ISO 27001, BSI C5, SOC 2 und TISAX bei HR-Software: Sicherheitszertifikate richtig prüfen
Wer 2026 eine HR-Software-Plattform für Payroll, Talent Management oder Zeiterfassung auswählt, kommt an Sicherheitszertifikaten nicht vorbei: ISO 27001, BSI C5, SOC 2 und TISAX sind für IT-Sicherheits- und Compliance-Abteilungen inzwischen ein hartes Ausschlusskriterium, nicht mehr nur ein Nice-to-have im Pitch-Deck. Besonders Automobilzulieferer verlangen von HR-Anbietern zunehmend ein gültiges TISAX-Label, das die ENX Association vergibt und in ihrem Portal (enx.com) verwaltet. Seit dem 6. Dezember 2025 gilt zudem das NIS-2-Umsetzungsgesetz mit Pflichten zur Lieferkettensicherheit. Diese Seite ordnet die vier wichtigsten Zertifizierungen ein, zeigt, was sie tatsächlich absichern, und liefert eine Checkliste für die Anbieterauswahl.
Warum HR-Software-Sicherheitszertifikate 2026 zum harten Auswahlkriterium werden
Ein unabhängiges Zertifikat schafft eine geprüfte Vergleichsbasis dort, wo bislang oft nur Marketingaussagen standen.
Marketingaussagen statt geprüftem Nachweis
HR-Software verarbeitet mit die sensibelsten Daten im Unternehmen: Gehaltsdaten, Gesundheitsinformationen, disziplinarische Vorgänge, Bewerberdaten und in vielen Fällen auch biometrische Zeiterfassungsdaten. Trotzdem verlassen sich viele Fachabteilungen bei der Anbieterauswahl noch immer auf Aussagen wie „wir sind sicher" oder „DSGVO-konform", ohne dass ein unabhängiges Audit dahintersteht. Das Ergebnis: Verträge werden unterschrieben, bevor die IT-Sicherheitsabteilung ein belastbares Zertifikat gesehen hat.
- NIS2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025) verlangt von erfassten Einrichtungen Maßnahmen zur Lieferkettensicherheit
- IAF-Übergangsfrist zu ISO 27001:2022 seit 31.10.2025 endgültig abgelaufen
- Altzertifikate nach ISO 27001:2013 gelten seither nicht mehr als aktueller Nachweis
Unabhängige Zertifizierung als objektiver Filter
Unabhängige Zertifizierungen wie ISO 27001, BSI C5, SOC 2 und TISAX schaffen eine objektive, extern geprüfte Vergleichsbasis. Eine akkreditierte Zertifizierungsstelle oder ein Wirtschaftsprüfer prüft nach einem festen Kriterienkatalog, ob Informationssicherheits-Managementsystem, Rechenzentrums-Sicherheit, Zugriffskontrollen und Notfallprozesse tatsächlich funktionieren. Für IT-Sicherheits- und Compliance-Verantwortliche wird das Zertifikat damit zum entscheidenden Filter in der Longlist.
- Anbieter ohne gültigen Nachweis fallen bereits in der Longlist raus
- Für DSGVO- und AVV-Bewertung siehe DSGVO bei HR-Software
- Diese Seite fokussiert bewusst auf die technischen Zertifizierungsnachweise
Die vier Zertifizierungen im Überblick
Ein Anbieter kann mehrere Zertifizierungen parallel führen. Entscheidend ist, ob der Geltungsbereich (Scope) tatsächlich die HR-Software-Instanz abdeckt.
| Zertifizierung | Herausgeber / Prüfer | Was wird geprüft | Typische Gültigkeit | Relevant für |
|---|---|---|---|---|
| ISO 27001ISMS-Norm | Akkreditierte Zertifizierungsstelle (z. B. TÜV, DEKRA, DQS) nach internationaler Norm der International Organization for Standardization | Informationssicherheits-Managementsystem (ISMS): Risikomanagement, Zugriffskontrollen, organisatorische Prozesse | 3 Jahre, mit jährlichen Überwachungsaudits | Grundlegender Nachweis für alle SaaS-Anbieter, Basis-Anforderung in fast jeder Ausschreibung |
| BSI C5Cloud-Kriterienkatalog | Wirtschaftsprüfer nach dem Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) | Cloud-spezifische Sicherheit: Rechenzentrumsstandort, Verschlüsselung, Transparenz über Subunternehmer, Portabilität | Testat für definierten Prüfzeitraum (meist 12 Monate), jährliche Neuprüfung | Öffentliche Auftraggeber, Behörden, Unternehmen mit strengen deutschen Cloud-Compliance-Vorgaben |
| SOC 2 (Type II)AICPA-Trust-Services | Wirtschaftsprüfungsgesellschaft nach dem Trust-Services-Kriterienkatalog des AICPA (American Institute of Certified Public Accountants) | Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit über einen Beobachtungszeitraum (meist 6 bis 12 Monate) | Bericht mit begrenzter Gültigkeit, jährliche Neuerstellung üblich | International tätige Konzerne, US-Mutterkonzerne, Anbieter mit Sitz oder Hosting in den USA |
