¶ Schulungs- und Awarenessnachweise
Beispieldokument: Diese Seite beschreibt eine Nachweisstruktur für die fiktive „Muster GmbH“. Die dargestellten Einträge bestätigen weder durchgeführte Schulungen noch Teilnahme, Kompetenz, Wirksamkeit oder die Erfüllung konkreter ISO-, TISAX-, NIS2-, Datenschutz-, Kunden- oder Vertragsanforderungen.
Nachweisgrundsatz: Schulungsbedarf, Einladung, Kurszuweisung, Teilnahme, Lernerfolg, Kompetenz und Wirksamkeit sind unterschiedliche Aussagen. Ein Zertifikat oder eine Anwesenheitsliste allein belegt nicht automatisch, dass Inhalte verstanden und im Arbeitsalltag wirksam angewendet werden.
Schutzregel: Personenbezogene Lernstände, Testergebnisse, Zertifikate, Leistungsdaten und Einzelmaßnahmen werden nicht im allgemein zugänglichen Wiki gespeichert. Das Wiki führt nur notwendige Metadaten und kontrollierte Referenzen auf eine geschützte Originalablage.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-NW-07-03 |
| Dokumentenart | Nachweisstruktur für Schulung, Awareness, Lernerfolg und Wirksamkeit |
| Wiki.js-Pfad | /ISMS/07-Nachweise/Schulungs-und-Awarenessnachweise |
| Verantwortlich | Personalwesen und ISMS-Beauftragte/r |
| Fachlich geprüft durch | Führungskräfte, Schulungsverantwortliche, Datenschutz, Compliance, IT, TISAX-Koordination, Audit/QM und Arbeitnehmervertretung, soweit erforderlich |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – keine realen Schulungs- oder Wirksamkeitsnachweise hinterlegt |
| Version | 0.1 |
| Stand | 08.08.2026 |
| Gültig ab | Nach fachlicher Prüfung und Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei Rollen-, Risiko-, Anforderungs-, Inhalts- oder Systemänderungen |
| Schutzklasse | Intern; personenbezogene Einzel- und Leistungsnachweise vertraulich oder streng vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 7.2, 7.3, 7.4, 7.5 und 9.1 sowie zugeordnete Annex-A-Maßnahmen |
| TISAX-Bezug | Maßgebliche ISA-Fassung, insbesondere Personalsicherheit, Awareness, Qualifikation und kontrollfragenbezogene Nachweise |
| Weitere Bezüge | DSGVO, NIS2-Umsetzung, Arbeitsrecht, Beteiligungsrechte, Verträge und Kundenanforderungen, soweit im Einzelfall anwendbar |
Nachweiskette von der Bedarfsfestlegung über Durchführung und Lernerfolg bis zur Wirksamkeitsbewertung und Nachverfolgung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Die Seite steuert, welche Nachweise für Schulungen, Unterweisungen und Awareness-Maßnahmen benötigt werden, wo die geschützten Originale liegen und welche Aussage mit ihnen zulässig ist. Sie soll insbesondere sicherstellen, dass:
- Schulungsbedarf aus Rollen, Risiken und Anforderungen abgeleitet wird,
- Zielgruppe, Lernziel, Inhalt, Version und Frist nachvollziehbar sind,
- tatsächliche Durchführung und Teilnahme belegt werden können,
- Lernerfolg und praktische Kompetenz angemessen geprüft werden,
- Wirksamkeit anhand geeigneter Kriterien und nicht nur anhand von Abschlussquoten bewertet wird,
- überfällige oder nicht bestandene Anforderungen sichtbar nachverfolgt werden,
- personenbezogene Nachweise datensparsam und zugriffsgeschützt bleiben,
- Audit- und Assessmentaussagen auf kontrollierten Originalen beruhen.
Die Seite ersetzt weder das führende Schulungs- und Kompetenzregister noch die Lernplattform, Personalakte, Schulungsakte oder geschützte Nachweisablage.
¶ 2. Geltungsbereich
Die Nachweisstruktur gilt für alle im ISMS-Scope benötigten:
- Grundunterweisungen und regelmäßigen Auffrischungen,
- Informationssicherheits- und Cybersecurity-Awareness-Maßnahmen,
- rollenbezogenen Fachschulungen,
- Führungskräfte- und Managementbriefings,
- Unterweisungen für externe Personen und Dienstleister,
- TISAX-, Kunden-, Standort- und Prototypenschutzunterweisungen,
- Datenschutz-, NIS2- und Compliance-Schulungen mit ISMS-Bezug,
- Incident-, Notfall-, Wiederanlauf- und Krisenübungen,
- Phishing- und Social-Engineering-Simulationen,
- Qualifizierungen für privilegierte oder sicherheitskritische Rollen.
Reale Zielgruppen, Standorte, Gesellschaften und externe Personenkreise werden im führenden Register eindeutig abgegrenzt.
¶ 3. Verbindliche Nachweiskette
| Stufe | Leitfrage | Möglicher Nachweis | Aussagegrenze |
|---|---|---|---|
| Bedarf | Warum, für wen und bis wann ist eine Maßnahme erforderlich? | Rollenprofil, Risiko, Anforderung, Schulungsplan | belegt keine Durchführung |
| Zuweisung | Wer wurde welcher Maßnahme zugeordnet? | Kurszuweisung oder Zielgruppenliste | belegt keine Bearbeitung oder Kenntnisnahme |
| Durchführung | Wurde die freigegebene Maßnahme tatsächlich angeboten und durchgeführt? | Agenda, Inhaltsversion, Termin- oder Systemprotokoll | belegt nicht automatisch individuelle Teilnahme |
| Teilnahme | Hat die betroffene Person vollständig teilgenommen? | Anwesenheit, Lernplattformstatus oder bestätigte Teilnahme | belegt kein Verständnis oder Können |
| Lernerfolg | Wurden festgelegte Lernziele im Prüfrahmen erreicht? | Test, Fallbeispiel, Fachgespräch oder Praxisaufgabe | belegt nicht automatisch dauerhafte Anwendung |
| Kompetenz | Kann die Person die Aufgabe unter realistischen Bedingungen ausführen? | Arbeitsprobe, beobachtete Übung oder Rollenfreigabe | gilt nur für dokumentierten Scope und Zeitraum |
| Wirksamkeit | Unterstützt die Maßnahme das gewünschte Sicherheitsverhalten oder Ergebnis? | Auditstichprobe, Übung, Trend, Beobachtung oder Kontrolltest | Wirkung muss mit Grenzen und Datenbasis bewertet werden |
| Review | Ist der Nachweis aktuell, geschützt und weiterhin geeignet? | dokumentierter Review mit Entscheidung | ersetzt keine erneute Maßnahme bei geändertem Bedarf |
Keine Stufe wird aus einer vorherigen Stufe automatisch abgeleitet.
¶ 4. Nachweisarten und Mindestinhalte
| Nachweisart | Mindestinhalt |
|---|---|
| Schulungsbedarf | Anforderung oder Risiko, Zielgruppe, Lernziel, Owner, Priorität und Frist |
| Schulungsplan | Schulungs-ID, Thema, Zielgruppe, Termin, Methode, Verantwortliche und Wirksamkeitskriterium |
| Inhaltsnachweis | Titel, Lernziele, freigegebene Version, Stand, Autor oder Fachverantwortung und verwendete Materialien |
| Durchführungsnachweis | tatsächlicher Termin, Format, Dauer, schulende Rolle, Abweichungen und verwendete Inhaltsversion |
| Teilnahmenachweis | eindeutige Personenzuordnung in geschützter Ablage, Teilnahmeumfang, Datum und Ergebnisstatus |
| Kenntnisnahme | identifizierte Regelung, Version, Zeitpunkt und bestätigende Person; keine automatische Verständnisaussage |
| Lernerfolgsnachweis | Methode, Fragen- oder Aufgabenstand, Bewertungskriterium, Ergebnis und Wiederholungsregel |
| Kompetenznachweis | Rolle, praktische Aufgabe, Beobachtungskriterien, prüfende Rolle, Ergebnis, Grenzen und Gültigkeit |
| Awareness-Nachweis | Kampagne, Zielgruppe, Inhalt, Kanal, Zeitraum, Reichweite und geplante Wirkung |
| Wirksamkeitsnachweis | Kriterium, Ausgangslage, Methode, Datenbasis, Zeitraum, Ergebnis, Einschränkung und Entscheidung |
| Ausnahmenachweis | Grund, Risiko, Genehmigung, Ersatzmaßnahme, Befristung und Reviewtermin |
| Reviewnachweis | geprüfte Referenz, Scope, Aktualität, Ergebnis, Abweichung und nächste Prüfung |
¶ 5. Registerschema
Die Übersicht im Wiki enthält keine Personennamen oder individuellen Testergebnisse. Sie führt mindestens:
| Feld | Beschreibung |
|---|---|
| Nachweis-ID | dauerhaft eindeutige Referenz, zum Beispiel SCH-NW-JJJJ-NNN |
| Maßnahme/Schulungs-ID | Verbindung zum freigegebenen Schulungs- oder Awarenessplan |
| Thema und Zielgruppe | fachlicher Gegenstand und abgegrenzter Personenkreis |
| Anforderungsbezug | ISO-, ISA-, Risiko-, Rollen-, Kunden-, Rechts- oder Vertragsbezug |
| Scope | Gesellschaft, Standort, Bereich, Rolle, System und Zeitraum |
| Nachweisstufe | Bedarf, Durchführung, Teilnahme, Lernerfolg, Kompetenz, Wirksamkeit oder Review |
| Owner und Prüfer | verantwortliche und fachlich prüfende Rolle |
| Status | benötigt, geplant, durchgeführt, referenziert, geprüft, wirksam bestätigt oder abgelaufen |
| Schutzklasse | intern, vertraulich oder streng vertraulich |
| Originalablage | kontrollierter Link oder eindeutiger Pfad ohne Zugangsdaten |
| Version und Datum | Stand des Inhalts, der Durchführung und der Prüfung |
| Ergebnisgrenze | präzise Aussage, die der Nachweis tatsächlich trägt |
| Abweichung/Maßnahme | verknüpfte Lücke, Owner, Termin und Wirksamkeitsprüfung |
| Aufbewahrung | Frist, Grundlage und Lösch- oder Archiventscheidung |
Konkrete Nachweisreferenzen werden im Nachweisregister geführt.
¶ 6. Statusmodell
| Status | Zulässige Aussage | Nicht automatisch bestätigt |
|---|---|---|
| Benötigt | Nachweisbedarf wurde identifiziert | Planung oder Durchführung |
| Geplant | Maßnahme, Zielgruppe und Termin wurden vorgesehen | Durchführung oder Teilnahme |
| Durchgeführt | Maßnahme fand in der dokumentierten Form statt | vollständige individuelle Teilnahme |
| Referenziert | kontrollierter Verweis auf ein Original ist vorhanden | Lesbarkeit, Richtigkeit oder Eignung |
| Geprüft | Original, Scope, Aktualität und Aussage wurden fachlich geprüft | dauerhafte Wirksamkeit |
| Wirksam bestätigt | festgelegtes Wirksamkeitskriterium wurde für den dokumentierten Scope erreicht | zukünftige Wirkung außerhalb des Prüfzeitraums |
| Überfällig | Frist oder Wiederholung wurde nicht eingehalten | automatische Unwirksamkeit aller früheren Maßnahmen |
| Abgelaufen/ersetzt | Nachweis ist für den aktuellen Stand nicht mehr führend | Entfall von Aufbewahrungspflichten |
Statusänderungen benötigen Datum, verantwortliche Rolle und nachvollziehbare Begründung. Die technische Ablage eines Zertifikats setzt den Status nicht automatisch auf Geprüft oder Wirksam bestätigt.
¶ 7. Musterübersicht ohne positive Nachweisbehauptung
| Nachweis-ID | Nachweisbedarf | Zielgruppe | erwartete Nachweisstufe | Owner | Status | Originalablage |
|---|---|---|---|---|---|---|
| SCH-NW-2026-001 | Grundunterweisung Informationssicherheit | alle Personen im Scope | Teilnahme und Lernerfolg | Personal / ISMS | Benötigt | Nicht referenziert |
| SCH-NW-2026-002 | Phishing und Meldeweg | Beschäftigte mit E-Mail-Zugang | Lernerfolg und Wirksamkeit | ISMS / IT | Benötigt | Nicht referenziert |
| SCH-NW-2026-003 | privilegierte Administration | privilegierte Rollen | Kompetenz | IT / System Owner | Benötigt | Nicht referenziert |
| SCH-NW-2026-004 | Incident-Response-Übung | Incident-Team | Kompetenz und Wirksamkeit | Incident Manager | Benötigt | Nicht referenziert |
| SCH-NW-2026-005 | Führungskräftebriefing | Geschäftsführung und Führungskräfte | Lernerfolg und Entscheidungsfähigkeit | ISMS / Geschäftsführung | Benötigt | Nicht referenziert |
| SCH-NW-2026-006 | TISAX-/Kundenunterweisung | betroffene Rollen und Standorte | Teilnahme und Kompetenz | TISAX-Koordination | Benötigt | Nicht referenziert |
Die Mustereinträge sind offene Bedarfe. Sie stellen keine reale Verpflichtung, Durchführung oder Erfüllung dar.
