Rund 29.500 Unternehmen in Deutschland unterliegen seit Dezember 2025 dem NIS2-Umsetzungsgesetz – eine rund siebenfache Ausweitung gegenüber den bislang rund 4.500 regulierten Einrichtungen. Betroffen sind Organisationen aus 18 Sektoren, sofern sie mindestens 50 Mitarbeitende beschäftigen oder einen Jahresumsatz von über 10 Millionen Euro erzielen. Viele Verantwortliche verstehen das Thema noch primär als IT-Aufgabe – dabei betreffen zentrale Anforderungen der Richtlinie explizit auch Personalprozesse.

Welche Rolle spielt Personalsicherheit bei NIS2?

Die europäische NIS2-Richtlinie zählt „Personalsicherheit" ausdrücklich zu den Mindestmassnahmen, die betroffene Unternehmen im Rahmen ihres Risikomanagements umsetzen müssen – neben Themen wie Zugriffskontrollen, Lieferkettensicherheit und Vorfallmanagement. Für Personalabteilungen bedeutet das in der Praxis: Wer neue Mitarbeitende einstellt oder externen Dienstleistern Zugang zu kritischen Systemen gewährt, muss nachvollziehbar dokumentieren können, dass Identität, Qualifikation und Vertrauenswürdigkeit dieser Personen vor der Zugangsvergabe geprüft wurden.

Welche Bussgelder und Fristen gelten?

Besonders wichtigen Einrichtungen drohen Bussgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Bei erheblichen Sicherheitsvorfällen gilt zudem eine 24-Stunden-Meldepflicht ans BSI, gefolgt von einer 72-Stunden-Frist für eine detaillierte Bewertung und einer Ein-Monats-Frist für den vollständigen Abschlussbericht.

Was bedeutet die neue persönliche Haftung für Führungskräfte?

Erstmals sieht das Gesetz eine persönliche Haftung von Geschäftsführung und Vorstand vor: Leitungspersonen können mit bis zu 2 Millionen Euro belegt werden, wenn sie erforderliche Cybersicherheitsmassnahmen nicht anordnen oder überwachen – wozu auch die Kontrolle über Personalsicherheitsprozesse zählt. Damit wird die Frage, wer Zugang zu welchen Systemen erhält, zu einer Frage, für die Führungskräfte persönlich geradestehen.

Wie lässt sich Personalsicherheit im Sinne von NIS2 konkret umsetzen?

Bestehende Einstellungs- und Onboarding-Prozesse für Mitarbeitende und externe Dienstleister sollten systematisch mit dokumentierten Background-Checks ergänzt werden, um im Falle einer BSI-Prüfung eine lückenlose Nachweiskette vorlegen zu können. Dazu gehören insbesondere Identitätsverifikation, Sanktionslistenprüfung und der Abgleich mit internationalen Risikokatalogen.

Wie lässt sich das auch bei grossen Belegschaften umsetzen?

Für Unternehmen, die viele Mitarbeitende oder Dienstleister auf einmal auf den neuen Prüfstandard umstellen müssen, eignen sich kombinierbare Prüfmodule, die sich in bestehende Compliance- und HR-Systeme integrieren lassen und auch für Massenscreenings per Excel-Upload geeignet sind.

Quelle

Zusammenfassung zum deutschen NIS2-Umsetzungsgesetz bei shattered.io, "NIS-2 Deutschland: 29.500 Firmen, 10 Mio. Euro Strafe". Die Einordnung von Personalsicherheit als NIS2-Mindestmassnahme bezieht sich auf Art. 21 Abs. 2 der EU-NIS2-Richtlinie; die exakte Umsetzung im deutschen Gesetzestext sollte im Einzelfall juristisch geprüft werden.


Validato bietet kombinierbare Prüfmodule für Mitarbeitende und externe Dienstleister an, die sich in bestehende Compliance- und HR-Systeme integrieren lassen. Mehr dazu unter validato.com.