Avec la KRITIS-Dachgesetz (la loi-cadre allemande sur la résilience des infrastructures critiques), le droit fédéral exige pour la première fois des opérateurs privés d’installations critiques qu’ils procèdent à des contrôles systématiques du personnel et des prestataires de services dans le cadre du plan de résilience. La sécurité du personnel est ainsi placée sur un pied d’égalité juridique avec la sécurité technique et structurelle — ancrée dans le droit de l’UE à l’art. 13 al. 1 lit. e et à l’art. 14 de la directive CER (UE) 2022/2557, qui prévoit expressément des background checks. La mise en œuvre réussit en quatre étapes : classer les postes sur une base de risque, définir la profondeur de contrôle par classe de risque, documenter de manière vérifiable, définir les cycles de re-contrôle.
La situation juridique : la sécurité du personnel comme obligation de l’opérateur
La KRITIS-Dachgesetz, en vigueur depuis mars 2026 — les obligations essentielles figurent notamment à l’art. 13 KRITIS-DachG — oblige les opérateurs à prendre des mesures de résilience qui couvrent non seulement les installations et les processus, mais aussi le personnel ; un aperçu des délais et des secteurs est fourni dans l’article KRITIS-Dachgesetz 2026. La directive CER nomme la sécurité du personnel comme catégorie de mesures à l’art. 13 al. 1 lit. e et régit les background checks pour les personnes occupant des fonctions sensibles à l’art. 14. Sur le plan de la protection des données, le contrôle repose sur l’art. 6 al. 1 lit. c et lit. f RGPD et l’art. 26 BDSG (loi fédérale allemande sur la protection des données) — l’obligation légale de l’opérateur fonde le traitement, et la proportionnalité en fixe les limites.
Étapes 1 et 2 : classer les postes, définir la profondeur de contrôle
Tous les postes n’exigent pas le même contrôle — ce ne serait ni proportionné ni efficace. Le point de départ est une classification des postes fondée sur les risques : qui a accès aux parties critiques de l’installation, aux systèmes de conduite et de commande ou aux informations sensibles pour la sécurité ? Qui peut contourner ou désactiver les mesures de protection ? Cela donne généralement deux à trois classes de risque, chacune se voyant assigner une profondeur de contrôle. Un contrôle complet pour la classe la plus élevée couvre plusieurs catégories :
- vérification de l’identité et cohérence du parcours professionnel
- diplômes et justificatifs de qualification
- positions professionnelles et références
- informations de registres et d’insolvabilité provenant de sources autorisées
- sanctions et listes de surveillance
- adverse media (sources de presse et médias, datées)
- liens économiques et conflits d’intérêts
Pour les classes de risque inférieures, une sélection réduite suffit. Ce qui importe, c’est que la correspondance entre poste et profondeur de contrôle soit motivée et appliquée de manière cohérente — une pratique apparemment arbitraire qui traite différemment des postes comparables est contestable tant au regard du droit de la protection des données que vis-à-vis de l’autorité de surveillance.
Étapes 3 et 4 : documentation et re-contrôle
Vis-à-vis de l’autorité de surveillance, ce qui compte n’est pas que le contrôle ait eu lieu, mais qu’il puisse être prouvé. Chaque contrôle devrait consigner le déclencheur, le périmètre, les sources (avec dates), le résultat et la personne responsable — dans un format que vous pouvez soumettre tel quel en cas d’audit. Le concept lui-même doit également être documenté : les critères de la classification des postes, la correspondance des profondeurs de contrôle et la justification en matière de protection des données pour chaque catégorie de contrôle. Seule cette deuxième couche transforme des contrôles individuels en un système qui résiste à un examen de surveillance. La répétition fait aussi partie du concept : un contrôle d’embauche est un instantané ; pour les rôles critiques, des contrôles déclenchés par des événements (changements de poste, indices concrets) et des cycles appropriés doivent être définis. Et n’oubliez pas les prestataires de services — le personnel tiers ayant accès aux installations appartient à la même grille que vos propres collaborateurs.
Pourquoi le contrôle d’État ne couvre qu’une partie du tableau
Certains opérateurs invoquent les procédures officielles existantes — comme l’habilitation de sécurité au titre de la SÜG (loi allemande sur le secret de défense) ou les vérifications de fiabilité sectorielles. Ces procédures ne couvrent cependant que certains rôles, testent étroitement les intérêts protégés souverains et ne fournissent à l’employeur aucun résultat exploitable au-delà de « fiable / non fiable ». L’intégrité du CV, les conflits d’intérêts économiques et le temps entre les cycles de vérification restent sans réponse. Elles ne satisfont donc pas à l’obligation de sécurité du personnel de l’opérateur — la distinction détaillée est exposée dans l’article Habilitation de sécurité d’État vs. contrôle de l’employeur.
Conduite recommandée
Mettez en place la sécurité du personnel comme un volet de travail dédié du plan de résilience — avec un calendrier clair avant l’expiration du délai de dix mois : classification des postes au cours des semaines un à quatre, concept de contrôle et alignement en matière de protection des données ensuite, puis le déploiement en commençant par les rôles les plus critiques. Le rapport logiciel Indicium couvre le contrôle sur les catégories susmentionnées de manière vérifiable — avec sources datées et examen final humain (art. 22 RGPD), dès 79 € par rapport. Des exemples issus de l’énergie, de l’eau et de la santé sont disponibles sous Secteurs ; pour votre configuration spécifique, une démo est recommandée.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.