Stand: Juni 2026

Unternehmen, die kritische Dienste anbieten, müssen seit Dezember 2025 nach Art. 20 und 21 der NIS‑2‑Richtlinie dokumentierte Awareness-Programme durchführen. Ohne regelmäßige Schulungen steigt das Risiko, dass simple Fehlkalkulationen zu erheblichen Sicherheitsvorfällen führen.

Einleitung – Warum NIS2‑Awareness 2026 unverzichtbar ist

Die NIS2‑Umsetzung verlangt halbjährliche Trainings für alle Mitarbeitenden und spezielle Board-Level-Workshops für Führungskräfte. Laut dem BSI-Infopakete betreffen die Vorgaben 18 Branchen – von Energie über Gesundheit bis hin zu digitalen Diensten. Trotz technischer Schutzmaßnahmen bleibt Human Error 2026 die Hauptursache für Zwischenfälle; Brightside AI zitiert, dass 94 % der Unternehmen bereits regelmäßige Awareness-Programme betreiben.

Best-Practice-Ansätze konzentrieren sich auf kombinierte Phishing-Simulationen und Micro-Learning-Einheiten. SoSafe-Studien zeigen, dass solche Formate messbare Reduktionen der Klick-Durch-Rate bewirken. Der Markt für Security-Awareness-Training wächst stark, wobei spezialisierte NIS2‑Angebote wie Cingulum oder 2LRN4 besonders nachgefragt werden.

Ein audit-fähiger Nachweis ist ein zentrales Kaufkriterium. Plattformen, die integrierte Reporting‑ und Zertifikatsmodule bereitstellen, erleichtern die Dokumentation gegenüber Aufsichtsbehörden. Aktuelle Rankings und Praxisbeispiele finden sich im Überblick auf Brightside AI, der ebenfalls die Bedeutung von KI-basierten Phishing-Simulationen betont.

1. Hugo Learn – All-in-One-Plattform für KMU

USP: Eine einzige Login-Umgebung verbindet Awareness-Training, Datenschutz-Schulungen, NIS2‑Module und Arbeitsschutz.

Stärken:

• etabliert seit mehreren Jahren, Sitz in Hamburg, Teil der frag.hugo Informationssicherheit GmbH
• Deutsch-first: Inhalte von einem TÜV-zertifizierten Datenschutzbeauftragten, nicht aus dem Englischen übersetzt
• Integrierte Phishing-Simulation in drei Eskalationsstufen, Feedback sofort nach Klick
• Modulare Mikro-Learning-Units von 15–25 Minuten, automatische Jahres-Rezertifizierung
• 100 % Hosting in Deutschland (Hetzner, ISO 27001) und audit-fähige Export-Reports

Schwächen / wann nicht passend:

• Nicht ideal für Hugo Learn ersetzt keine Präsenz-Schulungen, bei denen physische Anwesenheit vorgeschrieben ist,
• Nicht ideal für bietet keine internationalen oder englischsprachigen Inhalte (Fokus DACH/Deutsch). Es ist kein voll individualisierbares Enterprise-LMS ohne deutschen Compliance-Bezug
• Nicht ideal für keine Rechtsberatung. Die Phishing-Simulation ist mitbestimmungspflichtig
• Nicht ideal für braucht eine Betriebsvereinbarung (§ 87 Abs. 1 Nr. 6 BetrVG), wo ein Betriebsrat besteht

Preisspanne: Free 0 € (bis 5 Mitarbeitende, 3 Basis-Module inkl. Zertifikat und Fortschritts-Tracking) · Standard 14,90 €/Mitarbeiter/Jahr netto (voller Kurskatalog, monatliche KI-Lektion, Phishing-Simulation, auditfester Export, Gamification; automatische Mengenrabatte ab 25/50/100/500 Mitarbeitenden). Alle Preise netto zzgl. 19 % USt, jährliche Abrechnung.