| TISAXVDA-ISA-Katalog | ENX Association, geprüft durch akkreditierte Auditoren nach dem VDA-ISA-Katalog (Verband der Automobilindustrie) | Informationssicherheit speziell für den Umgang mit Daten der Automobilindustrie, inklusive Prototypenschutz | 3 Jahre, abhängig vom Prüflevel (Level 1 bis 3) | Zwingend für Zulieferer und Dienstleister von Automobilherstellern, häufig Ausschlusskriterium bei fehlendem Label |
Hinweis: Die reine Anzahl der Zertifikate sagt nichts über die Qualität aus; entscheidend ist, ob der Geltungsbereich (Scope) tatsächlich die HR-Software-Instanz und die relevanten Rechenzentren abdeckt. Neben den vier Kernzertifizierungen tauchen zunehmend drei weitere Nachweise in Ausschreibungen auf: ISO 27017 (Cloud-spezifische Sicherheitskontrollen als Ergänzung zu ISO 27001) und ISO 27018 (Schutz personenbezogener Daten in der Cloud) sind naheliegende Zusatznormen für SaaS-HR-Anbieter. Das EU Cloud Certification Scheme (EUCS) befindet sich als europäisches Cloud-Zertifizierungsschema in der Weiterentwicklung und wird mittelfristig als Ergänzung zu nationalen Schemata wie BSI C5 diskutiert. Für HR-Software-Kunden aus dem Finanzsektor kommt zusätzlich der Digital Operational Resilience Act (DORA) ins Spiel: Er verpflichtet beaufsichtigte Finanzunternehmen, die IT-Sicherheit ihrer kritischen IKT-Dienstleister im Rahmen des Lieferantenmanagements nachzuweisen, vergleichbar mit dem TISAX-Fokus in der Automobilindustrie.
Sieben Prüfpunkte, die über den Wert eines Zertifikats entscheiden
Ein Zertifikat allein sagt wenig: Scope, Aktualität und Prüftiefe entscheiden, ob der Nachweis belastbar ist.
Scope-Prüfung des Zertifikats
Ein ISO-27001-Zertifikat gilt nur für den im Zertifikat definierten Geltungsbereich. Prüfen Sie, ob die konkrete HR-Software-Instanz, die Rechenzentren und die eingesetzten Subprozessoren tatsächlich im Scope enthalten sind. Ein Konzernzertifikat für die Muttergesellschaft deckt nicht automatisch jedes Tochterprodukt ab.
Aktualität, Gültigkeit, Verifizierbarkeit
Seit dem 31. Oktober 2025 sind Altzertifikate nach ISO 27001:2013 nicht mehr als aktueller Nachweis gültig; fordern Sie die aktuelle Fassung nach ISO 27001:2022 an. Verifizieren Sie zusätzlich im Register der Zertifizierungsstelle oder direkt im ENX-Portal (enx.com) bei TISAX.
BSI C5-Testatstyp (Typ 1 vs. Typ 2)
Beim BSI C5 unterscheidet man zwischen Typ-1-Testat (Angemessenheit der Kontrollen zu einem Stichtag) und Typ-2-Testat (Wirksamkeit über einen Zeitraum). Für belastbare Aussagen zur tatsächlichen Betriebssicherheit ist ein Typ-2-Testat aussagekräftiger.
SOC 2 Type I vs. Type II
Analog zum BSI C5 gibt es bei SOC 2 einen Unterschied zwischen Type I (Momentaufnahme) und Type II (Beobachtungszeitraum von mehreren Monaten). Für HR-Software-Auswahlprozesse sollte ausschließlich ein aktueller Type-II-Bericht akzeptiert werden.
TISAX-Prüflevel und Ergebnisklasse
TISAX kennt drei Prüftiefen (Level 1 bis 3) und drei Ergebnisklassen (voll erfüllt, mit geringen Abweichungen erfüllt, nicht erfüllt). Fragen Sie konkret nach Level und Ergebnisklasse, nicht nur, ob „ein TISAX-Label vorliegt".
Subprozessoren & Rechenzentrumsstandort
Viele HR-Software-Anbieter nutzen Hyperscaler wie AWS, Microsoft Azure oder Google Cloud als Infrastruktur. Deren eigene Zertifizierungen ersetzen nicht das Zertifikat des HR-Anbieters selbst. Beide Ebenen müssen separat geprüft werden.
Zertifizierungskosten als versteckter Preisfaktor
Ein TISAX-Assessment auf Prüflevel AL2/AL3 sowie ein SOC-2-Type-II-Bericht mit mehrmonatigem Beobachtungszeitraum kosten wiederkehrend Zeit und Geld. Dieser Aufwand fließt in der Regel in die Lizenzpreise ein. Das beeinflusst Preis und Time-to-Contract.
Compliance-Aspekte rund um Sicherheitszertifikate
Zertifizierungen wirken in mehrere Rechtsrahmen hinein, von Vergaberecht über NIS2 bis Betriebsverfassung.
Nachweispflicht in Ausschreibungen
Öffentliche Auftraggeber und viele Konzerne verlangen in Vergabeverfahren inzwischen standardmäßig ein gültiges Sicherheitszertifikat als Ausschlusskriterium für die Angebotsabgabe, nicht nur als Bewertungskriterium.
NIS2-Umsetzung & Lieferkettenpflichten
Mit dem NIS2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301), das am 6. Dezember 2025 in Kraft getreten ist, müssen betroffene Unternehmen die IT-Sicherheit ihrer Software-Lieferanten, einschließlich HR-Software, dokumentiert nachweisen können (§ 30 Abs. 2 Nr. 4 BSIG).
Betriebsrat-Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
Die Einführung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung der Beschäftigten unterliegt der Mitbestimmung des Betriebsrats. Ein Zertifikat ersetzt diese Pflicht nicht, liefert aber eine belastbare Bewertungsgrundlage.
Auftragsverarbeitung & DSGVO-Schnittstelle
Zertifizierungsnachweise sind kein Ersatz für einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, unterstützen aber die dort geforderte Bewertung der „geeigneten technischen und organisatorischen Maßnahmen“. Details: DSGVO und HR-Software.
TISAX als K.-o.-Kriterium in der Automobilindustrie
Bei Zulieferern und Dienstleistern der Automobilindustrie ist ein fehlendes TISAX-Label in der Praxis häufig ein sofortiges Ausschlusskriterium für HR-Software-Anbieter, unabhängig davon, ob der Anbieter selbst Fahrzeugdaten verarbeitet.
Meldepflichten bei Sicherheitsvorfällen
Zertifizierte ISMS-Prozesse nach ISO 27001 verpflichten Anbieter zu dokumentierten Incident-Response-Verfahren. Der Vertrag sollte konkrete Meldefristen bei Sicherheitsvorfällen festlegen, die über die reine Zertifikatsanforderung hinausgehen.
Stand Oktober 2026: Das Gesetz gilt
Die NIS-2-Richtlinie (EU) 2022/2555 ist in Deutschland umgesetzt. Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und trat am 6. Dezember 2025 in Kraft. Es hat das BSI-Gesetz (BSIG) neu gefasst. Ältere Einschätzungen, die Gesetzgebung sei noch in Bewegung, sind damit überholt. Für HR bedeutet das: Personaldaten- und Payroll-Systeme gehören für erfasste Unternehmen in die Risikobetrachtung, und HR-Software-Anbieter werden zum Teil der Lieferkette, die nachweisbar abgesichert sein muss.
| Bereich | Inhalt | Norm |
|---|---|---|
| Betroffenheit | Besonders wichtige und wichtige Einrichtungen, abhängig von Sektor und Größe | § 28 BSIG, Anlagen 1 und 2 |
| Registrierung | Übermittlung der Stammdaten über das BSI-Portal, spätestens drei Monate nach Eintritt der Betroffenheit | § 33 BSIG |
| Risikomanagement | Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, deren Einhaltung zu dokumentieren ist | § 30 BSIG |
| Meldepflichten | Frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach | § 32 BSIG |
| Geschäftsleitung | Umsetzung und Überwachung der Maßnahmen, regelmäßige Schulung, Haftung gegenüber der Einrichtung nach Gesellschaftsrecht | § 38 BSIG |
| Bußgelder | Bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen bei Verstößen gegen Risikomanagement, Dokumentation und Meldepflichten. Bei über 500 Millionen Euro Gesamtumsatz alternativ bis zu 2 Prozent beziehungsweise 1,4 Prozent des Gesamtumsatzes | § 65 BSIG |
Die Meldepflicht nach § 32 gilt frühestens ab Einrichtung des Meldewegs. Die gesetzliche Registrierungsfrist ist für zum Inkrafttreten bereits erfasste Einrichtungen abgelaufen; das BSI fordert dazu auf, die Registrierung umgehend nachzuholen. Sie erfolgt über das BSI-Portal mit einem ELSTER-Organisationszertifikat. Die Bußgeldhöhe richtet sich nach dem jeweiligen Verstoß, die häufig zitierten 10 Millionen Euro sind die Obergrenze für diese Tatbestände bei besonders wichtigen Einrichtungen. Quellen: BSIG auf gesetze-im-internet.de (§§ 28, 30, 32, 33, 38, 65), BSI, NIS-2 in Zahlen (Auswertung zum 30.09.2026), BSI, Themenseite NIS-2-regulierte Unternehmen. Allgemeine Information, keine Rechtsberatung (Stand: Oktober 2026).
Wen NIS2 trifft: Anwender und Anbieter
Bei HR-Software stellen sich zwei getrennte Fragen. Ist Ihr eigenes Unternehmen eine besonders wichtige oder wichtige Einrichtung? Und ist der Anbieter, dessen Software Ihre Personaldaten verarbeitet, selbst erfasst oder zumindest Teil Ihrer Lieferkette? Beide Antworten bestimmen, welche Nachweise Sie verlangen und welche Pflichten Sie selbst haben.
Als Anwender betroffen
Als wichtige Einrichtung gelten Unternehmen ab 50 Beschäftigten oder mit über 10 Millionen Euro Jahresumsatz und Bilanzsumme, die einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen sind, etwa in Energie, Verkehr, Gesundheit, Lebensmittelherstellung oder im verarbeitenden Gewerbe. Besonders wichtig sind Unternehmen der Anlage 1 ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme (§ 28 BSIG). Die Pflichten beziehen sich auf die Systeme, die für die Erbringung der Dienste genutzt werden. Ob HR-Systeme dazu zählen, ist im Einzelfall zu bewerten; Payroll und Personalakte werden in der Praxis meist einbezogen.
