Überprüfung der Straffreiheit von Personal im KSC – Geltungsbereich festlegen und einen regelkonformen Prozess aufbauen

Die Überprüfung der Straffreiheit von Personal im KSC ist weder eine allgemeine Personalkontrolle noch eine Formalität vor einem Audit. Ihr Umfang muss sich aus einer konkreten Grundlage, dem Status der Organisation sowie den tatsächlichen Aufgaben und Berechtigungen der jeweiligen Person ergeben. Beginnt der Prozess mit dem Einholen von Nachweisen statt mit der Einordnung der Rollen, können gleichzeitig Personen übersehen werden, die einer Prüfung unterliegen, und Daten zu strafrechtlichen Verurteilungen ohne ausreichende Grundlage verarbeitet werden. Deshalb ist zunächst festzulegen, wer auf welcher Grundlage überprüft werden darf. Anschließend sind die Verantwortlichkeiten für die Beschaffung der Informationen, die Bewertung des Ergebnisses und die Zugangsentscheidung zu trennen. Abschließend ist die Dokumentation auf die Daten zu beschränken, die zum Nachweis der Konformität erforderlich sind.

Nicht mit dem Nachweis beginnen, sondern mit dem Geltungsbereich

Die Entscheidung über eine Überprüfung der Straffreiheit darf nicht damit beginnen, Unterlagen vom Personal anzufordern. Zunächst sollte die Unternehmensleitung den Status der Organisation im KSC-System bestätigen und die konkrete Vorschrift benennen, aus der sich eine Verpflichtung gegenüber bestimmten Personen ergibt. Ein allgemeiner Verweis auf NIS2, die Vorbereitung auf ein Audit oder der Aufbau eines Informationssicherheits-Managementsystems rechtfertigt nicht, sämtliche Beschäftigten, externen Mitarbeitenden und Lieferanten in die Prüfung einzubeziehen.

Die Grenzen des Prozesses sind für jede Anforderungsquelle gesondert festzulegen. Die NIS2-Richtlinie, das polnische KSC-Gesetz in seiner jeweils geltenden Fassung, Durchführungsbestimmungen, sektorspezifische Regelungen, vertragliche Bedingungen und interne Regeln zur Zugangsvergabe sind keine gleichwertigen Rechts- oder Anforderungsquellen. Für jede Quelle sind der sachliche, persönliche und zeitliche Geltungsbereich zu bestimmen: Wen betrifft die Anforderung, aus welchem Grund und ab welchem Zeitpunkt? Welche Ausnahmen bestehen und wann ist eine erneute Bewertung erforderlich? Wird eine Verfahrensanweisung erstellt, bevor diese Analyse abgeschlossen ist, können sowohl verpflichtend zu prüfende Personen übersehen als auch Daten zu strafrechtlichen Verurteilungen ohne hinreichende Grundlage verarbeitet werden.

Das Ergebnis dieser Einordnung sollte in einem kurzen, vom Compliance-Verantwortlichen freigegebenen Vermerk dokumentiert werden. Dieser sollte den Status der Organisation, die Rechtsgrundlage, das Datum und den der Analyse zugrunde gelegten Rechtsstand, die betroffenen Rollen sowie begründete Ausnahmen enthalten. Die Kategorie „IT-Personal“ ist zu pauschal. Es muss geklärt werden, ob die Anforderung Administratoren mit privilegierten Berechtigungen, an der Behandlung von Sicherheitsvorfällen beteiligte Personen, Personal von Dienstleistern sowie Vertretungen betrifft, die diese Aufgaben nur zeitweise übernehmen. Zusätzlich sind die verantwortliche Stelle für die rechtliche Bewertung und ein Termin für deren erneute Prüfung festzulegen – insbesondere bei Änderungen der Rechtslage, des Tätigkeitsumfangs oder des Zugangsmodells.

Die Festlegung des Prüfungsumfangs sollte Bestandteil des Vorhabens „Ein KSC-konformes ISMS – Geltungsbereich, Verantwortliche und Umsetzungsplan festlegen“ sein. Der Geltungsbereich des Managementsystems, die Prozessverantwortung und die privilegierten Rollen müssen aus derselben Organisations- und Prozesslandkarte abgeleitet werden. Erst dann lässt sich belastbar beurteilen, ob die Organisation nach dem aktuellen Rechtsstand einer entsprechenden Verpflichtung unterliegt, welche Vorschrift das Einholen von Informationen zur Straffreiheit erlaubt und für welche Personalkategorien dies zulässig ist.

