Betreiber kritischer Anlagen in Energie, Wasser und Gesundheit müssen Personalsicherheit jetzt als eigenen Pflichtenkreis umsetzen: Das KRITIS-Dachgesetz verlangt in § 13 KRITIS-DachG Resilienzmaßnahmen, zu denen nach Art. 13 Abs. 1 lit. e und Art. 14 der CER-Richtlinie (EU) 2022/2557 ausdrücklich die Sicherheit des Personals einschließlich Hintergrundüberprüfungen gehört; parallel fordert § 30 Abs. 2 BSIG n. F. Konzepte für Personalsicherheit auf der Cyber-Seite. Die Antwort auf die Frage „Welche Überprüfung für welche Rolle?“ lautet: abgestuft — behördliche Überprüfung, wo sie gesetzlich vorgesehen ist, ergänzt um ein internes, dokumentiertes Screening-Programm für alle Rollen, die keine behördliche Prüfung durchlaufen oder deren Risiken sie nicht abdeckt.
Die Rechtslage: zwei Regime laufen parallel
Nach Ablauf der Registrierungsfrist am 17.07.2026 laufen für registrierungspflichtige Betreiber die Folgefristen des KRITIS-Dachgesetzes: Risikoanalyse und anschließend der Resilienzplan — Personalsicherheit ist darin Pflichtbestandteil, nicht Fußnote. Wer die Registrierung verpasst hat, sollte sie unverzüglich nachholen; Einzelheiten im Beitrag KRITIS-Dachgesetz: Pflichten, Fristen und Sektoren. Parallel gilt für dieselben Häuser regelmäßig das BSIG n. F.: § 30 Abs. 2 BSIG verlangt unter anderem Konzepte für Personalsicherheit und Zugriffskontrolle, und § 38 BSIG nimmt die Geschäftsleitung persönlich in die Verantwortung — vertieft im Beitrag NIS2 und § 30 BSIG. Datenschutzrechtlich bewegt sich das Screening im Rahmen von § 26 BDSG und Art. 6 DSGVO: erforderlich, verhältnismäßig, dokumentiert.
Welche Rollen welche Prüftiefe brauchen
Der Maßstab ist das Schadenspotenzial der Rolle, nicht die Hierarchieebene. Eine sektorübergreifende Orientierung:
- Leitwarte und Netzführung (Energie, Wasser): Personen, die Anlagen fahren oder Schalthandlungen auslösen können — höchste Prüftiefe, Wiederholung in festen Zyklen, anlassbezogene Prüfung bei Auffälligkeiten.
- IT- und OT-Administration, Medizintechnik-Admins (alle Sektoren): privilegierte Zugriffe auf Steuerungs- und Versorgungssysteme — vertiefte Prüfung einschließlich CV-Verifikation und Adverse Media, Re-Screening bei Rollenwechsel.
- Fremdfirmen und Dienstleister (Wartung, Reinigung in Sicherheitsbereichen, externe IT): oft weitreichende Zugänge ohne HR-Onboarding — Basisprüfung für die Breite, vertiefte Prüfung für Koordinatoren und dauerhaft eingesetzte Kräfte.
- Verwaltungsrollen ohne Anlagen- oder Systemzugriff: Basisprüfung bei Einstellung genügt regelmäßig; keine anlasslose Dauerüberwachung.
Wo behördliche Überprüfungen greifen — und wo nicht
Behördliche Zuverlässigkeitsüberprüfungen existieren nur dort, wo ein Spezialgesetz sie anordnet — etwa nach § 7 LuftSiG in der Luftsicherheit oder nach § 12b AtG i. V. m. AtZüV im Nuklearbereich. Für die Leitwarte eines Stadtwerks, die Netzführung eines Wasserversorgers oder den Medizintechnik-Administrator einer Klinik gibt es keine vergleichbare staatliche Prüfung: Hier greift ausschließlich das eigene Programm des Betreibers. Und selbst wo eine behördliche Prüfung existiert, deckt sie weder CV-Integrität noch wirtschaftliche Verflechtungen noch den Zeitraum zwischen den Prüfzyklen ab — die Abgrenzung im Detail zeigt der Beitrag Staatliche Sicherheitsüberprüfung vs. eigenes Screening.
Das abgestufte Programm: Software-Report für die Breite, Hybrid für Schlüsselrollen
Für die Umsetzung hat sich ein zweistufiges Modell bewährt: ein standardisierter Software-Report für die Breite der prüfpflichtigen Rollen — definierte Prüfkategorien, wiederholbar, revisionssicher dokumentiert — und ein vertieftes Hybrid-Verfahren mit analytischer Einzelfallbewertung für Schlüsselrollen. So entsteht ein Programm, das gegenüber der Aufsicht als systematische Umsetzung von § 13 KRITIS-DachG und § 30 Abs. 2 BSIG darstellbar ist. Indicium liefert dafür prüffeste Software-Reports mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) — ab €79 pro Report. Den vollständigen Umsetzungsleitfaden zur Betreiberpflicht finden Sie im Beitrag Hintergrundüberprüfungen als Betreiberpflicht.
Handlungsempfehlung
Starten Sie mit einer Rollenklassifizierung entlang des Schadenspotenzials, ordnen Sie jeder Klasse eine Prüftiefe und einen Wiederholungszyklus zu und schließen Sie Fremdfirmen ausdrücklich ein. Dokumentieren Sie das Konzept als Teil Ihres Resilienzplans und der BSIG-Maßnahmen — die Geschäftsleitung sollte es förmlich beschließen. Wie ein solches Programm in Ihrem Sektor konkret aussieht, zeigen wir Ihnen für Energie, Wasser und Gesundheit gern in einem persönlichen Gespräch — buchen Sie eine Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.