Die Personensicherheitsprüfung (PSP) ist das Instrument des Bundes, um Personen mit Zugang zu klassifizierten Informationen oder kritischen Systemen des Bundes zu überprüfen. Seit dem 1. Januar 2024 gelten dafür das Informationssicherheitsgesetz (ISG, SR 128) und die neue Verordnung über die Personensicherheitsprüfungen (PSPV, SR 128.31): Es gibt zwei Prüfstufen — die Grundsicherheitsprüfung und die erweiterte Sicherheitsprüfung (Art. 30 ISG) —, die Prüfung erfolgt nur mit Zustimmung der betroffenen Person (Art. 32 ISG), und durchgeführt wird sie von den Fachstellen PSP im VBS. Entscheidend für die Wirtschaft: Die PSP ist ein Bundesinstrument. Private Arbeitgeber ohne Bundesbezug erhalten keine PSP — und brauchen für sicherheitssensitive Rollen ein eigenes, datenschutzkonformes Screening.
Der neue Rechtsrahmen seit 2024
Mit dem Inkrafttreten des ISG wurde die Personensicherheitsprüfung auf eine neue gesetzliche Grundlage gestellt und die frühere Regelungslandschaft abgelöst. Die Art. 30 bis 32 ISG definieren Prüfstufen, Durchführung und Zustimmungserfordernis; die PSPV konkretisiert das Verfahren. Geprüft wird, ob von einer Person ein Risiko für die Informations- oder Sachsicherheit des Bundes ausgeht — etwa vor dem Zugang zu klassifizierten Informationen, zu geschützten Informatikmitteln oder zu sicherheitsempfindlichen Bereichen.
Zwei Prüfstufen statt drei
Das ISG hat die Systematik vereinfacht. Nach Art. 30 ISG bestehen zwei Stufen:
- Grundsicherheitsprüfung: die Standardstufe für Funktionen mit Zugang zu vertraulich klassifizierten Informationen oder vergleichbar schutzbedürftigen Bereichen.
- Erweiterte Sicherheitsprüfung: die vertiefte Stufe für Funktionen mit weitergehendem Zugang, etwa zu geheim klassifizierten Informationen — mit entsprechend breiterer Datenerhebung.
Welche Funktion welcher Stufe unterliegt, ergibt sich aus den Funktionenlisten der zuständigen Stellen; die Prüftiefe folgt also der Sensitivität der Funktion, nicht der Person.
Verfahren, Zustimmung und Ergebnis
Die PSP wird von den Fachstellen PSP im VBS durchgeführt und setzt zwingend die Zustimmung der zu prüfenden Person voraus (Art. 32 ISG) — ohne Einverständnis keine Prüfung. Die Fachstelle erhebt die im Gesetz vorgesehenen Daten, bewertet das Risiko und erlässt eine Verfügung. Für anfragende Stellen bedeutet das: Die PSP ist ein förmliches Verwaltungsverfahren mit entsprechendem zeitlichem Vorlauf, das in die Rekrutierungsplanung einzubeziehen ist. Wie sich staatliche Überprüfungen und arbeitgeberseitiges Screening grundsätzlich zueinander verhalten, ordnet — aus deutscher Perspektive, in der Systematik übertragbar — der Beitrag Staatliche Sicherheitsüberprüfung vs. eigenes Screening ein.
Wer keine PSP erhält — und was dann gilt
Die PSP steht nur für Funktionen mit Bezug zum Bund zur Verfügung: Bundespersonal, Angehörige der Armee, Mitarbeitende von Kantonen und Dritten, soweit sie an klassifizierten Projekten oder Informatikmitteln des Bundes mitwirken. Für Zulieferer bedeutet das eine Zweiteilung: Wer in einem klassifizierten Bundesprojekt mitwirkt, kann für die dort eingesetzten Personen in den Anwendungsbereich der PSP fallen — für alle übrigen Mitarbeitenden und Mandate gilt das nicht. Ein privates Unternehmen — die Bank, der Energieversorger, das Spital, der Technologiezulieferer ohne Bundesauftrag — kann für seine eigenen sicherheitssensitiven Rollen keine PSP beantragen. Das betrifft gerade auch Betreiber kritischer Infrastrukturen in der Schweiz, deren Leitstellen-, Netz- und IT-Funktionen hochsensibel sind, aber ausserhalb des Bundesgeheimschutzes liegen. Die Integritätsprüfung dieser Rollen ist damit vollständig Sache des Arbeitgebers: strukturiert, verhältnismässig und transparent nach den Vorgaben des revidierten Datenschutzgesetzes (revDSG, SR 235.1). Massstab ist die Eignungsrelevanz für die konkrete Funktion — eine positionsbezogen abgestufte Prüftiefe statt pauschaler Maximalrecherche. Was dabei arbeits- und datenschutzrechtlich gilt, vertieft der Beitrag Background-Checks in der Schweiz.
Handlungsempfehlung
Klären Sie zuerst, ob Ihre sicherheitssensitiven Funktionen einen Bundesbezug haben — nur dann führt der Weg über die Fachstellen PSP. Für alle übrigen Rollen definieren Sie ein eigenes Screening-Konzept: Funktionen nach Sensitivität klassifizieren, Prüftiefe je Stufe festlegen, betroffene Personen transparent informieren und jede Prüfung dokumentieren. Indicium liefert dafür prüffeste Software-Reports mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) — ab €79 pro Report. Wie das für Ihre Branche aussieht, zeigen wir Ihnen gern in einer Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.