Als Dienstleister möglicherweise erfasst
Anlage 1 nennt unter digitaler Infrastruktur unter anderem Anbieter von Cloud-Computing-Diensten und Managed Service Provider. Ob ein HR-Software-Anbieter darunterfällt, hängt von seiner konkreten Leistung und seiner Größe ab und lässt sich nicht pauschal beantworten. Fragen Sie den Anbieter direkt, ob er sich als Einrichtung nach NIS2 eingestuft und beim BSI registriert hat.
Mittelbar immer relevant
Auch ein nicht selbst erfasster Anbieter wird von seinen erfassten Kunden zur Sicherheit verpflichtet. § 30 Abs. 2 Nr. 4 BSIG verlangt Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern. Sie müssen deshalb belegen können, wie Sie Ihren HR-Software-Anbieter ausgewählt und überwacht haben.
Das BSI stellt eine Betroffenheitsprüfung bereit, die eine erste Einordnung ermöglicht. Zur Prüfung von Auftragsverarbeitung und Rechtsgrundlagen siehe DSGVO in der HR-Software. Quellen: BSIG §§ 28, 30, Anlagen 1 und 2 auf gesetze-im-internet.de (Stand: Oktober 2026).
Die zehn Mindestmaßnahmen aus Sicht von HR-Systemen
§ 30 Abs. 2 BSIG nennt zehn Maßnahmenfelder, die erfasste Einrichtungen mindestens abdecken müssen. Die Tabelle übersetzt sie in die Praxis von HRIS, Payroll, Bewerbermanagement und Zeiterfassung und nennt den Nachweis, den Sie beim Anbieter anfordern können. Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen, was Zertifikate wie ISO 27001 zu einem naheliegenden, aber nicht allein ausreichenden Baustein macht.
| Maßnahmenfeld | Bedeutung für HR-Systeme | Nachweis vom Anbieter |
|---|---|---|
| Nr. 1 Risikoanalyse und Sicherheitskonzepte | HR-Systeme im Risikoregister führen, Schutzbedarf für Gehalts-, Gesundheits- und Bewerberdaten festlegen | Sicherheitskonzept, Zusammenfassung der Risikoanalyse |
| Nr. 2 Bewältigung von Sicherheitsvorfällen | Incident-Prozess für HR-Daten, Meldekette zwischen Anbieter und Ihrem Security-Team abstimmen | Incident-Response-Prozess, vertragliche Meldefristen |
| Nr. 3 Betriebsaufrechterhaltung | Wiederanlauf für Lohnlauf und Zeiterfassung planen, Backups und Wiederherstellung testen | Angaben zu Wiederanlaufzeit und Datenverlust, Restore-Tests |
| Nr. 4 Sicherheit der Lieferkette | HR-Software-Anbieter und Unterauftragnehmer auswählen, dokumentiert prüfen und laufend überwachen | Zertifikate, Liste der Subprozessoren, Auditberichte |
| Nr. 5 Erwerb, Entwicklung, Wartung und Schwachstellenmanagement | Patch- und Release-Prozess, Umgang mit gemeldeten Schwachstellen | Beschreibung des Schwachstellenmanagements, Zusammenfassung von Penetrationstests |
| Nr. 6 Wirksamkeitsbewertung | Interne Audits und die laufende Prüfung der vom Anbieter vorgelegten Berichte | SOC-2-Type-II-Bericht, BSI-C5-Typ-2-Testat |
| Nr. 7 Schulungen und Sensibilisierung | Cybersicherheit in Onboarding und Weiterbildung verankern, Teilnahme dokumentieren | Schulungsnachweise, Lernmanagement mit Nachweisfunktion |
| Nr. 8 Kryptografie | Verschlüsselung bei Übertragung und Speicherung, Schlüsselverwaltung | Verschlüsselungskonzept, Angaben zum Schlüsselmanagement |
| Nr. 9 Personalsicherheit, Zugriffskontrolle, Verwaltung von IKT-Systemen | Rollen- und Rechtekonzept, Eintritt, Wechsel und Austritt als gesteuerter Prozess, regelmäßige Rezertifizierung | Rollenmodell, Zugriffsprotokolle |
| Nr. 10 Multi-Faktor-Authentifizierung und gesicherte Kommunikation | Mehrfaktor-Anmeldung für privilegierte Konten und Fernzugriff, zentrale Anmeldung per Single Sign-on | Unterstützte Authentifizierungsverfahren, Anbindung an Ihr Identitätsmanagement |
Zusätzlich dürfen erfasste Einrichtungen durch Rechtsverordnung bestimmte IKT-Produkte nur verwenden, wenn sie über eine europäische Cybersicherheitszertifizierung verfügen (§ 30 Abs. 6 BSIG). Eine solche Vorgabe speziell für HR-Software ist uns nicht bekannt. Quelle: BSIG § 30 auf gesetze-im-internet.de (Stand: Oktober 2026).
