MÜNCHEN / LONDON (IT BOLTWISE) – Das Landesarbeitsgericht München stärkt Arbeitnehmerrechte bei internen Untersuchungen, begrenzt aber den Anspruch auf vollständige Abschlussberichte. Gleichzeitig verschärft die NIS-2-Richtlinie ab Dezember 2025 die Meldepflichten für Sicherheitsvorfälle deutlich: von der ersten Frühwarnung nach 24 Stunden bis zum abschließenden Bericht nach einem Monat. Für Unternehmen entsteht daraus ein zweifacher Druck—rechtssicher dokumentieren, fristgerecht melden und dabei zugleich Datenschutz sowie Hinweisgeberschutz sauber austarieren.
Das Landesarbeitsgericht München hat in einem arbeitsrechtlichen Streit die Spielräume bei internen Untersuchungen neu vermessen: Beschäftigte haben nach Abschluss eines solchen Verfahrens ein begrenztes Einsichtsrecht in die Daten, die sie persönlich betreffen. Der Kern der Entscheidung vom 12. Juni 2025 lautet dabei nicht „vollständige Kopie des Abschlussberichts“, sondern ein Anspruch auf Einsicht in die jeweils einschlägigen personenbezogenen Informationen. Während dies Unternehmen im Umgang mit Personalakten und Untersuchungsdokumentation zu größerer Sorgfalt zwingt, verschärft die NIS-2-Richtlinie parallel die operative Seite von IT-Sicherheitsvorfällen ab Dezember 2025.
Technisch betrachtet prallen damit zwei Dokumentationswelten aufeinander: die arbeitsrechtliche Nachweispflicht aus internen Prozessen und die regulatorische Incident-Response-Pflicht aus dem Sicherheitsrecht. Für die Praxis bedeutet das, dass Untersuchungsberichte nicht nur als „Ergebnisdokument“ gedacht werden dürfen, sondern als Datenobjekt mit klaren Verantwortlichkeiten, definierter Aufbewahrung und nachvollziehbarer Zweckbindung. Wo Unternehmen Inhalte schwärzen dürfen, etwa zum Schutz von Hinweisgebern, müssen sie zugleich begründen können, warum bestimmte Daten nicht offengelegt werden. Parallel sollten IT-Teams Incident-Abläufe so verdrahten, dass Meldungen aus technischen Logquellen konsistent in Compliance-Artefakte überführt werden.
Mit der NIS-2 ändern sich die Erwartungen an Tempo und Vollständigkeit spürbar. Die Richtlinie gilt in deutschem Recht ab Dezember 2025 und betrifft laut Gesetzeslage rund 30.000 Einrichtungen in 18 Sektoren. Maßgeblich sind Schwellenwerte, die Unternehmen ab 50 Mitarbeitenden oder ab 10 Millionen Euro Jahresumsatz in die Pflicht nehmen. Die Meldepflichten folgen einem dreistufigen Zeitplan: innerhalb von 24 Stunden die erste Frühwarnung, nach 72 Stunden die vollständige Meldung und nach einem Monat der abschließende Bericht. Entscheidend ist dabei, dass die Fristen mit der Kenntnisnahme durch das Management beginnen und Unternehmen diese Informationslage intern sauber dokumentieren müssen.
Der regulatorische Druck wird zusätzlich verstärkt, weil die Bußgelder sowohl bei „wesentlichen“ als auch bei „wichtigen“ Einrichtungen erhebliche Größenordnungen erreichen können. Für wesentliche Einrichtungen sind bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes genannt, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Besonders kritisch ist, dass sich die Verantwortung nicht auf die IT reduziert: Das Management muss Sicherheitsmaßnahmen aktiv überwachen und dafür sorgen, dass Prozesse funktionieren. Wie aus Sicherheitskreisen zu hören ist, fordert eine Expertin für Governance und Risiko-Management, dass Unternehmen Incident-Response nicht als Ticket-Kette behandeln sollten, sondern als durchgängig auditierbares Verfahren mit klaren Entscheidungs- und Freigabepunkten.
Auch im Markt verschiebt sich die Prioritätensetzung. Große Cloud- und Sicherheitsanbieter bauen ihre Plattformen zunehmend so, dass Erkennung, Klassifizierung und Weiterleitung von Vorfällen schneller und nachvollziehbarer ablaufen. In der Praxis orientieren sich viele Organisationen an Vorgehensmustern, wie sie etwa von Plattformanbietern wie Microsoft (Security Operations), Google (Security Analytics) oder auch aus dem Ökosystem von AWS (Managed Security Workflows) bekannt sind: Die Logik ist stets ähnlich—zuerst automatisierte Indikatoren, dann strukturierte Incident-Datensätze, anschließend die Compliance-nahe Ausspielung. Für Unternehmen zählt dabei weniger der Markenname als die Fähigkeit, Datenqualität und Fristen einzuhalten, ohne dabei personenbezogene Inhalte falsch zu verarbeiten.
Hier entsteht ein direkter Abgleich mit DSGVO-Themen, denn die Überschneidung von Meldepflichten und Datenschutzanforderungen verlangt eine abgestimmte Incident-Response-Strategie. NIS-2 verlangt operative Meldungen, DSGVO fokussiert den Umgang mit personenbezogenen Daten; beides muss im selben „Ablaufgraphen“ funktionieren. Für interne Untersuchungen spielt zudem die arbeitsrechtliche Komponente aus München eine Rolle: Wenn Berichte in Personalakten landen, dürfen bestimmte Informationen geschwärzt werden, etwa um Hinweisgeber zu schützen. Gleichzeitig reicht eine pauschale Verweigerung mit Verweis auf Geschäftsgeheimnisse nach der Entscheidung nicht aus. Unternehmen sollten deshalb frühzeitig standardisierte Logiken für Datenklassifikation, Rollenrechte und Schwärzungsentscheidungen etablieren.
Historisch betrachtet hat sich der Umgang mit Sicherheitsvorfällen schrittweise von reiner Technik-Detektion zu „Governance by Design“ entwickelt. In vielen Unternehmen wurden erst nach den frühen Wellen von Datenschutzverletzungen und Sicherheitsregimen aus Einzelmaßnahmen konsolidierte Prozesse, etwa mit SOC-Workflows, Ticketing und später auch mit systematischen Berichtspfaden. Die NIS-2 setzt dabei neue Maßstäbe beim Timing und bei der strukturierten Vollständigkeit von Meldungen. Die aktuelle arbeitsgerichtliche Linie macht zusätzlich deutlich: Dokumente, die während Security-Prozessen entstehen, sind nicht automatisch „nur IT-Dokumentation“, sondern können personenbezogene Inhalte enthalten, die rechtlich anders behandelt werden müssen.
Für die Zukunft bedeutet das: Unternehmen sollten ihre Vorbereitung nicht auf „einmalige“ Compliance-Checks reduzieren. Sobald das Bundesarbeitsgericht den Münchner Fall weiter entscheidet, kann sich der genaue Zuschnitt der Einsichtsansprüche in Abschlussberichten noch verfeinern—und damit auch die Muster, nach denen Unternehmen Schwärzungen begründen. Gleichzeitig läuft die Umsetzung der NIS-2 praktisch schon jetzt, da Unternehmen sich bis zum 6. März 2026 im BSI-Portal registrieren mussten und spätestens ab Dezember 2025 operative Reaktionsfähigkeit gefordert ist. Wer hier zu spät ansetzt, riskiert nicht nur Bußgelder, sondern auch Reibung zwischen HR-Prozessen, Datenschutz und Security-Betrieb.
Als nächster Schritt bietet sich an, Incident-Response und Untersuchungsdokumentation als zusammenhängenden End-to-End-Prozess zu betrachten: von der Früherkennung über die Management-Entscheidung bis zur Meldung und zur anschließenden internen Dokumentation. Technisch kann das durch automationsgestützte Erkennung, strukturierte Incident-Datensätze und klare Freigabe-Workflows verbessert werden, ohne dass Datenschutzanforderungen verwässert werden. Marktteilnehmer, die solche Workflows bereits in ihren Werkzeugketten verankern, haben einen Wettbewerbsvorteil, weil sie schneller melden und zugleich konsistenter dokumentieren. Unterm Strich verschiebt sich die „Compliance-Qualität“ von der Dokumentenablage hin zur Prozessarchitektur—und genau dort werden die nächsten Monate für viele Organisationen zum entscheidenden Belastungstest.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NIS-2 und LAG München: Meldepflichten und Einsichtsrechte für Unternehmen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NIS-2 und LAG München: Meldepflichten und Einsichtsrechte für Unternehmen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NIS-2 und LAG München: Meldepflichten und Einsichtsrechte für Unternehmen« bei Google Deutschland suchen, bei Bing oder Google News!