L’habilitation de sécurité de l’État ne remplace pas le screening propre de l’employeur — les deux instruments servent des finalités différentes, avec des profondeurs de contrôle et des domaines de responsabilité différents. L’État vérifie à des occasions spécifiques et dans des limites étroites, centré sur les intérêts protégés relevant de la souveraineté ; l’employeur ne reçoit le résultat que sous forme d’approbation ou de rejet. L’intégrité du CV, les conflits d’intérêts économiques et le monitoring continu ne sont couverts par aucune des procédures étatiques — et ce sont précisément ces domaines dont l’employeur doit, dans de nombreux cas, assumer la responsabilité lui-même en vertu de la KRITIS-DachG (loi allemande sur la résilience des infrastructures critiques) et de la BSIG (loi allemande sur l’Office fédéral de la sécurité de l’information).
Ce que l’État contrôle : SÜG, LuftSiG et AtZüV
Trois régimes de contrôle étatiques façonnent la pratique :
- Habilitation de sécurité en vertu des §§ 7 à 10 SÜG (loi allemande sur les habilitations de sécurité) : pour les activités sensibles du point de vue de la sécurité avec accès à des informations classifiées, en trois niveaux (Ü1 à Ü3). Depuis l’amendement de janvier 2026 avec une profondeur de contrôle étendue — détails dans l’article Modernisation de la SÜG 2026.
- Contrôle de fiabilité (ZÜP) en vertu du § 7 LuftSiG (loi allemande sur la sûreté aérienne) : pour les personnes ayant accès aux zones de sécurité des aéroports et dans le fret aérien.
- Contrôle de fiabilité en droit nucléaire en vertu du § 12b AtG (loi allemande sur l’énergie atomique) en liaison avec l’AtZüV : pour les activités dans les installations nucléaires, lors du démantèlement et dans le transport de combustible nucléaire.
Les trois procédures ont un point commun : elles protègent des intérêts juridiques relevant de la souveraineté — la protection des informations classifiées, la sûreté aérienne, la sécurité nucléaire. Elles s’appuient sur des sources juridiquement fermées à l’employeur, en particulier les interrogations des services de renseignement intérieurs (Verfassungsschutz) et du registre central fédéral des condamnations (Bundeszentralregister). Ces canaux d’interrogation souverains sont réservés à l’État et ne peuvent et ne doivent pas être répliqués par un screening privé.
Ce que le contrôle étatique ne livre structurellement pas
Pour l’employeur, l’habilitation d’État présente trois limitations systémiques :
- Opacité du résultat : en règle générale, l’employeur n’apprend que le résultat — « fiable » ou « non fiable ». Les constatations sous-jacentes restent auprès de l’autorité. Une évaluation indépendante du risque n’est pas possible sur cette base.
- Champ de contrôle étroit : ce qui est évalué, c’est la fiabilité au regard de l’intérêt protégé souverain spécifique. Que le CV soit exact, que les diplômes existent, que des liens économiques ou des conflits d’intérêts soient présents — rien de tout cela ne fait partie de la procédure.
- Instantané dans le temps : l’habilitation est valable pour une période de plusieurs années. Aucun monitoring continu ne capture ce qui se passe entre les cycles. Pour la sûreté aérienne, l’article Ce que la ZÜP au titre du § 7 LuftSiG ne contrôle pas examine cette lacune en détail.
Ce que les employeurs peuvent contrôler eux-mêmes — et doivent de plus en plus
Au-delà des interrogations souveraines, l’employeur peut effectuer ses propres contrôles, à condition qu’ils soient liés au rôle et proportionnés : identité et parcours professionnel, diplômes et références, registres accessibles au public, listes de sanctions, reportages médiatiques. Le cadre juridique est posé par les exigences générales de protection des données du RGPD (en particulier les art. 6 et 88 RGPD) et le § 26 BDSG (loi fédérale allemande sur la protection des données) ; le critère décisif est la nécessité proportionnée au poste.
Pour de nombreux exploitants, ce « pouvoir » devient un « devoir » : le § 13 KRITIS-DachG et le § 30 BSIG (dans sa version modifiée) obligent les exploitants d’installations critiques et les entités NIS2 à mettre en œuvre des mesures de sécurité du personnel ; au niveau de l’UE, l’art. 13, par. 1, lit. e et l’art. 14 de la directive CER (UE) 2022/2557 ancrent expressément les background checks dans le catalogue des obligations. Ces obligations s’adressent à l’exploitant lui-même — elles ne sont pas remplies par une habilitation d’État parallèle de salariés individuels. Pour une vue d’ensemble, voir les articles sur la loi-cadre KRITIS et sur la sécurité du personnel au titre du § 30 BSIG.
Combler le délai d’attente par une diligence documentée
Un problème pratique aiguise la question de la démarcation : les procédures étatiques prennent du temps. Jusqu’à l’octroi de l’habilitation, l’employeur doit choisir entre faire attendre la personne ou la déployer dès maintenant. Un screening propre et documenté avant le début du travail est la voie médiane juridiquement solide : il ne remplace pas la décision de l’État, mais il démontre que l’employeur n’a pas délégué son propre devoir de diligence à l’autorité — et il fournit l’évaluation des risques que la procédure officielle lui retient structurellement.
Conduite recommandée
Cartographiez vos fonctions à l’aide de trois questions : quels postes sont soumis à une habilitation d’État (SÜG, LuftSiG, AtZüV) ? Quels postes sont critiques du point de vue de la sécurité sans être couverts par une procédure étatique ? Et où la KRITIS-DachG ou la BSIG vous obligent-elles à assurer vous-même la sécurité du personnel ? Pour les deuxième et troisième groupes, vous avez besoin de votre propre concept de screening documenté — un guide de mise en œuvre est fourni dans l’article Background checks comme obligation de l’exploitant. Indicium fournit à cette fin des rapports logiciels vérifiables, avec sources datées et examen final humain (art. 22 RGPD) — dès 79 € par rapport ; des exemples par secteur figurent sous Secteurs.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.