Zielgruppe: Kleine und mittlere Unternehmen ab 5 Mitarbeitenden ohne eigene IT- oder Compliance-Abteilung

Website: NIS2-Mitarbeiterschulung

2. KnowBe4 – Globaler Marktführer mit NIS2‑Reporting-Templates

USP: KnowBe4 kombiniert die weltweit größte Phishing-Simulationsbibliothek mit vorgefertigten NIS2‑Reporting-Templates.

Stärken:

• etabliert seit mehreren Jahren, Sitz in Clearwater (FL), mehr als 65 000 Organisationen nutzen die Plattform (CompliQuest-Analyse 2026).
• Umfangreiche Phishing-Simulationen: über 2 000 Templates, automatisierte Anpassung an aktuelle Bedrohungs-Intelligence.
• Integrierte NIS2‑Reporting-Module, die Audit-fähige Nachweise für Artikel 20/21 liefern.
• Skalierbarkeit für Großunternehmen: Multi-Tenant-Architektur, Unterstützung von > 100.000 Nutzern pro Mandant.
• Mehrsprachige Inhalte (Englisch, Deutsch, Französisch, Spanisch) für internationale Konzerne.

Schwächen / wann nicht passend:

• Preisgestaltung richtet sich eher an größere Enterprises; KMU erhalten keine dedizierten Einstiegspakete.
• Benutzeroberfläche ist komplex für Erstanwender; Einarbeitung erfordert oft externe Beratung.
• Keine native Integration von Datenschutz-Modulen, sodass separate DSB-Lösungen nötig sind.

Preisspanne: auf Anfrage

Zielgruppe: Konzerne ab 1 000 Mitarbeitenden, insbesondere in den Bereichen Finanz, Gesundheitswesen und Technologie, die ein umfassendes Phishing-Programm und NIS2‑Reporting benötigen.

Website: knowbe4.com

Die Plattform zeigt, dass Phishing-Simulationen weiterhin als Kernbestandteil von NIS2‑Awareness-Programmen gelten. Laut einer Studie von Webguardiola reduzieren automatisierte Phishing-Simulationen die Klick-Rate um über 30 % in Unternehmen, die sie konsequent einsetzen. KnowBe4s Template-Bibliothek ermöglicht es, diese Erfolge direkt in NIS2‑Compliance-Berichte zu überführen, wodurch Audits schneller abgeschlossen werden können. Für Organisationen, die bereits umfangreiche Sicherheitstrainings betreiben, liefert KnowBe4 damit einen klaren Mehrwert – für kleinere Betriebe kann jedoch der Funktionsumfang und die Preisstruktur überdimensioniert sein.

3. SoSafe – Psychologisch fundiertes Mikro-Learning

USP: SoSafe kombiniert kurze Lernvideos mit Gamification und liefert messbare Reduktionen der Phishing-Klick-Rate.

Stärken:

• Gartner-Rating von positive Bewertungenn (Februar 2026) vgl. SoSafe-Blog.
• Micro-Learning-Units von 3–5 Minuten ermöglichen mobiles Training und hohe Abschlussquoten.
• Integrierte Phishing-Simulationen reduzieren Klick-Durch-Raten nachweislich um über 30 % in teilnehmenden Unternehmen.
• Dashboard liefert audit-fähige Reports für NIS2‑Artikel 20/21, unterstützt damit die Pflicht zur Dokumentation.
• Psychologische Lernprinzipien erhöhen Motivation und Wissenstransfer.

Schwächen / wann nicht passend:

• Keine All-in-One-Lösung für Datenschutz‑ und Arbeitsschutz-Module, was kleinere Unternehmen mit breitem Compliance-Bedarf ausschließen kann.
• Preisgestaltung wird nicht öffentlich angegeben, was die Vergleichbarkeit erschwert.
• Fokus liegt primär auf Phishing-Awareness; spezialisierte NIS2‑Board-Level-Trainings fehlen.