¶ 8. Planung und Bedarfsabgleich
Vor jeder Maßnahme werden mindestens geprüft:
- Rolle, Aufgabe und erforderliche Kompetenz,
- Risiken, Bedrohungen und bekannte Fehlhandlungen,
- ISO-, ISA-, NIS2-, Datenschutz-, Rechts-, Kunden- und Vertragsanforderungen,
- Eintritt, Rollenwechsel, System- oder Prozessänderung,
- Vorfälle, Übungen, Auditfeststellungen und Maßnahmen,
- Sprache, Zugänglichkeit und angemessene Lernform,
- erforderliche Nachweis- und Wirksamkeitsstufe,
- Schutz, Aufbewahrung und zulässige Auswertung der entstehenden Daten.
Ein pauschaler Jahreskurs ersetzt keine rollen- oder anlassbezogene Bedarfsprüfung.
¶ 9. Durchführung und Inhaltsversion
Der Durchführungsnachweis verweist auf die tatsächlich verwendete, freigegebene Inhaltsversion. Mindestens nachvollziehbar sind:
- Lernziele und behandelte Themen,
- Zielgruppe und ausgeschlossene Personenkreise,
- Datum, Dauer, Format und schulende Rolle,
- verwendete Präsentation, Lernmodul oder Übungsunterlage,
- technische oder organisatorische Abweichungen,
- Verfahren für Rückfragen und Barrieren,
- Teilnahmeregel und Wiederholungsbedarf,
- vorgesehene Lernerfolgs- und Wirksamkeitsprüfung.
Eine Einladung oder bereitgestellte Datei ist kein Durchführungsnachweis.
¶ 10. E-Learning-Nachweise
Bei Lernplattformen können insbesondere Kurszuweisung, technischer Bearbeitungsstatus, Abschlussprüfung und Zertifikat entstehen. Vor Nutzung als ISMS-Nachweis werden geprüft:
| Prüffeld | Fragestellung |
|---|---|
| Identität | Ist die Zuordnung zum persönlichen Zugang angemessen gesichert? |
| Inhalt | Welche Kurs- und Fragenversion wurde bearbeitet? |
| Vollständigkeit | Welche Module, Bearbeitungszeiten oder Pflichtschritte waren erforderlich? |
| Prüfung | Welche Kriterien, Versuche und Bestehensgrenzen galten? |
| Export | Ist der Bericht vollständig, lesbar, geschützt und reproduzierbar? |
| Datenschutz | Sind Auswertung, Rollen, Aufbewahrung und Löschung festgelegt? |
| Transfer | Welche zusätzliche Praxis- oder Wirksamkeitsprüfung ist erforderlich? |
Das E-Learning-Portal QM-4U kann Kunden bei Wissensvermittlung und Qualifizierung unterstützen. Die Organisation bleibt für Bedarf, Zielgruppe, Nachweisprüfung und Wirksamkeitsbewertung verantwortlich.
¶ 11. Präsenz-, Remote- und Unterweisungsnachweise
Anwesenheitslisten enthalten nur notwendige Daten. Bei Remote-Veranstaltungen wird nicht allein aus einer technischen Einwahl auf vollständige Teilnahme oder Aufmerksamkeit geschlossen.
Mögliche zusätzliche Nachweise sind:
- moderierte Rückfragen und Fallbeispiele,
- dokumentierte Praxisaufgaben,
- Verständnisbestätigung mit Stichprobe,
- arbeitsplatzbezogene Einweisung,
- beobachtete Übung,
- nachgelagerte Führungskräfte- oder Prozessprüfung.
Unterschriften bestätigen nur die klar benannte Erklärung. Sie dürfen nicht pauschal als Beleg für Kompetenz oder dauerhafte Wirksamkeit verwendet werden.
