreigebende, Postfächer mit delegiertem Zugriff und alles, was aus dem Internet erreichbar ist. Entscheidend: Entfernen Sie für diese Konten die schwächeren Rückfallverfahren. Ein phishing-resistentes Primärverfahren mit SMS-Rückfall ist eine SMS-Absicherung.

2. Messen Sie Meldungen, nicht Klicks

Die Klickrate ist die Kennzahl, die jede Awareness-Plattform verkauft, weil sie sich am schnellsten verbessert und am wenigsten bedeutet. Die Zahl, die tatsächlich vorhersagt, wie ein Vorfall verläuft, ist, wie schnell jemand Ihnen Bescheid gibt. Machen Sie das Melden zu einer Ein-Klick-Aktion im Mail-Programm, bestrafen Sie niemals die meldende Person, und berichten Sie der Geschäftsleitung zwei Zahlen: welcher Anteil einer simulierten Kampagne gemeldet wurde und die mediane Zeit von der ersten Zustellung bis zur ersten Meldung. Liegt Ihr Median im Stundenbereich, hängt Ihre Erkennung vom Zufall ab. Liegt er im Minutenbereich, funktioniert Ihre Belegschaft als Sensornetz, und das ist die einzige Rolle in diesem System, in der Menschen Software wirklich übertreffen.

3. Schulen Sie die Rollen, die das Risiko Tragen, richtig

Generische Jahresmodule behandeln eine Lagerleitung und eine Zahlungsbuchhaltung als dasselbe Risiko. Das sind sie nicht. Konzentrieren Sie echte Schulungszeit mit echten Szenarien auf die wenigen Rollen, in denen eine einzige falsche Entscheidung teuer wird: Finanzkräfte, die Geld bewegen können, Administratoren mit privilegierten Zugängen, Personalabteilungen mit personenbezogenen Daten, Entwickelnde, die Code ausliefern, und alle mit Zugriff auf Kundensysteme. Für diese Rollen schlägt eine Stunde konkreter, plausibler, lokal verankerter Szenarien zwölf Monate allgemeiner Inhalte. Die Muster, die wir in der Großregion beobachten und in unserer Analyse zu Social Engineering in der Großregion beschrieben haben, eignen sich als Grundlage für diese Szenarien, denn Angreifer hier nutzen lokalen Kontext: echte Lieferantennamen, Eigenheiten grenzüberschreitender Gehaltsabrechnung, der mehrsprachige Wechsel, der eine seltsame Formulierung unauffällig erscheinen lässt.

4. Geben Sie dem Leitungsorgan Entscheidungspraxis, kein Video

Die Pflicht aus Artikel 20 betrifft die Fähigkeit des Gremiums, zu bewerten und zu billigen. Das Format, das dies erzeugt, ist eine moderierte Übung, in der das Leitungsorgan echte Entscheidungen bei unvollständiger Information treffen muss: Melden wir dem ILR innerhalb von 24 Stunden auf Basis des heutigen Kenntnisstands, nehmen wir das Kundenportal vom Netz, wer spricht mit der Presse, zahlen wir. Zwei Stunden davon zeigen mehr über Ihre Governance als jede Bewertung, und sie erzeugen genau jene dokumentierten, datierten, protokollierten Nachweise, nach denen eine Aufsichtsbehörde fragen wird. Wir haben bereits beschrieben, wie man eine Krisensimulation durchführt, und derselbe Ansatz lässt sich unmittelbar auf die NIS2-Governance-Pflicht übertragen. Für technische Teams ist das Äquivalent praktische Arbeit in einer realistischen Umgebung statt einer Präsentation, wofür unsere Cyber-Range-Übungen gebaut sind.

5. Führen Sie Nachweise, die eine Prüferin auch lesen kann

Was immer Sie durchführen, halten Sie es so fest, dass es der Frage einer Aufsicht zwei Jahre später standhält: wer teilgenommen hat, wann, was behandelt wurde, welche Entscheidungen das Leitungsorgan daraufhin getroffen hat und was sich danach geändert hat. Sitzungsprotokolle, die die Billigung der Risikomanagementmaßnahmen festhalten, datierte Anwesenheitslisten für Leitungsschulungen und eine kurze schriftliche Zusammenfassung der Erkenntnisse und Folgemaßnahmen jeder Übung sind mehr wert als ein Dashboard mit 98 % Modulabschluss. Abschlussquoten belegen, dass Menschen eine Seite geöffnet haben. Protokolle und Abhilfemaßnahmen belegen, dass die Organisation geführt wird.

Die Unbequeme Neubetrachtung

Über die Compliance hinaus ist das deshalb wichtig, weil das Standardprogramm eine bestimmte, gefährliche Illusion erzeugt. Wenn das Dashboard eine sinkende Klickrate zeigt, schließt die Organisation daraus, ihre Leute seien die Verteidigung, und stuft still jene Maßnahmen zurück, die einen Vorfall tatsächlich eindämmen würden. Dann trifft an einem Freitagnachmittag eine gut formulierte Anfrage ein, jemand Vernünftiges gibt sie frei, und die Nachbetrachtung stellt fest, dass hinter dieser Person nichts darauf ausgelegt war, sie abzufangen.

Die Organisationen, die damit gut umgehen, haben eine leise, aber entscheidende Verschiebung vollzogen. Sie schulen ihre Leitungsorgane im Führen, schulen ihre Hochrisikorollen an Szenarien, die ihnen plausibel widerfahren könnten, machen das Melden mühelos und stecken ihr eigentliches Geld in Authentifizierung, Segmentierung, Überwachung und eingeübte Reaktion, sodass der unvermeidliche Klick eingedämmt statt katastrophal ist. Diese Kombination erfüllt das Gesetz und senkt das Risiko, in dieser Reihenfolge der Papierarbeit und in dieser Reihenfolge der Bedeutung.

Wenn Sie gerade an Ihren NIS2-Maßnahmen arbeiten und ein Schulungsprogramm auf dieser Grundlage wollen statt einer jährlich verlängerten Lizenz, unterstützen wir Sie beim Entwurf, führen die Übungen für das Leitungsorgan durch und erstellen die Dokumentation, nach der Ihre Aufsicht fragen wird. Unsere Sicherheitsschulungen in Luxemburg decken die gesamte Bandbreite ab, von Übungen auf Leitungsebene bis zu rollenspezifischer technischer Arbeit. Sprechen Sie uns an, und wir beginnen mit einer ehrlichen Bestandsaufnahme dessen, was Sie bereits haben und wo es nicht tragen wird.