Zehn Sofortmaßnahmen für IT und HR
Wer noch keine belastbare Grundlage hat, kann mit einer überschaubaren Abfolge beginnen. Die Reihenfolge priorisiert zuerst Transparenz über den Ist-Zustand, dann Zugriffe und Nachweise, zuletzt die dauerhafte Verankerung.
Lückenanalyse
Ermitteln Sie den Stand der Informationssicherheit je HR-System gegen die zehn Maßnahmenfelder des § 30 Abs. 2 BSIG und halten Sie Lücken mit Verantwortlichen und Terminen fest.
Identitäts- und Rechteverwaltung
Beschränken Sie Zugriffe auf HR-Systeme nach dem Prinzip der minimalen Rechte und prüfen Sie Berechtigungen in festen Abständen, etwa halbjährlich.
Mehrfaktor-Authentifizierung
Schützen Sie administrative und privilegierte Konten sowie jeden Fernzugriff durch eine zweite Authentifizierungsstufe.
Gesteuertes Offboarding
Verknüpfen Sie die Austrittsmeldung im HR-System mit der automatischen Sperrung von Konten und Zugängen am letzten Arbeitstag.
Pflichtschulungen
Schulen Sie Beschäftigte regelmäßig zu Phishing, Passwörtern und Meldewegen und dokumentieren Sie die Teilnahme. Die Geschäftsleitung wird nach § 38 Abs. 3 BSIG ebenfalls regelmäßig geschult.
Nachweise führen
Halten Sie Zugriffsrechte, Schulungen, Audits und Anbieterprüfungen so fest, dass sie gegenüber Aufsicht, Kunden und Revision vorzeigbar sind. § 30 Abs. 1 verlangt die Dokumentation der Maßnahmen.
Interne Audits
Prüfen Sie jährlich, ob Maßnahmen umgesetzt sind und wirken, und werten Sie die Berichte Ihrer HR-Software-Anbieter aus.
Netzwerk und Zugangswege
Trennen Sie HR-Systeme und Schnittstellen sinnvoll von anderen Bereichen und begrenzen Sie die Wege, über die auf Personaldaten zugegriffen werden kann.
Schwachstellen und Updates
Klären Sie, wer bei Anbieter und intern für Patches, Schwachstellenmeldungen und Wartungsfenster verantwortlich ist, und messen Sie die Reaktionszeiten.
Strategie verankern
Machen Sie HR-Sicherheit zum festen Teil der IT-Sicherheitsstrategie, mit gemeinsamer Verantwortung von IT und HR und einem jährlichen Bericht an die Geschäftsleitung.
Die Liste ist eine Gestaltungsempfehlung auf Basis der Maßnahmenfelder in § 30 Abs. 2 BSIG und ersetzt weder eine Betroffenheitsprüfung noch eine Rechtsberatung. Der menschliche Faktor wird oft als Hauptrisiko genannt; belastbare Prozentwerte dazu hängen stark von Studie und Definition ab und werden hier bewusst nicht angeführt (Stand: Oktober 2026).
Funktionen und Zertifikate den Maßnahmen zuordnen
Zertifikate und Produktfunktionen stehen nicht für sich. Sie sind dann hilfreich, wenn sie konkret ein Maßnahmenfeld belegen. Die Übersicht ordnet die Funktionen, die IT-Leitungen in HR-Software typischerweise prüfen, den Maßnahmen und den üblichen Nachweisen zu. Funktionsangaben beruhen auf Herstellerangaben und sind im Einzelfall zu verifizieren.
| Funktion | Zugehöriges Maßnahmenfeld | Typischer Nachweis |
|---|---|---|
| Rollenbasierte Zugriffskontrolle, Mehrfaktor-Authentifizierung, Single Sign-on | Nr. 9 und 10 | Kontrollen zur Zugriffssteuerung und Authentifizierung in ISO 27001:2022 Annex A, Rollenmodell des Anbieters |
| Audit-Logs und Reporting über Zugriffe und Änderungen | Nr. 2 und 6 | Protokollierungskontrolle in ISO 27001:2022 Annex A, exportierbare Protokolle |
| Verschlüsselung und Schlüsselverwaltung | Nr. 8 | Kryptografie-Kriterien im BSI C5, Verschlüsselungskonzept |
| Schulungsmanagement mit Nachweisfunktion | Nr. 7 | Anforderungen an Bewusstsein und Schulung in ISO 27001, Schulungsberichte |
| Schnittstellen und Anbindung an Identitätsmanagement | Nr. 9 und 10 | API-Dokumentation, unterstützte Standards wie SAML oder OpenID Connect |
| Transparenz über Rechenzentren und Unterauftragnehmer | Nr. 4 | Transparenzanforderungen im BSI C5, Subprozessorliste |
| Backup, Wiederanlauf, Notfallprozesse | Nr. 3 | Notfallkonzept, Restore-Tests, Angaben zu Wiederanlaufzeiten |
Ein Zertifikat des Anbieters belegt nicht die NIS2-Konformität Ihres Unternehmens, es ist ein Baustein für die Lieferkettenprüfung nach § 30 Abs. 2 Nr. 4. Die Prüfpunkte zu Scope, Aktualität und Prüftiefe weiter oben gelten uneingeschränkt. Weiterführend: DSGVO in der HR-Software und HR-Software-Funktionen (Stand: Oktober 2026).