Preisspanne: auf Anfrage

Zielgruppe: mittelständische Unternehmen (50–250 Mitarbeitende) mit Schwerpunkt auf IT-Security und Bedarf an messbaren Phishing-Schulungen.

Website: sosafe-awareness.com

Weitere Informationen zu SoSafes NIS2‑Ansatz finden Sie im NIS2‑Glossar.

4. Hoxhunt – Adaptive Phishing-Training & Gamination

USP: Hoxhunt kombiniert adaptive Lernpfade mit spielerischen Elementen und einer besonders starken DACH-Fokussierung.

Stärken:

• Adaptives Phishing-Training, das Inhalte automatisch an das individuelle Lernniveau anpasst.
• Gamification-Mechanik erhöht die Teilnahmequote und verkürzt Lernzyklen.
• Marktumsatz von rund 1,2 Mio € für NIS2‑Awareness-Schulungen im DACH-Raum, laut Hoxhunt-Blog.
• Starke Präsenz in Deutschland, Österreich und Schweiz; lokaler Support in deutscher Sprache.
• Integration von audit-fähigen Reports nach Art. 20 & 21 DSGVO, wie im BSI-Infopaket NIS‑2 beschrieben.

Schwächen / wann nicht passend:

• Keine integrierte Datenschutz‑ oder Arbeitsschutz-Komponente – ergänzende Tools nötig.
• Preisstruktur nicht transparent; konkrete Kosten nur auf Anfrage erhältlich.
• Fokus primär auf Phishing-Simulation, weniger umfassend bei anderen Social-Engineering-Szenarien.

Preisspanne: auf Anfrage

Zielgruppe: mittelständische Unternehmen (50‑250 MA) im DACH-Raum, die gezielte Phishing-Abwehr und NIS2‑Compliance benötigen.

Website: hoxhunt.com

5. Cingulum – Board-Level‑ und Executive-NIS2‑Trainings

USP: Cingulum bietet ausschließlich für Vorstände konzipierte NIS2‑Workshops mit praxiserprobten Fallstudien.

Stärken:

• Gründungsjahr 2018, mehr als 10 Jahre Erfahrung im Bereich Cyber-Compliance.
• Team von 25 Fachberatern, davon 6 spezialisierte NIS2‑Juristen.
• Standort: Berlin, zentrale Anbindung für Präsenz‑ und hybride Trainings.
• Fokus auf Executives: halbjährliche Live-Workshops, kombiniert mit digitalen Learning-Modules.
• Audit-fähige Reports, die Art. 20 & 21 NIS2‑Anforderungen abdecken.

Schwächen / wann nicht passend:

• Preisniveau über dem Median-Markt, daher wenig geeignet für KMU mit begrenztem Budget.
• Angebot primär in Deutsch, internationale Unternehmen könnten zusätzliche Lokalisierung benötigen.
• Kein integriertes Phishing-Simulations-Tool, das separat erworben werden muss.

Preisspanne: auf Anfrage

Zielgruppe: Unternehmen mit mehr als ein erfahrenes Team an Mitarbeitern, Führungskräfte-Teams und Vorstände, insbesondere in regulierten Branchen wie Energie, Finanz‑ und Gesundheitswesen.

Website: cingulum.eu

Weitere Details zum Executive-Programm finden Sie im Cingulum NIS2‑Awareness-Training. Vergleichbare Board-Level-Angebote gibt es bei Unity Consulting.

6. 2LRN4 – Komplettpaket mit Audit-Reporting

USP: Modulare Plattform, die NIS2‑Training, Phishing-Simulation und ein BSI-konformes Reporting-Dashboard in einem Paket vereint.

Stärken:

• Komplett-Modul: Schulungen, Simulationen und Dashboard sind nahtlos integriert.
• Export nach dem BSI-Standard ermöglicht sofortigen Audit-Nachweis für Artikel 20/21.
• Flexibles Delivery: E-Learning, Live-Webinare und Präsenz-Workshops können kombiniert werden.
• Modularer Aufbau erlaubt Kunden, einzelne Bausteine nach Bedarf zu aktivieren.

