Con la legge quadro KRITIS (KRITIS-Dachgesetz) il diritto federale impone per la prima volta agli operatori privati di impianti critici verifiche sistematiche di personale e fornitori di servizi come parte del piano di resilienza. La sicurezza del personale viene così equiparata sul piano giuridico alla sicurezza tecnica e strutturale — ancorata a livello unionale nell’art. 13 par. 1 lett. e e nell’art. 14 della direttiva CER (UE) 2022/2557, che prevede espressamente i background check. L’attuazione riesce in quattro passaggi: classificare i ruoli in base al rischio, definire la profondità di verifica per classe di rischio, documentare in modo resistente alla vigilanza, definire i cicli di re-screening.
La situazione giuridica: la sicurezza del personale come obbligo dell’operatore
La legge quadro KRITIS in vigore da marzo 2026 — gli obblighi fondamentali si trovano in particolare nel § 13 KRITIS-DachG — obbliga gli operatori a misure di resilienza che, accanto a impianti e processi, comprendono anche il personale; una panoramica di termini e settori è offerta dal contributo Legge quadro KRITIS 2026. La direttiva CER menziona nell’art. 13 par. 1 lett. e la sicurezza del personale come categoria di misure e disciplina nell’art. 14 i background check per le persone in funzioni sensibili. Sul piano della protezione dei dati la verifica si fonda sull’art. 6 par. 1 lett. c e lett. f GDPR nonché sul § 26 BDSG — l’obbligo legale dell’operatore sostiene il trattamento, la proporzionalità ne fissa il quadro.
Passaggi 1 e 2: classificare i ruoli, definire la profondità di verifica
Non ogni posizione richiede la stessa verifica — non sarebbe né proporzionato né efficiente. Punto di partenza è una classificazione dei ruoli basata sul rischio: chi ha accesso a parti critiche dell’impianto, a sistemi di comando e controllo o a informazioni rilevanti per la sicurezza? Chi può eludere o disattivare le misure di protezione? Ne risultano tipicamente due o tre classi di rischio, a ciascuna delle quali viene assegnata una profondità di verifica. Uno screening completo per la classe più alta copre più categorie:
- Verifica dell’identità e coerenza del percorso professionale
- Titoli di studio e attestati di qualificazione
- Tappe professionali e referenze
- Informazioni da registri e su insolvenze provenienti da fonti consentite
- Liste di sanzioni e watchlist
- Adverse media (fonti mediatiche e di stampa, datate)
- Intrecci economici e conflitti di interessi
Per le classi di rischio inferiori è sufficiente una selezione ridotta. Decisivo è che l’attribuzione da ruolo a profondità di verifica sia motivata e applicata in modo uniforme — una prassi dall’apparenza arbitraria che tratta in modo diverso ruoli comparabili è attaccabile sia sul piano della protezione dei dati sia nei confronti dell’autorità di vigilanza.
Passaggi 3 e 4: documentazione e re-screening
Nei confronti dell’autorità di vigilanza non conta che sia stata effettuata una verifica, ma che sia dimostrabile. Ogni verifica dovrebbe registrare occasione, ambito, fonti (con data), esito e persona responsabile — in un formato che possiate presentare invariato in caso di audit. Ugualmente bisognoso di documentazione è il concetto stesso: i criteri della classificazione dei ruoli, l’attribuzione delle profondità di verifica e la motivazione in materia di protezione dei dati per ogni categoria di verifica. Solo questo secondo livello trasforma singole verifiche in un sistema che regge a un controllo dell’autorità di vigilanza. Anche la ripetizione appartiene al concetto: un’assunzione è un’istantanea; per i ruoli critici vanno definite verifiche legate a eventi specifici (cambi di ruolo, indizi concreti) e cicli adeguati. Non dimenticate i fornitori di servizi — il personale di imprese terze con accesso agli impianti rientra nella stessa maglia dei dipendenti propri.
Perché la verifica statale copre solo una parte
Alcuni operatori fanno riferimento a procedure amministrative esistenti — ad esempio la verifica di sicurezza ai sensi del SÜG o verifiche di affidabilità specifiche per settore. Queste procedure rilevano tuttavia solo determinati ruoli, verificano strettamente beni giuridici di natura sovrana e non consegnano al datore di lavoro alcun esito utilizzabile al di là di «affidabile/non affidabile». Integrità del CV, conflitti di interessi economici e il periodo tra i cicli di verifica restano aperti. Esse non adempiono quindi l’obbligo dell’operatore in materia di sicurezza del personale — la delimitazione dettagliata si trova nel contributo Verifica di sicurezza statale vs. screening proprio.
Raccomandazione operativa
Impostate la sicurezza del personale come pacchetto di lavoro autonomo nel piano di resilienza — con un calendario chiaro prima della scadenza dei dieci mesi: classificazione dei ruoli nella prima-quarta settimana, poi concetto di verifica e coordinamento sulla protezione dei dati, quindi il roll-out a partire dai ruoli più critici. Il report software di Indicium rappresenta la verifica sulle categorie menzionate in modo ricostruibile — con fonti datate e controllo finale umano (art. 22 GDPR), a partire da €79 a report. Esempi da energia, acqua e salute si trovano in Settori; per la vostra configurazione concreta si raccomanda una demo.
Questo articolo non costituisce una consulenza giuridica.