Wer in Ihrem Unternehmen was verantwortet
NIS2 ist kein reines IT-Thema. Die Pflichten verteilen sich auf mehrere Funktionen, und HR ist an mehreren Stellen direkt beteiligt, vom Eintritt bis zum Austritt von Beschäftigten.
Umsetzen, überwachen, geschult sein
§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und zu überwachen und regelmäßig an Schulungen teilzunehmen. Bei Pflichtverletzung haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts. Die operative Umsetzung lässt sich delegieren, die Verantwortung nicht vollständig.
Technik und Betrieb
Verantwortet Zugriffsmanagement, Protokollierung, Schwachstellenmanagement und die Meldekette für Sicherheitsvorfälle innerhalb der 24-Stunden-Frist. Stimmt Anforderungen an HR-Software mit dem Einkauf ab.
Personalsicherheit und Awareness
Steuert Eintritt, Wechsel und Austritt, pflegt die Stammdaten, aus denen Berechtigungen abgeleitet werden, und verankert Sicherheitsschulungen im Onboarding und in der Weiterbildung.
Parallele Meldewege
Ein Vorfall mit Personaldaten kann zugleich eine Verletzung des Schutzes personenbezogener Daten sein. Die Meldung an die Datenschutzaufsicht erfolgt nach Art. 33 DSGVO binnen 72 Stunden, getrennt von der Meldung an das BSI. Beide Abläufe sollten aufeinander abgestimmt sein.
Mitbestimmung bei Protokollierung
Protokolle über Zugriffe und Aktivitäten können Verhalten und Leistung der Beschäftigten erkennbar machen. Nach § 87 Abs. 1 Nr. 6 BetrVG besteht Mitbestimmung, auch bei Phishing-Simulationen und Schulungsnachweisen. Eine Betriebsvereinbarung schafft Klarheit. Mehr dazu: Betriebsrat einbinden im HR-Projekt.
Verträge mit Anbietern
Verankern Sie Meldefristen, die Ihnen die Einhaltung der 24 Stunden ermöglichen, Auditrechte, die Pflicht zur Information über Zertifikatsverlust und Regeln für Unterauftragnehmer im Vertrag.
Für den Anbietervertrag haben sich folgende Klauseln als Gestaltungsempfehlung bewährt: Pflicht zur unverzüglichen Information über erhebliche Sicherheitsvorfälle, damit die 24-Stunden-Frist eingehalten werden kann, Recht auf Einsicht in aktuelle Zertifikate und Auditberichte, Liste der Unterauftragnehmer mit Änderungsanzeige, Mitwirkung bei Sicherheitsprüfungen und ein Recht zur außerordentlichen Kündigung bei Verlust des Zertifikats. Die Klauseln sind vor Verwendung rechtlich zu prüfen und ersetzen keine Beratung (Stand: Oktober 2026).
In sechs Schritten zum zertifizierten HR-Software-Anbieter
Ein strukturierter Prüfprozess verhindert, dass Verträge unterschrieben werden, bevor Zertifikate belastbar geprüft wurden.
Anforderungsprofil definieren
Legen Sie mit IT-Sicherheit, Datenschutz und Einkauf fest, welche Zertifizierungen zwingend erforderlich sind (z. B. TISAX bei Automotive-Bezug, BSI C5 bei Public-Sector-Anbindung, DORA-relevante Nachweise im Finanzsektor).
Zertifikate direkt anfordern
Fordern Sie von jedem Anbieter auf der Longlist die vollständigen, aktuellen Zertifikate bzw. Testate an, nicht nur Marketingaussagen oder Logos auf der Website.
Scope, Gültigkeit, Echtheit prüfen
Kontrollieren Sie Geltungsbereich, Ausstellungs- und Ablaufdatum. Verifizieren Sie die Echtheit direkt bei der Quelle, etwa über das ENX-Portal oder das Register der Zertifizierungsstelle.
Subprozessoren einbeziehen
Lassen Sie sich die Liste der eingesetzten Subunternehmer und Rechenzentren offenlegen und prüfen Sie deren Zertifizierungsstatus getrennt vom Hauptanbieter.
Betriebsrat & Datenschutz einbinden
Binden Sie den Betriebsrat frühzeitig gemäß § 87 Abs. 1 Nr. 6 BetrVG ein und stimmen Sie die Auswahl mit dem Datenschutzbeauftragten ab, bevor ein Vertrag unterzeichnet wird.
Vertragliche Verankerung
Verankern Sie die Aufrechterhaltung der Zertifizierung sowie Meldepflichten bei Zertifikatsentzug oder Sicherheitsvorfällen explizit im Vertrag, über die gesamte Vertragslaufzeit.
Häufige Fragen zu Sicherheitszertifikaten bei HR-Software
Ist ISO 27001 für HR-Software gesetzlich vorgeschrieben?