¶ 12. Lernerfolg und Kompetenz
Die Methode richtet sich nach Risiko, Rolle und Lernziel:
| Lernziel | Geeignete Methode | mögliche Grenze |
|---|---|---|
| Wissen wiedergeben | Wissensfragen | Anwendung nicht belegt |
| Situation beurteilen | Fallbeispiel oder Fachgespräch | reale Handlungssituation begrenzt simuliert |
| Vorgang ausführen | praktische Aufgabe oder Arbeitsprobe | gilt für geprüften Vorgang und Rahmen |
| im Ereignis reagieren | Tabletop oder Übung | Szenario deckt nicht alle Ereignisse ab |
| Rolle eigenständig wahrnehmen | beobachtete Tätigkeit und Rollenfreigabe | regelmäßiger Kompetenzreview erforderlich |
Nicht bestandene oder unvollständige Anforderungen werden mit Nachschulung, Wiederholungsprüfung, Begleitung, eingeschränkter Befugnis oder anderer angemessener Maßnahme behandelt. Ein Ergebnis wird nicht beschönigt oder rückwirkend ohne neue Prüfung geändert.
¶ 13. Wirksamkeitsbewertung
Wirksamkeit wird mit vorab definierten Kriterien und angemessener zeitlicher Distanz geprüft. Mögliche Methoden sind:
- Audit- oder Prozessstichprobe,
- beobachtetes Verhalten im Arbeitsablauf,
- praktische Übung oder Simulation,
- Qualität und Geschwindigkeit realer Meldungen,
- Analyse geeigneter Fehler-, Vorfall- oder Kontrolltrends,
- Führungskräfte- oder Control-Owner-Review,
- erneuter Test oder Fallvergleich,
- Überprüfung einer aus der Schulung abgeleiteten Maßnahme.
Ein Anstieg gemeldeter Verdachtsfälle kann eine verbesserte Meldekultur anzeigen und wird nicht isoliert negativ bewertet. Abschlussquote und Testquote werden nicht mit Sicherheitswirkung gleichgesetzt.
¶ 14. Awareness-Kampagnen
Für Awareness-Maßnahmen werden mindestens dokumentiert:
- Anlass, Ziel und erwartete Verhaltensänderung,
- Zielgruppe, Scope und Kommunikationskanal,
- Inhalt, Version und Zeitraum,
- Reichweite und technische Zustellung,
- Rückfragen, Rückmeldungen und erkennbare Barrieren,
- geplante Wirksamkeitsmessung,
- Review, Erkenntnisse und Folgemaßnahmen.
Eine hohe Reichweite belegt nur, dass eine Maßnahme bereitgestellt oder zugestellt wurde. Sie belegt weder Verständnis noch Verhaltensänderung.
¶ 15. Phishing- und Social-Engineering-Simulationen
Simulationen benötigen vorab eine dokumentierte Freigabe mit Zweck, Scope, Datenschutz- und Risikoprüfung, Beteiligungsrechten, Auswertungsregeln, Unterstützungsangebot, Abbruchkriterien und Löschfristen.
Ergebnisse werden nicht zur Bloßstellung verwendet. Individuelle Daten sind auf das erforderliche Maß zu begrenzen. Für die Wirksamkeitsbewertung werden insbesondere Meldeverhalten, sichere Reaktion und Lerntransfer betrachtet; eine einzelne Klickquote ist kein vollständiges Wirksamkeitsurteil.
¶ 16. Abweichungen und Nachverfolgung
Handlungsbedarf entsteht beispielsweise bei:
- fehlender oder überfälliger Teilnahme,
- nicht erreichtem Lernerfolg,
- fehlender praktischer Kompetenz,
- veraltetem oder widersprüchlichem Inhalt,
- nicht auffindbarem oder unzureichend geschütztem Original,
- abweichender Zielgruppe oder unvollständigem Scope,
- unwirksamer Maßnahme oder wiederholtem Fehlverhalten,
- fehlender Wiederholung nach Rollen- oder Anforderungsänderung.
Abweichungen werden mit Ursache, Risiko, Owner, Termin, Ersatz- oder Korrekturmaßnahme und Wirksamkeitsprüfung im Maßnahmen- und Umsetzungsregister nachverfolgt.
¶ 17. Datenschutz und Zugriffsschutz
Vor Erhebung und Auswertung personenbezogener Nachweise werden Zweck, Erforderlichkeit, Rechtsgrundlage, Transparenz, Empfänger, Zugriff, Aufbewahrung, Löschung und Beteiligungsrechte geprüft.
| Datenebene | Ablagegrundsatz |
|---|---|
| öffentliche Musterseite | ausschließlich erfundene oder leere Beispielwerte |
| Wiki-Nachweisübersicht | Bedarf, aggregierter Status und kontrollierte Referenz ohne Personendetails |
| geschützte Schulungsakte | personenbezogene Teilnahme-, Test- und Zertifikatsdaten |
| Personalakte | nur personalaktenrelevante Nachweise nach festgelegtem Zweck und Zugriff |
| Lernplattform | technische Lern- und Prüfungsdaten gemäß vereinbarter Rollen und Fristen |
| Auditbereitstellung | erforderliche, freigegebene und möglichst minimierte Stichprobe |
Zugriff erhalten nur befugte Rollen nach Need-to-know. Prüfdienstleister oder Auditoren erhalten keine pauschale Vollansicht aller Personaldaten.
¶ 18. Aufbewahrung und Löschung
Fristen werden nach Zweck, Risiko, Nachweisanforderung, Vertrag, Rechtslage und Beteiligungsrechten festgelegt. Dabei wird zwischen Schulungsinhalt, Durchführungsnachweis, individuellem Ergebnis, Kompetenzfreigabe, Wirksamkeitsbewertung und historischer Auditspur unterschieden.
Nach Fristablauf werden Originale gelöscht, anonymisiert oder kontrolliert archiviert. Der Ablauf eines Nachweises darf nicht allein dadurch verdeckt werden, dass der Link im Wiki bestehen bleibt.
¶ 19. Rollen und Verantwortlichkeiten
| Rolle | Aufgabe |
|---|---|
| Geschäftsführung | Programm, Ressourcen und wesentliche Wirksamkeitsentscheidungen freigeben |
| Personalwesen | geschützte personenbezogene Nachweise, Fristen und Beschäftigungsbezug koordinieren |
| ISMS-Beauftragte/r | Anforderungsbezug, Awarenessprogramm, Nachweisstruktur und Kennzahlen steuern |
| Führungskraft | Zielgruppe, Bedarf, Teilnahme, Kompetenz und Folgemaßnahmen im Bereich verantworten |
| Schulungsverantwortliche | Inhalt, Version, Durchführung und Lernerfolgsverfahren dokumentieren |
| Rollen-/Control Owner | fachliche Kompetenz- und Wirksamkeitskriterien festlegen und prüfen |
| Datenschutz | Zulässigkeit, Datenminimierung, Transparenz, Zugriff und Löschung prüfen |
| TISAX-/NIS2-Koordination | zugeordnete Anforderungen und Assessment- beziehungsweise Prüfbedarf abgleichen |
| Audit/QM | Nachweise, Statusaussagen, Stichproben und Wirksamkeitsbehauptungen unabhängig prüfen |
| Wiki.js-Administration | technische Verfügbarkeit und Berechtigungen betreiben; keine automatische Leseberechtigung für Originale |
¶ 20. Kennzahlen mit Aussagegrenzen
| Kennzahl | Berechnung | Aussagegrenze |
|---|---|---|
| fristgerechte Teilnahme | fristgerechte Teilnahmen / verpflichtete Teilnahmen | misst keine Kompetenz oder Wirksamkeit |
| abgeschlossene Lernmodule | abgeschlossene / zugewiesene Module | technische Abschlussquote |
| bestandene Lernerfolgsprüfungen | bestandene / abgelegte Prüfungen | nur für dokumentierten Prüfrahmen |
| offene Kompetenzlücken | offene Lücken nach Rolle und Priorität | Qualität hängt von vollständiger Bedarfserhebung ab |
| geprüfte Nachweise | fachlich geprüfte / referenzierte Nachweise | misst Prüfstatus, nicht automatisch Wirkung |
| wirksam bestätigte Maßnahmen | positiv bewertete / fällige Wirksamkeitsprüfungen | Scope, Methode und Zeitraum mitberichten |
| überfällige Wiederholungen | überfällige / fällige Wiederholungen | keine isolierte Gesamtaussage über Sicherheitsniveau |
Personenrankings oder disziplinarische Schlussfolgerungen werden nicht aus aggregierten Awareness-Kennzahlen abgeleitet.
