NIS-2 & BSI INF.9: Sicherheit für mobile Teams im Außendienst
Fachbeitrag von Günther Pfeifer & Ralf Königsmark vollständig überarbeitet am 2. Oktober 2026
Mobile Beschäftigte in Energieversorgung, Verkehr, Entsorgung,Gesundheitswesen, öffentlicher Verwaltung und anderen besonders schutzbedürftigen Bereichen arbeiten häufig außerhalb kontrollierter Unternehmensumgebungen.
Genau dort treffen mehrere Sicherheitsbereiche aufeinander: Informationssicherheit, Arbeitsschutz, Gewaltprävention, organisatorische Verantwortung und menschliche Handlungssicherheit.
Der BSI-IT-Grundschutz-Baustein INF.9 „Mobiler Arbeitsplatz“ beschreibt Sicherheitsanforderungen für Tätigkeiten an wechselnden Arbeitsorten außerhalb der Institution.
Daneben verpflichtet das BSI-Gesetz betroffene besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen Risikomanagementmaßnahmen für ihre informationstechnischen
Systeme, Komponenten und Prozesse.
Kurz erklärt: Drei Sicherheitsbereiche – eine reale Situation
Informationssicherheit:
Wie werden Geräte, Daten, Zugänge und Kommunikationswege geschützt?
Arbeitsschutz:
Welche Gefährdungen entstehen für Beschäftigte durch Alleinarbeit, Aggression, Gewalt oder belastende Einsatzbedingungen?
Organisation und Qualitätsmanagement:
Sind Zuständigkeiten, Meldewege, Unterstützung, Nachbereitung und Wirksamkeitskontrolle eindeutig geregelt?
Genau diese Schnittstelle bildet einen Schwerpunkt der Arbeit von Günther Pfeifer & Ralf Königsmark: Technische Sicherheit, organisatorische Strukturen und menschliche Handlungssicherheit dürfen bei mobilen Einsätzen nicht isoliert betrachtet werden.
Inhaltsverzeichnis
- 1. Warum mobile Arbeit besondere Sicherheitsrisiken schafft
- 2. NIS-2 und BSIG: Was bedeutet das für Organisationen?
- 3. Was ist BSI INF.9 „Mobiler Arbeitsplatz“?
- 4. INF.9 oder OPS.1.2.4 – wo liegt der Unterschied?
- 5. Wenn Informationssicherheit und physische Sicherheit zusammentreffen
- 6. Risiken mobiler Teams in KRITIS und besonders schutzbedürftigen Bereichen
- 7. Arbeitsschutz und Gefährdungsbeurteilung
- 8. TOP-Prinzip: Technik, Organisation und personenbezogene Maßnahmen
- 9. Qualitätsmanagement und Wirksamkeitskontrolle
- 10. Praxisbeispiel: Wenn ein Außendiensteinsatz eskaliert
- 11. Unterschiedliche Aggressions- und Gewaltdynamiken erkennen
- 12. Handlungskreislauf nach einem Vorfall
- 13. Nachhaltigkeit: Sicherheit im Arbeitsalltag verankern
- 14. Unterweisung, Szenarientraining und Handlungssicherheit
- 15. Checkliste für Organisationen
- 16. KRITIS-Fachcluster und weiterführende Beiträge
- 17. Häufige Fragen
- 18. Fazit
1. Warum mobile Arbeit besondere Sicherheitsrisiken schafft
Mobile Arbeit erhöht die Anforderungen an Sicherheit, weil Beschäftigte außerhalb kontrollierter Unternehmensumgebungen arbeiten und dort Informationsrisiken, organisatorische Unsicherheiten und persönliche
Gefährdungen gleichzeitig auftreten können.
Mobile Arbeit bedeutet, dass Beschäftigte ihre Aufgaben nicht ausschließlich innerhalb geschützter Büro- oder Betriebsumgebungen erledigen. Sie arbeiten beispielsweise bei Kunden, in Fahrzeugen, öffentlichen
Verkehrsmitteln, fremden Gebäuden, technischen Anlagen oder anderen wechselnden Einsatzorten.
Damit verändert sich die Gefährdungslage. Im Büro können räumliche Sicherheit, technische Infrastruktur, Kolleginnen und Kollegen sowie klar definierte Unterstützungsstrukturen vorhanden sein. Im Außendienst fehlen diese Schutzfaktoren teilweise oder vollständig.
