Zwei Klauseln verpflichten zur Schulung, und keine beschreibt deren Aufzeichnung: die vier Felder, die die Texte für das Wer, das Material, das Wann und das Wie oft implizieren, und der ehrliche Name für das, was ein Abschlusshäkchen beweist.
Zwei Klauseln verpflichten zur Schulung, und keine beschreibt deren Aufzeichnung: die vier Felder, die die Texte für das Wer, das Material, das Wann und das Wie oft implizieren, und der ehrliche Name für das, was ein Abschlusshäkchen beweist.
Die Schulungsklausel mit den meisten Vorgaben, die ich im EU-Recht kenne, sagt nichts über eine Aufzeichnung. Art. 13(6) der Verordnung (EU) 2022/2554, DORA, macht Sensibilisierungsprogramme und Resilienzschulungen zu einem Teil der Mitarbeiterschulung, der „obligatorisch“ ist, lässt sie „für alle Beschäftigten und die Geschäftsleitung“ gelten, bemisst ihre Komplexität an „deren jeweiligem Aufgabenbereich“ und hört dann auf, ohne ein Wort darüber, was festgehalten wird. Wer das Programm betreibt, dem gehört diese Lücke: Jede Frage, die ein Prüfer an ein Schulungsprogramm stellt, ist eine Frage nach der Aufzeichnung. Wer im Geltungsbereich war, welches Material jede Person bekommen hat, wann sie es abgeschlossen hat und wie oft es wiederkehrt. Art. 39(1)(b) DSGVO lässt auf der Datenschutzseite dieselbe Lücke. Als Anforderungen an die Aufzeichnung gelesen, legen die beiden Klauseln vier Felder fest und lassen Raum für einen ehrlichen Namen für das Abschlusshäkchen.
Art. 13 trägt die Überschrift „Lernprozesse und Weiterentwicklung“, und Absatz 6 lautet vollständig:
„Finanzunternehmen entwickeln Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz, die im Rahmen ihrer Programme für die Mitarbeiterschulung obligatorisch sind. Diese Programme und Schulungen gelten für alle Beschäftigten und die Geschäftsleitung und sind so komplex, dass sie deren jeweiligem Aufgabenbereich angemessen sind. Gegebenenfalls nehmen die Finanzunternehmen entsprechend Artikel 30 Absatz 2 Buchstabe i auch IKT-Drittdienstleister in ihre einschlägigen Schulungsprogramme auf.“— Verordnung (EU) 2022/2554, Art. 13(6)
Wer. „Alle Beschäftigten und die Geschäftsleitung“ ist universell, und „deren jeweiligem Aufgabenbereich angemessen“ macht die Tiefe des Inhalts davon abhängig, was eine Person tut. Nichts im Text verlangt eine Namensliste.
Wie oft. Das „im Rahmen ihrer Programme für die Mitarbeiterschulung obligatorisch“ impliziert Wiederholung, nennt aber kein Intervall, während der benachbarte Art. 13(5) leitende IKT-Mitarbeiter „mindestens einmal jährlich“ an das Leitungsorgan berichten lässt. Die einzige Kadenz, die DORA an Schulung knüpft, steht in Art. 5(4), und der bindet eine andere Gruppe: Die Mitglieder des Leitungsorgans „halten ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand — unter anderem indem sie regelmäßig spezielle Schulungen absolvieren — entsprechend den zu managenden IKT-Risiken, um die IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Finanzunternehmens verstehen und bewerten können“.
Welches Material. Der Absatz nennt ein Thema, Sensibilisierung für IKT-Sicherheit und digitale operationale Resilienz, und kein Material, kein Modul und kein Dokument.
Wann. „Aufzeichnung“, „Protokoll“ und „Nachweis“ kommen weder in Art. 13(6) noch in Art. 5(4) noch im Schulungspunkt des vereinfachten Rahmens vor.
