Verschwiegenheitserklärung für Mitarbeiter: Was die NIS2-Personalsicherheit verlangt – und welche Klausel das BAG 2024 gekippt hat

Eine Verschwiegenheitserklärung für Mitarbeiter ist unter NIS2 kein eigenes Pflichtdokument – die Pflicht, die sie erfüllen soll, aber schon. Die Durchführungsverordnung (EU) 2024/2690 verlangt in Nr. 10.3.2, dass Pflichten, die über das Ausscheiden hinaus gelten, „wie z. B. Vertraulichkeitsklauseln“, im Arbeitsvertrag oder in einer Vereinbarung stehen. Nr. 10.3.1 verlangt zusätzlich, dass diese Pflichten „vertraglich festgelegt und durchgesetzt werden“. Am Durchsetzen scheitert die verbreitetste Musterklausel: Das Bundesarbeitsgericht hat am 17. Oktober 2024 eine Klausel für unwirksam erklärt, die einen Beschäftigten über alle „Angelegenheiten und Vorgänge der Gesellschaft“ zeitlich unbegrenzt zum Schweigen verpflichtete.

Für NIS2-Verantwortliche ist das Urteil doppelt lehrreich. Der Arbeitgeber verlor nicht nur seine Klausel, sondern auch den Schutz nach dem Geschäftsgeheimnisgesetz, weil ihm konkrete Verschwiegenheitsklauseln und ein Kontrollsystem fehlten. Dieser Leitfaden zeigt, was die Personalsicherheit nach § 30 Abs. 2 Nr. 9 BSIG von der Erklärung verlangt, welche sieben Bausteine eine wirksame Fassung braucht und welche Ausnahmen hineingehören, damit sie nicht an anderer Stelle kippt. Den Gesamtrahmen mit Joiner-Mover-Leaver-Prozess und Zugriffsrechten behandelt unser Leitfaden zu Zugangssteuerung und Personalsicherheit.

Gilt das für Sie? Drei Gruppen, drei Rechtsgrundlagen

Kurz gefasst: Wörtlich bindend ist Nr. 10 der Durchführungsverordnung nur für elf digitale Einrichtungsarten. Alle anderen NIS2-pflichtigen Unternehmen schulden ein „Konzept für die Sicherheit des Personals“ nach dem BSIG – und nutzen die Verordnung als Maßstab.

Ihre Einrichtung	Maßgebliche Norm	Rolle von DVO Nr. 10
DNS-Dienste, TLD-Registries, Cloud, Rechenzentren, CDN, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste	§ 30 BSIG plus DVO 2024/2690, die nach § 30 Abs. 3 BSIG „Vorrang“ hat	Verbindlich, Nummer für Nummer
Alle übrigen besonders wichtigen und wichtigen Einrichtungen	§ 30 Abs. 1 und Abs. 2 Nr. 9 BSIG	Kein bindender Text, aber der konkreteste amtliche Maßstab für „verhältnismäßig“
Nicht NIS2-pflichtige Unternehmen	GeschGehG, BGB	Keine – die BAG-Maßstäbe gelten trotzdem

Der deutsche Gesetzestext ist bemerkenswert knapp. § 30 Abs. 2 Nr. 9 BSIG verlangt die „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen“. Bei unserer Auszählung der amtlichen Volltexte kamen „Verschwiegenheit“ und „Geheimhaltung“ im BSIG und in der deutschen Fassung der Verordnung null Mal vor. „Vertraulichkeitsklausel“ steht nur in der Verordnung, und dort genau einmal: in Nr. 10.3.2. Die Erklärung ist also das naheliegendste Werkzeug, aber keine ausdrücklich benannte Pflicht. Verbindlich ist dagegen § 30 Abs. 1 Satz 3: Die Einhaltung „ist durch die Einrichtungen zu dokumentieren“. Wie die Verordnung zum BSIG steht, erklärt unser Überblick zur NIS2-Durchführungsverordnung.

Was der Verordnungstext verlangt – und das unterschätzte Wort „durchgesetzt“

Kurz gefasst: Die Verordnung schreibt keine bestimmte Form vor, wohl aber zwei Dinge: eine nachweisbare Selbstverpflichtung der Beschäftigten und nachwirkende Pflichten, die sich vor Gericht auch durchsetzen lassen.

