ISO 27001, NIS2, DORA, KRITIS: Eine Personalsicherheits-Checkliste für vier Frameworks

Regulierte Unternehmen im DACH-Raum betreiben selten ein Personalsicherheitsprogramm. Sie betreiben vier. Das ISMS-Team pflegt Screening-Akten für die ISO-27001-Zertifizierungsstelle. Der CISO hält ein Konzept für das BSI nach § 30 BSIG vor. Die Compliance-Abteilung führt Due-Diligence-Akten und ein Register für die BaFin nach DORA. Und wo das Unternehmen kritische Anlagen betreibt, ist eine vierte Stelle für §§ 31, 39 BSIG und das KRITIS-Dachgesetz zuständig. Vier Matrizen, vier Nachweispakete, vier Nachprüfungszyklen, vier Audits — für im Kern dieselben Prüfungen an denselben Personen. Dieser Beitrag mappt die vier Frameworks auf eine Personalsicherheits-Checkliste: wo sie sich überlappen, wo sie wirklich auseinanderliegen und wie eine gemeinsame Nachweisbasis entsteht statt vier. Wer bei null startet, baut mit der Personalsicherheits-Checkliste zuerst das Programm selbst auf; dieser Beitrag konsolidiert es frameworkübergreifend.

Ein Programm, vier Pflichten

Der Fehler liegt organisatorisch, nicht technisch. Jedes Framework hat einen eigenen Verantwortlichen, einen eigenen Prüfer und einen eigenen Wortschatz — niemand hat also einen Anreiz zu bemerken, dass ISO 27001 A.6.1, § 30 BSIG, die DORA-Pflichten zu Schulung und Due Diligence und die Personenmaßnahmen des KRITIS-Dachgesetzes Varianten derselben Tätigkeit beschreiben: Menschen prüfen, bevor sie Zugriff erhalten, risikoproportional, fortlaufend, mit Dokumentation. Weil dieselbe Einstellung viermal von vier Prozessen geprüft wird, sind Widersprüche garantiert — die ISO-Akte nennt eine Prüftiefe, das NIS2-Konzept verspricht eine andere, und wer die Akten vergleicht, findet die Lücke zuerst. Konsolidierung ist deshalb kein Bequemlichkeitsprojekt, sondern Voraussetzung, um die Prüfungen zu bestehen: Ein dokumentiertes Programm mit Mapping zu jedem Anker lässt sich verteidigen, vier halb gepflegte nicht.

ISO 27001 A.6.1: das zertifizierbare Fundament

A.6.1 setzt die operative Grundlinie: Überprüfung vor Beschäftigungsbeginn, fortlaufende Checks, Prüftiefe proportional zu Geschäftsanforderungen, Klassifikation und Risiko — begrenzt durch geltendes Recht. Über die Erklärung zur Anwendbarkeit und das Kontrollset 2022 ist die Kontrolle zertifizierbar — das einzige der vier Frameworks, in dem ein externer Auditor Ihre Akten in Stichproben gegen einen definierten Standard prüft. Gesetzlich verpflichtend ist sie nicht: Ein ISO-27001-Zertifikat ist für sich genommen kein Konformitätsnachweis gegenüber dem BSIG — die Position des BSI: Es kann in Aufsichtsverfahren nach §§ 61, 62 BSIG nicht als alleiniger Nachweis dienen — und dieselbe Logik gilt unter DORA und dem KRITIS-Dachgesetz: stützender Nachweis, nie Ersatz für die Pflicht. Behandeln Sie A.6.1 als Fundament, das Ihr Programm mindestens erfüllen muss, und mappen Sie nach oben: Wie sich jede Pflicht auf Nachweise abbilden lässt, zeigt das Mapping von Kontrolle zu Nachweis.

