Was ist Personalsicherheit?
Personalsicherheit bezeichnet organisatorische Maßnahmen, mit denen Personalabteilung und Vorgesetzte darauf hinwirken, dass Beschäftigte verantwortungsbewusst mit Informationen umgehen und die Sicherheitsvorgaben der Institution einhalten.
Technische Einordnung: Diese Kurzdefinition folgt dem BSI-IT-Grundschutz. Das BSIG verwendet den Ausdruck „Sicherheit des Personals“, definiert Personalsicherheit aber nicht als eigenen Rechtsbegriff.
Der Normwortlaut
„Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen sind das Ausmaß der Risikoexposition, die Größe der Einrichtung und die Umsetzungskosten sowie die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist von den Einrichtungen zu dokumentieren.“
„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen: […] 9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,“
Normtext: § 30 Absatz 1 Satz 1 bis 3 sowie Absatz 2 Satz 1 und Satz 2 Nummer 9 BSIG. Die Auslassung betrifft die übrigen Mindestmaßnahmen in den Nummern 1 bis 8 sowie die nachfolgende Nummer 10 und lässt die Bedingungen des zitierten Personalsicherheitsgebots unberührt.
Wer muss Personalsicherheit nach dem BSIG umsetzen?
§ 30 richtet sich an besonders wichtige und wichtige Einrichtungen. Welche Einrichtung dazugehört, bestimmt § 28 anhand der jeweiligen Einrichtungsart und der dafür geltenden Beschäftigten-, Umsatz- oder Bilanzmerkmale; einzelne Kategorien werden unabhängig von ihrer Größe erfasst. Über § 29 Absatz 2 gelten die Anforderungen grundsätzlich auch für Einrichtungen der Bundesverwaltung, vorbehaltlich der dortigen Sonderregelungen. Die Einordnung muss daher für die konkrete Einrichtung geprüft werden.
Wann entsteht die Pflicht?
Rechtliche Einordnung: Auslöser ist die gesetzliche Einordnung der Einrichtung, nicht erst ein Personal- oder Sicherheitsvorfall. Das Personalsicherheitskonzept gehört fortlaufend zu den Mindestbestandteilen der Risikomanagementmaßnahmen für die zur Diensterbringung genutzten informationstechnischen Systeme, Komponenten und Prozesse.
Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein. Bei der Verhältnismäßigkeit sind die Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung ist zu dokumentieren.
Welche Ausnahmen und Vorrangregeln gelten?
Rechtliche Grenzen: § 28 Absätze 5 und 6 verdrängen § 30 für die dort bezeichneten Telekommunikations-, Energie-, Finanz- und Telematikinfrastruktur-Sachverhalte; die gesetzlichen Rückausnahmen in § 28 Absatz 5 bleiben erhalten. Nach § 30 Absätzen 3 und 4 haben einschlägige EU-Durchführungsrechtsakte unter den dort genannten Voraussetzungen Vorrang, soweit sie entgegenstehende Anforderungen enthalten.
Zusätzlich kann das Bundesministerium des Innern unter den Voraussetzungen des § 37 einen einfachen oder erweiterten Ausnahmebescheid erlassen. Dafür müssen unter anderem die jeweils geregelten Tätigkeiten oder Dienste betroffen und die gesetzlichen Voraussetzungen erfüllt sein; beim erweiterten Ausnahmebescheid gehören dazu gleichwertige Vorgaben sowie eine anderweitig gewährleistete und beaufsichtigte Informationssicherheit. Vertrauensdiensteanbieter sind von den Ausnahmebescheiden nach § 37 Absätzen 1 bis 3 ausgeschlossen. Ein Ausnahmebescheid ist zu widerrufen, wenn nachträglich Tatsachen eintreten, die zur Ablehnung seiner Erteilung hätten führen müssen; bei einem vorübergehenden Wegfall der Voraussetzungen des § 37 Absatz 2 Satz 1 Nummer 1 oder 2 kann von einem Widerruf abgesehen werden.
Gibt es besondere Fristen oder Schwellenwerte?
§ 30 BSIG nennt weder eine eigenständige Umsetzungsfrist noch einen eigenen Zahlenwert für Personalsicherheitskonzepte. Zahlenmäßige Schwellen können nur bei der vorgelagerten Einordnung nach § 28 relevant sein. Eine fehlende Sonderfrist ändert nichts daran, dass eine erfasste Einrichtung die Maßnahmen nach § 30 ergreifen muss.
Wie grenzt der IT-Grundschutz Personalsicherheit ab?