Fundstelle (DVO 2024/2690, Anhang)	Wortlaut	Folge für die Erklärung
Nr. 10.1.1	Mitarbeitende „und gegebenenfalls ihre direkten Anbieter und Diensteanbieter“ verstehen ihre Sicherheitsverantwortung „und sich zu ihrer Einhaltung verpflichten“	Unterschrift oder dokumentierte Kenntnisnahme; erfasst auch Dienstleister
Nr. 10.1.2 b und c	Nutzer mit „administrativem oder privilegiertem Zugang“ sowie die Mitglieder der Leitungsorgane kennen ihre Rollen und handeln entsprechend	Eigene, engere Fassung für Administratoren
Nr. 10.3.1	Nachwirkende Pflichten werden „vertraglich festgelegt und durchgesetzt“	Die Klausel muss arbeitsrechtlich wirksam sein
Nr. 10.3.2	Aufnahme in „die Arbeits- und Beschäftigungsbedingungen, den Vertrag oder die Vereinbarung“, „wie z. B. Vertraulichkeitsklauseln“	Form frei: Arbeitsvertrag oder gesonderte Erklärung
Nr. 10.4.1	Ein Disziplinarverfahren für Verstöße wird eingeführt und „bekannt“ gemacht	Die Erklärung verweist auf die Folgen eines Verstoßes

Das entscheidende Wort steht in Nr. 10.3.1. Eine Klausel, die ein Arbeitsgericht für unwirksam hält, lässt sich nicht durchsetzen. Nach unserer Lesart holt die Verordnung damit die AGB-Kontrolle des deutschen Arbeitsrechts in die NIS2-Prüfung: Wer eine unwirksame Musterklausel vorlegt, hat die Pflicht auf dem Papier erfüllt, in der Sache aber nicht. Behördliche Auslegungen zu diesem Punkt gibt es bislang nicht.

Die nicht bindende Umsetzungsleitlinie der ENISA (Juni 2025) weist in dieselbe Richtung. Zu Nr. 10.3.1 empfiehlt sie „specific clauses“ in Arbeitsverträgen, als Nachweis zu Nr. 10.1 nennt sie unterschriebene Bestätigungen („signed acknowledgements“) von Beschäftigten und Dienstleistern. Der BSI-Baustein ORP.2 Personal (Edition 2022) ergänzt das für den Austritt: „Vor der Verabschiedung MUSS noch einmal auf Verschwiegenheitsverpflichtungen hingewiesen werden.“

Das BAG-Urteil vom 17.10.2024: Wie eine Standardklausel doppelt scheitert

Kurz gefasst: Der Arbeitgeber hatte einen klaren Geheimnisverrat belegt und verlor trotzdem. Seine Klausel war zu weit, und weil sie zu weit war, fehlte ihm zugleich der Nachweis angemessener Geheimhaltungsmaßnahmen.

Der Fall, den das Bundesarbeitsgericht unter 8 AZR 172/23 entschieden hat: Ein Hersteller von Füllmaschinen beschäftigte einen Mitarbeiter von 1988 bis Ende 2016, zuletzt als Central Technology Manager. 2015 schickte dieser unter Pseudonym drei E-Mails mit Leistungsdaten, Prozessparametern sowie Geometrie- und Toleranzdaten an die Gesellschafter eines möglichen Wettbewerbers. Sein Arbeitsvertrag enthielt die übliche Formel: Stillschweigen über „alle Betriebs- und Geschäftsgeheimnisse sowie alle sonstigen ihm im Rahmen der Tätigkeit zur Kenntnis gelangenden Angelegenheiten und Vorgänge“, und zwar „über die Beendigung des Arbeitsverhältnisses hinaus“. Die Unterlassungsklage scheiterte in allen drei Instanzen.

Erstes Scheitern – kein Geschäftsgeheimnis. Nach § 2 Nr. 1 Buchst. b GeschGehG ist eine Information nur dann geschützt, wenn sie Gegenstand „angemessenen Geheimhaltungsmaßnahmen“ ist. Diese Maßnahmen muss der Inhaber darlegen, ebenso ihre Angemessenheit im Einzelfall. Das Landesarbeitsgericht vermisste – vom BAG nicht beanstandet – „arbeitsvertragliche Verschwiegenheitsklauseln hinsichtlich konkreter Informationen und der Einrichtung eines Kontrollsystems“. Den Vortrag zur IT-Sicherheit wertete es als „pauschale Behauptungen“.

