ISO 27001:2022 · A.6.1 · A.6 Personenbezogene Maßnahmen

Sicherheitsüberprüfung

Vor der Einstellung müssen Bewerber im Rahmen der gesetzlichen Möglichkeiten überprüft werden. Umfang und Tiefe der Prüfung richten sich nach der Sensibilität der Position und den verarbeiteten Informationen.

ISO 27001NIS2TISAXBSIDSGVO

Was fordert dieses Control?

Warum ist das wichtig?

Unzureichend geprüfte Mitarbeiter sind ein erhebliches Insider-Risiko. Eine dokumentierte Überprüfung schützt vor Fehlbesetzungen in sicherheitskritischen Rollen und ist bei Audits ein häufiger Nachweispunkt.

Bezug zu anderen Normen

Norm	Stelle	Thema	Bezug
NIS2	§ 30 Abs. 2 BSIG	Personalsicherheit	Indirekt
TISAX	1.3.1	Personelle Sicherheit	Direkt
BSI	ORP.2.A1	Geregelte Einstellung	Direkt
DSGVO	Art. 88	Beschäftigtendatenschutz	Indirekt

Was der Auditor erwartet

Dokumentierter Prozess zur Bewerberüberprüfung mit Rollenbezug
Nachweis durchgeführter Prüfungen (z.B. Referenzen, Führungszeugnis bei sensiblen Rollen)
Berücksichtigung der DSGVO bei Erhebung und Speicherung der Daten

Audit-Checkliste

Dokumente

Einstellungs- und Screening-RichtlinieWelche Prüfungen je Rollenkategorie vorgesehen sind

Nachweise

Dokumentierte Prüfungen ausgewählter NeueinstellungenReferenzprüfung, Identitätsnachweis, ggf. Führungszeugnis

Screening-Nachweis für ExterneVergleichbare Prüfung von Dienstleistern und Zeitarbeit, vertraglich verankert

Rollenbezogene PrüftiefeDokumentierte Abstufung der Prüfung je Rollenkategorie

Interviews

HR-VerantwortlicheAblauf der Überprüfung und Eskalation bei Auffälligkeiten

Praxis-Tipps zur Umsetzung

Risikobasiert abstufenNicht jede Rolle braucht das gleiche Prüfniveau. Definieren Sie Stufen nach Datenzugriff und Kritikalität.

DSGVO sauber haltenErhebung nur mit Rechtsgrundlage, klare Löschfristen für Bewerberunterlagen.

Dienstleister einbindenAuch für externe Kräfte und Zeitarbeit eine vergleichbare Überprüfung vertraglich sicherstellen.

Häufige Fehler

Nur bei Festanstellung geprüftExterne, Praktikanten und Dienstleister mit Datenzugriff werden oft übersehen.

Keine DokumentationDie Prüfung findet statt, wird aber nicht nachweisbar festgehalten.

Häufig gestellte Fragen

Ist ein polizeiliches Führungszeugnis Pflicht?

Nein, nicht generell. Es ist nur bei sensiblen Rollen verhältnismäßig und muss DSGVO-konform begründet werden.

Gilt das auch für bestehende Mitarbeiter?

Primär für Neueinstellungen. Bei Rollenwechsel in sensiblere Positionen ist eine erneute Prüfung empfehlenswert.

Wie lange dürfen Bewerberunterlagen gespeichert werden?

In der Regel bis zu sechs Monate nach Absage, sofern keine längere Aufbewahrung gerechtfertigt ist.

So hilft CompliantDesk bei A.6.1

Im Mitarbeiter-Modul dokumentieren Sie Onboarding-Schritte inklusive Screening-Nachweis und verknüpfen sie revisionssicher mit dem ISMS.

Demo buchen Kostenloser NIS2-Check

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten