Was muss Ihr Unternehmen 2026 schulen?
Diese Seite zeigt für jedes Pflicht-Thema, welche Mitarbeitenden geschult werden müssen, in welcher Frequenz und welche Nachweisform die Aufsichtsbehörde im Audit sehen will. Konkrete Schadensfälle und Strafhöhen finden Sie auf Beispiele · Reale Fälle.
Pro Thema im Detail
Acht Themenbereiche — acht unterschiedliche Aufsichten. Jede mit klaren Vorgaben, wen Sie schulen müssen, wie oft, und in welcher Form Sie den Nachweis bereithalten.
Art. 4 VO (EU) 2024/1689 (KI-VO)
Art. 32 Abs. 4 DSGVO i.V.m. Art. 5 Abs. 2 (Rechenschaftspflicht)
Art. 21 Abs. 2 lit. g RL (EU) 2022/2555 (NIS-2)
§ 14 ASchG i.V.m. § 12 AStV
§ 26 FM-GwG (Finanz) bzw. § 365m GewO (Handel/Immobilien)
§ 6 GlBG (Abhilfepflicht des Arbeitgebers)
§§ 11–14 HinweisgeberInnenschutzgesetz
Barrierefreiheitsgesetz (BaFG); EU-Richtlinie 2019/882
Warum jetzt schulen?
Nicht jede Behörde prüft flächendeckend. Aber drei Faktoren machen Schulungsdokumentation 2026 wichtiger denn je — unabhängig von der konkreten Wahrscheinlichkeit einer Prüfung.
Bei DSGVO, Gleichbehandlung und ASchG-Unfällen muss das Unternehmen beweisen, dass es alle Schutzmaßnahmen getroffen hat. Wer keine dokumentierten Schulungen vorweisen kann, verliert in jedem Audit und Gerichtsverfahren.
Schulungsfrage in jedem ernsten Vorfall
Praktisch alle Cyber-Versicherungspolicen in Österreich verlangen seit 2024 nachweisliche Awareness-Schulung als Voraussetzung der Deckung. Ohne Nachweis: Deckungskürzung oder -verweigerung im Schadensfall.
der AT-Cyber-Policen mit Schulungs-Klausel
NIS-2 ist seit Dezember 2025 aktiv. AI-Act-Aufsicht startet 2026. BaFG-Marktüberwachung läuft seit Juni 2025. „Wird eh nicht kontrolliert" war 2020 vielleicht ein Argument — heute ist es ein finanzielles Risiko.
aktive Aufsichtsbehörden in Österreich
Was diese Woche passierte
Reale Vorfälle, die zeigen, was Schulungs-Versäumnis konkret kostet — mit Quellenangaben.
25. Juni 2026 · Security-Insider
Eine Analyse von Telemetriedaten mehrerer Millionen Endgeräte zeigt, dass Ausfallzeiten mittlerweile das größte IT-Risiko für Unternehmen darstellen – noch vor Sicherheitsverletzungen selbst. Unternehmens-PCs sind weltweit durchschnittlich bis zu 76 Tage im Jahr ungeschützt oder nicht verfügbar. Trotz durchschnittlich 83 Security-Tools pro Unternehmen lässt sich jedes fünfte Gerät nicht zuverlässig schützen, aktualisieren oder wiederherstellen. Die Komplexität der IT-Umgebungen verhindert eine kontinuierliche Durchsetzung kritischer Sicherheitsmaßnahmen.
Schaden: 400 Milliarden Dollar
01. Juni 2026 · meinKA
Ein Cyberangriff auf einen bundesweit tätigen Klinik-Dienstleister betrifft mehrere Krankenhäuser im Südwesten und deren Patienten. Das Cybercrime-Zentrum Baden-Württemberg erklärt, dass Täter sich über ausgespähte Zugangsdaten, schwache Passwörter oder veraltete Software Zugriff verschaffen. Häufig werden auch Mails mit Schadcode verschickt, die bei Ausführung die Kontrolle über Computer übernehmen. Die Angreifer verbreiten sich im Netzwerk, erlangen Admin-Rechte, leiten sensible Daten aus und verschlüsseln Systeme für Lösegeldforderungen. Laut Bundeskriminalamt stiegen die angezeigten Fälle 2025 um zehn Prozent auf 1.041, wobei nur sieben Prozent der Geschädigten Lösegeld zahlten.
23. Mai 2026 · NDR Hamburg Journal
Bei einem Cyberangriff auf das Universitätsklinikum Hamburg-Eppendorf (UKE) wurden mehr als 5.000 Patientenakten kompromittiert. Die sensiblen Gesundheitsdaten wurden von Angreifern abgegriffen. Das UKE gehört zu den größten Universitätskliniken Deutschlands und behandelt jährlich Zehntausende Patienten.
„Ein Schulungsnachweis kostet im Schadensfall nichts. Ein fehlender Schulungsnachweis kostet alles."
Praxis-Faustregel aus Arbeitsrecht und Compliance, 2026
Was Sie konkret gewinnen
Schulung ist nicht nur Pflicht-Erfüllung. Sie ist Ihr stärkstes Verteidigungs-Argument im Streitfall — egal ob mit Aufsichtsbehörde, Gericht, Versicherer oder Geschäftspartner.
Pro-Person-Nachweise, versionierte Lerninhalte und PDF-Zertifikate mit QR-Code sind das Standard-Format, das DSB, Arbeitsinspektion und FMA bei einer Prüfung erwarten.
Cyber-Police, Vermögensschaden-Haftpflicht und D&O-Versicherung greifen nur mit Schulungsnachweis oder mit voller Deckungssumme — fehlende Dokumentation führt zur Deckungskürzung.
Größere Kunden fragen den Schulungsnachweis im Beschaffungsprozess ab. Wer ihn liefert, gewinnt Aufträge, die Mitbewerber verlieren.