Nein, ISO 27001 ist keine gesetzliche Pflicht, sondern eine freiwillige internationale Norm für Informationssicherheits-Managementsysteme. In der Praxis hat sich das Zertifikat jedoch als faktischer Mindeststandard etabliert, den größere Unternehmen und öffentliche Auftraggeber in Ausschreibungen voraussetzen. Mit dem NIS2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301), das am 6. Dezember 2025 in Kraft getreten ist, steigt der indirekte Druck, da erfasste Unternehmen die Sicherheit ihrer Software-Lieferkette berücksichtigen müssen (§ 30 Abs. 2 Nr. 4 BSIG).
Was unterscheidet BSI C5 von ISO 27001?
ISO 27001 ist eine allgemeine, weltweit anerkannte Norm für Informationssicherheits-Managementsysteme, während der BSI C5 (Cloud Computing Compliance Criteria Catalogue) speziell für Cloud-Dienste entwickelt wurde und vom Bundesamt für Sicherheit in der Informationstechnik herausgegeben wird. BSI C5 verlangt zusätzliche, cloud-spezifische Nachweise wie Transparenz über den Rechenzentrumsstandort, Verschlüsselungsverfahren und die Portabilität von Daten bei einem Anbieterwechsel. In Deutschland wird BSI C5 vor allem von Behörden und öffentlichen Auftraggebern gefordert, oft zusätzlich zu ISO 27001.
Warum verlangen Automobilzulieferer TISAX von HR-Software-Anbietern?
Automobilhersteller verpflichten ihre gesamte Lieferkette, einschließlich Dienstleister, die keine Fahrzeugdaten direkt verarbeiten, zu einem einheitlichen Sicherheitsniveau, das über TISAX (Trusted Information Security Assessment Exchange) nachgewiesen wird. Der Standard hat sich seit seiner Einführung durch die ENX Association in der Automobilindustrie breit durchgesetzt; aktuelle Statistiken zur Zahl aktiver Labels veröffentlicht ENX im TISAX-Portal (enx.com). Fehlt einem HR-Software-Anbieter dieses Label, wird er von vielen Automotive-Zulieferern gar nicht erst in die Anbieterauswahl aufgenommen, selbst wenn die HR-Daten selbst keinen direkten Automotive-Bezug haben.
Reicht ein SOC-2-Bericht anstelle von ISO 27001 aus?
Das hängt vom Anforderungsprofil des Kunden ab. SOC 2 ist ein Berichtsformat nach dem Trust-Services-Kriterienkatalog des amerikanischen Wirtschaftsprüferverbands AICPA und im US-Markt der De-facto-Standard, während ISO 27001 international und insbesondere in Europa breiter anerkannt ist. Viele europäische Unternehmen akzeptieren SOC 2 zusätzlich zu, aber selten anstelle von ISO 27001, insbesondere wenn deutsche oder europäische Compliance-Vorgaben gelten. Für eine belastbare Einschätzung sollten IT-Sicherheitsabteilungen prüfen, welches Format konkret gefordert wird.
Wie oft müssen Zertifikate erneuert werden?
ISO 27001 wird üblicherweise für drei Jahre mit jährlichen Überwachungsaudits zertifiziert, TISAX-Labels ebenfalls für drei Jahre je nach Prüflevel. BSI C5-Testate und SOC-2-Berichte haben dagegen typischerweise nur eine Gültigkeit von rund zwölf Monaten und müssen jährlich neu erstellt werden. IT-Einkaufsabteilungen sollten sich deshalb nicht auf ein einmal vorgelegtes Dokument verlassen, sondern die Aktualität während der gesamten Vertragslaufzeit regelmäßig nachprüfen.
Was passiert, wenn ein HR-Software-Anbieter sein Zertifikat verliert?
Der Verlust eines Zertifikats während der Vertragslaufzeit ist ein erhebliches Risiko, besonders wenn der Kunde selbst gegenüber Dritten, etwa im Rahmen von NIS2 oder TISAX-Ketten, zur Sicherheit seiner Lieferanten Auskunft geben muss. Deshalb sollte im Vertrag eine Meldepflicht bei Zertifikatsentzug oder -aussetzung sowie ein Recht auf außerordentliche Kündigung oder Nachbesserungsfrist vereinbart werden. Diese vertragliche Absicherung ist mindestens genauso wichtig wie die einmalige Prüfung des Zertifikats vor Vertragsschluss.
Muss der Betriebsrat bei der Auswahl einer zertifizierten HR-Software eingebunden werden?
Ja. Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) hat der Betriebsrat ein Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Das betrifft die meisten modernen HR-Software-Systeme. Ein vorliegendes Sicherheitszertifikat des Anbieters ersetzt dieses Mitbestimmungsrecht nicht, erleichtert aber dem Betriebsrat die fachliche Bewertung der Datensicherheit im Rahmen der Verhandlung einer Betriebsvereinbarung.
Deckt ein Zertifikat des Cloud-Anbieters (z. B. AWS oder Microsoft Azure) automatisch die HR-Software mit ab?
