KRITIS und BaFin: Wer muss Mitarbeiter überprüfen?

Das KRITIS-Dachgesetz (KRITISDachG, G v. 11.3.2026, BGBl. 2026 I Nr. 66) verpflichtet Betreiber kritischer Anlagen, ihre Resilienz zu sichern. Zu den Maßnahmen, die dafür in Frage kommen, zählt nach § 13 Abs. 3 Nr. 5 ein "angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden, einschließlich des Personals externer Dienstleister". Das Gesetz sagt "können zählen". Eine ausdrückliche Pflicht zu Hintergrundprüfungen enthält der Text nicht, und er legt keine bestimmten Prüfungen fest.

Die Maßnahmen müssen verhältnismäßig sein (§ 13 Abs. 2 KRITISDachG) und werden in einem Resilienzplan dargestellt (§ 13 Abs. 4). Das Bundesinnenministerium kann sie durch Rechtsverordnung konkretisieren (§ 14 Abs. 1). Prüfen Sie daher, ob für Ihren Sektor bereits Mindestanforderungen oder branchenspezifische Resilienzstandards vorliegen.

Für die IT-Seite gilt zusätzlich das BSI-Gesetz: Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG) und müssen unter anderem "Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen" erstellen (§ 30 Abs. 2 Nr. 9 BSIG). Auch hier sind Inhalt und Tiefe Ihre Entscheidung. Mehr dazu in unserem Überblick NIS2 und Mitarbeiterüberprüfung.

Das Gesetz gilt für Betreiber kritischer Anlagen in diesen Sektoren (§ 4 Abs. 1 KRITISDachG): Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung. Welche Dienstleistungen und Anlagen im Einzelnen kritisch sind, legt das Bundesinnenministerium durch Rechtsverordnung fest (§ 4 Abs. 3).

Wichtig für Banken und Versicherer: Die Resilienzpflichten nach den §§ 12 bis 16 gelten nach § 4 Abs. 2 nicht für Finanzunternehmen, die unter die Verordnung (EU) 2022/2554 (DORA) fallen. Für diese Unternehmen sind vor allem die Vorgaben der Finanzaufsicht maßgeblich, siehe unten.

Diese Begriffe werden oft vermischt. Es sind verschiedene Verfahren mit verschiedenen Beteiligten:

Ob Ihre Einrichtung zu den lebens- oder verteidigungswichtigen Einrichtungen im Sinne des SÜG zählt, ergibt sich aus der Rechtsverordnung nach § 34 SÜG, nicht allein daraus, dass Sie Betreiber einer kritischen Anlage sind. Die Überprüfung selbst führen Behörden durch, nicht Sie als Arbeitgeber.

Das Gesetz überlässt die Auswahl Ihrer Risikoanalyse. In der Praxis betrachten Betreiber kritischer Anlagen zuerst, wer Zugang zu den Anlagen hat (Zugangskontrollen nennt § 13 Abs. 3 Nr. 2 KRITISDachG als Maßnahme) und wer sie steuern oder abschalten kann:

Wechselt jemand in eine Rolle mit mehr Zugang, prüfen Sie für diese Rolle erneut: siehe Mitarbeiterüberprüfung im Bestand.

Im Finanzsektor gibt es mehr gesetzliche Anknüpfungspunkte als bei KRITIS, aber auch hier keine festgelegte Liste von Prüfungen. Zwei Vorschriften betreffen Mitarbeiter ausdrücklich:

• Geldwäschegesetz (GwG). Verpflichtete müssen interne Sicherungsmaßnahmen schaffen. Dazu gehört nach § 6 Abs. 2 Nr. 5 GwG "die Überprüfung der Mitarbeiter auf ihre Zuverlässigkeit durch geeignete Maßnahmen, insbesondere durch Personalkontroll- und Beurteilungssysteme". Das Gesetz fordert also eine Zuverlässigkeitsprüfung, überlässt aber die Ausgestaltung Ihnen.
• Wertpapierhandelsgesetz (WpHG). Nach § 87 WpHG darf ein Wertpapierdienstleistungsunternehmen Mitarbeiter nur dann mit Anlageberatung, Vertriebstätigkeit, Finanzportfolioverwaltung, Vertriebsvorgaben oder der Compliance-Verantwortung betrauen, wenn sie sachkundig sind und über die erforderliche Zuverlässigkeit verfügen. Liegen Tatsachen vor, dass das nicht mehr der Fall ist, kann die BaFin den Einsatz des Mitarbeiters in dieser Tätigkeit untersagen (§ 87 Abs. 6 WpHG).

Beide Vorschriften verlangen Zuverlässigkeit, nennen aber keine bestimmte Prüfung wie ein Führungszeugnis. Wie Sie Zuverlässigkeit feststellen, müssen Sie gegenüber der BaFin begründen können. Anforderungen aus KWG, MaRisk und DORA sind nicht Gegenstand dieser Seite; gleichen Sie sie mit Ihrer Compliance-Abteilung und den Veröffentlichungen der BaFin ab.

Auch in regulierten Branchen geht kein Aufsichtsrecht der DSGVO vor. Sie brauchen eine Rechtsgrundlage, dürfen nur verarbeiten, was erforderlich ist, und die Person muss vorher informiert werden. Mehr in unserer DSGVO-Übersicht.

• § 26 Abs. 1 BDSG. Beschäftigtendaten dürfen nur verarbeitet werden, wenn das für die Entscheidung über die Begründung, die Durchführung oder die Beendigung des Beschäftigungsverhältnisses erforderlich ist. Zur Aufdeckung von Straftaten gelten strengere Voraussetzungen.
• Strafrechtliche Daten. Art. 10 DSGVO erlaubt die Verarbeitung von Daten über strafrechtliche Verurteilungen nur unter behördlicher Aufsicht oder wenn das nationale Recht es zulässt. Das Führungszeugnis wird nur der betroffenen Person selbst übersandt (§ 30 Abs. 4 BZRG). Sie können es sich nur vorlegen lassen, wenn die Rolle das rechtfertigt.
• Besondere Kategorien. Gesundheit, Religion, politische Meinung und ähnliche Daten spielen bei der Überprüfung keine Rolle.
• Betriebsrat. Wo es einen gibt, ist an einer Überprüfungsrichtlinie in der Regel der Betriebsrat zu beteiligen.

Diese Seite ist eine allgemeine Information und keine Rechtsberatung.

Weil die Gesetze Verhältnismäßigkeit verlangen und keine Prüfungen vorgeben, ist Ihre Begründung das Wichtigste, was Sie gegenüber Aufsicht, Prüfer oder Auditor vorzeigen können:

1. Listen Sie die Rollen mit Zugang zu kritischen Anlagen, Systemen und Daten auf.
2. Legen Sie je Rolle fest, welche Prüfungen Sie durchführen und warum sie verhältnismäßig sind.
3. Informieren Sie Bewerber und Mitarbeiter, was geprüft wird, wer prüft und wie lange die Ergebnisse gespeichert werden.
4. Halten Sie Ergebnis und Begründung fest und speichern Sie nur, was nötig ist.
5. Überprüfen Sie die Liste, wenn sich Rollen, Anlagen oder Dienstleister ändern.

Pescheck führt diese Prüfungen digital durch, in Deutschland und international, und führt je Person und Rolle eine Akte. Mehr zur Branche: Finanzdienstleistungen.