Wie bindet man Betriebsrat und Datenschutz bei NIS2-Sicherheitsmaßnahmen ein?

Alexander Brütsch · 20 Okt. 2026

Betriebsrat und Datenschutzbeauftragter müssen bei NIS2-Sicherheitsmaßnahmen dann eingebunden werden, wenn diese Maßnahmen das Verhalten oder die Leistung von Mitarbeitenden überwachen oder personenbezogene Daten verarbeiten. Das gilt für einen Großteil typischer NIS2-Maßnahmen wie SIEM, Endpoint-Monitoring oder Zugriffsprotokollierung. Die folgenden Abschnitte klären, wann genau welche Beteiligung erforderlich ist und wie Unternehmen den Prozess strukturieren.

Welche NIS2-Maßnahmen sind mitbestimmungspflichtig?

Mitbestimmungspflichtig sind NIS2-Sicherheitsmaßnahmen immer dann, wenn sie technische Einrichtungen einsetzen, die geeignet sind, das Verhalten oder die Leistung von Arbeitnehmenden zu überwachen. Das ist keine Frage der Absicht, sondern der technischen Möglichkeit. Ob ein System zur Verhaltenskontrolle genutzt wird, spielt für das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG keine Rolle.

Konkret betrifft das unter anderem folgende Maßnahmen:

SIEM-Systeme und zentrales Log-Management, die Nutzeraktivitäten aufzeichnen
Endpoint Detection and Response (EDR/MDR) mit Verhaltensanalyse auf Arbeitsgeräten
E-Mail-Filterung und Content-Inspection
Netzwerkmonitoring mit Protokollierung von Verbindungsdaten
Schwachstellen-Scanner, deren Ergebnisse Nutzerkonten oder -verhalten zugeordnet werden können
Zugriffsprotokollierung auf Systeme und Dateien

Maßnahmen, die rein technischer Natur sind und keinen Personenbezug haben, unterliegen grundsätzlich keiner Mitbestimmung. Ein Firewall-Regelwerk, das Ports sperrt, ist für sich genommen kein mitbestimmungspflichtiger Vorgang. Sobald aber Logs entstehen, die Nutzerverhalten abbilden, ändert sich das.

Wann muss der Betriebsrat bei IT-Sicherheitsmaßnahmen zustimmen?

Der Betriebsrat muss zustimmen, bevor eine mitbestimmungspflichtige Maßnahme eingeführt oder wesentlich verändert wird. Das Mitbestimmungsrecht ist ein echtes Zustimmungserfordernis, kein bloßes Informationsrecht. Eine Maßnahme, die ohne Zustimmung eingeführt wird, kann der Betriebsrat rechtlich anfechten und die Abschaltung verlangen.

Die Zustimmung wird in der Regel durch eine Betriebsvereinbarung geregelt. Diese Vereinbarung legt fest, welche Daten erhoben werden, wie lange sie gespeichert bleiben, wer Zugriff hat und zu welchen Zwecken die Auswertung erlaubt ist. Für NIS2-Projekte empfiehlt sich eine Rahmen-Betriebsvereinbarung zur IT-Sicherheit, die mehrere Maßnahmen unter einem gemeinsamen Regelwerk zusammenfasst, sodass nicht für jedes Tool einzeln verhandelt werden muss.

Wichtig: Die Mitbestimmungspflicht entsteht nicht erst bei tatsächlicher Nutzung der Daten zur Leistungskontrolle, sondern bereits bei der technischen Möglichkeit dazu. Unternehmen, die NIS2-Maßnahmen ohne Betriebsratseinbindung einführen, riskieren nicht nur rechtliche Auseinandersetzungen, sondern auch Verzögerungen im gesamten Compliance-Projekt.

Wie läuft die Einbindung des Betriebsrats in NIS2-Projekte ab?

Die Einbindung des Betriebsrats in NIS2-Projekte folgt einem klar strukturierten Prozess, der frühzeitig beginnen muss. Wer den Betriebsrat erst informiert, wenn die Systeme bereits beschafft sind, verliert wertvolle Zeit und riskiert Nachverhandlungen unter Druck.

Ein bewährter Ablauf sieht so aus:

Frühzeitige Information: Den Betriebsrat bereits in der Planungsphase über geplante NIS2-Maßnahmen informieren, bevor Kaufentscheidungen fallen.
Technische Erläuterung: Transparenz darüber schaffen, welche Daten das System erhebt, wie lange sie gespeichert werden und wer Zugriff erhält.
Verhandlung einer Betriebsvereinbarung: Die Nutzungsbedingungen, Löschfristen und Zugriffsrechte schriftlich vereinbaren.
Einführung nach Zustimmung: Erst nach unterzeichneter Betriebsvereinbarung produktiv schalten.
Regelmäßige Überprüfung: Änderungen an Systemen oder Konfigurationen erneut abstimmen, wenn sie den Umfang der Datenerhebung verändern.

Je früher der Betriebsrat in den Prozess einbezogen wird, desto reibungsloser verläuft die NIS2-Umsetzung. Erfahrungsgemäß sind Betriebsräte kooperativer, wenn sie als Partner behandelt werden und die Sicherheitsziele nachvollziehen können, statt als nachgelagerte Instanz, die lediglich abnicken soll.

Welche Rolle spielt der Datenschutzbeauftragte bei NIS2-Maßnahmen?

Der Datenschutzbeauftragte (DSB) prüft bei NIS2-Maßnahmen, ob die Verarbeitung personenbezogener Daten mit der DSGVO vereinbar ist. NIS2 und DSGVO verfolgen teilweise überschneidende Ziele, aber unterschiedliche Logiken: NIS2 fordert Sicherheitsmaßnahmen, die DSGVO schränkt ein, wie dabei mit Personendaten umgegangen werden darf.