Nein. Die Zertifizierung der zugrunde liegenden Cloud-Infrastruktur (etwa ISO 27001 oder SOC 2 von Amazon Web Services oder Microsoft Azure) betrifft ausschließlich die Infrastrukturebene, nicht die Anwendung, den Code und die organisatorischen Prozesse des HR-Software-Anbieters selbst. Die HR-Software-Anwendung benötigt ein eigenes, separates Zertifikat mit einem Geltungsbereich, der die konkrete Software-Instanz einschließt. Käufer sollten deshalb beide Ebenen, Infrastruktur und Anwendung, getrennt abfragen und dokumentieren.
Welche Zertifizierung ist für ein mittelständisches Unternehmen ohne Automotive-Bezug am wichtigsten?
Für die meisten mittelständischen Unternehmen ohne Automotive- oder Public-Sector-Bezug ist ein aktuelles ISO-27001-Zertifikat der wichtigste und am breitesten anerkannte Basisnachweis. BSI C5 wird relevant, sobald öffentliche Aufträge oder Behördenkunden im Spiel sind, TISAX nur bei Lieferantenbeziehungen zur Automobilindustrie, DORA-relevante Nachweise bei Bezug zum Finanzsektor und SOC 2 vor allem bei US-amerikanischen Software-Anbietern oder Konzernstrukturen mit US-Bezug. Als grobe Faustregel gilt: Je stärker eine Branche selbst reguliert ist, desto wahrscheinlicher wird zusätzlich zu ISO 27001 ein branchenspezifischer Zusatznachweis verlangt.
Gilt NIS2 in Deutschland bereits, und seit wann?
Ja. Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Es hat das BSI-Gesetz neu gefasst. Erfasste Einrichtungen müssen sich beim BSI registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden. Die gesetzliche Registrierungsfrist für bereits erfasste Einrichtungen ist abgelaufen. Nach der Statistik des BSI waren zum 30. September 2026 insgesamt 20.141 Einrichtungen registriert.
Muss sich mein Unternehmen registrieren, wenn es nur HR-Software nutzt?
Die Registrierungspflicht hängt nicht von der Nutzung einer bestimmten Software ab, sondern davon, ob Ihr Unternehmen nach Sektor und Größe eine besonders wichtige oder wichtige Einrichtung nach § 28 BSIG ist. Dann gilt die Pflicht nach § 33 BSIG unabhängig davon, ob Sie HR-Software einsetzen. Die Nutzung von HR-Software ist für erfasste Unternehmen vor allem für die Risikoanalyse und die Lieferkettensicherheit relevant. Das BSI bietet eine Betroffenheitsprüfung an.
Welche Fristen gelten für die Meldung von Sicherheitsvorfällen?
Erfasste Einrichtungen müssen erhebliche Sicherheitsvorfälle unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, als frühe Erstmeldung abgeben, binnen 72 Stunden eine Meldung mit erster Bewertung nachreichen und spätestens einen Monat danach eine Abschlussmeldung vorlegen (§ 32 BSIG). Die Pflicht gilt frühestens ab Einrichtung des Meldewegs. Verträge mit HR-Software-Anbietern sollten Meldefristen enthalten, die diese Fristen ermöglichen.
Wie hoch sind die Bußgelder bei Verstößen gegen NIS2?
Das hängt vom Verstoß und von der Einrichtung ab. § 65 BSIG sieht für Verstöße gegen Risikomanagement, Dokumentation und Meldepflichten bei besonders wichtigen Einrichtungen Geldbußen bis zu 10 Millionen Euro und bei wichtigen Einrichtungen bis zu 7 Millionen Euro vor. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz können alternativ bis zu 2 Prozent beziehungsweise 1,4 Prozent des Gesamtumsatzes verhängt werden. Für eine versäumte Registrierung gilt ein niedrigerer Rahmen von bis zu 500.000 Euro (§ 65 Abs. 5 Satz 1 Nr. 5 BSIG).
Haftet die Geschäftsführung persönlich für NIS2-Verstöße?
Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und überwachen und regelmäßig geschult werden. Verletzen sie diese Pflichten, haften sie der Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln. Die Haftung besteht also gegenüber dem eigenen Unternehmen, nicht als Direktanspruch der Aufsicht. Die Umsetzung kann delegiert werden, die Überwachung bleibt Aufgabe der Geschäftsleitung.
Ist ISO 27001 beim HR-Software-Anbieter wegen NIS2 Pflicht?
Nein, das BSIG schreibt für HR-Software kein bestimmtes Zertifikat vor. § 30 Abs. 2 BSIG verlangt aber, dass Maßnahmen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen. Ein aktuelles ISO-27001-Zertifikat mit passendem Geltungsbereich ist deshalb ein naheliegender Nachweis für die Lieferkettenprüfung, ersetzt aber nicht die Prüfung der konkreten Maßnahmen.
Zertifizierte HR-Software-Anbieter im direkten Vergleich finden
Statt Zertifikate einzeln bei jedem Anbieter anzufragen, vergleichen Sie auf find-your-hr.de HR-Software-Lösungen anhand ihrer dokumentierten Sicherheitsnachweise, inklusive ISO 27001, BSI C5, SOC 2 und TISAX, und filtern gezielt nach den Zertifizierungen, die für Ihre Branche und Ihr Unternehmen verpflichtend sind.