NIS2 / § 30 BSIG: die gesetzliche Personalsicherheitspflicht

§ 30 Abs. 2 Satz 2 Nr. 9 BSIG setzt Art. 21 Abs. 2 Buchst. i der NIS2-Richtlinie (EU) 2022/2555 um und verlangt ausdrücklich Konzepte für Personalsicherheit, Zugangskontrollrichtlinien und Asset-Management — Personenüberprüfung ist also eine benannte, gesetzliche Maßnahmenkategorie, keine Auslegungsfrage. Die Lieferkettensicherheit — die Externe und Dienstleister in dieselbe Konzeptakte zieht — ist eine eigene benannte Kategorie unter § 30 Abs. 2 Satz 2 Nr. 4 BSIG. § 38 BSIG fügt die persönliche Dimension hinzu: Die Geschäftsleitung muss die Risikomanagementmaßnahmen genehmigen und ihre Umsetzung überwachen — eine Pflicht, die sich nicht vollständig delegieren lässt. Registrierung nach § 33 BSIG und Meldepflichten nach § 32 BSIG laufen parallel. Der praktische Unterschied zu ISO: Es gibt kein Zertifikat zu verdienen, nur ein Aufsichtsverfahren mit Bußgeldern. Die vollständige Aufschlüsselung steht in NIS2 Personalsicherheit nach § 30 BSIG; für eine Standortbestimmung vor der Konsolidierung dienen die zehn NIS2-Readiness-Fragen.

DORA: IKT-Bewusstseinsschulung und das Drittanbieter-Register

DORA — Verordnung (EU) 2022/2554, anwendbar seit 17. Januar 2025 — adressiert Menschen auf zwei Schienen. Auf der Schulungsschiene verlangt Art. 13 Abs. 6 Programme für IKT-Sicherheitsbewusstsein und Schulungen zur digitalen operativen Resilienz für alle Mitarbeiter und für die Mitglieder der Geschäftsleitung, in einer Komplexität, die ihren Funktionen entspricht; das Leitungsorgan selbst schult nach Art. 5 Abs. 4. Auf der Dienstleister-Schiene verlangt Art. 28 eine Due-Diligence-Prüfung vor Vertragsabschluss mit IKT-Drittdienstleistern sowie ein Register über alle Vertragsvereinbarungen — die Verantwortung verbleibt beim Finanzunternehmen, sie lässt sich nicht wegvertragen. Art. 30 legt den Mindestinhalt der Verträge fest: Leistungsbeschreibungen, Regeln zu Unteraufträgen, Kündigungsrechte für alle IKT-Verträge sowie volle Zugriffs-, Informations- und Auditrechte, wo der Vertrag kritische oder wichtige Funktionen unterstützt. Der Personalsicherheits-Bezug ist unmittelbar: Die eigenen Mitarbeiter mit Zugriff auf kritische IKT-Systeme prüft Ihr Programm, das Personal des Dienstleisters erfasst die Due-Diligence-Akte und der Registereintrag. Die Details für deutsche Finanzunternehmen stehen in DORA-Anforderungen an Personal und IKT-Dienstleister.

KRITIS-DachG und SÜG: der Sektoraufsatz

Auf der KRITIS-Seite greifen zwei Regime, die man am besten getrennt hält. Das KRITIS-Dachgesetz — § 13 zusammen mit der CER-Richtlinie (EU) 2022/2557 — behandelt Personalsicherheit als eigenständigen Pflichtenkatalog neben strukturellen und technischen Maßnahmen, und Art. 14 CER sieht Hintergrundüberprüfungen vor, die Behörden auf Antrag des Betreibers durchführen, soweit das nationale Recht sie vorsieht: ein hoheitliches Verfahren, kein Arbeitgeberprogramm. Der Cyber-Nachweis ist das zweite Regime: Betreiber kritischer Anlagen weisen ihre Maßnahmen dem BSI nach § 39 BSIG nach (bis Dezember 2025 § 8a BSIG), und wo ein Betreiber sich auf ISO 27001 als stützenden Nachweis stützt, müssen Zertifikat und Personalprogramm tatsächlich verzahnt sein — der Prüfer des kritischen Dienstes fragt nach den Menschen, die ihn betreiben. Eine Einschränkung aus der Praxis: Staatliche Verfahren wie die SÜG-Sicherheitsüberprüfung erfassen nur bestimmte Rollen, prüfen eng gegen hoheitliche Schutzgüter und liefern ein binäres Ergebnis — sie erfüllen nicht die eigene Personalsicherheitspflicht des Betreibers. Der Umsetzungsweg steht im Umsetzungsleitfaden für Hintergrundüberprüfungen, die Fristen in KRITIS-Dachgesetz: Pflichten und Fristen.

