NIS2 im HR.
Was das BSI-Gesetz von Personalbereich und HR-Software verlangt.

Ist NIS2 in Deutschland schon in Kraft?

Ja, das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und hat das BSI-Gesetz neu gefasst. Eine allgemeine Übergangsfrist sieht das Gesetz laut BSI nicht vor. Die Registrierung ist spätestens drei Monate nachzuholen, nachdem eine Einrichtung als erfasst gilt (§ 33 Abs. 1 BSIG). Wo die Meldepflicht ansetzt, regelt § 32. Verbindliche Auskünfte zu Ihrem Fall erteilt Ihre Rechtsberatung.

Was ändert NIS2 für den Personalbereich?

Der Personalbereich wird Teil des Sicherheitskonzepts, sobald Ihr Unternehmen erfasst ist. Das Gesetz nennt Personalsicherheit, Zugriffskontrolle und Schulungen ausdrücklich (§ 30 Abs. 2 Nr. 7 und 9 BSIG). HR liefert dafür den Eintritts-, Wechsel- und Austrittsprozess, die Zählung der Mitarbeitenden für die Betroffenheit und die Steuerung der HR-Software-Anbieter. Die Verantwortung bleibt bei der Geschäftsleitung, die Umsetzung im Alltag trägt der Fachbereich gemeinsam mit der IT. Beginnen Sie mit einer Liste Ihrer HR-Systeme und ihrer Anbieter.

Ab wie vielen Mitarbeitern gilt NIS2?

Die Mitarbeiterzahl ist nur ein Kriterium. Wichtige Einrichtungen haben mindestens 50 Mitarbeiter oder über 10 Mio. Euro Jahresumsatz und Bilanzsumme, besonders wichtige mindestens 250 Mitarbeiter oder über 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme (§ 28 BSIG). Zusätzlich muss das Unternehmen einer Einrichtungsart aus Anlage 1 oder 2 angehören und entgeltlich Waren oder Dienstleistungen anbieten. Gezählt wird in Jahresarbeitseinheiten, nicht nach Köpfen, und verbundene Unternehmen zählen grundsätzlich mit. Die Betroffenheitsprüfung des BSI hilft bei der ersten Einschätzung.

Muss HR-Software NIS2-konform sein?

Das Gesetz richtet sich an Einrichtungen, nicht an Software. Ein Siegel „NIS2-konform“ gibt es laut BSI nicht, ein allgemeines Zertifikat für alle Anforderungen existiert nicht. Sie müssen aber die Systeme, die Sie für Ihre Dienste nutzen, durch Maßnahmen absichern und Ihre Anbieter steuern (§ 30 Abs. 1 und 2 Nr. 4 BSIG). Verlangen Sie deshalb belegbare Auskünfte statt eines Etiketts, zum Beispiel mit den Prüffragen oben, und lassen Sie sich Zertifikate samt Geltungsbereich zeigen.

Reicht ein ISO-27001-Zertifikat des HR-Software-Anbieters?

Nein, nicht allein. Das BSI schreibt, eine Zertifizierung nach ISO/IEC 27001 oder IT-Grundschutz könne den Nachweis erleichtern, müsse aber im Hinblick auf den gesetzlichen Maßnahmenkatalog geprüft und gegebenenfalls ergänzt werden. Prüfen Sie Geltungsbereich, Gültigkeit und ob das von Ihnen genutzte Produkt erfasst ist. Bei Cloud-Diensten kommt zusätzlich ein C5-Testat in Betracht, dessen Prüfbericht Sie selbst anfordern und auswerten sollten, weil das BSI die Berichte nicht bewertet. Ein abgelaufenes oder fremdes Zertifikat belegt nichts.

Welche Meldefristen gelten bei einem Sicherheitsvorfall im HR-System?

Bei einem erheblichen Sicherheitsvorfall verlangt § 32 Abs. 1 BSIG eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, und eine Meldung mit erster Bewertung innerhalb von 72 Stunden. Spätestens einen Monat danach folgt die Abschlussmeldung, bei laufendem Vorfall eine Fortschrittsmeldung. Adressat ist die gemeinsame Meldestelle von BSI und BBK. Eine Meldung an die Datenschutzaufsicht kann zusätzlich nötig sein und folgt eigenen Fristen. Legen Sie beide Wege vorab fest und üben Sie den Ablauf einmal im Jahr.

Muss die Geschäftsführung geschult werden, und wer haftet?

