NIS2 und Mitarbeiterüberprüfung: Wen müssen Sie überprüfen?

Kurz gesagt: Eine ausdrückliche Pflicht zur Mitarbeiterüberprüfung enthält das Gesetz nicht. Besonders wichtige und wichtige Einrichtungen müssen "geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen" ergreifen (§ 30 Abs. 1 BSIG). Zu den Mindestmaßnahmen gehört nach § 30 Abs. 2 Nr. 9 BSIG die "Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen". Die Vorgabe geht auf Artikel 21 Abs. 2 Buchstabe i der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) zurück.

Welche Prüfungen ein solches Konzept enthält, sagt das Gesetz nicht. Mitarbeiter zu überprüfen ist ein verbreiteter Baustein, und Ihre eigene Risikoanalyse entscheidet, für welche Rollen er verhältnismäßig ist. Das ist eine Entscheidung, die Sie treffen und dokumentieren, keine Regel im Gesetzestext.

Verhältnismäßig heißt nach § 30 Abs. 1 BSIG: Sie berücksichtigen das Ausmaß Ihrer Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen und deren gesellschaftliche und wirtschaftliche Auswirkungen. Die Einhaltung ist zu dokumentieren.

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG, BGBl. 2025 I Nr. 301) ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz neu gefasst. Nach § 28 BSIG gilt:

• Besonders wichtige Einrichtungen: Betreiber kritischer Anlagen sowie Einrichtungen aus den Sektoren der Anlage 1 ab 250 Mitarbeitern, oder mit mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme. Bestimmte Arten, etwa DNS-Diensteanbieter und Top Level Domain Name Registries, gehören unabhängig von der Größe dazu.
• Wichtige Einrichtungen: Einrichtungen aus den Sektoren der Anlagen 1 und 2 ab 50 Mitarbeitern, oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme.

Ob Ihre Organisation betroffen ist, hängt von Sektor, Größe und Leistungen ab. Klären Sie das mit dem BSI oder anwaltlicher Beratung; diese Seite entscheidet das nicht für Sie. Für die Niederlande gilt die Cyberbeveiligingswet, siehe NIS2 en personeel screenen.

Da das Gesetz die Auswahl Ihnen überlässt, ist die nützliche Frage: Wo kann eine unredliche oder unzuverlässige Person Ihren Netz- und Informationssystemen den größten Schaden zufügen? Betroffene Einrichtungen schauen meist zuerst auf diese Gruppen:

• Mitarbeiter mit privilegierten oder Administratorrechten auf Netzwerke, Cloud-Umgebungen, Identitätssysteme und Backups.
• Entwickler und Ingenieure mit Zugriff auf Quellcode, Build-Pipelines, Zugangsdaten und Produktivsysteme.
• Security-, IT-Betriebs- und SOC-Personal, auch diejenigen, die das Monitoring abschalten können.
• Finanz-, HR- und Lohnbuchhaltung mit Zugriff auf Zahlungen oder große Mengen personenbezogener Daten.
• Geschäftsleitung: Nach § 38 BSIG müssen die Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und überwachen und haften der Einrichtung bei schuldhafter Pflichtverletzung nach den gesellschaftsrechtlichen Regeln.
• Dienstleister und externe Mitarbeiter mit vergleichbarem Zugriff. Die Sicherheit der Lieferkette ist eine eigene Mindestmaßnahme (§ 30 Abs. 2 Nr. 4 BSIG). Wie Sie das Personal von Dienstleistern abdecken, gehört daher in Ihre Lieferantenrisikoanalyse und in die Verträge.

Mitarbeiter ohne Zugriff auf sensible Systeme oder Daten brauchen in der Regel nicht mehr als die übliche Identitätsprüfung.

Wählen Sie Prüfungen nach Rolle und Zugriff, nicht nach Gesetz. Die Tabelle ist ein Ausgangspunkt für Ihre eigene Risikoanalyse, keine gesetzliche Vorgabe.

Überprüfung endet nicht mit dem Einstieg. Wechselt jemand in eine Rolle mit mehr Zugriff, prüfen Sie für diese Rolle erneut: siehe Mitarbeiterüberprüfung im Bestand.

NIS2 geht dem Datenschutz nicht vor. Was auch immer Sie überprüfen: Die DSGVO gilt. Sie brauchen eine Rechtsgrundlage, dürfen nur verarbeiten, was für die Rolle erforderlich ist, und die Person muss vorher informiert werden. Mehr in unserer DSGVO-Übersicht.

• § 26 Abs. 1 BDSG. Beschäftigtendaten dürfen nur verarbeitet werden, wenn das für die Entscheidung über die Begründung, die Durchführung oder die Beendigung des Beschäftigungsverhältnisses erforderlich ist.
• Strafrechtliche Daten. Art. 10 DSGVO erlaubt die Verarbeitung von Daten über strafrechtliche Verurteilungen nur unter behördlicher Aufsicht oder wenn das nationale Recht es zulässt. Das Führungszeugnis wird nur der betroffenen Person selbst ausgestellt (§ 30 Abs. 4 BZRG). Sie können es sich nur vorlegen lassen, wenn die Rolle das rechtfertigt.
• Besondere Kategorien. Gesundheit, Religion, politische Meinung und ähnliche Daten spielen bei der Sicherheitsüberprüfung keine Rolle.
• Betriebsrat. Wo es einen gibt, ist an einer Überprüfungsrichtlinie in der Regel der Betriebsrat zu beteiligen.
• Sicherheitsüberprüfung nach SÜG ist etwas anderes. Sie wird von Behörden durchgeführt, nicht vom Arbeitgeber, und nur für sicherheitsempfindliche Tätigkeiten im Sinne des Gesetzes.

Diese Seite ist eine allgemeine Information und keine Rechtsberatung.

Weil das Gesetz verhältnismäßige Maßnahmen verlangt und eine Dokumentationspflicht enthält (§ 30 Abs. 1 Satz 3 BSIG), ist Ihre Begründung das Wichtigste, was Sie vorzeigen können:

1. Listen Sie die Rollen mit Zugriff auf kritische Systeme und Daten auf.
2. Legen Sie je Rolle fest, welche Prüfungen Sie durchführen und warum sie verhältnismäßig sind.
3. Informieren Sie Bewerber und Mitarbeiter, was geprüft wird, wer prüft und wie lange die Ergebnisse gespeichert werden.
4. Halten Sie das Ergebnis fest und speichern Sie nur, was nötig ist.
5. Überprüfen Sie die Liste, wenn sich Rollen, Systeme oder Dienstleister ändern.

Pescheck führt diese Prüfungen digital durch, in Deutschland und international, und führt je Person und Rolle eine Akte.