Der Absatz bindet weniger Einrichtungen, als DORA erfasst. Art. 2(2) bezeichnet die Buchstaben a bis t der Geltungsbereichsliste zusammen als „Finanzunternehmen“ und lässt die IKT-Drittdienstleister aus Buchstabe u ausserhalb dieses Begriffs, sodass das „Finanzunternehmen entwickeln“ in Art. 13(6) sie nur über dessen dritten Satz erreicht. Art. 16(1) nimmt dann kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute, bestimmte nach der Richtlinie 2013/36/EU ausgenommene Institute und kleine Einrichtungen der betrieblichen Altersversorgung von den Artikeln 5 bis 15 aus. Ihnen gibt er in Art. 16(1)(h) eine weichere Pflicht: „entsprechend dem Bedarf und dem IKT-Risikoprofil Programme zur Sensibilisierung für IKT-Sicherheit sowie Schulungen zur digitalen operationalen Resilienz für Personal und Management entwickeln“. „Obligatorisch“, „alle Beschäftigten“ und „Aufgabenbereich angemessen“ fehlen darin alle. Die DORA-Pflicht zum Security-Awareness-Training in Art. 13(6) bindet also Finanzunternehmen ausserhalb des vereinfachten Rahmens, und die Einrichtungen nach Art. 16 tragen eine bedarfsabhängige Fassung derselben Pflicht.
Die Schulungsklausel der DSGVO sitzt in der Aufgabenliste des Datenschutzbeauftragten (DSB), sie gilt also überall dort, wo es einen gibt, ob Art. 37(1) ihn verlangt hat oder der Verantwortliche oder Auftragsverarbeiter ihn nach Art. 37(4) benannt hat. Art. 39(1) beginnt mit „Dem Datenschutzbeauftragten obliegen zumindest folgende Aufgaben“, und Buchstabe b lautet:
„b) Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;“— Verordnung (EU) 2016/679, Art. 39(1)(b)
Die Grammatik trägt zwei Lesarten, und der Text entscheidet keine davon. Das tragende Glied ist „Überwachung der Einhaltung“, im englischen Text das Verb „to monitor compliance with“, und die Aufzählung nach „einschließlich“ hängt daran. In der ersten Lesart überwacht der DSB, dass Zuständigkeiten zugewiesen werden, dass Sensibilisierung und Schulung stattfinden, und die Überprüfungen von beidem; in der zweiten sind „Sensibilisierung und Schulung“ etwas, das der DSB selbst leistet. Zwei Anhaltspunkte sprechen eher für die erste. Ein DSB nimmt die „Zuweisung von Zuständigkeiten“, das Nachbarglied in der Aufzählung, nicht selbst vor, die Aufzählung liest sich also am natürlichsten als Gegenstände der Überwachung. Und Art. 47(2)(h), der nur Gruppen bindet, die Daten unter genehmigten verbindlichen internen Datenschutzvorschriften übermitteln, verbindet den DSB erneut mit der „Überwachung der Schulungsmaßnahmen“. Die Pflicht gegenüber den Beschäftigten, die die Form einer Leistung hat, sitzt in Art. 39(1)(a): „Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten“. Unter jeder der beiden Lesarten ist die Folge für die Aufzeichnung dieselbe: Es muss etwas existieren, das der DSB überwachen und das die „diesbezüglichen Überprüfungen“ überprüfen können, und keiner der beiden Buchstaben sagt, was es enthält.
Die Zielgruppe ist wieder ein Prädikat: die „Beschäftigten, die Verarbeitungen durchführen“ in Buchstabe a, die „an den Verarbeitungsvorgängen beteiligten Mitarbeiter“ in Buchstabe b und, für dieselben Gruppen mit verbindlichen internen Datenschutzvorschriften, das „Personal mit ständigem oder regelmäßigem Zugang zu personenbezogenen Daten“ aus Art. 47(2)(n). Keines davon ist eine Namensliste.
Wo die Nachweislast sitzt, ist eine eigene Klausel. Art. 5(2) sagt: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘)“, und Absatz 1 sind die sechs Verarbeitungsgrundsätze, sodass Schulung ihn nur als eine der Massnahmen erreicht, die Art. 5(1)(f) für die Sicherheit nennt, „geeignete technische und organisatorische Maßnahmen“. Art. 24(1) erfasst solche Massnahmen direkt: Der Verantwortliche „setzt … geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.“ Wenn die Schulung der Beschäftigten eine dieser Massnahmen ist, macht „den Nachweis dafür erbringen zu können“ aus „wir haben sie geschult“ eine Behauptung, hinter der etwas stehen muss, statt einer blossen Aussage.
