NIS2-Schulungen dokumentieren: Welche Nachweise für ein Schulungsaudit gespeichert werden sollten

Welche Nachweise für ein Schulungsaudit gespeichert werden sollten, lässt sich sinnvoll vom Prüfzweck her beantworten: Was wurde vermittelt, wer hat teilgenommen, welches Verständnis wurde überprüft und wie wurden offene Lernbedarfe bearbeitet? Für Ihre interne Organisation empfehlen wir, diese Fragen miteinander zu verknüpfen, statt lediglich Teilnahmebescheinigungen zu sammeln.

Dieser Leitfaden richtet sich an Personalentwicklung, HR, Compliance und Schulungsverantwortliche. Die vorgeschlagene Nachweismappe und Matrix sind redaktionelle Organisationshilfen, keine verbindlichen NIS2-Nachweiskataloge. Welche Unterlagen Ihre Einrichtung rechtlich vorhalten muss, welche Prüfanforderungen gelten und welche Aufbewahrungsfristen einschlägig sind, ist gesondert fachlich zu klären.

Was die neue BSI-Veröffentlichung belegt – und was offenbleibt

Das BSI hat am 28. Oktober 2026 ein Beispielcurriculum für NIS2-Geschäftsleitungsschulungen vorgestellt. Die Meldung verweist außerdem auf eine ergänzende Checkliste der Gesellschaft für Informatik. Das ist ein konkreter Anlass, die eigenen Schulungsunterlagen und ihre Dokumentation gemeinsam zu betrachten.

Auf der Publikationsseite bezeichnet das BSI das Curriculum als Beispiel für die Vermittlung von Pflicht- und Steuerungswissen. Aus dieser Beschreibung und der Kurzmeldung allein lässt sich jedoch kein vollständiger verbindlicher Audit- oder Aufbewahrungskatalog ableiten. Für diesen Artikel war das vollständige Curriculum nicht inhaltlich auswertbar; deshalb werden hier weder konkrete Modulzuordnungen noch Anforderungen daraus behauptet.

Daneben führt das BSI eine Handreichung zu Geschäftsleitungsschulungen auf. Behandeln Sie Curriculum, Handreichung, anwendbares Recht und konkrete Prüfanforderungen als getrennte Referenzen. Tragen Sie in Ihrer Dokumentation jeweils ein, worauf eine Entscheidung tatsächlich beruht.

Nachweise nach ihrem Prüfzweck auswählen

Unser Vorschlag ist eine Dokumentationskette mit vier unterscheidbaren Ebenen. Legen Sie zunächst fest, welche Frage ein Beleg beantworten soll. Entscheiden Sie anschließend, welche Daten dafür erforderlich sind.

• Inhalte: Lernziele, freigegebene Agenda, eingesetzte Materialien und Kursversion zeigen, was für die Veranstaltung vorgesehen war.
• Teilnahme: Ein geeigneter Teilnahmebeleg dokumentiert die Teilnahme an einer bestimmten Veranstaltung. Definieren Sie, ob er Anwesenheit, Abschluss oder einen anderen Status abbildet.
• Verständnis: Eine dokumentierte Aufgabe mit Bewertungskriterien und Ergebnis hält fest, was im jeweiligen Wissenscheck überprüft wurde.
• Nachschulung: Anlass, ergänzende Lernaktivität und gegebenenfalls erneute Überprüfung machen die Bearbeitung eines offenen Lernbedarfs nachvollziehbar.

Verwenden Sie diese Belege nicht als austauschbare Erfolgsnachweise. Ordnen Sie einer Teilnahmebescheinigung keine Aussage über Verständnis zu, wenn sie dieses nicht überprüft. Beschreiben Sie auch einen Wissenscheck eng: Er dokumentiert die bearbeiteten Aufgaben unter den festgehaltenen Bedingungen, nicht automatisch die sichere Bewältigung jeder späteren Führungssituation.

Lernziel, Kursversion und Durchführung verbinden

Beginnen Sie mit einem beobachtbaren Lernziel. Statt „Cybersicherheit verstehen“ könnte ein internes Ziel lauten: „Die teilnehmende Person erläutert anhand eines fiktiven Ausfallszenarios zwei geschäftliche Auswirkungen und begründet eine Priorisierung.“ Dieses Beispiel ist redaktionell entwickelt und noch keinem Abschnitt des BSI-Curriculums zugeordnet.

