NIS2 und DORA: Geschäftsführer haften für Mitarbeiter-Screenings
Veröffentlicht am: 26.07.2026 um 20:40 Uhr | Redaktion boerse-global.de
Die regulatorischen Anforderungen an Unternehmen in kritischen Sektoren haben sich im Bereich der personellen Sicherheit signifikant verschärft. Im Zentrum stehen dabei die EU-Richtlinien NIS2 und DORA, die weitreichende Verpflichtungen für automatisierte Mitarbeiter-Überprüfungen vorsehen. Betroffene Organisationen müssen sicherstellen, dass sowohl beim Onboarding als auch im laufenden Beschäftigungsverhältnis regelmäßige Sicherheitsüberprüfungen durchgeführt werden.
Rechtlicher Rahmen und personelle Sicherheitsrichtlinien
Bereits im September 2025 konkretisierte das NIS2-Umsetzungsgesetz (BT-Drs. 21/1501) die Anforderungen an das Risikomanagement in Deutschland. Gemäß den Bestimmungen des neuen BSIG (§§ 30, 38 BSIG-neu) ist die Geschäftsleitung zur Überwachung der Sicherheitsrichtlinien im Personalbereich verpflichtet. Obwohl Background-Checks im Gesetzestext nicht explizit als Einzelmaßnahme aufgeführt sind, ergeben sie sich indirekt aus den Vorgaben zur Lieferkettensicherheit gemäß Artikel 21 der NIS2-Richtlinie sowie den Anforderungen an ein Informationssicherheits-Managementsystem (ISMS).
Die Richtlinien sehen vor, dass Unternehmen in kritischen Sektoren automatisierte Screening-Verfahren etablieren. Diese umfassen neben der Phase vor der Einstellung (Pre-Employment) auch zyklische Re-Screenings, die je nach Risikoprofil in jährlichen oder sogar quartalsweisen Abständen erfolgen müssen. Ziel ist ein lückenloser und revisionssicherer Nachweis über die Zuverlässigkeit des Personals.
Warum so viele neue Mitarbeiter in den ersten 90 Tagen wieder kündigen – und wie Sie das verhindern. Ein strukturiertes Onboarding ist der entscheidende Unterschied: Diese kostenlose Checkliste zeigt, was die meisten Unternehmen beim Prozessstart übersehen. Kostenlose Onboarding-Checkliste herunterladen
Spezifische Anforderungen für Stadtwerke und KRITIS-Betreiber
Besondere Relevanz haben diese Regelungen für Stadtwerke und kommunale Versorger. Unternehmen dieser Sparte fallen unter die KRITIS-Regulierungen des NIS2-Umsetzungsgesetzes, sofern sie mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz von 10 Millionen Euro erzielen. Für ein erfolgreiches NIS-2-Audit müssen diese Betriebe einen lückenlosen Audit-Trail sowie dokumentierte Mitarbeiterschulungen vorweisen.
Im Falle der Nutzung moderner Software-Entwicklungswerkzeuge, wie etwa KI-gestützter Coding-Tools, verschärfen sich die Dokumentationspflichten weiter. Hier müssen für Audits detaillierte Informationen wie User-IDs, Zeitstempel, Datei-Hashes und Modell-IDs vorgehalten werden. Zudem ist sicherzustellen, dass der Quellcode innerhalb der Europäischen Union verarbeitet wird, beispielsweise über spezialisierte Cloud-Instanzen im Raum Frankfurt (eu-central-1). Zur technischen Compliance gehört zudem die Anbindung an ein SIEM-System (Security Information and Event Management) und die Speicherung von Audit-Logs über einen Zeitraum von mindestens 12 Monaten.
EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt. Dieser kostenlose Download verschafft Ihnen den Überblick über die KI-Verordnung, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. Umsetzungsleitfaden zum EU AI Act gratis sichern
Haftungsrisiken und sanktionsbewehrte Meldepflichten
Die Nichteinhaltung der NIS2-Vorgaben ist mit erheblichen finanziellen Risiken verbunden. Die Bußgelder können bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen. Über die rein finanziellen Sanktionen für das Unternehmen hinaus sehen NIS2 und DORA eine persönliche Haftung der Führungskräfte vor.
Zudem gelten strikte Meldefristen für Sicherheitsvorfälle. Schwere Vorfälle müssen innerhalb von 24 Stunden gemeldet werden; unter der DORA-Richtlinie verkürzt sich diese Frist bei bedeutenden Vorfällen auf lediglich 4 Stunden. Um diesen Anforderungen gerecht zu werden, bieten Dienstleister wie Validato Frameworks für automatisierte Finanz-Checks, Strafregisterabgleiche und Medienanalysen an, die eine revisionssichere Dokumentation auf europäischen Servern ermöglichen.
Fortbildung und Management-Pflichten
Die Sensibilisierung der Führungsebene für die neuen Pflichten nach § 38 BSIG wird durch spezialisierte Schulungsangebote flankiert. Ein entsprechendes Online-Seminar Anfang September 2026 thematisiert unter anderem die Melde- und Berichtspflichten sowie die spezifischen Haftungsrisiken der Geschäftsleitung. Solche Qualifizierungsmaßnahmen sind wesentlicher Bestandteil der gesetzlich geforderten Sicherheitsvorkehrungen, um die erforderliche Sorgfalt im Umgang mit personellen Risiken nachzuweisen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
