NIS2 Mitarbeiterschulung: Pflicht seit Oktober 2026

Seit 1. Oktober 2026 ist es so weit.

In Österreich gilt das NISG 2026, das Netz- und Informationssystemsicherheitsgesetz zur Umsetzung der EU-Richtlinie NIS2. Betroffene Einrichtungen müssen für Schulungen sorgen. Ausdrücklich auch für ihre Mitarbeitenden. Diese Schulung ist genau dafür gemacht: für alle im Betrieb, die mit E-Mail, Telefon und Computer arbeiten.

Denn Angriffe kommen selten durch die Firewall. Sie kommen über das Telefon, wenn die vertraute Stimme der Chefin um eine dringende Überweisung bittet. Über die Rechnung, auf der plötzlich eine neue Kontonummer steht. Über den QR-Code am Parkautomaten. Ein einziger Moment unter Druck reicht. 2016 kostete ein gefälschter Chef-Auftrag den oberösterreichischen Luftfahrtzulieferer FACC rund 50 Mio. Euro.

Dieses eLearning sorgt dafür, dass Ihre Mitarbeitenden in diesem Moment richtig handeln. Sicher, ruhig und ohne Angst vor dem Melden.

Neun Betriebe, neun Geschichten

Jedes Kapitel führt in einen anderen Betrieb, quer durch Österreich. Die Betriebe sind erfunden, die Angriffsmuster dahinter echt und dokumentiert. Den Anfang macht eine Bäckerei im Mühlviertel, die Krankenhäuser beliefert. An ihr wird klar, was das NISG 2026 verlangt, wer betroffen ist und warum auch Zulieferer ins Visier geraten. In einem Grazer Metallbaubetrieb geht es um Social Engineering, also die gezielte Manipulation von Menschen, um an Daten oder Zugänge zu kommen.

Dann wird es konkret. Ein Baustoffhändler in Innsbruck bekommt jeden Monat Hunderte Rechnungen, und irgendwo dazwischen steckt die gefälschte. Phishing, also Betrug über täuschend echte E-Mails, und Quishing über manipulierte QR-Codes sind dort Alltag. In Dornbirn ruft der Chef an, nur ist es nicht der Chef: KI-gefälschte Stimmen und Videos, sogenannte Deepfakes, machen Betrug so glaubwürdig wie nie zuvor. Ein Pflegeheimträger in Klagenfurt zeigt, warum sichere Passwörter und MFA (Mehrfaktor-Authentifizierung, die Anmeldung mit einem zweiten Nachweis) auch im hektischen Schichtbetrieb funktionieren müssen. Und eine Spedition im Burgenland erlebt, wie Ransomware Daten verschlüsselt und einen Betrieb über Nacht lahmlegt.

Im letzten Teil geht es um sicheres Arbeiten und die richtige Reaktion. Ein Salzburger Medizintechnikhändler mit Außendienst kämpft mit fremden USB-Sticks und offenem WLAN. Ein Wiener Personaldienstleister klärt, wohin Daten gehören und was in einem KI-Tool nichts verloren hat. Ein Wasserverband im Weinviertel zeigt, was zu tun ist, wenn trotz aller Vorsicht etwas passiert: erkennen, melden, richtig handeln. Ein Rückblick mit Abschlussquiz rundet die Schulung ab.

So lernt es sich leicht

Die Inhalte sind in Mini-Lektionen aufgeteilt, kurze Einheiten, die sich gut in den Arbeitstag einbauen lassen. In Übungen und Szenarien entscheiden Ihre Mitarbeitenden selbst, wie sie reagieren, und erleben die Folgen. Durch die ganze Schulung begleitet sie Dr. Sira Sicher, ein KI-Avatar, der als solcher gekennzeichnet ist. Zum Download gibt es ein Schulungshandbuch und Merkkarten als ausfüllbares PDF, mit Platz für die Meldewege Ihres Betriebs.

Nach dieser Schulung können Ihre Mitarbeitenden

• Phishing-Mails, gefälschte Rechnungen und manipulierte QR-Codes auf einen Blick erkennen
• Anrufe und Nachrichten mit Druck, Autorität oder Geheimhaltung als Angriff durchschauen, auch wenn die Stimme vertraut klingt
• ihre Konten mit sicheren Passwörtern und MFA schützen
• Geräte, Daten und Cloud-Dienste im Arbeitsalltag sicher nutzen
• einen Verdacht oder Vorfall rasch an die richtige Stelle melden

Am Ende sitzt eine Routine, die in jeder unklaren Lage trägt: Anhalten, zweiter Weg, melden. Ihre Mitarbeitenden wissen, warum das NISG 2026 auch ihren Arbeitsplatz betrifft. Und dass Melden immer besser ist als Verschweigen. Auch dann, wenn der Fehler bei ihnen selbst lag. Genau diese Haltung macht aus einer Belegschaft eine Schutzschicht.

Diese Schulung ist für Mitarbeitende gemacht. Für alle, die mit E-Mail, Telefon und Computer arbeiten, egal ob im Büro, in der Produktion oder unterwegs. IT-Vorkenntnisse braucht es keine.

• Mitarbeitende in Einrichtungen, die unter das NISG 2026 fallen
• Zulieferer und Dienstleister, die in die Lieferkette solcher Einrichtungen eingebunden sind
• Beschäftigte aus Verwaltung, Produktion, Lager, Pflege und Außendienst
• Unternehmen, die ihre Belegschaft gegen Phishing, Betrug und Erpressung wappnen wollen
• Privatpersonen, die sich und ihre Familie vor Betrug im Netz und am Telefon schützen wollen

Für Geschäftsführung und Leitungsorgane sieht das NISG 2026 eine eigene Schulungspflicht vor. Dafür ist diese Schulung nicht gedacht.

Persönliche Voraussetzungen

• Gute Deutschkenntnisse
• Grundkenntnisse im Umgang mit Computer, E-Mail und Browser
• PC, Laptop, Tablet oder Smartphone mit aktuellem Browser
• Lautsprecher oder Kopfhörer für die Videos

Zum Abschluss zeigen Sie in einem Quiz mit 24 Fragen, was Sie gelernt haben. Bestanden haben Sie ab 70 % der möglichen Punkte.

• Den Lernfortschritt kann Ihr Betrieb als Schulungsnachweis dokumentieren.
• Schulungshandbuch und Merkkarten stehen zum Download bereit. Die Merkkarten sind ausfüllbare PDFs: das Wichtigste jedes Kapitels auf einer Seite, mit Feldern für die Meldewege Ihres Betriebs.

Diese Schulung ist für Mitarbeitende.

Das NISG 2026 sieht für die Leitungsorgane eine eigene Schulungspflicht vor. Diese Schulung richtet sich an Anwender:innen und ersetzt die Schulung der Leitungsorgane nicht.