Behördenpraxis und technische Einordnung: Bei Anwendung des BSI-IT-Grundschutzes wird der Baustein ORP.2 einmal auf den Informationsverbund angewendet. Die Umsetzungsverantwortung liegt typischerweise bei der Personalabteilung oder bei Vorgesetzten. Anforderungen an bestimmte Funktionen stehen in den jeweiligen Fachbausteinen. Sensibilisierung und Schulung sowie Identitäts- und Berechtigungsmanagement behandelt ORP.2 nicht als eigene Personalmaßnahmen, sondern grenzt sie als gesonderte Themen ab.
Wie sollte ein Personalsicherheitskonzept organisatorisch aufgebaut sein?
Praxisempfehlung: Die Einrichtung sollte Verantwortlichkeiten und kontrollierbare Abläufe über den personellen Lebenszyklus hinweg festlegen, etwa vor und während der Beschäftigung sowie bei Rollenwechsel oder Ausscheiden. Die Schnittstellen zu Zugriffskontrolle, IKT-Verwaltung, Vertraulichkeit und Schulung sollten ausdrücklich zugeordnet werden. Welche Einzelmaßnahmen verhältnismäßig sind, folgt aus der dokumentierten Risikobewertung; § 30 schreibt dafür keine pauschale Beschäftigtenüberwachung oder allgemeine Zuverlässigkeitsprüfung vor.
Häufige Fehlannahmen
- „Personalsicherheit ist im BSIG legaldefiniert.“ Nein. Das Gesetz verlangt Konzepte für die Sicherheit des Personals; die Begriffsbestimmung dieses Beitrags folgt der technischen BSI-Einordnung.
- „Die Pflicht beginnt erst nach einem Vorfall.“ Nein. Sie knüpft an die Einordnung der Einrichtung an und ist Bestandteil des fortlaufenden Risikomanagements.
- „§ 30 gilt für jedes Unternehmen.“ Nein. Erfasst sind besonders wichtige und wichtige Einrichtungen sowie grundsätzlich Einrichtungen der Bundesverwaltung nach § 29 Absatz 2; Ausnahmen und Sonderregime bleiben zu prüfen.
- „Personalsicherheit bedeutet zwingend Überwachung oder Zuverlässigkeitsprüfungen.“ Nein. Eine solche allgemeine Pflicht ergibt sich aus § 30 Absatz 2 Satz 2 Nummer 9 nicht.
- „Für das Konzept gilt eine besondere feste Frist.“ Nein. § 30 nennt keine eigenständige Frist für Personalsicherheitskonzepte.
- „Schulung und Berechtigungsmanagement sind mit Personalsicherheit identisch.“ Nein. Der IT-Grundschutz behandelt sie als gesonderte Themen; organisatorische Schnittstellen müssen dennoch abgestimmt werden.
Was die Geschäftsleitung tun sollte
- Die Einordnung nach §§ 28 und 29 sowie Bereichsausnahmen, Rückausnahmen, EU-Vorrangregeln und mögliche Ausnahmebescheide prüfen lassen.
- Ein risikobasiertes, geeignetes, verhältnismäßiges und wirksames Personalsicherheitskonzept veranlassen und dessen Umsetzung dokumentieren.
- Verantwortlichkeiten von Personalabteilung und Vorgesetzten sowie Schnittstellen zu Zugriffskontrolle, IKT-Verwaltung und Schulung verbindlich festlegen.
- Wirksamkeit und Umsetzung regelmäßig überwachen und Änderungen der Risikoexposition, Einrichtungsgröße, Kosten sowie möglicher Vorfallauswirkungen berücksichtigen.
- Die nach § 38 Absatz 3 erforderliche regelmäßige Teilnahme der Geschäftsleitung an Schulungen organisieren; das Gesetz gibt dafür keinen festen Turnus vor.
Gesetzliche Pflicht und Empfehlung: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die nach § 30 zu ergreifenden Maßnahmen umsetzen und ihre Umsetzung überwachen. Die konkrete Prozessgestaltung in den vorstehenden Schritten ist eine Umsetzungsempfehlung und keine wörtliche gesetzliche Checkliste.
Für die Geschäftsleitung
Entscheidend sind drei Nachweise: ob die Einrichtung in den Anwendungsbereich fällt, warum das gewählte Personalsicherheitskonzept angesichts der Risiken verhältnismäßig und wirksam ist und wie seine Umsetzung überwacht wird. Bereichsausnahmen und Vorrangregeln können die Reichweite verändern. Sie ersetzen nicht die dokumentierte Einordnungsentscheidung. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen tragen die Umsetzungs- und Überwachungsverantwortung und müssen regelmäßig an den gesetzlich beschriebenen Schulungen teilnehmen.
