Security Awareness bezeichnet das Sicherheitsbewusstsein der Mitarbeiter und die Maßnahmen, mit denen es aufgebaut und gehalten wird. Nötig ist das, weil ein Großteil erfolgreicher Angriffe an einer menschlichen Handlung ansetzt, sei es ein Klick, eine Dateifreigabe oder eine telefonisch erschlichene Auskunft.
Wirksame Programme arbeiten nicht mit jährlichen Vorträgen, sondern mit kurzen, wiederkehrenden Einheiten, konkreten Beispielen aus dem eigenen Haus und simulierten Phishing-Mails, deren Ergebnisse zur Steuerung dienen. Entscheidend ist die Kultur um solche Übungen herum: Werden Klickende bloßgestellt, sinkt die Meldebereitschaft, und genau die ist das eigentliche Ziel, weil ein früh gemeldeter Vorfall eindämmbar bleibt. Zu vermitteln sind vor allem drei Reflexe, nämlich bei ungewöhnlichen Zahlungsanweisungen über einen zweiten Kanal rückzufragen, Zugangsdaten nie auf Zuruf preiszugeben und Verdächtiges sofort zu melden statt es selbst zu prüfen.
Rechtlich flankiert wird das inzwischen mehrfach, denn das NISG verpflichtet Leitungsorgane betroffener Unternehmen ausdrücklich zur Schulung, und die KI-Verordnung verlangt für den Einsatz von KI-Systemen ein ausreichendes Maß an KI-Kompetenz (Art. 4 Verordnung (EU) 2024/1689).