Ein mobiler Beschäftigter kann gleichzeitig mit einem Tablet auf betriebliche Daten zugreifen, allein an einem fremden Ort arbeiten und mit einer emotional aufgeladenen Person konfrontiert werden. Eine solche Situation ist weder ausschließlich ein IT-Problem noch ausschließlich eine kommunikative Herausforderung.
Praxisbezug:
Im mobilen Einsatz treffen häufig mehrere Sicherheitsbereiche gleichzeitig aufeinander: technische Systeme, organisatorische Abläufe und die Handlungssicherheit des Beschäftigten.
Genau deshalb darf die Bewertung eines Außendiensteinsatzes nicht bei der Absicherung des Dienstgeräts enden.
Sie beginnt mit der Frage, welche Risiken vorher erkannt,
organisatorisch berücksichtigt und im Arbeitsalltag verankert wurden.“
Für Organisationen im KRITIS-Umfeld ist deshalb eine integrierte Betrachtung sinnvoll. Weiterführend dazu:
Gewaltprävention in Kritischen Infrastrukturen.
2. NIS-2 und BSIG: Was bedeutet das für Organisationen?
Das BSI-Gesetz verpflichtet betroffene besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Risikomanagementmaßnahmen.
Die gesetzlichen Anforderungen beziehen sich auf die Sicherheit der informationstechnischen Systeme, Komponenten und Prozesse, die für die Erbringung der jeweiligen Dienste genutzt werden.
Die Maßnahmen sollen einen gefahrenübergreifenden Ansatz verfolgen. Dazu gehören unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Lieferkettensicherheit sowie Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen.
Für erhebliche Sicherheitsvorfälle gilt eine abgestufte Meldepflicht. Eine frühe Erstmeldung ist grundsätzlich unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnis erforderlich. Eine weitergehende Meldung folgt spätestens innerhalb von 72 Stunden.
Fachliche Einordnung:
NIS-2 beziehungsweise das deutsche BSI-Gesetz und der BSI-IT-Grundschutz dürfen nicht gleichgesetzt werden.
Das Gesetz definiert Pflichten und Anforderungen. Der BSI-IT-Grundschutz stellt einen etablierten methodischen Rahmen für Informationssicherheit bereit.
Der Baustein INF.9 wird deshalb nicht allein dadurch automatisch gesetzlich verpflichtend, dass eine Organisation unter das BSI-Gesetz fällt. Weiterführend: Resilienz, NIS-2, Arbeitsschutz und Gewaltprävention.
3. Was ist BSI INF.9 „Mobiler Arbeitsplatz“?
BSI INF.9 ist der IT-Grundschutz-Baustein für mobile Arbeitsplätze an häufig wechselnden Orten außerhalb der eigenen Institution.
Der Baustein betrifft beispielsweise Beschäftigte, die bei Kunden, unterwegs, in Zügen, Hotels oder anderen wechselnden Umgebungen arbeiten.
Das BSI weist darauf hin, dass dort keine vergleichbar sichere IT-Infrastruktur vorausgesetzt werden kann wie innerhalb einer kontrollierten Büroumgebung.
Ziel ist deshalb, auch für mobile Arbeitsplätze ein angemessenes Sicherheitsniveau herzustellen. INF.9 betrachtet organisatorische, technische und personelle Anforderungen.
BSI INF.9 ist kein Gewaltpräventionsstandard
Der Baustein INF.9 gehört zum BSI-IT-Grundschutz und behandelt die Informationssicherheit mobiler Arbeitsplätze.
Wichtig:
Gefährdungen durch Aggression, Bedrohung oder körperliche Gewalt müssen
zusätzlich aus Sicht von Arbeitsschutz, Gefährdungsbeurteilung und betrieblicher Organisation betrachtet werden.