Zweites Scheitern – unwirksame Klausel. Eine Klausel, die „bezüglich aller internen Vorgänge“ zeitlich unbegrenzt zum Schweigen verpflichtet, benachteiligt den Beschäftigten unangemessen im Sinne von § 307 BGB. Nachvertraglich kann sich eine Verschwiegenheitspflicht nach dem BAG „allenfalls auf einzelne, konkret bestimmte Geschäftsgeheimnisse beziehen“. Alles Weitere wirkt wie ein Wettbewerbsverbot. Das ist nur nach § 74 HGB wirksam, also mit einer Karenzentschädigung von mindestens der Hälfte der zuletzt bezogenen Leistungen, und nach § 74a HGB höchstens für zwei Jahre.

Für NIS2-pflichtige Unternehmen liegt darin eine Chance: Was dem Arbeitgeber fehlte, erzeugt ein ordentlich umgesetztes Personal- und Zugriffskonzept ohnehin.

Was im BAG-Fall fehlte	Was ein NIS2-Programm liefert
Klauseln zu „konkreten Informationen“	Klassifizierungsschema nach DVO Nr. 12.1 – die Klassen werden zu den Kategorien der Erklärung (siehe Asset-Management unter NIS2)
Ein „Kontrollsystem“	Zugriffskontrolle nach Need-to-know (DVO Nr. 11), Protokollierung, Austrittsprozess
Belegte statt „pauschal“ behaupteter IT-Sicherheit	Dokumentation nach § 30 Abs. 1 Satz 3 BSIG (siehe NIS2-Dokumentationspflichten)

Ob ein Gericht diese Unterlagen im Einzelfall als „angemessen“ anerkennt, bleibt eine Tatsachenfrage. Aber sie sind genau die Art von konkretem Vortrag, der im entschiedenen Fall fehlte.

Sieben Bausteine einer Verschwiegenheitserklärung, die NIS2 und BAG standhält

Kurz gefasst: Konkret statt umfassend, zwei Zeiträume statt einer Endlosformel, Sicherheitspflichten über die reine Schweigepflicht hinaus – und ausdrückliche Ausnahmen für Hinweisgeber und Betriebsrat.

1. Informationskategorien statt „alle Vorgänge“. Leiten Sie die Kategorien aus Ihrer Informationsklassifizierung ab: Zugangsdaten und kryptografische Schlüssel, Netz- und Systempläne, Ergebnisse von Schwachstellenscans und Penetrationstests, Details zu Sicherheitsvorfällen, Kunden- und Beschäftigtendaten, Konstruktions- und Prozessdaten. Je konkreter die Liste, desto eher trägt sie nach dem Ausscheiden.
2. Zwei Zeiträume trennen. Während des Arbeitsverhältnisses kann schon die Rücksichtnahmepflicht nach § 241 Abs. 2 BGB die Wahrung von Geschäftsgeheimnissen begründen, wie das BAG festhält. Für die Zeit danach beschränken Sie die Klausel auf konkret bestimmte Geheimnisse. Allgemeines Erfahrungswissen dürfen Beschäftigte weiter nutzen. Wer mehr sperren will, braucht ein Wettbewerbsverbot mit Entschädigung.
3. Sicherheitspflichten nach dem Ausscheiden. Nr. 10.3.2 spricht von Pflichten, die fortgelten, „wie z. B.“ Vertraulichkeit – also nicht nur von ihr. Die ENISA nennt dafür den Schutz vertraulicher Informationen, die Rückgabe von Firmeneigentum und Beschränkungen beim Zugriff auf die Systeme. In die Erklärung gehören deshalb auch: kein Zugriff mit verbliebenen Zugangsdaten, keine Weitergabe von Zugangswegen, Rückgabe oder Löschung von Unterlagen und Datenträgern.
4. Ausnahmen ausdrücklich nennen. Vereinbarungen, die Rechte hinweisgebender Personen einschränken, sind nach § 39 HinSchG unwirksam. § 6 Abs. 2 HinSchG erlaubt unter Voraussetzungen ausdrücklich die Weitergabe von Informationen, die „einer vertraglichen Verschwiegenheitspflicht“ unterliegen. Nach § 5 GeschGehG bleiben die Aufdeckung rechtswidriger Handlungen, soweit sie das allgemeine öffentliche Interesse schützt, und die erforderliche Offenlegung gegenüber der Arbeitnehmervertretung erlaubt. Nehmen Sie außerdem gesetzliche Auskunfts- und Vorlagepflichten gegenüber Behörden und Gerichten aus.
5. Datenschutzverpflichtung mitregeln. Art. 32 Abs. 4 DSGVO verlangt Schritte, damit unterstellte Personen personenbezogene Daten nur auf Anweisung verarbeiten. Arbeiten Sie als Auftragsverarbeiter, müssen Sie nach Art. 28 Abs. 3 DSGVO gewährleisten, dass die befugten Personen „sich zur Vertraulichkeit verpflichtet haben“. Beides passt in dieselbe Erklärung oder in ein zweites Blatt mit eigener Unterschrift.
6. Kenntnisnahme beweisbar machen. Unterschrift, Datum und Versionsstand der Erklärung, abgelegt in der Personalakte und im ISMS-Nachweisordner. Beim Austritt wiederholen Sie den Hinweis und dokumentieren ihn.
7. Folgen benennen. Verweisen Sie auf das bekannt gemachte Disziplinarverfahren nach Nr. 10.4.1 und auf arbeitsrechtliche Konsequenzen. Maßgeblich ist, dass es dieses Verfahren tatsächlich gibt – der Verweis in der Erklärung trägt dazu bei, es bekannt zu machen.

Ein Detail zu Baustein 4, das in Musterklauseln regelmäßig fehlt: Das Hinweisgeberschutzgesetz deckt Verstöße gegen das BSIG nicht für alle Unternehmen ab. Nach § 2 Abs. 1 Nr. 3 Buchst. q HinSchG gilt es für Vorgaben zur IT-Sicherheit nur bei Cloud-Anbietern, Online-Marktplätzen und Online-Suchmaschinen. Bei einem Maschinenbauer fällt eine Meldung über fehlende § 30-Maßnahmen deshalb nicht ohne Weiteres unter das HinSchG, es sei denn, sie betrifft etwa eine Straftat oder einen Datenschutzverstoß. Formulieren Sie die Ausnahme deshalb nicht enger, als das Gesetz es tut, sondern allgemein: „gesetzlich geschützte Meldungen und Offenlegungen bleiben unberührt“.

Wer welche Erklärung braucht: Beschäftigte, Admins, Dienstleister, Geschäftsleitung

Kurz gefasst: Eine Basisfassung für alle, eine engere für privilegierte Konten, eine vertragliche Lösung für Externe – und die Verantwortung dafür liegt bei der Geschäftsleitung.

Personengruppe	Was zusätzlich hineingehört	Grundlage	Federführung
Alle Beschäftigten, auch Werkstudierende und Auszubildende mit Systemzugang	Bausteine 1–7	DVO Nr. 10.1.1, 10.3.2	Personalabteilung
Administratoren und privilegierte Nutzer	Umgang mit Administratorkennungen, Protokoll- und Konfigurationsdaten; Bestätigung der Rollenverantwortung	DVO Nr. 10.1.2 b	IT-Leitung, ISB
Fremdpersonal, Leiharbeitskräfte, Dienstleister mit Zugang	Schriftliche Vertraulichkeitsvereinbarung vor dem ersten Zugang	DVO Nr. 10.1.1 („gegebenenfalls“), BSI ORP.2.A5	Einkauf, Recht
Geschäftsleitung	Organisationsverantwortung für das gesamte Verfahren	DVO Nr. 10.1.2 c, § 38 Abs. 1 BSIG	Geschäftsleitung selbst

Für Dienstleister genügt die Mitarbeiter-Erklärung nicht. ORP.2.A5 verlangt Vertraulichkeitsvereinbarungen „in schriftlicher Form“, bevor externe Personen Zugriff auf vertrauliche Informationen erhalten. Bemerkenswert: Die Liste der Vertragsinhalte für Lieferanten in DVO Nr. 5.1.4 Buchst. a bis h nennt Vertraulichkeit nicht, erst die ENISA-Leitlinie empfiehlt Geheimhaltungsvereinbarungen als zusätzliches Vertragselement. Wie Sie das in Lieferantenverträgen sauber regeln, zeigt unser Beitrag zu NIS2-Pflichtklauseln in Lieferantenverträgen.

Für die Geschäftsleitung ist die Erklärung keine Personalformalie. § 38 Abs. 1 BSIG verpflichtet sie, die Maßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“. Ob die Erklärungen wirksam formuliert, vollständig unterschrieben und beim Austritt angesprochen werden, gehört damit zu ihrer Überwachungsaufgabe. Welche Haftung daraus folgen kann, erklärt unser Beitrag zur Geschäftsleiterhaftung nach § 38 BSIG.

Für ISB und IT-Leitung ist die Erklärung der Ort, an dem Klassifizierung und Personalakte zusammenkommen. Liefern Sie der Personalabteilung die Kategorienliste aus Baustein 1, nicht nur die Bitte um „eine NDA“.

Bestand nachrüsten: vier Schritte und was auf dem Spiel steht

Kurz gefasst: Die meisten Unternehmen müssen nicht neu anfangen, sondern Altklauseln finden, eingrenzen und für die Austrittsphase belegbar machen.

1. Altklauseln finden (Aufwand: niedrig). Durchsuchen Sie Vertragsmuster nach Formeln wie „alle Angelegenheiten“, „sämtliche Vorgänge“ oder „über die Beendigung hinaus“ ohne Eingrenzung. Das ist genau der Typ, den das BAG verworfen hat.
2. Kategorien festlegen (Aufwand: mittel). Übernehmen Sie die Informationsklassen aus Ihrem Asset- und Klassifizierungsverzeichnis und ordnen Sie die Personengruppen aus der Tabelle oben zu.
3. Neue Fassung vereinbaren (Aufwand: mittel bis hoch). Für Neueinstellungen kommt sie in den Arbeitsvertrag. Bestehende Verträge lassen sich in der Regel nicht einseitig ändern, Sie brauchen also eine Zusatzvereinbarung mit Unterschrift. Binden Sie den Betriebsrat frühzeitig ein und lassen Sie Formulierung und Mitbestimmungsfragen arbeitsrechtlich prüfen.
4. Austritt belegen (Aufwand: niedrig). Hinweis auf die fortgeltenden Pflichten, Rückgabe von Unterlagen und Geräten, Sperrung der Zugänge – jeweils mit Datum protokolliert. Diese Belege sind Ihr Nachweis nach § 30 Abs. 1 Satz 3 BSIG und zugleich Ihr Vortrag im Streitfall. Damit die Pflichten auch verstanden werden, gehören sie in die Unterweisung (siehe NIS2-Schulungsanforderungen).

Lücke	Mögliche Folge	Grundlage
Personalsicherheitskonzept fehlt oder ist unvollständig	Bußgeld bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtung); über 500 Mio. € Umsatz bis 2 % bzw. 1,4 % des Gesamtumsatzes	§ 65 Abs. 2 Nr. 2, Abs. 5–7 BSIG
Umsetzung nicht dokumentiert	Derselbe Bußgeldrahmen	§ 65 Abs. 2 Nr. 3 BSIG
Catch-all-Klausel	Klausel unwirksam, kein vertraglicher Unterlassungsanspruch	§ 307 BGB, BAG 8 AZR 172/23
Keine konkreten Klauseln, kein Kontrollsystem	Information gilt womöglich nicht als Geschäftsgeheimnis, Ansprüche nach GeschGehG entfallen	§ 2 Nr. 1 Buchst. b GeschGehG
Klausel schließt Hinweisgebermeldungen aus	Insoweit unwirksam	§ 39 HinSchG

Zur Einordnung: Die Bußgelder nach § 65 BSIG knüpfen nicht an eine einzelne fehlende Erklärung an, sondern an Maßnahmen nach § 30 Abs. 1, die „nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig“ ergriffen wurden. Eine lückenhafte Personalsicherheit kann ein Baustein eines solchen Vorwurfs sein, die prozentualen Obergrenzen greifen nur oberhalb der 500-Millionen-Schwelle. Eine Übersicht über alle Stufen bietet unsere Seite zur NIS2-Bußgeldstaffel.

