C5-Themengebiet HR: Eintritt, Austritt und Schulung prüffähig regeln

Diese Seite behandelt das Themengebiet HR (Personal) des C5:2026, Abschnitt 5.3 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog.

Worum geht es im Themengebiet HR?

HR regelt den Personalprozess aus Sicht der Informationssicherheit. Der Katalog nennt als Ziel, dass Mitarbeiter ihre Aufgaben verstehen, sich ihrer Verantwortung für Informationssicherheit bewusst sind und die Assets der Organisation bei Änderung der Aufgaben oder Beendigung geschützt werden (Abschnitt 5.3). Die Kriterien reichen von der Überprüfung vor der Einstellung über Vertragsbedingungen, Schulung, Disziplinarmaßnahmen und Vertraulichkeitsvereinbarungen bis zur Remote-Arbeit.

Das Gebiet umfasst acht Kriterien, HR-01 bis HR-08, mit 28 Basis-Unterkriterien, einem verschärfenden und sechs erweiternden Zusatz-Unterkriterien. Neu gegenüber C5:2020 sind laut Änderungshistorie HR-07 und HR-08 zur Remote-Arbeit; Büroarbeitsplätze vor Ort regelt dagegen PS-08, siehe Themengebiet PS. HR gilt für internes und externes Personal. Externes Personal im Sinne von HR-01 ist nach den ergänzenden Informationen solches, das nach den Prozessen des Anbieters arbeitet und potenziell Zugriff auf Kundendaten hat. Personal von Service-Organisationen, das nach deren eigenen Prozessen arbeitet, erfasst HR-01 nicht; diese Dienstleister steuern Sie über das Gebiet SSO.

Das Gegenstück zu HR liegt in IAM: Die Vergabe und der Entzug von Zugriffsrechten bei Eintritt, Wechsel und Austritt mit ihren Fristen stehen auf der Seite Identitäts- und Berechtigungsmanagement. Diese Seite behandelt, was vorher und daneben passieren muss.

Ausgangssituation: ein wachsender Anbieter mit externen Entwicklern

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Plattform, mit der Wohnungsunternehmen ihre Objekte, Mietverträge und die Kommunikation mit Mieterinnen und Mietern verwalten. Rund 50 Beschäftigte, die meisten arbeiten überwiegend von zu Hause. Vier Entwickler eines Dienstleisters arbeiten im eigenen Team mit, im selben Git-System und nach denselben Abläufen. Der Dienst läuft als SaaS auf der Infrastruktur eines großen Cloud-Anbieters.

So sieht es vor dem Projekt aus:

• Bei Einstellungen sieht die Fachabteilung den Lebenslauf durch. Ob jemand später Administratorrechte in der Produktion bekommt, spielt für die Prüfung keine Rolle.
• Arbeitsverträge enthalten eine allgemeine Verschwiegenheitsklausel. Die externen Entwickler haben nichts unterschrieben außer dem Rahmenvertrag ihres Arbeitgebers.
• Neue Beschäftigte bekommen am ersten Tag Laptop und Zugänge; die Sicherheitsrichtlinien liegen im Wiki.
• Alle durchlaufen einmal im Jahr dasselbe E-Learning. Ob jemand etwas verstanden hat, wird nicht erfasst.
• Wer geht, gibt den Laptop ab. Welche Pflichten nach dem Austritt weiter gelten, erklärt niemand.
• Für die Arbeit von zu Hause gibt es eine Seite im Wiki ohne konkrete Anforderungen; einige lesen dienstliche E-Mails auf privaten Telefonen.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

HR liegt beim Anbieter. Im Gebiet HR enthält kein Kriterium korrespondierende Kriterien für Kunden. Wichtig ist die Grenze zu Dienstleistern. Unsere Einordnung für das Beispiel:

Die Unterscheidung nach den Prozessen, in denen jemand arbeitet, entspricht der Abgrenzung in DEV-02: Wer in Ihre Abläufe eingebunden ist, gehört zu Ihrem Personal; wer nach den Prozessen seines Arbeitgebers liefert, ist Dienstleister.

Wie teilen Sie Rollen in Risikoklassen ein?

HR-01.01B verlangt, für die Produktionsumgebung die Rollen zu bestimmen, die auf Kundendaten, abgeleitete Dienstdaten, Anbieterdaten, Kontodaten oder Systemkomponenten zugreifen können. HR-01.04B verlangt, sicherheitssensible Positionen nach ihrem Risikoniveau zu klassifizieren, ausdrücklich einschließlich IT-Administration. Die Intensität der Überprüfung steht im Verhältnis zu Geschäftskontext, Sensibilität der Informationen und Risiken (HR-01.06B). Unser Schema für das Beispiel:

Die fünf Maßnahmen, die HR-01.02B nennt (Identität, Berufserfahrung, Abschlüsse, Führungszeugnis oder nationales Äquivalent, Erpressbarkeit), gelten nur, soweit lokale Gesetze sie erlauben und der Anbieter sie für angemessen hält. Die ergänzenden Informationen weisen darauf hin, dass manche Prüfungen in einigen Rechtsordnungen eingeschränkt oder verboten sind, eine Einwilligung nötig sein kann und eine Bonitätsprüfung abhängig von lokalen Regelungen nur für Positionen mit erheblicher finanzieller Verantwortung zulässig sein kann. Welche Prüfung in Ihrem Fall erlaubt ist, ist im Einzelfall rechtlich zu klären. Verschlüsselung und die Überwachung von Zugriffen können den Umfang der Überprüfung verringern, sie aber nicht vollständig ersetzen.

Wie sieht der Personalprozess vom Eintritt bis zum Austritt aus?

Die Kriterien legen vor allem fest, was vor dem ersten Zugriff erledigt sein muss. Unser Ablauf für das Beispiel, für eigenes und externes Personal gleich:

Daneben laufen zwei Abläufe aus anderen Gebieten: die Rückgabe von Laptops und Sicherheitsschlüsseln, bei verspäteter Rückgabe der Entzug der Zugriffsrechte spätestens zum Austrittsdatum (AM-08, siehe Asset Management), und die Anpassung der Rechte mit den Fristen von IAM-04. Die Vertraulichkeitsvereinbarungen selbst überprüfen Sie nach HR-06.04B mindestens jährlich und bei wesentlichen Änderungen des Dienstes; ändern sich die Anforderungen, schließen Sie aktualisierte Vereinbarungen.

Wie bauen Sie ein rollenbasiertes Schulungsprogramm auf?

HR-03 verlangt ein zielgruppenorientiertes Programm, das alle internen und externen Beschäftigten regelmäßig und bei Änderung der Tätigkeit durchlaufen, ausgerichtet an Risikoklasse und technischen Verantwortlichkeiten (HR-03.02B). Die Inhalte werden anhand geänderter Richtlinien und der Bedrohungslage regelmäßig aktualisiert, die Lernerfolge gemessen und ausgewertet (HR-03.03B, HR-03.04B). Das verschärfende HR-03.02AS macht daraus „mindestens jährlich“. Unser Programm für das Beispiel:

Die Messung muss nicht jede Person einzeln bewerten: Für das erweiternde HR-03.03AC lassen die ergänzenden Informationen ausdrücklich eine aggregierte Bewertung je Zielgruppe zu, auch zum Schutz der Beschäftigtendaten. Wir empfehlen, die Ergebnisse jährlich in die Überarbeitung des Programms zu geben.

Beispiel-Kontrollbeschreibung zu HR-02

Der heikelste Moment ist der erste Arbeitstag: Laptop und Zugänge sind schnell ausgegeben, Verpflichtung und Einweisung nicht. Unsere Beispiel-Kontrolle für den Anbieter oben (eigene Formulierung, kein Katalogtext):

Ob die Kontrolle die Unterkriterien abdeckt, beurteilt der Prüfer; bei einem Typ-2-Bericht prüft er anhand einer Stichprobe der Eintritte im Zeitraum, ob sie wirksam war.

Welche Nachweise der Prüfer sehen will

HR-Nachweise enthalten personenbezogene Daten. Legen Sie fest, welche Belege der Prüfer in welcher Form sieht; für Disziplinarmaßnahmen sind anonymisierte Nachweise nach den ergänzenden Informationen zu HR-04.04B ausdrücklich zulässig. Beispiele aus unserem Szenario:

Ein Nachweisregister ordnet jedem Unterkriterium seinen Nachweis zu; wie Sie es führen, zeigt die Seite Nachweise und Dokumentation.

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die folgenden Lücken ergeben sich aus dem Wortlaut der Kriterien und dem Szenario oben. Ist ein einziges Unterkriterium nicht erfüllt, gilt das Kriterium als nicht erfüllt, und der Prüfer berichtet die Abweichung (Abschnitte 3.4.12 und 3.4.13).

Alle Kriterien des Themengebiets HR

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Die Zusatzkriterien vertiefen zwei Themen: HR-01.01AC verlangt, dass der Anbieter in der Personalrichtlinie Positionen festlegt, die eine regelmäßige Beurteilung erfordern, und die Beurteilung für dieses Personal jährlich überprüft, HR-03.01AC bis HR-03.05AC die Überwachung des Schulungsabschlusses, eine zielgruppenbezogene Messung mit quantitativen und qualitativen Aspekten und die Rückkopplung in das Programm.

Bezug zu ISO/IEC 27001:2022 Anhang A

Die folgende Zuordnung ist unsere eigene, nicht amtliche Einordnung nach Thema. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm. Was Sie aus einem zertifizierten ISMS insgesamt wiederverwenden können, steht auf der Seite C5 und ISO 27001.