# HR-03 Programm zur Sicherheitsausbildung und Sensibilisierung - Bereich: HR – Personal - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/hr-03/ ## Basiskriterium ### HR-03.01B Der Cloud-Anbieter betreibt ein zielgruppenorientiertes Sensibilisierungs- und Schulungsprogramm für Sicherheit. **Ergänzende Information:** Die Zielgruppen können unter Berücksichtigung der Tätigkeit, der Position und der damit verbundenen Risikoklassifizierung definiert werden. Zielgruppen dienen der Vereinfachung und Systematisierung des Sensibilisierungs- und Schulungsprogramms für Sicherheit. ### HR-03.02B Das gesamte interne und externe Personal des Cloud-Anbieters durchläuft regelmäßig und bei Änderung der Tätigkeit ein rollenbasiertes Schulungsprogramm, wobei mindestens die Risikoklassifizierung und die technischen Verantwortlichkeiten der Position des jeweiligen Personals berücksichtigt werden. ### HR-03.03B Das Programm wird, ausgehend von Änderungen an Richtlinien und Verfahren sowie der aktuellen Bedrohungslage, regelmäßig aktualisiert und umfasst, soweit sie für die Rolle des jeweiligen Personals anwendbar sind, die folgenden Aspekte: 1. Umgang mit Systemkomponenten, die zur Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, gemäß den anwendbaren Richtlinien und Verfahren; 2. Umgang mit Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten gemäß den anwendbaren Richtlinien und Verfahren sowie den geltenden gesetzlichen und regulatorischen Anforderungen; 3. Information über die aktuelle Bedrohungslage; 4. Richtiges Verhalten bei Sicherheitsvorfällen; 5. Sicherheits-Best-Practices; und 6. Sichere Entwicklung. ### HR-03.04B Die durch das Sensibilisierungs- und Schulungsprogramm erzielten Lernerfolge werden gemessen und ausgewertet. ## Zusatzkriterium ### HR-03.02AS (Zusatz, verschärft 02B) Das gesamte interne und externe Personal des Cloud-Anbieters durchläuft mindestens jährlich und bei Änderung der Tätigkeit ein rollenbasiertes Schulungsprogramm, wobei mindestens die Risikoklassifizierung und die technischen Verantwortlichkeiten seiner Position berücksichtigt werden. ### HR-03.01AC (Zusatz, erweiternd) Der Cloud-Anbieter überwacht den Abschluss des Sensibilisierungs- und Schulungsprogramms für Sicherheit. ### HR-03.02AC (Zusatz, erweiternd) Zeitnahe und angemessene Maßnahmen zur Behebung aller während der Überwachung identifizierten Abweichungen. ### HR-03.03AC (Zusatz, erweiternd) Die durch das Sensibilisierungs- und Schulungsprogramm erzielten Lernerfolge werden zielgruppenbezogen gemessen und ausgewertet. **Ergänzende Information:** Die Messung und Bewertung von Lernergebnissen auf zielgruppenbezogener Weise, wie durch das Zusatz-Unterkriterium festgelegt, erfordert keine Bewertung jedes einzelnen Mitglieds des Personals. Stattdessen können Bewertungen auf aggregierter Ebene durchgeführt werden, wobei der Schwerpunkt auf der Gesamteffektivität des Schulungsprogramms für bestimmte Zielgruppen liegt. Dieser Ansatz ermöglicht die Identifizierung von Trends und Verbesserungsbereichen innerhalb des Programms unter Wahrung der Datenschutzanforderungen des Personals. ### HR-03.04AC (Zusatz, erweiternd) Die Messungen umfassen quantitative und qualitative Aspekte. ### HR-03.05AC (Zusatz, erweiternd) Die Ergebnisse fließen in die Verbesserung des Sensibilisierungs- und Schulungsangebots ein. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Further specified frequency of personnel undergoing training by requiring it to additionally be undergone when changing job functions as well. Extend aspects to be included in the awareness and training programm by security best practices and secure development. Added requirement regarding the measurement and evaluation of the awareness and training programmes. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** Added additional requirement that the awareness programme is not just undegone regularly, but yearly. Added requirement regarding the monitoring of the awareness and training programme through the cloud service provider. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.