Legt man die beiden Texte zusammen, braucht eine Schulungsaufzeichnung vier Dinge. Beide Verordnungen definieren die Zielgruppe darüber, was eine Person tut; keine nennt ein Material; keine legt für die Beschäftigten eine Kadenz fest. Jedes Schweigen ist ein Feld, das die Aufzeichnung füllen muss, und die Form jedes Feldes folgt aus dem Text: ein Prädikat für das Wer, ein beim Abschluss festgehaltener Verweis für das Was und der Zyklus, den ein Abschluss erfüllt, für das Wann. Ein Abschluss ist ein datierter Eintrag mit einem Zyklus, die Aktualitätsuhr aus dem Beitrag zu Aufbewahrung und Aktualität, angewandt auf Personen statt auf Dokumente.
| Feld | Klausel, die es impliziert | Form, die es annehmen muss | Was ohne es bricht |
|---|---|---|---|
| Wer | DORA Art. 13(6), „deren jeweiligem Aufgabenbereich angemessen“; DSGVO Art. 39(1)(b), „an den Verarbeitungsvorgängen beteiligten Mitarbeiter“ | Ein Rollen- oder Tätigkeitsprädikat, das beim Lesen der Aufzeichnung aufgelöst wird, sodass ein Rollenwechsel eine Person von selbst aufnimmt oder entlässt | Die Liste veraltet beim ersten Rollenwechsel: Personen im Geltungsbereich ohne Eintrag, Einträge für Personen ausserhalb |
| Welches Material | DORA Art. 13(6) nennt ein Thema, kein Material; DSGVO Art. 39(1)(b) nennt „Schulung“ und „der diesbezüglichen Überprüfungen“ | Ein Verweis auf das exakt gezeigte Element, beim Abschluss festgehalten | Ein Austausch des Materials schreibt jeden vergangenen Abschluss um |
| Wann | DSGVO Art. 24(1), „den Nachweis dafür erbringen zu können“; DORA Art. 13(6) schweigt | Ein Zeitstempel pro Person und Zyklus, ein Abschluss erfüllt einen Zyklus | Ein einzelnes Kennzeichen mit Datum liest sich für immer als abgeschlossen; der nächste Zyklus erbt das Häkchen des letzten |
| Wie oft | DORA Art. 5(4), „regelmäßig“, nur Leitungsorgan; Art. 13(6), kein Intervall; DSGVO Art. 24(1), „erforderlichenfalls überprüft und aktualisiert“ | Ein Zeitplan, den die Organisation festlegt, plus eine Erinnerung, die pro Zyklus ausgelöst wird und sich für denselben nie wiederholt | Entweder verstreicht der Zyklus, ohne dass jemand nachfasst, oder Personen werden für einen Zyklus gemahnt, den sie schon abgeschlossen haben, und hören auf zu lesen |
In der vierten Zeile überlassen beide Verordnungen der Organisation am meisten: DORA legt „regelmäßig“ nur für das Leitungsorgan fest, und das „erforderlichenfalls“ der DSGVO legt nichts fest, das Intervall ist also die eigene Entscheidung der Organisation, und eine Aufzeichnung ohne Zyklus kann nicht zeigen, dass die Entscheidung eingehalten wurde. Das macht „wie oft“ zu einem Feld der Aufzeichnung.
Hier ist meine Position. Ein Abschlusshäkchen hält fest, dass eine Person an einem Datum für einen Zyklus zu einem Material eine Erklärung abgegeben hat. Setzen Sie eine Sperre davor, einen Reader, der auf die letzte Seite wartet, oder einen Player, der auf das Ende des Videos wartet, und es hält immer noch genau das fest. Die Sperre erhöht den Preis eines leeren Häkchens; sie macht aus dem Häkchen keinen Beweis, dass irgendjemand etwas gelernt hat. Ob jemand gelernt hat, ist eine andere Tatsache, die aus einer anderen Handlung hervorgeht: ein Test mit Punktzahl, eine beobachtete Aufgabe, ein Zertifikat einer externen Stelle. Die erzeugen einen zweiten Eintrag, den man mitbringt, wenn die Frage Kompetenz lautet und nicht Teilnahme. Der ehrliche Name für den ersten Eintrag ist Eigenerklärung, und ein Register, das ihn „Schulung abgeschlossen“ nennt, behauptet mehr, als der Eintrag hergibt.