Originalquelle:
Der vollständige BSI-Baustein kann direkt beim Bundesamt für Sicherheit in der Informationstechnik als PDF abgerufen werden. BSI IT-Grundschutz: INF.9 „Mobiler Arbeitsplatz“ – PDF
4. INF.9 oder OPS.1.2.4 – wo liegt der Unterschied?
INF.9 betrifft mobiles Arbeiten an wechselnden Orten. OPS.1.2.4 betrifft dauerhaft eingerichtete Telearbeitsplätze
außerhalb der Institution.
| Baustein | Typischer Einsatz | Beispiel |
|---|---|---|
| INF.9 | Mobiler Arbeitsplatz | Techniker, Kontrolleure, Außendienst, Arbeit bei Kunden oder unterwegs |
| OPS.1.2.4 | Telearbeit | Dauerhaft eingerichteter Telearbeitsplatz außerhalb der Institution |
Bei hybriden Arbeitsmodellen können unterschiedliche Bausteine parallel relevant sein. Entscheidend ist deshalb nicht allein die Berufsbezeichnung, sondern die konkrete Arbeitsorganisation.
5. Wenn Informationssicherheit und physische Sicherheit zusammentreffen
Informationssicherheit schützt Daten, Systeme und Prozesse. Arbeitsschutz schützt Beschäftigte. Im Außendienst können beide Schutzbereiche in derselben Situation betroffen sein.
Ein verschlüsseltes Tablet kann Daten schützen. Es kann jedoch nicht verhindern, dass ein Beschäftigter bedroht
oder körperlich angegriffen wird.
Eine Deeskalationsstrategie kann wiederum einen Konflikt entschärfen, ersetzt aber keine Verschlüsselung, Zugriffskontrolle oder sichere Authentifizierung.
- Technik schützt Systeme.
- Organisation schützt Abläufe.
- Handlungssicherheit unterstützt Menschen in dynamischen Situationen.
Mehr zum Faktor Mensch: KRITIS-Dachgesetz, Resilienz und der Faktor Mensch.
6. Risiken mobiler Teams in KRITIS und besonders schutzbedürftigen Bereichen
Mobile Risiken unterscheiden sich nach Tätigkeit und Sektor. Deshalb sollten Informationsrisiken und Gefährdungen der Beschäftigten immer tätigkeitsbezogen bewertet werden.
| Bereich | Typische Tätigkeit | Mögliche physische Gefährdung | Mögliches Informationsrisiko |
|---|---|---|---|
| Energie | Zähler, Netztechnik, Sperr- und Entstörmaßnahmen | Aggression, Bedrohung, Alleinarbeit | Tablet, Zugangsdaten, technische Informationen |
| Wasser / Versorgung | Kontrollen und technische Einsätze | Abgelegene Einsatzorte, Alleinarbeit | Betriebs- und Anlagendaten |
| Entsorgung | Wertstoffhof, Sammlung, Kontrolle | Konflikte mit Bürgern, Verkehr, Bedrohung | Mobile Geräte und Betriebsinformationen |
| Verkehr | Kontrolle, Service, technische Betreuung | Übergriffe, Gruppendynamik, räumliche Enge | Dienstgeräte und personenbezogene Daten |
| Gesundheitswesen | Pflege, Rettungsdienst, mobile Versorgung | Übergriffe, emotionale Ausnahmesituationen | Patienten- und Gesundheitsdaten |
| Öffentliche Verwaltung | Ordnungsdienst, Kontrollen, Außentermine | Aggression, Bedrohung, Konflikte | Fachverfahren und personenbezogene Daten |
Vertiefung für die Entsorgungswirtschaft: Gewaltschutzkoordination in der Siedlungsabfallentsorgung.
Vertiefung für das Gesundheitswesen: Gewaltschutzkoordination im Gesundheitswesen und KRITIS
sowie Gewaltprävention im Krankenhaus.
7. Arbeitsschutz und Gefährdungsbeurteilung
Wenn Aggression, Bedrohung, Gewalt, Alleinarbeit oder psychische Belastung bei mobilen Tätigkeiten auftreten können, müssen diese Gefährdungen im Rahmen des Arbeitsschutzes berücksichtigt werden.
Informationssicherheit ersetzt keine Gefährdungsbeurteilung. Arbeitgeber müssen die Arbeitsbedingungen beurteilen und erforderliche Schutzmaßnahmen festlegen.
Dabei sind auch psychische Belastungen zu berücksichtigen. Im mobilen Einsatz können unter anderem Alleinarbeit, aggressive Personen, fehlende Rückzugsmöglichkeiten, fremde Einsatzorte, Zeitdruck oder
unklare Zuständigkeiten relevant sein.
