Mit dem KRITIS-Dachgesetz verlangt Bundesrecht erstmals von privaten Betreibern kritischer Anlagen systematische Personal- und Dienstleisterprüfungen als Teil des Resilienzplans. Die Personalsicherheit wird damit der technischen und baulichen Sicherheit rechtlich gleichgestellt — unionsrechtlich verankert in Art. 13 Abs. 1 lit. e und Art. 14 der CER-Richtlinie (EU) 2022/2557, die Hintergrundüberprüfungen ausdrücklich vorsieht. Die Umsetzung gelingt in vier Schritten: Rollen risikobasiert klassifizieren, Prüftiefe je Risikoklasse festlegen, aufsichtsfest dokumentieren, Re-Screening-Zyklen definieren.
Die Rechtslage: Personalsicherheit als Betreiberpflicht
Das seit März 2026 geltende KRITIS-Dachgesetz — die Grundpflichten finden sich insbesondere in § 13 KRITIS-DachG — verpflichtet Betreiber zu Resilienzmaßnahmen, die neben Anlagen und Prozessen auch das Personal erfassen; einen Überblick über Fristen und Sektoren gibt der Beitrag KRITIS-Dachgesetz 2026. Die CER-Richtlinie benennt in Art. 13 Abs. 1 lit. e die Sicherheit des Personals als Maßnahmenkategorie und regelt in Art. 14 Hintergrundüberprüfungen für Personen in sensiblen Funktionen. Datenschutzrechtlich stützt sich die Prüfung auf Art. 6 Abs. 1 lit. c und lit. f DSGVO sowie § 26 BDSG — die gesetzliche Pflicht des Betreibers trägt die Verarbeitung, die Verhältnismäßigkeit setzt ihr den Rahmen.
Schritt 1 und 2: Rollen klassifizieren, Prüftiefe festlegen
Nicht jede Position braucht dieselbe Prüfung — das wäre weder verhältnismäßig noch effizient. Ausgangspunkt ist eine risikobasierte Rollenklassifizierung: Wer hat Zugang zu kritischen Anlagenteilen, Leit- und Steuerungssystemen oder sicherheitsrelevanten Informationen? Wer kann Schutzmaßnahmen umgehen oder außer Kraft setzen? Daraus ergeben sich typischerweise zwei bis drei Risikoklassen, denen jeweils eine Prüftiefe zugeordnet wird. Ein vollständiges Screening für die höchste Klasse deckt mehrere Kategorien ab:
- Identitätsverifikation und Konsistenz des Werdegangs
- Bildungs- und Qualifikationsnachweise
- Berufliche Stationen und Referenzen
- Register- und Insolvenzinformationen aus zulässigen Quellen
- Sanktions- und Watchlisten
- Adverse Media (Medien- und Pressequellen, datiert)
- Wirtschaftliche Verflechtungen und Interessenkonflikte
Für niedrigere Risikoklassen genügt eine reduzierte Auswahl. Entscheidend ist, dass die Zuordnung von Rolle zu Prüftiefe begründet und einheitlich angewendet wird — eine willkürlich wirkende Praxis, die vergleichbare Rollen unterschiedlich behandelt, ist sowohl datenschutzrechtlich als auch gegenüber der Aufsicht angreifbar.
Schritt 3 und 4: Dokumentation und Re-Screening
Gegenüber der Aufsicht zählt nicht, dass geprüft wurde, sondern dass es sich nachweisen lässt. Jede Überprüfung sollte Anlass, Umfang, Quellen (mit Datum), Ergebnis und die verantwortliche Person festhalten — in einem Format, das Sie im Auditfall unverändert vorlegen können. Ebenso dokumentationsbedürftig ist das Konzept selbst: die Kriterien der Rollenklassifizierung, die Zuordnung der Prüftiefen und die datenschutzrechtliche Begründung je Prüfkategorie. Erst diese zweite Ebene macht aus einzelnen Prüfungen ein System, das einer Aufsichtsprüfung standhält. Ebenso gehört die Wiederholung ins Konzept: Eine Einstellung ist eine Momentaufnahme; für kritische Rollen sind anlassbezogene Prüfungen (Rollenwechsel, konkrete Hinweise) und angemessene Zyklen zu definieren. Vergessen Sie dabei die Dienstleister nicht — Fremdfirmenpersonal mit Anlagenzugang gehört in dasselbe Raster wie eigene Beschäftigte.
Warum die staatliche Überprüfung nur einen Teil abdeckt
Manche Betreiber verweisen auf bestehende behördliche Verfahren — etwa die Sicherheitsüberprüfung nach dem SÜG oder sektorspezifische Zuverlässigkeitsüberprüfungen. Diese Verfahren erfassen jedoch nur bestimmte Rollen, prüfen eng auf hoheitliche Schutzgüter und liefern dem Arbeitgeber kein verwertbares Ergebnis jenseits von „zuverlässig/nicht zuverlässig“. CV-Integrität, wirtschaftliche Interessenkonflikte und die Zeit zwischen den Prüfzyklen bleiben offen. Die Betreiberpflicht zur Personalsicherheit erfüllen sie daher nicht — die ausführliche Abgrenzung finden Sie im Beitrag Staatliche Sicherheitsüberprüfung vs. eigenes Screening.
Handlungsempfehlung
Setzen Sie die Personalsicherheit als eigenes Arbeitspaket im Resilienzplan auf — mit klarem Zeitplan vor Ablauf der Zehn-Monats-Frist: Rollenklassifizierung in Woche eins bis vier, Prüfkonzept und Datenschutzabstimmung danach, anschließend der Roll-out beginnend mit den kritischsten Rollen. Der Indicium-Software-Report bildet die Prüfung über die genannten Kategorien auditfest ab — mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO), ab €79 pro Report. Beispiele aus Energie, Wasser und Gesundheit finden Sie unter Industries; für Ihr konkretes Setup empfiehlt sich eine Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.