devguard speichert die vier Felder so, und der Abschnitt danach ist, was das kostet. Ein Training ist ein Verweis auf Material, das Sie bereits haben: ein YouTube- oder Vimeo-Video, ein Link auf einen externen Kurs oder ein PDF, das Sie hochladen. Jedes Training trägt höchstens eine Zuweisung, deren Zielgruppe aus benannten Personen plus Geschäftsrollen besteht und bei jedem Lesen live aufgelöst wird. Wer einer angesprochenen Rolle hinzugefügt wird, ist damit aufgenommen; eine Rolle zu archivieren oder eine Person zu deaktivieren entfernt sie aus der Zielgruppe und aus den Erinnerungen. Eine Option „alle“ gibt es nicht. Jede Zuweisung hat eine erste Fälligkeit und, wenn sie sich wiederholt, einen Zeitplan, den die Organisation definiert. Die Fälligkeit jedes Zyklus und der Status jeder Person dafür, Ausstehend, Abgeschlossen oder Überfällig, werden bei jedem Lesen aus dem Zeitplan und den Abschlüssen ermittelt, sodass die Person wieder Ausstehend ist, sobald der Zeitplan in den nächsten Zyklus übergeht.
Erinnerungen folgen dem Zyklus: eine vor der Fälligkeit mit einem Vorlauf, der mit dem Zyklus wächst (eine Woche vor einem einmaligen, bis zu einem Monat vor einem jährlichen Training), eine am Tag davor oder am Tag selbst und eine, sobald es überfällig ist. Keine wird für denselben Zyklus und dieselbe Stufe zweimal versendet. Ein Abschluss schreibt einen Eintrag pro Person und Zyklus: wer bestätigt hat, welche Zuweisung, welchen Zyklus er erfüllt, wann, und eine Momentaufnahme des Links, der dieser Person gezeigt wurde. Die Bestätigung bleibt gesperrt, bis der PDF-Reader die letzte Seite erreicht hat, der Videoplayer das Ende gemeldet hat (oder, wenn der Player nie antwortet, dass die Wiedergabe begonnen hat) oder der externe Link geöffnet wurde. Die Seite der Mitarbeitenden daran gehört in einen eigenen Beitrag.
Es gibt keinen Export, keinen Bericht und keine API für Abschlusseinträge. Ein Prüfer sieht sie am Bildschirm, in der Personenliste der Zuweisungskarte und auf der Seite „Fristen“ als „x of y completed“, oder er sieht sie gar nicht; der CSV-Export umfasst nur die Trainingszeilen. Bei einem PDF-Training hält der Eintrag keinen Verweis auf die Datei: Die Momentaufnahme gilt einem Link, den ein PDF-Training nicht hat, und das Ersetzen des PDFs löscht die alte Datei, sodass ein vergangener Abschluss „das PDF“ sagt und nicht sagen kann, welches. Die Verweis-Zeile in der Tabelle oben gilt nur für Video- und Link-Trainings. Die Sperre hält nur die Bestätigung zurück; nichts über das Lesen, die Wiedergabe oder den Klick wird mit dem Abschluss gespeichert, der Eintrag bescheinigt also nicht, dass das Video angesehen oder das Dokument gelesen wurde. „Wann“ und „welcher Zyklus“ sind festgehaltene Tatsachen, während „gelesen“ und „angesehen“ auf dem Wort der Person beruhen. Es gibt keine Quizze, keine Punktzahlen, keine Bestehensgrenzen, keine Zertifikate und kein SCORM. Ein Training als abgeschlossen zu markieren erzeugt keinen Nachweis und ändert keine Control-Abdeckung; Nachweise, falls es welche gibt, hängt ein Admin im Tab „Nachweise“ des Trainings an. Jedes Fehlen folgt aus denselben zwei Entscheidungen: Ein Training ist ein Verweis, und ein Abschluss ist eine Eigenerklärung.
Was auch immer heute Ihre Schulungsaufzeichnungen hält: Die Prüfung besteht aus vier Feldern und einem Namen. Ist die Zielgruppe ein Prädikat, das Rollenwechseln folgt, oder eine Liste, an deren Pflege jemand denken muss? Verweist jeder Abschluss auf das exakt gezeigte Material? Trägt er den Zyklus, den er erfüllt? Gibt es eine Erinnerung, die einmal pro Zyklus ausgelöst wird? Und ist der Eintrag als das beschriftet, was er ist, eine Eigenerklärung, mit Kompetenz, die anderswo nachgewiesen wird? DORA und die DSGVO verlangen die Schulung; die Aufzeichnung gehört der Organisation, und diese fünf Fragen sind das, was sie beantworten muss.
Die Plattformübersicht unter devguard.ch/platform zeigt, wie Trainings, Zuweisungen und Abschlüsse neben dem Rest des Registers stehen.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird — ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird — ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.