Les opérateurs d’installations critiques dans l’énergie, l’eau et la santé doivent désormais mettre en œuvre la sécurité du personnel comme un ensemble d’obligations distinct : la KRITIS-Dachgesetz (loi allemande sur la résilience des infrastructures critiques) exige des mesures de résilience au titre de l’art. 13 KRITIS-DachG, lesquelles — conformément à l’art. 13, par. 1, lit. e et à l’art. 14 de la directive CER (UE) 2022/2557 — incluent expressément la sécurité du personnel, y compris les background checks ; en parallèle, l’art. 30, par. 2 BSIG (loi allemande révisée sur l’Office fédéral de la sécurité des informations) exige des concepts de sécurité du personnel côté cyber. La réponse à la question « quel contrôle pour quel poste ? » est : échelonnée — un contrôle d’État là où une loi le prescrit, complété par un programme de contrôle interne documenté pour tous les postes qui ne font l’objet d’aucun contrôle d’État ou dont les risques ne sont pas couverts par celui-ci.
La situation juridique : deux régimes courent en parallèle
Après l’échéance d’enregistrement du 17 juillet 2026, les délais subséquents de la KRITIS-Dachgesetz s’appliquent aux opérateurs soumis à l’enregistrement : l’analyse des risques puis, ensuite, le plan de résilience — la sécurité du personnel en est une composante obligatoire, pas une note de bas de page. Quiconque a manqué l’enregistrement devrait le compléter sans délai ; détails dans l’article KRITIS-Dachgesetz : obligations, délais et secteurs. En parallèle, la BSIG révisée s’applique régulièrement aux mêmes organisations : l’art. 30, par. 2 BSIG exige, entre autres, des concepts pour la sécurité du personnel et le contrôle d’accès, et l’art. 38 BSIG impose une responsabilité personnelle à la direction — examiné en profondeur dans l’article NIS2 et l’art. 30 BSIG. En matière de protection des données, le contrôle opère dans les limites de l’art. 26 BDSG (loi fédérale allemande sur la protection des données) et de l’art. 6 RGPD : nécessaire, proportionné, documenté.
Quels postes exigent quelle profondeur de contrôle
Le critère est le potentiel de dommage du poste, et non sa place dans la hiérarchie. Une orientation transversale :
- Salles de contrôle et exploitation des réseaux (énergie, eau) : les personnes qui peuvent exploiter des installations ou déclencher des actions de commutation — profondeur de contrôle maximale, répétition à cycles fixes, contrôles déclenchés par des événements en cas de signaux d’alerte.
- Administration informatique et OT, administrateurs de technologie médicale (tous secteurs) : accès privilégié aux systèmes de conduite et d’approvisionnement — contrôle renforcé incluant la vérification du CV et les adverse media, re-contrôle lors de changements de poste.
- Entreprises et prestataires de services externes (maintenance, nettoyage dans les zones de sécurité, informatique externe) : souvent un accès de grande portée sans onboarding RH — contrôle de base généralisé, contrôle renforcé pour les coordinateurs et le personnel déployé en permanence.
- Postes administratifs sans accès aux installations ni aux systèmes : un contrôle de base à l’embauche suffit régulièrement ; pas de surveillance continue sans motif.
Où le contrôle d’État s’applique — et où il ne s’applique pas
Les contrôles de fiabilité étatiques n’existent que là où une loi spécifique les impose — par exemple au titre de l’art. 7 LuftSiG (loi allemande sur la sûreté aérienne) dans la sûreté aérienne ou de l’art. 12b AtG en liaison avec l’AtZüV dans le secteur nucléaire. Pour la salle de contrôle d’une régie municipale, l’exploitation des réseaux d’un fournisseur d’eau ou l’administrateur de technologie médicale d’un hôpital, il n’existe aucun contrôle d’État comparable : ici, seul le programme propre de l’opérateur s’applique. Et même là où un contrôle d’État existe, il ne couvre ni l’intégrité du CV, ni les liens économiques, ni la période entre les cycles de vérification — l’article Habilitation de sécurité d’État vs. contrôle de l’employeur expose la distinction en détail.
Le programme échelonné : rapport logiciel pour la base large, hybride pour les fonctions clés
Pour la mise en œuvre, un modèle à deux niveaux a fait ses preuves : un rapport logiciel standardisé pour la base large des postes soumis au contrôle — catégories de contrôle définies, reproductible, documenté de manière vérifiable — et une procédure hybride renforcée avec évaluation analytique au cas par cas pour les fonctions clés. Cela crée un programme qui peut être présenté à l’autorité de surveillance comme une mise en œuvre systématique de l’art. 13 KRITIS-DachG et de l’art. 30, par. 2 BSIG. Indicium livre à cette fin des rapports logiciels vérifiables, avec sources datées et examen final humain (art. 22 RGPD) — dès 79 € par rapport. Vous trouverez le guide de mise en œuvre complet de l’obligation de l’opérateur dans l’article Background checks comme obligation de l’opérateur.
Conduite recommandée
Commencez par une classification des postes selon le potentiel de dommage, assignez à chaque classe une profondeur de contrôle et un cycle de répétition, et incluez expressément les entreprises externes. Documentez le concept dans le cadre de votre plan de résilience et de vos mesures BSIG — la direction devrait l’adopter formellement. Nous serions ravis de vous montrer à quoi ressemble un tel programme dans votre secteur — énergie, eau et santé — lors d’un entretien personnel : réservez une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.