Die Gefährdungsbeurteilung ist dabei kein statisches Dokument. Werden neue Gefährdungen erkannt oder zeigen Vorfälle Schwachstellen, müssen bestehende Bewertungen und Maßnahmen überprüft werden.
Kernaussage:
Gewaltprävention im Außendienst darf nicht allein auf das Verhalten der Beschäftigten reduziert werden.
Technische und organisatorische Schutzmaßnahmen müssen zuerst geprüft werden. Personenbezogene Maßnahmen wie Unterweisung, Deeskalation und Selbstschutz ergänzen diese Struktur.
Weiterführend: Gefährdungsbeurteilung Gewalt, KRITIS und Resilienz sowie Arbeitsschutz, Gewaltprävention und Selbstschutz bei Kundenkontakt.
8. TOP-Prinzip: Technik, Organisation und personenbezogene Maßnahmen
Nach dem TOP-Prinzip werden zunächst technische, anschließend organisatorische und erst danach personenbezogene Maßnahmen geprüft.
T – Technische Maßnahmen
Dazu können Alarm- und Notrufsysteme, geeignete Fahrzeuge, Zutrittsschutz, sichere räumliche Gestaltung sowie der technische Schutz mobiler Geräte und Zugänge gehören.
O – Organisatorische Maßnahmen
Hierzu zählen beispielsweise Einsatzplanung, Zwei-Personen-Regelungen, Abbruchkriterien, Meldewege, Rückzugsregeln, Unterstützungsstrukturen, Zuständigkeiten und Nachbereitung.
P – Personenbezogene Maßnahmen
Personenbezogene Maßnahmen umfassen unter anderem Unterweisung, Deeskalation, Wahrnehmung, Kommunikation, Stresskompetenz, Selbstschutz und Handlungssicherheit.
Praxisbeispiel TOP-Prinzip:
Ein Mitarbeiter führt regelmäßig allein Termine durch, bei denen es bereits mehrfach zu Drohungen gekommen ist.
Nur ein Deeskalationstraining anzubieten wäre hier zu wenig.
Zunächst muss geprüft werden, ob technische oder organisatorische Maßnahmen das Risiko reduzieren können – beispielsweise sichere Alarmierung, eine angepasste Einsatzplanung, eine Zwei-Personen-Regelung
oder klare Abbruchkriterien.
9. Qualitätsmanagement und Wirksamkeitskontrolle
Sicherheitsmaßnahmen sind erst dann belastbar, wenn ihre Wirksamkeit überprüft und Erkenntnisse aus Vorfällen in Prozesse zurückgeführt werden.
Ein Sicherheitsvorfall ist nicht nur ein Ereignis für Arbeitsschutz oder Informationssicherheit. Er kann auch Schwachstellen in Prozessen, Zuständigkeiten und Schnittstellen sichtbar machen.
Aus Sicht eines prozessorientierten Qualitätsmanagements stellt sich deshalb nicht nur die Frage:
Wer hat was falsch gemacht?
Sicherheitsmanagement nach dem Ereignis
Entscheidend ist, was die Organisation daraus verändert.“
10. Praxisbeispiel: Wenn ein Außendiensteinsatz eskaliert
Bei einer Eskalation im Außendienst können Personalschutz, Informationssicherheit und betriebliche Abläufe gleichzeitig betroffen sein.
Ein Techniker eines Versorgungsunternehmens führt bei einem Kunden eine technische Maßnahme durch.
Die Person vor Ort reagiert zunehmend aggressiv und versucht, den Mitarbeiter daran zu hindern, den Bereich zu verlassen.
Gleichzeitig trägt der Mitarbeiter ein Tablet mit Zugang zu betrieblichen Systemen.
In wenigen Sekunden treffen Informationssicherheit, Arbeitsschutz, Organisation und persönliche Handlungssicherheit aufeinander.
Eigenschutz hat zentrale Bedeutung
Ein Dienstgerät darf nicht dadurch geschützt werden, dass ein Beschäftigter sich einer vermeidbaren körperlichen Gefahr aussetzt.
Sicherheitsorganisation muss so gestaltet sein, dass Beschäftigte in einer akuten Bedrohungssituation klare und praktikable Handlungsoptionen haben.