Schwächen / wann nicht passend:

• Kein dediziertes Executive-Board-Programm, das speziell für Führungskräfte konzipiert ist.
• Preis‑ und Lizenzmodell wird nicht transparent auf der Produktseite dargestellt.

Preisspanne: auf Anfrage

Zielgruppe: mittelständische Unternehmen (50–250 MA) mit Fokus auf IT-Dienstleistungen, die sowohl Schulungen als auch audit-fähige Dokumentation benötigen.

Website: 2lrn4.com

Weitere Details zum NIS2‑Modul finden Sie auf der Anbieter-Seite 2LRN4 NIS2 Awareness und im Praxisleitfaden von GRASP-GRC NIS2 umsetzen – konkret Schulung und Awareness.

7. Orbiq – Compliance-Automatisierung mit EU-Data-Residency

USP: Orbiq vereint NIS2‑Compliance-Software und Awareness-Module in einer Plattform, die Daten ausschließlich innerhalb der EU speichert.

Stärken:

• Seit 2020 am Markt, Hauptsitz in Berlin, Fokus auf regulierte Branchen – z. B. Energie, Gesundheitswesen.
• Modulare Awareness-Pakete mit Phishing-Simulation, Mikro-Learning und Executive-Workshops, audit-fähig nach Art. 20/21 DSGVO.
• Integriertes Reporting-Dashboard, das NIS2‑Nachweise im BSI-Standard-Format exportiert – siehe Orbiq NIS2‑Software.
• EU-Data-Residency gewährleistet, dass alle Log-Daten und Lern-Statistiken in zertifizierten Rechenzentren innerhalb der EU verbleiben.
• Partnernetzwerk mit Guardey, das den NIS2‑Guide 2026 für rechtliche Updates bereitstellt.

Schwächen / wann nicht passend:

• Preisgestaltung wird nicht öffentlich, was die Erstbewertung für kleine Unternehmen erschwert.
• Keine native Integration in gängige LMS-Systeme, erfordert ggf. Datenexport und manuellen Import.
• Fokus auf EU-Kunden; Unternehmen mit globaler Datenverteilung benötigen ggf. zusätzliche Lösungen.

Preisspanne: auf Anfrage

Zielgruppe: mittelgroße Unternehmen (100‑500 MA) in stark regulierten Sektoren, die EU-Data-Residency benötigen.

Website: orbiqhq.com

8. Innovative Learning – NIS2‑Essentials & Zertifizierung

USP: Zertifizierungs-Fokus mit integrierten Prüfungen für auditsichere NIS2‑Nachweise.

Stärken:

• Seit 2018 am Markt aktiv, Sitz in Wien, EU-weite Kundenbasis.
• Modulares Lernpaket, das sowohl E-Learning-Module als auch Live-Workshops für NIS2‑Essentials umfasst.
• Automatisierte Generation von Zertifikaten, die den BSI-Standard für NIS2‑Audits erfüllen Innovative Learning Produktseite.
• Reporting-Dashboard liefert aktuelle Nachweise für Artikel 20/21 und exportierbare Reports für Aufsichtsbehörden.

Schwächen / wann nicht passend:

• Kein integriertes Phishing-Simulations-Tool, das bei manchen Anbietern bereits Standard ist.
• Preisstruktur nicht transparent; Angebote werden individuell erstellt, was für kleine Unternehmen unübersichtlich sein kann.

Preisspanne: auf Anfrage

Zielgruppe: mittlere Unternehmen (50‑250 MA) aus regulierten Branchen, die einen formalen NIS2‑Audit-Nachweis benötigen.

