Il controllo di sicurezza statale non sostituisce uno screening aziendale proprio – i due strumenti hanno finalità, profondità di verifica e competenze diverse. Lo Stato verifica su evento e in modo strettamente limitato i beni giuridici sovrani; il risultato giunge al datore di lavoro solo come nulla osta o diniego. L’integrità del curriculum, i conflitti di interesse economici e il monitoraggio continuo non sono coperti da nessuna delle procedure statali – ed è proprio su questi ambiti che il datore di lavoro deve rispondere in prima persona in molti casi, secondo il KRITIS-DachG e il BSIG.
Cosa verifica lo Stato: SÜG, LuftSiG e AtZüV
Tre regimi statali di verifica caratterizzano la prassi:
- Controllo di sicurezza ai sensi dei §§ 7–10 SÜG: per attività sensibili alla sicurezza con accesso a documenti classificati, in tre livelli (Ü1–Ü3). Dalla novella del gennaio 2026 con profondità di verifica ampliata – dettagli nel contributo Modernizzazione SÜG 2026.
- Verifica di affidabilità (ZÜP) ai sensi del § 7 LuftSiG: per le persone con accesso alle aree di sicurezza degli aeroporti e nel cargo aereo.
- Verifica di affidabilità in materia nucleare ai sensi del § 12b AtG in combinato disposto con l’AtZüV: per le attività in impianti nucleari, nel decommissioning e nel trasporto di combustibili nucleari.
Tutte e tre le procedure hanno in comune: proteggono beni giuridici sovrani – la segretezza, la sicurezza aerea, la sicurezza nucleare. Attingono a fonti giuridicamente precluse al datore di lavoro, in particolare le interrogazioni presso le autorità per la protezione della Costituzione e il registro centrale federale. Questi canali di interrogazione sovrani sono riservati allo Stato e non possono e non devono essere replicati da uno screening privato.
Cosa la verifica statale non copre strutturalmente
Per il datore di lavoro, il controllo statale ha tre limiti sistemici:
- Opacità dell’esito: il datore di lavoro riceve di regola solo il risultato – «affidabile» o «non affidabile». Quali elementi vi siano alla base resta presso l’autorità. Una valutazione del rischio propria non è possibile su questa base.
- Oggetto di verifica ristretto: si verifica l’affidabilità in relazione al rispettivo bene giuridico sovrano. Se il curriculum è veritiero, se i titoli esistono, se sussistono intrecci economici o conflitti di interesse – tutto ciò non è oggetto della procedura.
- Fotografia istantanea: il controllo vale per un periodo di diversi anni. Ciò che accade tra un ciclo e l’altro non è coperto da alcun monitoraggio continuo. Per la sicurezza aerea, il contributo Cosa non verifica la ZÜP ai sensi del § 7 LuftSiG mostra questa lacuna in dettaglio.
Cosa possono – e sempre più spesso devono – fare i datori di lavoro
Oltre le interrogazioni sovrane, il datore di lavoro può verificare autonomamente in modo legato all’attività e proporzionato: identità e percorso professionale, titoli e referenze, registri pubblicamente accessibili, liste di sanzioni, notizie di stampa. Il quadro giuridico è dato dalle prescrizioni generali del GDPR in materia di protezione dei dati (in particolare artt. 6 e 88 GDPR) e dal § 26 BDSG; determinante è la necessità in rapporto alla posizione.
Dal «potere» per molti gestori deriva un «dovere»: il § 13 KRITIS-DachG e il § 30 BSIG nella nuova versione obbligano i gestori di impianti critici e gli enti NIS2 a misure di sicurezza del personale; sul piano unionale, l’art. 13 par. 1 lett. e e l’art. 14 della direttiva CER (UE) 2022/2557 ancorano espressamente i controlli sul background nel programma di obblighi. Questi obblighi sono rivolti al gestore stesso – non vengono adempiuti da un controllo statale che corre in parallelo sui singoli dipendenti. Una panoramica è offerta dai contributi sul KRITIS-Dachgesetz e sulla sicurezza del personale ai sensi del § 30 BSIG.
Colmare il tempo di attesa in modo conforme
Un problema pratico aggrava la questione della delimitazione: le procedure statali richiedono tempo. Fino al nulla osta, il datore di lavoro deve scegliere se far attendere la persona o impiegarla già. Uno screening proprio e documentato prima dell’inizio dell’attività è qui la via di mezzo conforme: non sostituisce la decisione statale, ma dimostra che il datore di lavoro non ha delegato all’autorità il proprio dovere di diligenza – e fornisce la valutazione del rischio che la procedura amministrativa gli nega strutturalmente.
Raccomandazione operativa
Mappate i vostri ruoli lungo tre domande: quali posizioni sono soggette a un controllo statale (SÜG, LuftSiG, AtZüV)? Quali posizioni sono critiche per la sicurezza senza essere coperte da una procedura statale? E dove KRITIS-DachG o BSIG vi obbligano a una sicurezza del personale propria? Per il secondo e il terzo gruppo vi serve un concetto di verifica proprio e documentato – una guida operativa è offerta dal contributo I controlli sul background come obbligo del gestore. Indicium fornisce a tal fine report software verificabili con fonti datate e controllo finale umano (art. 22 GDPR) – a partire da €79 a report; esempi per settore trovate in Industries.
Questo articolo non costituisce una consulenza giuridica.