¶ 21. Audit- und Assessmentprüfung
Vor Bereitstellung an interne Auditoren, Zertifizierungsstellen oder TISAX-Prüfdienstleister wird geprüft:
- Welche konkrete Anforderung und welcher Scope sollen belegt werden?
- Welche Nachweisstufe ist erforderlich?
- Ist das Original auffindbar, lesbar, aktuell und gegen Änderung geschützt?
- Stimmen Inhaltsversion, Durchführung, Zielgruppe und Ergebnis zusammen?
- Sind personenbezogene Daten erforderlich oder genügt eine minimierte Stichprobe?
- Ist die Aussagegrenze dokumentiert?
- Sind Abweichungen und offene Maßnahmen sichtbar?
- Darf der Nachweis auf dem vorgesehenen Weg bereitgestellt werden?
Ein technisch exportierter Bericht gilt erst nach fachlicher Prüfung als geeigneter Auditnachweis.
¶ 22. Aktueller Entwurfsstatus
| Prüffrage | Status |
|---|---|
| Ist das organisationsbezogene Schulungsprogramm freigegeben? | Nein |
| Sind alle Rollen und Zielgruppen vollständig bestimmt? | Nein |
| Sind reale Schulungs- und Awarenessnachweise referenziert? | Nein |
| Wurden personenbezogene Ablage und Zugriffsrollen bestätigt? | Nein |
| Sind Lernerfolgs- und Wirksamkeitskriterien freigegeben? | Nein |
| Wurde die Nachweisstruktur intern auditiert? | Nein |
Der Musterbestand erlaubt daher keine positive Aussage über Teilnahme, Kompetenz, Wirksamkeit oder Auditbereitschaft.
¶ 23. Mitgeltende Seiten
| Thema | Führende Seite |
|---|---|
| Personal-, Kompetenz- und Schulungsverfahren | Personal und Schulungen |
| E-Learning-Angebot | E-Learning-Portal QM-4U |
| führendes Nachweisregister | Nachweisregister |
| Orientierung nach Nachweisgruppen | Nachweis-Explorer |
| Rollen und Verantwortung | Rollen und Verantwortlichkeiten |
| Maßnahmensteuerung | Maßnahmen- und Umsetzungsregister |
| Wirksamkeitsprüfung | Interne Audits |
| Kennzahlen | Kennzahlen und Zielerreichung |
| Datenschutz und Verarbeitung | DSGVO-Startseite |
¶ 24. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei ISO 27001, TISAX, Awareness, Schulungsplanung und auditfähiger Nachweisführung
- ISO-27001-Beratung, Awareness und Auditvorbereitung
- QM-4U – E-Learning für Kunden und Mitarbeitende
- Erstgespräch unter info@smct-management.de vereinbaren
¶ 25. Offene Punkte vor Freigabe
- reale Organisation, Scope, Rollen und Zielgruppen einsetzen,
- Schulungs- und Kompetenzregister bestimmen,
- Nachweis-IDs und kontrollierte Originalablage festlegen,
- Datenschutz-, Zugriffs-, Aufbewahrungs- und Löschregeln freigeben,
- verbindliche Lern- und Wirksamkeitskriterien je Maßnahme bestimmen,
- E-Learning-, Präsenz-, Remote- und Übungsnachweise technisch testen,
- Umgang mit Abweichungen und überfälligen Maßnahmen operationalisieren,
- Auditstichprobe durchführen und Ergebnisse nachverfolgen,
- Kennzahlen mit Datenbasis und Aussagegrenzen freigeben,
- fachliche Prüfung und Geschäftsführungsfreigabe dokumentieren.
¶ 26. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 08.08.2026 | Erste Fassung zur getrennten Steuerung von Schulungsbedarf, Durchführung, Teilnahme, Lernerfolg, Kompetenz, Wirksamkeit und geschützten Nachweisen | Personalwesen / ISMS-Beauftragte/r | Ausstehend | – |
¶ 27. Quellen und fachliche Grundlagen
- ISO – ISO/IEC 27001 Information security management systems
- SMCT MANAGEMENT – ISO-27001-Beratung und Awareness
- QM-4U – E-Learning-Plattform
Vor der betrieblichen Nutzung sind die tatsächlich anwendbaren Norm-, ISA-, Rechts-, Vertrags-, Kunden- und Beteiligungsanforderungen zu bestätigen. Lizenzierte Norm- und ISA-Texte bleiben die führenden Quellen und werden nicht in dieser Wiki-Seite reproduziert.