Häufig gestellte Fragen

Ist eine Verschwiegenheitserklärung für Mitarbeiter nach NIS2 Pflicht?
Nicht als eigenes Dokument. Pflicht sind ein Konzept für die Sicherheit des Personals nach § 30 Abs. 2 Nr. 9 BSIG und, für die elf digitalen Einrichtungsarten der Durchführungsverordnung, vertraglich festgelegte und durchsetzbare Pflichten nach dem Ausscheiden (Nr. 10.3.1 und 10.3.2). Die Verschwiegenheitserklärung ist das übliche Mittel dafür.

Reicht die Klausel im Arbeitsvertrag, oder brauche ich eine separate Erklärung?
Beides ist möglich. Nr. 10.3.2 nennt „die Arbeits- und Beschäftigungsbedingungen, den Vertrag oder die Vereinbarung“ gleichrangig. Eine separate Erklärung hat den Vorteil, dass Sie sie für alle Beschäftigten einheitlich aktualisieren und versioniert ablegen können.

Wie lange darf die Verschwiegenheit nach dem Ausscheiden gelten?
Eine feste Höchstdauer nennt das BAG-Urteil nicht. Entscheidend war die Kombination aus „alle internen Vorgänge“ und „zeitlich unbegrenzt“. Für konkret bestimmte Geschäftsgeheimnisse kann eine nachvertragliche Pflicht wirksam sein. Soll dagegen die Verwertung von Wissen allgemein gesperrt werden, ist das ein Wettbewerbsverbot: höchstens zwei Jahre und nur mit Karenzentschädigung.

Dürfen Beschäftigte trotz Erklärung Missstände melden?
Ja. Vereinbarungen, die Rechte nach dem Hinweisgeberschutzgesetz einschränken, sind nach § 39 HinSchG unwirksam, und § 5 GeschGehG nimmt die Aufdeckung rechtswidriger Handlungen im öffentlichen Interesse vom Verbot aus. Schreiben Sie die Ausnahme ausdrücklich in die Erklärung, damit niemand sie als Meldeverbot missversteht.

Gilt die Erklärung auch für externe IT-Dienstleister?
Die Mitarbeiter-Erklärung bindet nur Ihre eigenen Beschäftigten. Externe binden Sie über eine schriftliche Vertraulichkeitsvereinbarung oder entsprechende Klauseln im Dienstleistungsvertrag, und zwar vor dem ersten Zugang, wie es BSI ORP.2.A5 verlangt.

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechtsberatung dar. Anforderungen können je nach Rechtsform, Sektor, Tarifbindung und Einzelfall abweichen. Für eine auf Ihre Situation zugeschnittene Bewertung Ihrer Arbeitsverträge wenden Sie sich an eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt für Arbeitsrecht oder an eine Compliance-Fachkraft. Stand: 4. Oktober 2026.

Quellen

1. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, Anhang Nr. 5.1.4, 10.1–10.4, 12.1, deutsche Amtsblattfassung (CELEX 32024R2690), abgerufen am 04.10.2026
2. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 21 Abs. 2 Buchst. i, deutsche Amtsblattfassung (CELEX 32022L2555)
3. § 30 BSIG – Risikomanagementmaßnahmen, Gesetze im Internet (im Text verlinkt)
4. § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, Gesetze im Internet (im Text verlinkt)
5. § 65 BSIG – Bußgeldvorschriften, Gesetze im Internet (im Text verlinkt)
6. Bundesarbeitsgericht, Urteil vom 17.10.2024 – 8 AZR 172/23 (im Text verlinkt)
7. §§ 241, 307 BGB, Gesetze im Internet (im Text verlinkt)
8. §§ 74, 74a HGB, Gesetze im Internet (im Text verlinkt)
9. §§ 2, 5 Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG), Gesetze im Internet (im Text verlinkt)
10. §§ 2, 6, 39 Hinweisgeberschutzgesetz (HinSchG), Gesetze im Internet (im Text verlinkt)
11. ENISA: Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, Juni 2025, Abschnitte 5.1.4, 10.1, 10.3 (PDF, im Text verlinkt)
12. BSI: IT-Grundschutz-Kompendium, Baustein ORP.2 Personal, Edition 2022, Anforderungen ORP.2.A2 und ORP.2.A5 (PDF, im Text verlinkt)
13. Verordnung (EU) 2016/679 (DSGVO), Art. 28 Abs. 3 und Art. 32 Abs. 4, Text über dsgvo-gesetz.de (im Text verlinkt)