Welche Personen die Überprüfung umfasst

Der persönliche Geltungsbereich richtet sich weder nach der Stellenbezeichnung noch nach der Beschäftigungsform. Entscheidend ist die einschlägige Anforderung in Verbindung mit den tatsächlichen Aufgaben, Berechtigungen und dem Einfluss der Person auf die Sicherheit der Dienstleistung. Bei der Einordnung sind logische und physische Zugänge, die Möglichkeit zur Änderung von Konfigurationen, die Mitwirkung an der Behandlung von Sicherheitsvorfällen, der Einfluss auf die Betriebskontinuität sowie zeitlich begrenzte und Notfallberechtigungen zu berücksichtigen. Rollen ohne Bezug zur geschützten Dienstleistung, zum System, zum Standort oder zu dem in der Vorschrift bezeichneten Bereich dürfen nicht vorsorglich in die Prüfung einbezogen werden.

Das zentrale Entscheidungsinstrument ist eine Rollenmatrix, die gemeinsam vom Prozessverantwortlichen, der für Informationssicherheit zuständigen Person und der Personalabteilung unter Einbindung des Compliance-Verantwortlichen geführt wird. Die Matrix sollte mit dem Identitäts- und Berechtigungsmanagement sowie der Funktionstrennung verknüpft sein. Eine reine Personalliste reicht nicht aus. Erforderlich sind auch Verzeichnisse privilegierter Konten, administrativer, physischer und für Notfälle vorgesehener Zugänge sowie externer Personen mit tatsächlichem Zugriff auf die im Geltungsbereich liegenden Systeme oder Prozesse.

Ein technischer Administrator eines Dienstleisters kann weitergehende Berechtigungen besitzen als eine interne Führungskraft, obwohl er nicht bei der Organisation beschäftigt ist. Eine allein auf der Vertragsart beruhende Einordnung könnte daher eine Person mit erheblichem Einfluss auf die Sicherheit ausschließen. Daraus folgt jedoch nicht, dass ein externer Administrator automatisch demselben Verfahren wie ein Beschäftigter unterliegt. Der Datenumfang, die Art des Nachweises und die Verantwortung für die Bewertung müssen sich aus einer zulässigen Rechtsgrundlage oder einem entsprechend ausgestalteten Vertrag ergeben. Zeitlich befristete Zugänge und Notfallzugänge sind nach dem möglichen Umfang der Handlungen zu bewerten – nicht nach der erwarteten Nutzungshäufigkeit.

Die Matrix sollte Beschäftigte, Organmitglieder, auf anderer Grundlage tätige Personen, externe Administratoren sowie Personal von Dienstleistern und Unterauftragnehmern abbilden, jedoch ausschließlich innerhalb der Grenzen der jeweils maßgeblichen Anforderung. Sie ist nach Änderungen der Berechtigungsarchitektur, des Leistungsumfangs, des Dienstleisters oder der Rechtslage zu überprüfen. Die Anzahl privilegierter Rollen und externer Personen mit tatsächlichem Zugriff bestimmt den Umfang des Prozesses und dient als Eingangsgröße für die im Beitrag „Was kostet die Umsetzung von NIS2 und uKSC – Budget für Audit, Dokumentation, Schulungen und Schutzmaßnahmen ohne kostspielige Fehler planen“ beschriebene Ressourcenplanung.

Wo Kosten und Risiken entstehen

Das größte Risiko liegt nicht in der technischen Beschaffung einer Information zur Straffreiheit, sondern in der Einleitung einer Prüfung ohne eindeutige Grundlage, festgelegten Zweck und begrenzten Umfang. Daten über strafrechtliche Verurteilungen und Straftaten unterliegen einem besonderen Verarbeitungsregime. Eine gewöhnliche Einwilligung der betroffenen Person oder eine allgemeine Regelung in einer Personalrichtlinie sollte nicht als automatische Rechtfertigung für ihre Erhebung behandelt werden. Vor der Auswahl des Prüfverfahrens ist festzustellen, welche Informationen die einschlägige Vorschrift tatsächlich verlangt, welche Personen sie betrifft und wer für die Bewertung des Ergebnisses verantwortlich ist.

Die Kosten steigen, wenn eine Organisation vollständige Unterlagen vom gesamten Personal anfordert, Kopien ohne festgelegte Aufbewahrungsfrist speichert, sie per unverschlüsselter Standard-E-Mail übermittelt oder der Personalabteilung, Vorgesetzten, Sicherheitsfunktion und Auditoren ohne klare Berechtigungstrennung zugänglich macht. Jede zusätzliche Kopie erhöht den Aufwand für Datenschutz, Zugriffskontrolle, die Bearbeitung von Anfragen und die sichere Löschung. Die Leitung sollte daher nicht nur die Anzahl der durchgeführten Prüfungen messen, sondern auch die Zahl der Personen mit Zugriff auf die Unterlagen und die tatsächlichen Aufbewahrungszeiten.

Eine weitere Risikquelle sind fehlende Kriterien für die Ergebnisbewertung. Eine bei der Prüfung offengelegte Information darf weder zu einer improvisierten Entscheidung der Führungskraft führen noch losgelöst von den für die jeweilige Rolle geltenden Anforderungen bewertet werden. Die Personalabteilung kann ein Dokument ordnungsgemäß einholen; der Prozess bleibt dennoch fehlerhaft, wenn nicht festgelegt ist, wer dessen Relevanz beurteilt, auf welcher Grundlage über die Zulassung entschieden wird und ob die Aufbewahrung einer Kopie erforderlich ist. Das Verfahren sollte einen Eskalationsweg und einen Reaktionsplan im Kontrollplan – Maßnahmen bei Überschreitung von Prozessgrenzen beschreiben enthalten.

Der Nachweis über die Durchführung der Prüfung ist von der Aufbewahrung des Dokumentinhalts zu trennen. Abhängig von der einschlägigen Grundlage und der Nachweispflicht kann es genügen, das Prüfdatum, den Prüfungsumfang, die zur Bewertung befugte Person, das Qualifikationsergebnis und die Zugangsentscheidung zu dokumentieren, ohne den vollständigen Inhalt der Bescheinigung zu speichern. Ist eine Kopie erforderlich, sind Empfängerkreis, Schutzmaßnahmen und Löschfrist festzulegen. Eine solche Dokumentation verbindet Datenminimierung mit der Pflicht, Konformität nachweisen zu können, statt die rechtliche Bewertung durch eine Vorratssammlung von Unterlagen zu ersetzen.

Der Prozess von der Einordnung bis zur Zugangsfreigabe

Der Prozess muss vor dem Einholen von Informationen zur Straffreiheit beginnen. Zunächst ordnet der Prozessverantwortliche die Rolle ein, benennt die aktuelle Rechtsgrundlage und legt den erforderlichen Prüfungsumfang fest. Danach informiert die Organisation die betroffene Person über Zweck, Verfahren und Regeln der Datenverarbeitung, wählt eine zulässige Informationsquelle und überprüft ihre Identität. Die weiteren Entscheidungspunkte umfassen die Bewertung des Ergebnisses, die Freigabeentscheidung, die Vergabe der Berechtigungen und die Erstellung eines Kontrollnachweises.

Für jede Tätigkeit sind die verantwortliche Rolle, die erforderlichen Eingaben, die Frist und das Vorgehen bei fehlenden Unterlagen, Fristüberschreitungen oder klärungsbedürftigen Ergebnissen festzulegen. Eine formale Prüfung ist nicht mit einer operativen Entscheidung gleichzusetzen. Die Personalabteilung kann die betroffene Person informieren, das Dokument entgegennehmen und die Vollständigkeit der Angaben bestätigen. Sie sollte jedoch nicht allein über den Zugang zu Systemen oder Infrastruktur entscheiden.

Die endgültige Entscheidung sollte bei einer festgelegten geschäftlichen Rolle liegen – in der Regel beim Systemverantwortlichen oder bei der für den jeweiligen operativen Bereich verantwortlichen Person – und unter Mitwirkung der Sicherheitsfunktion getroffen werden. Ist das Ergebnis nicht eindeutig oder bestehen Zweifel am zulässigen Umfang der Datenverarbeitung, ist die Rechts- oder Datenschutzfunktion einzubeziehen. Diese Aufgabentrennung verhindert sowohl eine automatische Zugangsvergabe nach Vorlage eines Dokuments als auch eine beliebige Auslegung durch Vorgesetzte.

Die Entscheidungskriterien müssen vor dem ersten Problemfall freigegeben werden. Das Verfahren sollte festlegen, wer Unklarheiten bewertet, welche Informationen berücksichtigt werden dürfen, ob eine Einschränkung des Zugangs zulässig ist und wie die Begründung dokumentiert wird, ohne den Inhalt einem erweiterten Empfängerkreis offenzulegen. Eine neu eingestellte Person kann beispielsweise Schulungen und organisatorische Onboarding-Schritte absolvieren, sollte jedoch bis zur Entscheidung weder ein privilegiertes Konto noch Zugang zu einer geschützten Umgebung erhalten. Ein vorläufiger Zugang erfordert – sofern er überhaupt zulässig ist – eine gesonderte Genehmigung, einen begrenzten Umfang, ein Ablaufdatum und eine angemessene Überwachung. Er darf nicht zur Umgehung der Prüfung genutzt werden.