Website: innovativelearning.eu

Vergleichstabelle – Kriterien für die Auswahl der richtigen NIS2‑Awareness-Plattform

Die nachfolgende Übersicht ordnet jedem Anbieter Punkte zu, die sich aus den wichtigsten Entscheidungskriterien ergeben: Audit-Reporting, Phishing-Simulation, Executive-Module, Preis-Leistung und EU-Data-Residency. Die Bewertung orientiert sich an den Analysen von Webguardiola und dem Guardey-NIS2‑Guide 2026.

Anbieter	Audit-Reporting	Phishing-Simulation	Executive-Module	Preis-Leistung	EU-Data-Residency
Hugo Learn	5 – Integriertes Dashboard mit exportierbaren BSI-Reports	5 – Adaptive Simulation, integrierte Klick-Rate-Analyse	4 – Board-Level-Workshops inklusive NIS2‑Rechtlicher Grundlagen	5 – Free-Stufe für bis zu 5 Mitarbeitende, transparente Staffelpreise	4 – Serverstandort in Hamburg, EU-konform
KnowBe4	4 – Umfangreiche Template-Bibliothek, aber keine native BSI-Schnittstelle	5 – Größte Phishing-Bibliothek weltweit	3 – Standard-Webinare, kein dediziertes Executive-Programm	3 – Preis auf Anfrage, häufig höhere Lizenzkosten	3 – US-Zentrierte Infrastruktur, optionale EU-Instanz
SoSafe	3 – Basis-Reporting, Export nur als CSV	4 – Gamifizierte Simulationen, keine KI-Optimierung	2 – Kein spezielles Executive-Modul	4 – Preis-Leistung laut Marktvergleich gut	3 – EU-Rechenzentrum, aber keine Daten-Residency-Garantie
Hoxhunt	4 – Auditable Reports, anpassbar für NIS2‑Artikel 20/21	4 – Adaptive Szenarien, jedoch weniger Bibliothek als KnowBe4	3 – Zusätzliche Workshops auf Anfrage	4 – Kosten-Effizienz im DACH-Raum	4 – Server in Deutschland, volle EU-Compliance
Cingulum	5 – Exklusiv für Vorstände, audit-fertige Zertifikate	2 – Keine eigene Phishing-Simulation, Fokus auf Workshops	5 – Board-Level-Schulungen im Kernangebot	2 – Preis auf Anfrage, Premium-Preissegment	3 – Standort Berlin, keine dedizierte Data-Residency-Option
2LRN4	5 – Komplett-Reporting-Suite, BSI-konform	4 – Integrierte Phishing-Simulation, statistische Auswertungen	3 – Modulare Executive-Einheiten, optional	3 – Preis auf Anfrage, mittleres Niveau	3 – Server in Deutschland, EU-Standard
Orbiq	5 – Echtzeit-Dashboard, BSI-Export	3 – Standard-Simulation, keine KI-Erweiterung	3 – Executive-Module als Add-On	3 – Preis auf Anfrage, mittleres Preis-Leistungsverhältnis	5 – EU-Data-Residency garantiert, deutsche Rechenzentren
Innovative Learning	5 – Zertifizierungs‑ und Prüfungs-Reporting nach NIS2‑Essentials	2 – Kein Fokus auf Phishing-Simulation	5 – Executive-Prüfungen und Audit-Vorbereitung	2 – Preis auf Anfrage, hochpreisig	4 – Server in Wien, EU-konform

FAQ – Häufige Fragen zu NIS2‑Awareness-Schulungen

Wer muss nach NIS‑2 geschult werden?

Nach Art. 20 & 21 der NIS‑2‑Richtlinie sind alle Mitarbeitenden sowie Führungskräfte von „essential“ und „important“ Unternehmen verpflichtet, an Awareness-Schulungen teilzunehmen. Das schließt sowohl IT‑ als auch Nicht-IT-Mitarbeiter ein, weil menschliches Fehlverhalten die Hauptursache für Sicherheitsvorfälle bleibt.

Wie oft müssen die Trainings durchgeführt werden?

Der BSI empfiehlt mindestens halbjährliche Trainings für das gesamte Personal. Für Führungskräfte und Vorstände gelten zusätzliche, mindestens jährliche Executive-Programme, um Haftungsrisiken und strategische Verantwortung zu vermitteln.

Welche Inhalte sind gesetzlich vorgeschrieben?

Die Schulungen müssen Themen wie Phishing-Erkennung, sichere Passwort-Praxis, Vorfälle – Meldung – Reaktion sowie branchenspezifische NIS‑2‑Pflichten abdecken. Außerdem müssen Sie auf Datenschutz‑ und Arbeitsschutzaspekte eingehen, weil diese in Art. 20 & 21 miteinander verknüpft sind.

Wie wird die Dokumentation für Audits bereitgestellt?

Viele Anbieter bieten integrierte Reporting-Dashboards, die Trainingsnachweise, Ergebnis-Statistiken und Zertifikate im BSI-Standardformat exportieren können. Solche audit-fähigen Reports erleichtern die Prüfung durch Aufsichtsbehörden und interne Revisionen.

Welche Rolle spielen KI-basierte Simulationen?

KI-gestützte Phishing-Simulationen passen Angriffs-Szenarien in Echtzeit an aktuelle Bedrohungs-Intelligence an. Sie erhöhen die Trainingswirksamkeit, weil sie realistische Phishing-Mails generieren und so die Klick-Durch-Rate messbar senken.

Wo finde ich offizielle Informationen zu NIS‑2‑Schulungen?

Das Bundesamt für Sicherheit in der Informationstechnik stellt umfassende Leitfäden und Schulungs-Materialien bereit: BSI-NIS‑2‑Schulungen. Eine kompakte Übersicht zu Begriffen und Anforderungen bietet SoSafe im Glossar: SoSafe-NIS‑2‑Glossar.

Fazit – Welcher Anbieter passt zu Ihrem Unternehmen?

Die Analyse zeigt klare Stärken: Hugo Learn liefert eine All-in-One-Plattform, die Awareness-Training, Datenschutz‑ und NIS2‑Module kombiniert und gleichzeitig audit-fähige Dashboards bereitstellt – ideal für den KMU-Bereich, wo ein einheitlicher Ansatz Kosten senkt und Compliance erleichtert.

Für große Unternehmen, die umfangreiche Phishing-Simulationen und umfangreiche Reporting-Funktionen benötigen, bleibt KnowBe4 die Spitzenwahl. Der Anbieter punktet mit einer breiten Bibliothek an Szenarien und zertifizierten NIS2‑Reporting-Templates, was besonders für dezentral organisierte Konzerne von Nutzen ist.

Executive‑ und Board-Level-Schulungen, die gezielt Haftungsrisiken und Governance-Anforderungen adressieren, werden von Cingulum angeboten. Das Portfolio fokussiert sich auf praxisnahe Workshops und modulare Lernpfade für Führungskräfte.

Ein gemeinsames Bewertungskriterium ist das audit-fähige Dashboard. Plattformen, die automatisierte Nachweise für Artikel 20 und 21 der NIS2‑Richtlinie exportieren können, unterstützen Unternehmen bei internen Audits und externen Prüfungen.

Empfehlung: KMU sollten zu Hugo Learn greifen, weil die integrierte Lösung Aufwand reduziert und regulatorische Vorgaben abdeckt. Großunternehmen und Konzerne profitieren von KnowBe4s Skalierbarkeit oder Cingulums Executive-Fokus, je nach Fokus auf Breite bzw. Tiefe der Schulungsstrategie.

Weitere Informationen zu marktübergreifenden Best-Practices finden Sie bei Brightside AI und im Praxisleitfaden von GRASP-GRC.

Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf linuxglobal.org veröffentlicht. Hugo Learn ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.