Die Mapping-Tabelle: eine Anforderung, vier Anker, ein Nachweis

Der Kern der Konsolidierung: Die meisten Anforderungen führen auf denselben Nachweis zurück. Diese Tabelle mappt die wiederkehrenden Pflichten auf den gemeinsamen Nachweis, der jeden von ihnen stützen kann:

Spaltenweise gelesen, zeigt die Tabelle auch die Lücken: Alles, was nur ein Framework benennt — der Registerinhalt nach DORA, die Nachweisschnittstelle des § 39 BSIG —, muss bewusster Posten bleiben und darf in der Zusammenführung nicht verschwinden.

Wo die Frameworks wirklich auseinanderliegen

Drei Unterschiede überstehen jede ehrliche Konsolidierung. Erstens: gesetzliche Pflicht versus Zertifizierung. ISO 27001 ist freiwillig und bringt ein Zertifikat; § 30 BSIG, DORA und das KRITIS-Dachgesetz sind Pflichten mit Aufsicht und Bußgeldern — eine benannte Maßnahmenkategorie zu streichen ist keine Optimierung, sondern eine Unterlassung. Zweitens: der Geltungsbereich. Das neugefasste BSIG erfasst rund 29.500 Unternehmen als besonders wichtige oder wichtige Einrichtungen; DORA gilt für Finanzunternehmen; das KRITIS-Regime für Betreiber kritischer Anlagen — Ihr Unternehmen kann in einem, zwei oder drei davon liegen, und das Mapping muss die tatsächliche Menge abbilden, nicht den generischen Worst Case. Drittens: das Publikum. Eine Zertifizierungsstelle prüft Akten in Stichproben; BSI und BaFin prüfen Konzepte und ihre Umsetzung — aufsichtsgerichtete Dokumente müssen Ansatz, Risikogrundlage und Freigabe benennen, nicht nur das Ergebnis.

Die gemeinsame Nachweisbasis aufbauen

Eine Prüfmatrix, ein Nachprüfungslog, ein Nachweisformat — ergänzt um eine Spalte pro Framework. Jeder Check ist dokumentiert mit datierten Quellen, der Entscheidung, die auf ihm beruhte, und einer menschlichen Letztprüfung — so dient derselbe Nachweis der Stichprobenprüfung des ISO-Auditors wie der Konzeptprüfung einer Aufsicht. Hier hält auch die DSGVO-Grenze: Die Screening-Akte ist ein personenbezogener Nachweis, der einer Rechtsgrundlage bedarf — § 26 BDSG ist der traditionelle Anker, wobei sein eigenständiger Charakter seit dem CJEU-Urteil C-34/21 bezweifelt wird; die sicherste Formulierung ist daher Art. 6 Abs. 1 DSGVO mit § 26 BDSG als Auslegungshilfe, und die pro Rolle in der Matrix dokumentierte Erforderlichkeit trägt den Check. Art. 22 DSGVO verbietet wiederum Entscheidungen mit rechtlicher Wirkung oder gleichrangigem Eingriff, die allein auf automatisierter Verarbeitung beruhen — die Vier-Augen-Prüfung ist nicht nur gute Praxis, sondern der gemeinsame Nenner, der eine Akte in vier Kontexten auf je eigenen Bedingungen nutzbar macht. Der Indicium-Report ist genau als dieser gemeinsame Nachweis gebaut: datierte Quellen, dokumentierte Entscheidungen, menschliche Letztprüfung — wie sich die Pflichten jedes Frameworks darauf abbilden lassen, ist je Framework dokumentiert, auch für NIS2 und KRITIS.