Vergeben Sie eine eindeutige Kennung für den Schulungstermin und eine für die Kursfassung. Hinterlegen Sie Lernziel, Veranstaltung und Materialien unter diesen Kennungen. Halten Sie fest, wer die Inhalte fachlich freigegeben hat und wer die Durchführung dokumentiert.

Unsere Organisationsempfehlung: Bewahren Sie die tatsächlich eingesetzte Fassung getrennt von späteren Überarbeitungen auf, soweit der geklärte Speicherzweck dies trägt. Ein Änderungsvermerk sollte nennen, was angepasst wurde, durch wen und ab welcher Veranstaltung die neue Fassung gilt. Ersetzen Sie alte Unterlagen nicht stillschweigend durch aktuelle Dateien.

Ausfüllbare Nachweismatrix für die interne Organisation

Die folgende Vorlage enthält die elf vorgesehenen Spalten, aus Lesbarkeitsgründen in drei zusammengehörigen Tabellen. Übertragen Sie die Spalten in eine Tabellenkalkulation, wenn Sie eine durchgehende Matrix benötigen. Führen Sie pro Lernziel und Schulungstermin einen zusammengehörigen Datensatz. Die Vorlagezeile und die Beispielzeile gehören jeweils über alle drei Tabellen hinweg zusammen.

Das Beispiel ist vollständig fiktiv. Kennung: Beispiel A; teilnehmende Person: P-01. Die Belegkennungen und Ablageorte sind Platzhalter, keine bestehenden Dateien. „Curriculum-Bezug offen“ ist bewusst keine bestätigte Zuordnung.

Teil 1: Lernziel und Durchführung

Teil 2: Teilnahme und Lernbearbeitung

Teil 3: Ablage und Zuständigkeit

Tragen Sie keine vermuteten Curriculum-Abschnitte ein. Kennzeichnen Sie ungeklärte Bezüge ausdrücklich und weisen Sie die Prüfung einer verantwortlichen Person zu. Ergänzen Sie für mehrere Teilnehmende eine zugriffsbeschränkte Zuordnung, statt personenbezogene Ergebnisse in einer breit geteilten Inhaltsmatrix zu verteilen.

Wissenschecks mit Kriterien und Grenzen dokumentieren

Wenn Sie Wissenschecks einsetzen, empfehlen wir ein kleines, konsistentes Belegpaket: Lernziel, Aufgabenfassung, Bewertungskriterien, Ergebnis, Bewertungsdatum und verantwortliche Person. Ergänzen Sie relevante Bedingungen, etwa erlaubte Hilfsmittel oder Gruppenarbeit. So bleibt erkennbar, was die Bewertung umfasst.

Legen Sie die Kriterien vor der Durchführung fest. Im fiktiven Beispiel könnte die Bewertung unterscheiden, ob zwei geschäftliche Auswirkungen genannt und die Priorisierung nachvollziehbar begründet wurden. Ein Ergebnis „teilweise erfüllt“ sollte auf diese Kriterien zurückgeführt werden können. Die Beispielkriterien sind weder ein BSI-Prüfstandard noch eine Empfehlung für eine rechtlich erforderliche Bestehensgrenze.

Definieren Sie außerdem den Umgang mit offenen Lernbedarfen: Wer bespricht das Ergebnis, welche ergänzende Aufgabe ist vorgesehen und wann wird der Status geprüft? Dokumentieren Sie den ersten und einen späteren Versuch getrennt, soweit dies erforderlich und zulässig ist. Fehlende Teilnahme und fachlicher Lernbedarf sollten unterschiedliche Status erhalten.

Eine nachvollziehbare Nachweismappe aufbauen

Für die Ablage schlagen wir fünf Bereiche vor:

1. Planung: Zielgruppe, Lernziele, Referenzen und fachliche Freigabe.
2. Kursfassungen: Agenda, Materialien und Änderungsvermerke.
3. Durchführung: Termin, eingesetzte Version, durchführende Person und Teilnahmebelege.
4. Lernbearbeitung: Aufgaben, Kriterien, erforderliche Ergebnisse und Nachschulungsstatus.
5. Verwaltung: Zuständigkeiten, Zugriffsregelung, offene Punkte und Löschprüfungen.

Die Matrix dient dabei als Inhaltsverzeichnis. Verweisen Sie möglichst auf eindeutig bezeichnete Belege, statt identische personenbezogene Dateien mehrfach abzulegen. Benennen Sie eine koordinierende Rolle für Vollständigkeit und eine fachliche Rolle für Inhalte und Bewertungen. Dokumentieren Sie Korrekturen mit Datum, Anlass und verantwortlicher Person; markieren Sie nachträglich erstellte Vermerke als solche.

Personenbezogene Daten begrenzen und Fristen klären

Bei der Gestaltung der Ablage sind insbesondere die in Artikel 5 der Datenschutz-Grundverordnung genannten Grundsätze der Zweckbindung, Datenminimierung und Speicherbegrenzung zu berücksichtigen. Welche Rechtsgrundlage, Zugriffsregelung und Speicherdauer für Ihre konkrete Verarbeitung gelten, ist gesondert zu prüfen.

Als Organisationshilfe empfehlen wir: Trennen Sie allgemeine Kursunterlagen von personenbezogenen Teilnahme- und Ergebnisdaten. Prüfen Sie für jedes Datenfeld den tatsächlichen Nachweiszweck. Verzichten Sie auf persönliche Randbemerkungen, die diesen Zweck nicht unterstützen. Klären Sie, wer welche Unterlagen benötigt und welche Informationen für eine konkrete Prüfung bereitgestellt werden sollen.

Ein Löschprüftermin ist keine Aufbewahrungsfrist. Erfassen Sie im Feld „Löschprüfung“, wann Zweck, einschlägige Vorgaben und weiterer Speicherbedarf überprüft werden und wer darüber entscheidet. Dieser Artikel empfiehlt weder eine pauschale Jahreszahl noch eine Speicherung „für immer“.

Vor dem Audit: eine Stichprobe vollständig nachverfolgen

Wählen Sie einen Schulungstermin und verfolgen Sie ein Lernziel durch die gesamte Dokumentationskette. Nutzen Sie dafür diese interne Prüfliste:

• Sind verwendete Kursfassung, Schulungsdatum und fachliche Freigabe eindeutig zugeordnet?
• Ist der Teilnahmebeleg auffindbar und sein Aussageumfang klar?
• Passen Aufgabenfassung, Kriterien und Ergebnis zusammen, sofern ein Wissenscheck eingesetzt wurde?
• Sind offene Lernbedarfe und vereinbarte Nachschulungen mit Verantwortlichkeit dokumentiert?
• Sind Belegverweise erreichbar und nachträgliche Änderungen erkennbar?
• Sind Curriculum-Zuordnung, rechtliche Anforderungen und Speicherfristen geklärt oder ausdrücklich als offen markiert?

Erstellen Sie aus Lücken eine Aufgabenliste mit Zuständigkeit und Termin. Unterscheiden Sie fehlende Dateien, fehlende Durchführung und ungeklärte Anforderungen. Eine sauber aufgebaute Mappe ersetzt weder die Schulung noch die fachliche oder rechtliche Prüfung ihrer Angemessenheit.

Schulungsarbeit unterstützen, Entscheidungen beim Menschen lassen

SubSchool unterstützt die Organisation von Kursen, Aufgaben, Feedback und Lernfortschritt. Die Plattform ist damit als Unterstützung für wiederkehrende Lehrarbeit einzuordnen, nicht als Zusage einer rechtssicheren NIS2-Nachweisführung. Lehrende behalten die Autorenschaft und die abschließende pädagogische Entscheidung.

Wenn Sie Ihre betriebliche Schulungsarbeit strukturieren möchten, besprechen Sie mit SubSchool für Unternehmen, welche Arbeitsschritte unterstützt werden können. Nutzen Sie die Matrix zunächst als Anforderungsliste und prüfen Sie benötigte Nachweis-, Export-, Zugriffs- und Löschfunktionen ausdrücklich, bevor Sie sich auf einen Workflow festlegen.