Für einen negativen Fall ist vorab ein Reaktionsplan festzulegen: Sperrung oder Zurückhaltung von Berechtigungen, Eskalation an die benannten Entscheidungsträger, Benennung einer Vertretung, Bewertung der Folgen für die Betriebskontinuität und kontrollierter Abschluss des Falls. Die Logik entspricht der eines Reaktionsplans: Ein definiertes Ereignis löst eine zugewiesene Reaktion, Verantwortung und Dokumentation aus. Bei Neueinstellungen und Rollenwechseln bietet der Beitrag Einen Onboarding-Prozess für einen neuen Qualitätsingenieur oder ISO-Beauftragten vorbereiten eine hilfreiche Orientierung, insbesondere für Entscheidungspunkte und die Bestätigung von Verantwortlichkeiten.

Der Kontrollnachweis sollte die Einordnung der Rolle, Grundlage und Umfang der Prüfung, Datum der Identitätsbestätigung, Informationsquelle, bewertende Person, Entscheidung, Datum der Berechtigungsvergabe und gegebenenfalls die Eskalation nachvollziehbar machen. Außerdem sind Ereignisse festzulegen, die eine erneute Bewertung auslösen – insbesondere Änderungen der Rolle oder des Berechtigungsumfangs – sowie das Verfahren für den Entzug von Berechtigungen beim Ausscheiden einer Person. Die Wirksamkeit des Prozesses zeigen vor allem die Zeitspanne von der Rolleneinordnung bis zur Entscheidung, die Anzahl der vor Abschluss der erforderlichen Prüfung vergebenen Zugänge und die Zahl der Eskalationen aufgrund fehlender Unterlagen oder uneindeutiger Ergebnisse.

Dokumentation und erneute Überprüfung

Die Prozessdokumentation soll die Voraussetzungen und Folgen einer Entscheidung nachvollziehbar machen, nicht ein Archiv mit Informationen zur Straffreiheit schaffen. Aus dem Nachweis sollte hervorgehen, warum eine Rolle der Prüfung unterlag, wann diese durchgeführt wurde, wer entschieden hat und welche operative Folge sich ergab: Zugangsvergabe, Einschränkung oder Verweigerung. Daraus folgt nicht automatisch, dass eine Kopie des Quelldokuments aufzubewahren ist. Die Entscheidung über eine Kopie ist von der Speicherung der Metadaten zu trennen und auf die aktuelle Rechtsgrundlage, den Verarbeitungszweck und den Grundsatz der Speicherbegrenzung zu stützen.

Ein konsistenter Nachweissatz sollte folgende Elemente umfassen:

• Rollenmatrix einschließlich Begründung des Geltungsbereichs;
• Register der durchgeführten Prüfungen;
• Berechtigungen zur Datenverarbeitung und Zugriffsregeln;
• freigegebene Aufbewahrungsfristen;
• Eskalationsprotokoll;
• Nachweise über die Erfüllung der Verpflichtungen durch Dienstleister.

Diese Elemente benötigen eine gemeinsame Prozessverantwortung, Versionslenkung und Anbindung an die Dokumentenlenkung des ISMS. Eine verteilte Ablage in Personalabteilung, Informationssicherheit und Einkauf erschwert den Nachweis der Prozessvollständigkeit. Im Repository sollten Vorlagen, systembezogene Entscheidungen und die Änderungshistorie der Regeln gepflegt werden; personenbezogene Einzelfalldaten dürfen dagegen ausschließlich autorisierten Personen zugänglich sein. Eine organisatorische Orientierung bietet der Beitrag Ein internes Repository für Qualitätswissen aufbauen, ohne Teamerfahrungen zu verlieren.

Ein Datensatz kann das Datum der Rolleneinordnung, der Prüfung und der Entscheidung, die Kennzeichnung der angewandten Grundlage sowie das Datum der Zugangsvergabe und der geplanten Überprüfung enthalten. Genügt die Bestätigung, dass die Kontrolle durchgeführt wurde, einschließlich ihres operativen Ergebnisses, sollte keine Kopie der Bescheinigung „für alle Fälle“ gespeichert werden. Der Löschmechanismus muss auch E-Mail-Anhänge, Arbeitsverzeichnisse und Ressourcen von Dienstleistern erfassen. Die Wirksamkeit der Lenkung lässt sich unter anderem anhand des Anteils der Rollen mit aktueller Begründung für die Einbeziehung in den Prozess sowie der Anzahl von Datensätzen bewerten, die über die freigegebene Aufbewahrungsfrist hinaus gespeichert wurden.

Fristen für erneute Prüfungen dürfen nicht nach einem willkürlichen Kalender festgelegt werden. Die Häufigkeit kann sich aus der geltenden Vorschrift, dem Charakter der Rolle, den Vertragsbedingungen oder einer dokumentierten Risikobewertung ergeben. Unabhängig von einer turnusmäßigen Überprüfung sollte das Verfahren auslösende Ereignisse benennen, insbesondere Stellenwechsel, Erweiterungen von Berechtigungen, Rückkehr in eine Rolle nach einer Unterbrechung oder wesentliche Änderungen rechtlicher beziehungsweise vertraglicher Anforderungen. Die Aktualität der Information muss nicht zwingend bedeuten, dass regelmäßig ein vollständiges Dokument neu eingeholt wird. Der Prozess sollte eine rechtmäßige und verhältnismäßige Form der Statusbestätigung vorsehen, die jeweils mit der aktuellen Rechtsgrundlage und dem zulässigen Datenumfang übereinstimmt.

Bereitschaftstest vor dem Audit

Die Bewertung der Auditbereitschaft sollte nicht mit der Frage beginnen, ob eine Verfahrensanweisung vorhanden ist, sondern mit der Rekonstruktion realer Fälle. Die Stichprobe sollte mindestens einen Beschäftigten in einer prüfpflichtigen Rolle, eine Person nach einem Rollenwechsel, einen externen Administrator und einen Fall mit Notfallzugang umfassen. Für jeden Fall sollte der Auditor die Nachweiskette von der aktuellen Rechtsgrundlage und Rolleneinordnung über die Informationsbeschaffung und Zugangsentscheidung bis zu den tatsächlich aktiven Berechtigungen verfolgen.

Der Mindesttest umfasst den Abgleich der Rollenliste mit dem Zugangsverzeichnis sowie die Prüfung der Vollständigkeit der Entscheidungen, der termingerechten Durchführung, der Zugriffsbeschränkungen auf Nachweise und der ordnungsgemäßen Aufbewahrung. Zusätzlich sollten fehlende Unterlagen, ein uneindeutiges Ergebnis oder eine verzögerte Prüfung simuliert werden. Die Organisation sollte nachweisen können, dass sie den Zugang zurückhalten, eine Eskalation auslösen und die entscheidungsbefugte Person benennen kann. Die Häufigkeit interner ISMS-Audits und die Eskalationsschwellen sollten sich am Risiko und an den Anforderungen der aktuell geltenden Grundlage orientieren – nicht ausschließlich am Auditkalender.

Typische systemische Nichtkonformitäten entstehen an den Schnittstellen zwischen Prozessen. Dazu gehören eine nicht nachgewiesene Grundlage, Abweichungen zwischen Stellenverzeichnis und tatsächlichen Berechtigungen, nicht berücksichtigte Unterauftragnehmer, Zugangsvergaben vor Abschluss der Prüfung, fehlende Aufbewahrungsfristen oder ein nicht dokumentierter Eskalationsweg. Ein ordnungsgemäßer Personalnachweis reicht nicht aus, wenn der externe Administrator nach einer Änderung des Vertragsumfangs weiterhin über ein aktives Konto verfügt oder seine Berechtigungen ohne erneute Einordnung erweitert wurden.

Die Unternehmensleitung sollte aggregierte Informationen erhalten, nicht den Inhalt von Daten zu strafrechtlichen Verurteilungen. Aussagekräftige Kennzahlen sind der Anteil aktiver, prüfpflichtiger Zugänge mit aktueller Entscheidung, die Zahl der vor Abschluss der Überprüfung gewährten Zugänge, die Termintreue der Überprüfungen und die Anzahl der Nichtkonformitäten nach systemischer Ursache. Diese Kennzahlen sollen Entscheidungen über Ressourcen, Korrekturen und Eskalationen unterstützen – entsprechend dem Ansatz im Beitrag Prozessbezogene KPIs für die Unternehmensleitung entwickeln, damit das Qualitätsmanagement nicht bei Tabellen endet.

Auditbereitschaft bedeutet, nicht nur das Vorhandensein eines Verfahrens nachweisen zu können, sondern auch die Verhältnismäßigkeit seines Geltungsbereichs, die Konsistenz der Entscheidungen und die Wirksamkeit der Umsetzung. Die Testergebnisse sollten in das interne ISMS-Audit und die Managementbewertung einfließen. Dabei sind der Maßnahmenverantwortliche, die Frist zur Beseitigung der Lücke und die Bewertung der Auswirkungen auf aktive Zugänge festzuhalten.