Ja, Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Das Gesetz nennt keinen Rhythmus; das BSI verweist auf die Gesetzesbegründung und nennt als Orientierung mindestens vier Stunden innerhalb von drei Jahren. Wer die Umsetzung und Überwachung der Maßnahmen schuldhaft verletzt, haftet der Einrichtung für den Schaden nach Gesellschaftsrecht (§ 38 Abs. 2). Die Personalleitung ist nicht automatisch Geschäftsleitung im Sinne des Gesetzes, sie arbeitet der Geschäftsleitung zu. Dokumentieren Sie Teilnahme und Inhalte der Schulungen.

Welche Bußgelder drohen bei Verstößen gegen NIS2?

Bei Verstößen gegen Risikomanagement, Dokumentation und Meldepflichten sind Bußgelder bis zu 10 Mio. Euro bei besonders wichtigen und bis zu 7 Mio. Euro bei wichtigen Einrichtungen möglich (§ 65 Abs. 5 Nr. 1 BSIG). Bei einem Gesamtumsatz über 500 Mio. Euro können es bis zu 2 Prozent beziehungsweise 1,4 Prozent des Gesamtumsatzes sein (§ 65 Abs. 6 und 7). Fehler bei der Registrierung kosten bis zu 500.000 Euro. Das sind Obergrenzen, keine festen Beträge.

Was gehört zur Personalsicherheit nach NIS2?

Das Gesetz verlangt Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen (§ 30 Abs. 2 Nr. 9 BSIG). Praktisch gehören dazu ein Prozess für Eintritt, Rollenwechsel und Austritt, der Entzug aller Rechte zum Austrittstermin, Schulungen und eine regelmäßige Überprüfung der Berechtigungen. Konkrete Vorgaben wie Zuverlässigkeitsprüfungen nennt das Gesetz nicht; diese Ausgestaltung ist Ihre Entscheidung innerhalb der Grenzen von Datenschutz und Mitbestimmung. Dokumentieren Sie das Konzept, denn Sie müssen die Umsetzung nachweisen können.

Muss ich Mitarbeitende vor der Einstellung überprüfen?

Das BSI-Gesetz verlangt keine bestimmte Überprüfung vor der Einstellung, es verlangt Konzepte zur Personalsicherheit (§ 30 Abs. 2 Nr. 9). Welche Prüfungen Sie für sicherheitskritische Rollen festlegen, bestimmen Sie selbst, soweit der Datenschutz es zulässt: Beschäftigtendaten dürfen nur verarbeitet werden, wenn es für die Entscheidung über das Beschäftigungsverhältnis erforderlich ist (§ 26 Abs. 1 BDSG). Binden Sie die Datenschutzbeauftragte und gegebenenfalls den Betriebsrat früh ein. Das gilt besonders für Administratorrollen mit Zugriff auf Entgelt.

Ist ein HR-Software-Anbieter selbst von NIS2 betroffen?

Das kann sein. Das BSI ordnet ein funktional eigenständiges SaaS-Angebot grundsätzlich als Cloud-Computing-Dienst ein, und diese Dienste stehen in Anlage 1 des BSIG. Ob ein Anbieter wichtige oder besonders wichtige Einrichtung ist, hängt dann von seiner Größe ab (§ 28 BSIG). Für solche Anbieter gehen Durchführungsrechtsakte der EU-Kommission mit technischen Einzelvorgaben vor (§ 30 Abs. 3). Fragen Sie den Anbieter deshalb nach seiner Einordnung und seiner Registrierung beim BSI und halten Sie die Antwort schriftlich fest.

Wie hängen NIS2 und DSGVO bei HR-Daten zusammen?

Beide Regelwerke schützen dieselben Systeme, verfolgen aber verschiedene Ziele. Die DSGVO schützt personenbezogene Daten der Beschäftigten, NIS2 die Verfügbarkeit, Integrität und Vertraulichkeit der Systeme und Dienste einer Einrichtung. Ein Vorfall im HR-System kann beide Meldungen auslösen, an verschiedene Empfänger mit eigenen Fristen. Die DSGVO-Pflichten beschreibt die DSGVO-konforme HR-Software, hier stehen die Pflichten aus dem BSI-Gesetz. Planen Sie deshalb einen Eskalationsweg, der HR, IT und Datenschutz verbindet, und klären Sie vorab, wer über beide Meldungen entscheidet.