Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 06.12.2025 in Kraft — ohne Übergangsfrist. Rund 29.500 Unternehmen fallen als „besonders wichtige“ oder „wichtige Einrichtungen“ unter das neu gefasste BSIG, und § 30 Abs. 2 BSIG verlangt von ihnen ausdrücklich Konzepte für Personalsicherheit, Zugriffskontrolle und Sicherheit der Lieferkette. § 38 BSIG macht die Geschäftsleitung für die Umsetzung persönlich verantwortlich. Wer „Personalsicherheit“ bislang als Passwort-Richtlinie gelebt hat, hat die Pflicht nicht erfüllt — verlangt ist ein Konzept, das Menschen prüft, nicht nur Konten.
Wer erfasst ist — und welche Frist schon lief
Der Anwendungsbereich ergibt sich aus § 28 BSIG: Erfasst sind besonders wichtige und wichtige Einrichtungen aus einer breiten Palette von Sektoren — deutlich mehr Unternehmen als unter dem alten KRITIS-Regime. Viele mittelständische Betriebe sind betroffen, ohne es zu wissen. Die Registrierungspflicht nach § 33 BSIG war bis zum 06.03.2026 zu erfüllen; wer seine Betroffenheit noch nicht geprüft hat, sollte das jetzt nachholen und dokumentieren. Für Betreiber kritischer Anlagen kommt parallel das KRITIS-Dachgesetz mit eigenen Fristen hinzu — siehe KRITIS-Dachgesetz 2026: Pflichten und Fristen.
Was § 30 BSIG konkret verlangt
§ 30 Abs. 2 BSIG übersetzt Art. 21 Abs. 2 lit. i der NIS2-Richtlinie (EU) 2022/2555 in deutsches Recht und benennt die Maßnahmenkategorien, die jede Einrichtung abdecken muss — darunter ausdrücklich:
- Personalsicherheit: Konzepte, die das Risiko aus dem Faktor Mensch adressieren — von der Einstellung über Rollenwechsel bis zum Austritt.
- Zugriffskontrolle: Wer erhält welche Berechtigungen, wer entscheidet darüber, wie werden sie entzogen?
- Sicherheit der Lieferkette: die Einbeziehung von Dienstleistern und Zulieferern in das eigene Sicherheitskonzept.
Auffällig ist die Reihung: Der Gesetzgeber stellt die personelle Dimension neben die technische. Eine Einrichtung, die Firewalls und Patch-Management vorweisen kann, aber nicht erklären kann, wie sie die Integrität der Personen mit privilegierten Zugängen sicherstellt, hat eine Pflichtkategorie schlicht nicht bearbeitet.
Von der abstrakten Pflicht zum Screening-Konzept
„Konzepte für Personalsicherheit“ bleibt im Gesetz abstrakt — operativ bewährt sich eine Struktur entlang dreier Anlässe:
- Einstellung: risikobasierte Überprüfung vor Aufnahme der Tätigkeit, abgestuft nach Kritikalität der Rolle (Administratoren, Leitstellenpersonal, Schlüsselfunktionen intensiver als Rollen ohne privilegierten Zugriff).
- Rollenwechsel: Wer intern in eine kritische Funktion wechselt, wurde für diese Funktion nie geprüft — der Wechsel ist ein eigener Prüfanlass.
- Dienstleister: Externe mit Systemzugang durchlaufen kein HR-Onboarding und fallen sonst durch jedes Raster; die Lieferketten-Pflicht des § 30 BSIG holt sie ausdrücklich ins Konzept.
Ein methodisches Vorbild liefert die Umsetzungspraxis im KRITIS-Bereich — der Umsetzungsleitfaden für Hintergrundüberprüfungen lässt sich auf NIS2-Einrichtungen übertragen. Wichtig für Rollen mit behördlicher Überprüfung: Die staatliche Sicherheitsüberprüfung erfüllt die Betreiberpflicht nicht — zur Abgrenzung siehe Staatliche Sicherheitsüberprüfung vs. eigenes Screening.
Die Haftungsdimension: § 38 BSIG
§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG zu billigen und ihre Umsetzung zu überwachen — eine persönliche Pflicht der Leitungsebene, die sich nicht vollständig delegieren lässt. Für Geschäftsführer und Vorstände heißt das: Die Frage „Wie stellen wir Personalsicherheit sicher?“ muss auf Leitungsebene beantwortet und die Antwort dokumentiert sein. Eine Lücke in einer gesetzlich benannten Maßnahmenkategorie ist im Ernstfall schwer zu erklären — gerade wenn der Vorfall von innen kam und eine Überprüfung nie stattgefunden hat.
Handlungsempfehlung
Gehen Sie in drei Schritten vor: Erstens Betroffenheit und Registrierungsstatus nach §§ 28, 33 BSIG klären und dokumentieren. Zweitens die bestehenden Sicherheitskonzepte gegen die Maßnahmenkategorien des § 30 Abs. 2 BSIG spiegeln — mit ehrlicher Antwort auf die Frage, ob „Personalsicherheit“ bei Ihnen mehr ist als eine Richtlinie im Intranet. Drittens ein abgestuftes Screening-Konzept für Einstellung, Rollenwechsel und Dienstleister aufsetzen und der Geschäftsleitung zur Billigung vorlegen. Indicium unterstützt mit prüffesten Software-Reports mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) — ab €79 pro Report; sektorspezifische Beispiele finden Sie unter Industries.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.