Fragebogen fragt, ob wir Mitarbeiter vor Einstellung überprüfen

Personalscreening gehört zur HRM-Sicherheit, nicht zur Zugriffskontrolle

Die Frage nach dem Screening vor Arbeitsbeginn fällt unter Personalsicherheit, eine der zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2 — ausdrücklich genannt unter Punkt (g), zusammen mit Arbeitsbedingungen und Disziplinarmaßnahmen bei Verstößen. Das ist ein anderes Feld als Zugriffskontrolle: Screening geht es darum, wen man einstellt, Zugangsrichtlinie geht es darum, was jemand sehen oder tun darf, sobald er drinnen ist. Füllen Sie also nicht automatisch "ja" bei dieser Frage aus, nur weil bereits eine Zugangsmatrix vorhanden ist — das ist ein anderer Nachweis.

Welcher Nachweis zählt, hängt davon ab, was in der Praxis geschieht. Eine VOG-Verpflichtung (Führungszeugnis) für Funktionen mit Zugriff auf sensible Systeme ist der konkreteste Nachweis. Fehlt dieser, dann zählt auch ein festgelegtes Verfahren im Einstellungsprozess: Referenzprüfung, Identitätsverifikation und bei ISO 27001-zertifizierten Unternehmen die Screening-Klausel aus Annex A 6.1 (vor Arbeitsbeginn). Ohne ISO-Zertifikat und ohne VOG-Regelung ist die Antwort meist "nein" oder "teilweise" — und das ist vollkommen in Ordnung so auszufüllen. Erfinden Sie keinen Screening-Prozess, den es nicht gibt; wenn der Kunde hierauf nachfragt, ist ein ehrliches "nein, aber bei den Funktionen X und Y" stärker als ein ja, das bei einer Prüfung nicht standhält.

Quelle: Artikel 21 Absatz 2 Buchstabe g und Annex A 6.1

Die zehn Maßnahmen des Artikels 21 Absatz 2 NIS2 nennen Personalsicherheit ausdrücklich unter (g), neben Zugriffskontrolle und dem Management von Betriebsmitteln. In der Praxis wird dies oft zusammen geprüft mit Schulung in Cyberhygiene, da beide unter die gleiche HRM-Richtlinie fallen. Für Unternehmen mit ISO 27001-Zertifikat ist die entsprechende Kontrollmaßnahme in Annex A unter der Klausel zum Screening vor Arbeitsbeginn zu finden — fragen Sie also nach, ob das ISO 27001-Zertifikat des Unternehmens diese Klausel abdeckt, denn nicht jedes Zertifikat hat den gleichen Umfang. Für Unternehmen, die selbst erst nach dem 15. August 2026 unter das Cybersecurity Act fallen, ist dies noch keine gesetzliche Pflicht, aber Kunden fragen oft schon im Voraus danach im Hinblick auf die Kettenverantwortung.