11. Unterschiedliche Aggressions- und Gewaltdynamiken erkennen
Nicht jede Gewaltsituation folgt demselben Muster. Für Prävention ist deshalb das beobachtbare Verhalten wichtiger als eine starre Einordnung von Personen.
Eine Person kann emotional und impulsiv reagieren. Eine andere kann gezielt Druck ausüben, kontrolliert drohen oder einen Vorteil erzwingen wollen. Hinzu kommen gruppendynamische Prozesse.
Für mobile Beschäftigte ist deshalb nicht entscheidend, Menschen vorschnell einem festen „Tätertyp“ zuzuordnen.
Relevant sind Verhaltensänderungen, Grenztests, Eskalationssignale und sichere Handlungsoptionen.
Vertiefung:
Tätertypen sind keine starren psychologischen Kategorien. Unterschiedliche Motive und Gewaltmuster können jedoch helfen, Situationen in der Gewaltprävention differenzierter zu betrachten.
Tätertypen in der Gewaltprävention: Motive und Gewaltmuster verstehen
12. Handlungskreislauf nach einem Vorfall
Der Handlungskreislauf beschreibt, wie aus einem Vorfall eine überprüfbare organisatorische Verbesserung entsteht.
Weiterführend:Anlassbezogene Betriebssicherheit und Resilienz.
13. Nachhaltigkeit: Sicherheit im Arbeitsalltag verankern
Nachhaltige Gewaltprävention bedeutet, wirksame Schutzmaßnahmen, Handlungsabläufe und Verantwortlichkeiten dauerhaft in den Arbeitsalltag zu integrieren.
Nachhaltigkeit bedeutet in diesem Zusammenhang nicht, dieselbe Schulung ständig zu wiederholen.
Entscheidend ist vielmehr, dass sichere Verhaltensweisen, Meldewege, Abbruchkriterien, Verantwortlichkeiten und
Schutzmechanismen organisatorisch verankert werden.
Beschäftigte müssen Regeln nicht nur kennen, sondern praktisch anwenden können.Führungskräfte müssen wissen, welche Verantwortung sie tragen. Vorfälle müssen ausgewertet und Erkenntnisse in Prozesse,
Gefährdungsbeurteilungen und Arbeitsabläufe zurückgeführt werden.
Sie bedeutet, wirksame Sicherheit so im Arbeitsalltag zu verankern,
dass sie zur selbstverständlichen Praxis wird.“
14. Unterweisung, Szenarientraining und Handlungssicherheit
Unterweisungen vermitteln Regeln. Szenarientraining kann ergänzend helfen, diese Regeln in dynamischen Belastungssituationen praktisch anzuwenden.
Unterweisungen sind ein wichtiger Bestandteil betrieblicher Sicherheitsorganisation. Sie vermitteln Zuständigkeiten, Regeln und erforderliche Verhaltensweisen.
In Konflikt- und Bedrohungssituationen entsteht jedoch eine zusätzliche Anforderung: Menschen müssen unter Stress Entscheidungen treffen. Zeitdruck, Lautstärke, Körpernähe, Unsicherheit und Überraschung können
Wahrnehmung und Entscheidungsverhalten beeinflussen.
Weiterführend: Fehlentscheidungen unter Stress in KRITIS
Wie Stress Wahrnehmung, Entscheidungen und Handlungssicherheit in kritischen Situationen beeinflussen kann: Fehlentscheidungen unter Stress in Kritischen Infrastrukturen
Welche Rolle Gewaltprävention, Vorbereitung und sichere Handlungsstrukturen dabei spielen, Fehlentscheidungen zu reduzieren: Gewaltprävention: Fehlentscheidungen in KRITIS vermeiden
Praxisorientiertes Szenarientraining kann deshalb eine sinnvolle personenbezogene Ergänzung darstellen.
Es ersetzt weder technische noch organisatorische Schutzmaßnahmen und ist keine automatische BSI-Vorgabe.
Rückzug, Unterstützung und – wenn erforderlich – angemessener Selbstschutz.
Weitere Vertiefung: Gewaltprävention, Handlungssicherheit und Training in KRITIS
15. Checkliste für Organisationen
Prüffragen für mobile Teams
- Welche mobilen Tätigkeiten und wechselnden Einsatzorte bestehen?
- Welche Daten, Geräte und Systemzugänge werden unterwegs genutzt?
- Welche Gefährdungen für Beschäftigte entstehen vor Ort?
- Sind Aggression und Gewalt in der Gefährdungsbeurteilung berücksichtigt?
- Welche technischen Schutzmaßnahmen sind möglich?
- Welche organisatorischen Schutzmaßnahmen sind erforderlich?
- Gibt es klare Abbruch- und Rückzugsregeln?
- Sind Hilfe- und Meldewege praktisch erreichbar?
- Ist der Umgang mit Geräteverlust und Diebstahl geregelt?
- Wissen Beschäftigte, wann Eigenschutz Vorrang hat?
- Werden Vorfälle systematisch ausgewertet?
- Wird die Wirksamkeit der Maßnahmen überprüft?
- Sind wirksame Maßnahmen dauerhaft im Arbeitsalltag verankert?
16. KRITIS-Fachcluster und weiterführende Beiträge
Diese Seite ist Teil des KRITIS-Fachclusters auf guenther-pfeifer.de. Die folgenden Beiträge vertiefen einzelne Schnittstellen zwischen Resilienz, Arbeitsschutz, Gewaltprävention und dem Faktor Mensch.
Gewaltprävention in Kritischen Infrastrukturen
Grundlagen des KRITIS-Gewaltpräventionsclusters. Gewaltprävention, KRITIS und Behörden
Begriffe, Einordnung und Schnittstellen. KRITIS-Dachgesetz, Resilienz und Faktor Mensch
Die Rolle des Menschen innerhalb organisationaler Resilienz. Risikomanagement und Personal in KRITIS
Personelle Risiken und organisatorische Verantwortung. Gefährdungsbeurteilung Gewalt, KRITIS und Resilienz
Arbeitsschutz und Gewaltrisiken systematisch verbinden. Resilienz, NIS-2, Arbeitsschutz und Gewaltprävention
Schnittstellen zwischen Cyberrisiken, Organisation und Personalschutz. Fehlentscheidungen unter Stress in Kritischen Infrastrukturen
Wahrnehmung und Entscheidungen unter Belastung. Anlassbezogene Betriebssicherheit und Resilienz
Vom Vorfall zur organisatorischen Verbesserung.
KRITIS-Fachcluster
Diese Seite ist Teil des KRITIS-Fachclusters auf guenther-pfeifer.de. Die folgenden Beiträge vertiefen einzelne Schnittstellen zwischen Resilienz, Arbeitsschutz, Gewaltprävention, Handlungssicherheit und dem Faktor Mensch.Gewaltprävention in Kritischen Infrastrukturen
Grundlagen des KRITIS-Gewaltpräventionsclusters. Gewaltprävention, KRITIS und Behörden
Begriffe, Einordnung und Schnittstellen. KRITIS-Dachgesetz, Resilienz und Faktor Mensch
Die Rolle des Menschen innerhalb organisationaler Resilienz. Risikomanagement und Personal in KRITIS
Personelle Risiken und organisatorische Verantwortung. Gefährdungsbeurteilung Gewalt, KRITIS und Resilienz
Arbeitsschutz und Gewaltrisiken systematisch verbinden. Resilienz, NIS-2, Arbeitsschutz und Gewaltprävention
Schnittstellen zwischen Cyberrisiken, Organisation und Personalschutz. Fehlentscheidungen unter Stress in Kritischen Infrastrukturen
Wahrnehmung und Entscheidungen unter Belastung. Gewaltprävention: Fehlentscheidungen in KRITIS vermeiden
Wie Prävention, Handlungssicherheit und organisatorische Strukturen helfen,Fehlentscheidungen unter Belastung zu reduzieren. Anlassbezogene Betriebssicherheit und Resilienz
Vom Vorfall zur organisatorischen Verbesserung.
17. Häufige Fragen zu NIS-2, BSI INF.9 und mobilen Teams
Was ist BSI INF.9?
BSI INF.9 „Mobiler Arbeitsplatz“ ist ein IT-Grundschutz-Baustein für Tätigkeiten an häufig wechselnden Arbeitsorten außerhalb der Institution. Er beschreibt organisatorische, technische und personelle Sicherheitsanforderungen für mobile Arbeitsplätze.
Ist BSI INF.9 durch NIS-2 automatisch gesetzlich vorgeschrieben?
Nein. Das BSI-Gesetz stellt gesetzliche Anforderungen an das Risikomanagement betroffener Einrichtungen.
Der BSI-IT-Grundschutz ist ein methodischer Rahmen zur systematischen Informationssicherheit.
Was ist der Unterschied zwischen BSI INF.9 und OPS.1.2.4?
INF.9 betrifft mobile Arbeitsplätze an wechselnden Orten. OPS.1.2.4 betrifft dauerhaft eingerichtete Telearbeitsplätze außerhalb der Institution.
Muss Gewalt im Außendienst in die Gefährdungsbeurteilung?
Wenn Aggression, Bedrohung oder Gewalt aufgrund der Tätigkeit oder Einsatzbedingungen eine relevante Gefährdung darstellen können, müssen diese Risiken bei der Beurteilung der Arbeitsbedingungen
berücksichtigt werden.
Gehört Gewaltprävention zu BSI INF.9?
INF.9 ist ein Baustein der Informationssicherheit. Gewaltprävention ist damit nicht gleichzusetzen.
Bestehen Gefährdungen durch Aggression oder Gewalt, müssen diese zusätzlich aus Sicht des Arbeitsschutzes und der betrieblichen Organisation betrachtet werden.
Was hat bei einem Angriff Vorrang – Beschäftigter oder Dienstgerät?
Der Schutz des Menschen ist zentral. Ein Sicherheitskonzept sollte Beschäftigte nicht dazu bringen,
sich zur Sicherung eines Dienstgeräts einer vermeidbaren körperlichen Gefahr auszusetzen.
Wie hängen NIS-2, Arbeitsschutz und Gewaltprävention zusammen?
NIS-2 beziehungsweise das BSI-Gesetz behandeln insbesondere Risiken für informationstechnische Systeme und Prozesse. Arbeitsschutz betrachtet Gefährdungen für Beschäftigte. Gewaltprävention ergänzt die Sicherheitsorganisation dort, wo Aggression, Bedrohung oder körperliche Gewalt auftreten können.
Welche Maßnahmen sind bei Gewalt im Außendienst zuerst zu prüfen?
Nach dem TOP-Prinzip werden zunächst technische, dann organisatorische und anschließend personenbezogene Maßnahmen geprüft.
Warum reicht ein Deeskalationstraining allein nicht aus?
Training kann strukturelle Risiken nicht beseitigen. Fehlende Alarmierung, ungeeignete Einsatzplanung, unklare
Abbruchkriterien oder vermeidbare Alleinarbeit müssen technisch oder organisatorisch betrachtet werden.
Warum ist Qualitätsmanagement nach einem Sicherheitsvorfall wichtig?
Ein Vorfall kann Schwachstellen in Abläufen, Zuständigkeiten oder Schutzmaßnahmen sichtbar machen.
Qualitätsmanagement unterstützt dabei, diese Erkenntnisse in Verbesserungsmaßnahmen zu überführen und deren Wirksamkeit zu prüfen.
Was bedeutet nachhaltige Gewaltprävention?
Nachhaltige Gewaltprävention bedeutet, wirksame Sicherheitsmaßnahmen, Handlungsabläufe und Verantwortlichkeiten dauerhaft im Arbeitsalltag und in der Organisation zu verankern.
Wann ist Szenarientraining sinnvoll?
Szenarientraining kann sinnvoll sein, wenn Beschäftigte in dynamischen Situationen unter Zeitdruck, Aggression oder Unsicherheit Entscheidungen treffen müssen. Es ergänzt technische und organisatorische Maßnahmen.
18. Fazit: Mobile Sicherheit ist mehr als Geräteschutz
Der BSI-Baustein INF.9 zeigt, dass Informationssicherheit nicht an der Bürotür endet. Mobile Arbeitsplätze benötigen organisatorische, technische und personelle Schutzmaßnahmen, weil Beschäftigte in wechselnden und
teilweise unkontrollierten Umgebungen arbeiten.
Wo Beschäftigte zusätzlich mit Aggression, Bedrohung, Gewalt oder Alleinarbeit konfrontiert werden können, müssen Arbeitsschutz und Gefährdungsbeurteilung hinzukommen.
Das TOP-Prinzip verhindert dabei, dass Verantwortung einseitig auf Beschäftigte übertragen wird.
Technische und organisatorische Möglichkeiten müssen geprüft werden, bevor personenbezogene Maßnahmen ergänzend eingesetzt werden.
Qualitätsmanagement und Wirksamkeitskontrolle sorgen anschließend dafür, dass Erkenntnisse aus Vorfällen nicht verloren gehen,A sondern in Prozesse, Risikoanalysen, Gefährdungsbeurteilungen und
Verbesserungsmaßnahmen zurückgeführt werden.
Organisation und menschliche Handlungssicherheit nicht nur beschrieben,
sondern im Arbeitsalltag miteinander verankert sind.“
Der fachliche Ansatz von Günther Pfeifer verbindet Gewaltprävention, Arbeitsschutz, Resilienz und praktische
Handlungssicherheit.
Ziel ist nicht, jede Situation kontrollieren zu wollen. Ziel ist eine Organisation, die Risiken früh erkennt,
geeignete Schutzmaßnahmen aufbaut, Beschäftigten sichere Handlungsoptionen ermöglicht und aus Vorfällen systematisch lernt.
Quellen und Primärquellen
- Bundesamt für Sicherheit in der Informationstechnik:
- BSI IT-Grundschutz – INF.9 „Mobiler Arbeitsplatz“ (PDF)
- BSI-Gesetz § 30 – Risikomanagementmaßnahmen
- BSI-Gesetz § 32 – Meldepflichten
- Richtlinie (EU) 2022/2555 – NIS-2
- BAuA / GDA: Psychische Belastung in der Gefährdungsbeurteilung
Hinweis:
Dieser Fachbeitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Welche gesetzlichen, arbeitsschutzrechtlichen oder informationssicherheitsbezogenen Anforderungen im konkreten Einzelfall
gelten, muss organisations- und tätigkeitsbezogen geprüft werden.
Autor & fachlicher Ansprechpartner
Günther Pfeifer
IHK-zertifizierte Fachkraft für Gewaltprävention
mit langjähriger Praxiserfahrung in sicherheitsrelevanten Arbeits- und Einsatzbereichen.
Entwickler der Gladiator Mind-Methodik, in der Ansätze aus Selbstführung, Stressregulation und praktischer Handlungssicherheit zusammengeführt werden. Thematische Schwerpunkte sind unter anderem Behörden, KRITIS, Jobcenter, Kliniken, Rettungsdienst, ÖPNV, Einzelhandel und
Flughäfen.
Als persönliches Mitglied im Verband für Sicherheit, Gesundheit und Umweltschutz bei der Arbeit (VDSI) verbindet Günther Pfeifer seine langjährige Praxiserfahrung in Selbstschutz, Gewaltprävention und Resilienztraining mit aktuellen Entwicklungen im Arbeits- und Gesundheitsschutz. Diese fachliche Vernetzung unterstützt eine praxisnahe Einordnung von Fragen rund um Sicherheit, Prävention und organisationale Resilienz.
Ergänzend hat Günther Pfeifer seine fachliche Auseinandersetzung mit Stressreaktionen, Wahrnehmung und Verhalten durch eine Fortbildung zu Stressphysiologie und Neurobiologie vertieft. Diese Kenntnisse fließen insbesondere in die praxisorientierte Einordnung von Stress, Aktivierung, Wahrnehmung und Handlungssicherheit in Konflikt- und Gewaltsituationen ein.
Ich bin Praktiker, kein Forscher. Meine Aufgabe ist es, wissenschaftliche Erkenntnisse,
Erfahrungen aus Training und Arbeitsschutz sowie organisatorische Anforderungen in tragfähige Konzepte für reale Konflikt- und Gewaltsituationen zu übersetzen. Wo mein eigener fachlicher Schwerpunkt endet, beziehe ich geeignete Fachquellen und Netzwerke ein.
Meine Arbeit basiert auf der Überzeugung, dass der Mensch im Mittelpunkt wirksamer Gewaltprävention stehen muss. Dazu gehören Wahrnehmung, Stressregulation, Handlungssicherheit,
klare organisatorische Strukturen und die Fähigkeit, unter Belastung Entscheidungen zu treffen. Weitere Informationen zu meiner Arbeit und meinen Schwerpunkten finden Sie auf meiner Autorenseite
Letzte Aktualisierung: Oktober 2026