Auditfest bleiben: Schulung nach 11.2.8 richtig einordnen Im Rahmen einer aktuellen Re-Validierung eines bekannten Versenders (bVSP) wurde deutlich, dass bestehende Schulungskonzepte den aktuellen behördlichen Erwartungen nicht immer vollständig entsprechen. Das Unternehmen war fachlich gut aufgestellt, Prozesse und Dokumentation waren vorhanden. Dennoch wurde im Audit eine Auffälligkeit im Bereich der Schulung gemäß Nummer 11.2.8 festgestellt. Ausgangssituation Im konkreten Fall ging das Unternehmen davon aus, dass die Schulung nach 11.2.8 ausschließlich für Personal gemäß 11.2.5 erforderlich ist. Das Personal gemäß 11.2.3.9 wurde intern unterwiesen, jedoch nicht in die Cyber Security Awareness Schulung einbezogen. Die Annahme, dass ausschließlich Personal nach 11.2.5 von der Schulungspflicht betroffen ist, wurde im Audit kritisch hinterfragt. Bewertung im [...]