Ein 30-Tage-Konsolidierungsplan

• Tag 1–5 — Inventur: Alle Personalsicherheits-Artefakte auflisten, die für irgendein Framework existieren: Matrizen, Konzepte, Anbieterakten, Schulungsnachweise, Nachprüfungslogs. Ein Verantwortlicher, eine Tabelle.
• Tag 6–12 — Lückenliste: Jedes Artefakt gegen die vier Framework-Anker aus der Tabelle oben mappen. Pflichten, die nur ein Framework benennt, als eigene Posten markieren.
• Tag 13–19 — Matrix erweitern: Die rollenbasierte Prüfmatrix um die Framework-Spalten ergänzen. Wo Tiefen differieren, den strengsten kohärenten Wert nehmen und begründen.
• Tag 20–25 — Nachweise vereinheitlichen: Ein Format pro Person: datierter Bericht, Entscheidungsnotiz, Freigabe durch die prüfende Person. Bestehende Nachweise nur migrieren, wo das Format die Prüfungsnutzung blockiert — Vollständigkeit schlägt Reformatierung.
• Tag 26–30 — Freigabe und Auslöser: Das konsolidierte Konzept der Geschäftsleitung nach § 38 BSIG zur Genehmigung vorlegen, die Auslöser für Nachprüfungen einrichten und das Datum dokumentieren, an dem aus vier Programmen eines wurde.

Häufige Fragen

Erfüllt unser ISO-27001-Zertifikat NIS2?

Nein. Position des BSI: Ein ISO-27001-Zertifikat ist keine NIS2- oder BSIG-Konformität und kann in Aufsichtsverfahren nach §§ 61, 62 BSIG nicht als alleiniger Nachweis dienen. Das Zertifikat bleibt nützlich — es belegt das ISMS-Fundament —, aber die benannten Maßnahmenkategorien des § 30 BSIG brauchen ein eigenes dokumentiertes Konzept, und die Genehmigung nach § 38 BSIG ist eine eigene, persönliche Pflicht der Leitung.

Ist das DORA-Register dasselbe wie unsere ISMS-Lieferantenliste?

Nein. Art. 28 DORA verlangt ein Register mit vorgeschriebenem Inhalt zu allen Vertragsvereinbarungen mit IKT-Drittdienstleistern, und Art. 30 setzt Mindestvertragsinhalte fest — Kündigungsrechte für alle IKT-Verträge, volle Auditrechte, wo kritische oder wichtige Funktionen unterstützt werden. Eine ISMS-Lieferantenliste kann das Register speisen, aber die Inhaltsanforderungen des Registers sind strenger und aufsichtsgerichtet.

Wo verlangt KRITIS überhaupt Personenüberprüfungen?

Das KRITIS-Dachgesetz behandelt Personalsicherheit in § 13 zusammen mit der CER-Richtlinie als eigenständigen Pflichtenkatalog für kritische Anlagen; Art. 14 CER sieht Hintergrundüberprüfungen vor, die Behörden auf Antrag des Betreibers durchführen, soweit das nationale Recht sie vorsieht. Auf der Cyber-Seite muss, wo ein ISO-27001-Zertifikat den Nachweis nach § 39 BSIG stützt, das Personalprogramm mit ihm verzahnt sein. Eine SÜG-Überprüfung deckt, wo sie existiert, nur bestimmte Rollen ab und ersetzt nicht die eigene Pflicht des Betreibers.

Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.