Konkret ist der DSB bei folgenden Punkten einzubinden:

Datenschutz-Folgenabschätzung (DSFA) für Maßnahmen mit hohem Risiko für die Rechte Betroffener, etwa umfassendes Nutzermonitoring
Prüfung der Rechtsgrundlage für die Datenverarbeitung, insbesondere bei Log-Daten und Verhaltensprotokollen
Bewertung von Auftragsverarbeitungsverträgen mit externen Sicherheitsdienstleistern
Beratung zu Speicherfristen und Löschkonzepten für sicherheitsrelevante Logs

Der DSB hat kein Vetorecht, aber eine beratende Funktion mit Gewicht. Wenn er rechtliche Risiken identifiziert und das Unternehmen diese ignoriert, trägt die Geschäftsführung die Verantwortung. Eine frühzeitige Einbindung des DSB verhindert, dass fertig konfigurierte Systeme nachträglich umgebaut werden müssen.

Was passiert, wenn Betriebsrat oder Datenschutz NIS2-Maßnahmen blockieren?

Wenn Betriebsrat oder Datenschutzbeauftragter NIS2-Maßnahmen ablehnen oder verzögern, muss das Unternehmen verhandeln, nicht umgehen. Eine Maßnahme ohne Betriebsratszustimmung einzuführen ist rechtswidrig und kann rückgängig gemacht werden. Eine Maßnahme, die datenschutzrechtliche Anforderungen verletzt, kann Bußgelder nach der DSGVO auslösen.

In der Praxis entstehen Blockaden meist aus Informationsdefiziten: Der Betriebsrat befürchtet Leistungsüberwachung, der DSB sieht unverhältnismäßige Datenerhebung. Beides lässt sich durch technische und organisatorische Maßnahmen adressieren:

Pseudonymisierung oder Anonymisierung von Log-Daten, soweit sicherheitstechnisch vertretbar
Rollenbasierte Zugriffskonzepte, die sicherstellen, dass nur autorisierte Personen Logs einsehen können
Klare Zweckbindung in der Betriebsvereinbarung: Logs dürfen nur für Sicherheitszwecke, nicht für die Leistungsbeurteilung ausgewertet werden
Zeitlich begrenzte Speicherung mit dokumentiertem Löschkonzept

Wenn eine echte Einigung nicht erzielt werden kann, steht der Weg zur Einigungsstelle offen. Das ist jedoch ein langwieriger Prozess, der NIS2-Projekte erheblich verzögert. Wer frühzeitig transparent kommuniziert und Kompromisslösungen anbietet, vermeidet diesen Weg in der Regel.

Wie koordiniert man Betriebsrat, Datenschutz und IT-Sicherheit gemeinsam?

Die effektivste Koordination zwischen Betriebsrat, Datenschutzbeauftragtem und IT-Sicherheit gelingt durch einen gemeinsamen Abstimmungsprozess, der alle drei Perspektiven von Anfang an zusammenbringt. Sequenzielle Freigabeprozesse, bei denen IT zuerst plant, dann der DSB prüft und zuletzt der Betriebsrat informiert wird, erzeugen unnötige Schleifen.

Bewährt hat sich ein strukturiertes Vorgehen mit klaren Rollen:

Ein Projektteam, das IT-Sicherheit, DSB und Betriebsrat als gleichwertige Stakeholder behandelt
Gemeinsame Kick-off-Runde zu Beginn des NIS2-Projekts, in der Ziele, Risiken und Bedenken offen besprochen werden
Dokumentierte Maßnahmenliste mit Bewertung, welche Maßnahmen mitbestimmungspflichtig sind und welche datenschutzrechtliche Prüfung erfordern
Parallele statt sequenzielle Abstimmung: DSB-Prüfung und Betriebsratsverhandlung laufen gleichzeitig, nicht nacheinander

Eine Rahmen-Betriebsvereinbarung zur IT-Sicherheit, die regelmäßig aktualisiert wird, reduziert den Abstimmungsaufwand bei neuen Maßnahmen erheblich. Unternehmen, die NIS2 nicht als einmaliges Projekt, sondern als dauerhaften Betrieb verstehen, profitieren davon besonders.

Wie UBESAFE die NIS2-Umsetzung mit Betriebsrat und Datenschutz begleitet

UBESAFE unterstützt Unternehmen dabei, NIS2-Anforderungen technisch umzusetzen und dabei die mitbestimmungs- und datenschutzrechtlichen Rahmenbedingungen von Anfang an zu berücksichtigen. Das bedeutet konkret:

NIS2-Audit mit Bewertung, welche geplanten Maßnahmen mitbestimmungspflichtig sind oder eine DSFA erfordern
Unterstützung bei der Dokumentation für Betriebsvereinbarungen, etwa zu Zweckbindung, Zugriffskonzepten und Speicherfristen
Technische Umsetzung von SIEM, Endpoint-Monitoring und Schwachstellen-Management mit datenschutzkonformer Konfiguration
Managed Service für kontinuierliches Monitoring, Reviews und Anpassung an neue Anforderungen
Koordination aller Beteiligten durch ein kostenloses Erst-Audit, das den aktuellen Stand transparent macht

Wer NIS2-Compliance nicht als isoliertes IT-Projekt, sondern als organisationsübergreifende Aufgabe versteht, kommt schneller ans Ziel. Sprechen Sie UBESAFE an und klären Sie in einem ersten Gespräch, welche Schritte für Ihr Unternehmen konkret anstehen.