ISO 27001:2022 · A.6.2 · A.6 Personenbezogene Maßnahmen

Arbeitsvertragliche Vereinbarungen

Arbeitsverträge müssen die Verantwortlichkeiten von Beschäftigten und Organisation für die Informationssicherheit festlegen, einschließlich Geheimhaltungspflichten und der Folgen bei Verstößen.

ISO 27001TISAXBSIDSGVONIS2

Was fordert dieses Control?

Warum ist das wichtig?

Ohne vertragliche Verankerung lassen sich Sicherheitspflichten arbeitsrechtlich kaum durchsetzen. Klare Klauseln schaffen Verbindlichkeit und sind Voraussetzung für disziplinarische Maßnahmen.

Bezug zu anderen Normen

Norm	Stelle	Thema	Bezug
TISAX	1.3.2	Vertragliche Verpflichtung	Direkt
BSI	ORP.2.A1	Geregelte Einstellung	Indirekt
DSGVO	Art. 29	Weisungsgebundenheit	Indirekt
NIS2	§ 30 Abs. 2 Nr. 9 BSIG	Personelle Sicherheit	Direkt

Was der Auditor erwartet

Standardvertrag mit Informationssicherheits- und Geheimhaltungsklausel
Verweis auf geltende Richtlinien und deren Verbindlichkeit
Regelung der Pflichten, die über das Beschäftigungsende hinaus gelten

Audit-Checkliste

Dokumente

Mustervertrag / VertragsvorlageKlauseln zu Vertraulichkeit, Richtlinienbindung und Sanktionen

Nachweise

Unterzeichnete Verträge oder VerpflichtungserklärungenNachweis, dass Mitarbeiter die Pflichten akzeptiert haben

Nachweis der Richtlinien-AushändigungBestätigung, dass die Sicherheitsrichtlinien übergeben wurden

Nachgezogene BestandsverträgeErgänzende Verpflichtungserklärungen für Altverträge

Praxis-Tipps zur Umsetzung

Auf Richtlinien verweisenVerweisen Sie im Vertrag dynamisch auf die jeweils gültige Sicherheitsrichtlinie statt starre Texte zu duplizieren.

Nachwirkende Pflichten regelnGeheimhaltung und Rückgabe von Werten müssen auch nach Austritt gelten.

Verständlich formulierenPflichten so beschreiben, dass sie ohne Jura-Studium nachvollziehbar sind.

Bestandsverträge nachziehenNeue Sicherheitsklauseln über ergänzende Verpflichtungserklärungen auch bei Altverträgen einführen.

Häufige Fehler

Geheimhaltung endet mit dem VertragFehlende Nachwirkungsklausel lässt Schutz nach Austritt entfallen.

Keine RichtlinienbindungVerträge nennen keine konkrete Verbindlichkeit interner Vorgaben.

Häufig gestellte Fragen

Reicht eine separate Geheimhaltungsvereinbarung?

Sie ergänzt den Vertrag sinnvoll, ersetzt aber nicht die grundsätzliche Verankerung der Sicherheitspflichten im Arbeitsverhältnis.

Müssen bestehende Verträge nachgebessert werden?

Neue Pflichten lassen sich über ergänzende Verpflichtungserklärungen oder Richtlinien-Bestätigungen einführen.

Gilt das auch für Werkstudenten?

Ja, jede Person mit Zugriff auf schützenswerte Informationen sollte vergleichbar verpflichtet werden.

So hilft CompliantDesk bei A.6.2

Verknüpfen Sie Richtlinien mit Pflicht-Bestätigungen per Magic-Link, sodass jeder Mitarbeiter die Sicherheitsvorgaben nachweisbar akzeptiert.

Demo buchen Kostenloser NIS2-Check

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten