NISG 2026 und Arbeitnehmer-Datenschutz im Unternehmen

Was hat Cybersicherheit mit Arbeitnehmer-Datenschutz zu tun?

Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) werden ab 1. Oktober 2026 rund 4.000 Unternehmen und Einrichtungen zu verbindlichen Risikomanagementmaßnahmen und Schulungen im Bereich der Cybersicherheit verpflichtet. Was dabei oft übersehen wird: Bei der Planung, Gestaltung und Umsetzung der notwendigen Cybersicherheitsmaßnahmen sollte auch das Arbeitsverfassungsrecht und die dort vorgesehenen Mitwirkungsrechte des Betriebsrats berücksichtigt werden.

Wie können Logging und Monitoring zur Kontrolle von Beschäftigten werden?

Die im NISG 2026 geforderten technischen Risikomanagementmaßnahmen – Zugriffskontrollen, Protokollierung von Systemzugriffen, Anomalie-Erkennung, Incident-Detection – erzeugen zwangsläufig personenbezogene Nutzungsdaten von Beschäftigten. Solche Systeme sind typischerweise objektiv zur Kontrolle geeignet und damit potenziell mitbestimmungspflichtig, sofern sie die Menschenwürde berühren.

Entscheidend ist dabei insbesondere die Intensität der Kontrolle sowie die Frage, ob es ein gelinderes Mittel gibt. Wird nur protokolliert, wer wann auf ein System zugegriffen hat, unterscheidet sich das rechtlich erheblich von einer lückenlosen, personenbezogenen Auswertung des Nutzungsverhaltens. Bei Sicherheitsmaßnahmen sollte daher von Anfang an auch an die Rechte der Arbeitnehmerschaft gedacht werden – nicht erst, wenn der Betriebsrat nachfragt.

Welche arbeitsrechtlichen Fragen stellen verpflichtende IT-Sicherheitsschulungen?

Das NISG 2026 verlangt nicht nur technische Maßnahmen, sondern auch verpflichtende Schulungen für Leitungsorgane und Mitarbeitende. Das wirft ebenso eine Reihe von Fragen auf: Wie werden Schulungsteilnahme und Testergebnisse dokumentiert, inwieweit darf der Betriebsrat hierbei mitbestimmen? Ob eine solche Maßnahme der Mitbestimmung des Betriebsrats unterliegt, ist überraschend vielschichtig: Von den im ArbVG genannten Tatbeständen kommen gleich mehrere in Betracht – angefangen von Systemen der Personalbeurteilung, über Personaldatensysteme, Personalfragebogen bis zu Kontrollmaßnahmen und allgemeinen Ordnungsvorschriften.

Personalbeurteilungen, die durch die betriebliche Verwendung gerechtfertigt sind, sind zustimmungsfrei. Gleiches gilt für Personalfragebögen, die sich bloß auf allgemeine Angaben zur Person und zu den fachlichen Voraussetzungen beschränken. Bei Schulungen samt Wissenstest zu grundlegenden IT-Sicherheitskenntnissen lässt sich daher mit guten Gründen argumentieren, dass hierfür keine Zustimmung des Betriebsrats zwingend notwendig ist.

Wie lassen sich Phishing-Simulationen arbeitsrechtlich einordnen?

Besonders praxisrelevant sind Phishing-Simulationen („friendly phishing“), wie sie zur Sensibilisierung der Mitarbeitenden zunehmend eingesetzt werden: Anders als ein bloßer Wissenstest erfassen sie das tatsächliche Verhalten einzelner Mitarbeitenden in einem nachgestellten Cyberangriff, ohne dass sich die Mitarbeitenden der Prüfungssituation bewusst sind – wer auf den Link klickt, fällt „durch". Damit rückt die Frage der Mitbestimmung noch stärker in den Vordergrund als bei einem klassischen Multiple-Choice-Test. Angesichts der realen Gefahren durch Phishing-Mails erscheint eine solche Kontrollmaßnahme letztlich aber dennoch gerechtfertigt und nicht überschießend, sodass die Menschenwürde wohl nicht berührt wird.

Unabhängig von der Frage der Zustimmungspflicht besteht jedenfalls ein Informations- und Beratungsrecht des Betriebsrats zu betrieblichen Schulungsmaßnahmen. Dazu gehört das Recht, Vorschläge zu Schulungsmaßnahmen zu machen.

Fazit: Wie bringt man Cybersicherheit und Datenschutz gut zusammen?

Unternehmen sollten bei der Planung, Gestaltung und Umsetzung von Cybersicherheitsmaßnahmen auf eine datenschutzkonforme Umsetzung achten und auch etwaige Mitwirkungsrechte des Betriebsrats bedenken. Andernfalls drohen nicht nur Konflikte mit dem Betriebsrat, sondern könnten auch die getroffenen Maßnahmen selbst rechtswidrig sein.