Im Rahmen einer aktuellen Re-Validierung eines bekannten Versenders (bVSP) wurde deutlich, dass bestehende Schulungskonzepte den aktuellen behördlichen Erwartungen nicht immer vollständig entsprechen. Das Unternehmen war fachlich gut aufgestellt, Prozesse und Dokumentation waren vorhanden.Dennoch wurde im Audit eine Auffälligkeit im Bereich der Schulung gemäß Nummer 11.2.8 festgestellt. Ausgangssituation Im konkreten Fall ging das Unternehmen davon aus, dass die Schulung nach 11.2.8 ausschließlich für Personal gemäß 11.2.5 erforderlich ist. Das Personal gemäß 11.2.3.9 wurde intern unterwiesen, jedoch nicht in die Cyber Security Awareness Schulung einbezogen. Bewertung im Audit Diese Einordnung wurde im Audit nicht bestätigt. Die Erwartung der prüfenden Stelle war, dass auch das Personal gemäß 11.2.3.9 in die Schulung nach 11.2.8 [...]