Equipment-Provisioning-Agent

IT-Equipment-Bereitstellung in Deutschland steht zwischen sechs Regelwerken, die eine einzelne Geräteausgabe gleichzeitig erfassen können. Das BetrVG §87 Abs. 1 Nr. 6 zwingt zur Mitbestimmung des Betriebsrats, sobald eine Tracking-Funktion - Microsoft Intune, Apple DEP, GPS, App-Inventar - das Gerät zur technischen Einrichtung der Mitarbeiterüberwachung macht. Die DSGVO untersagt rein automatisierte Einzelentscheidungen (Art. 22), verlangt Privacy by Design (Art. 25) und eine Folgenabschätzung für Tracking-Algorithmen (Art. 35), bewehrt mit bis zu 4 Prozent Konzernumsatz oder 20 Mio Euro. DGUV V1+V2 und die Bildschirmarbeitsverordnung schreiben die Ergonomie vor - verstellbarer Stuhl, ergonomische Tastatur, Sehtest alle fünf Jahre. Die NIS2-Richtlinie und das IT-SiG 2.0 fordern Cybersecurity-Vorgaben mit Risiko-Management und gestuftem Incident-Reporting, bewehrt mit bis zu 10 Mio Euro oder 2 Prozent des weltweiten Jahresumsatzes. Hinzu kommen die eIDAS-Verordnung für die Signatur-Hardware und SGB IX §164 für behinderungsgerechte Anpassungen. Jede Geräteausgabe kann damit bis zu sechs Compliance-Pflichten zugleich auslösen.

Was Verstöße kosten: NIS2, DSGVO und BetrVG, kumulativ

Die Sanktionen treffen kumulativ. Die NIS2-Richtlinie ahndet Cybersecurity-Verstöße in den KRITIS-Sektoren - Energie, Wasser, IT, Finanz, Verkehr, Lebensmittel - mit bis zu 10 Mio Euro oder 2 Prozent des weltweiten Jahresumsatzes. Die DSGVO geht bis 4 Prozent Konzernumsatz oder 20 Mio Euro, wenn ein Tracking-Algorithmus ohne Folgenabschätzung läuft oder gegen das Verbot automatisierter Einzelentscheidungen verstößt. Unterbleibt die Mitbestimmung, kann der Betriebsrat die Nutzung gerichtlich untersagen lassen. Hinzu kommen BSI-Sanktionen nach IT-SiG 2.0 bei unterlassener Vorfallsmeldung, DGUV-Folgen bei Ergonomie-Mängeln und der Verlust der Inklusionsamt-Kostenerstattung bei Verstößen gegen SGB IX §164. Bei kapitalmarktorientierten Konzernen drohen zusätzlich BaFin-Sanktionen und ein Reputationsschaden mit spürbarer Kursreaktion in den Handelstagen nach einer BSI-Veröffentlichung. Der BSI-Schwerpunkt 2024 bis 2026 liegt klar auf der NIS2-Umsetzung und der Equipment-Cybersecurity.

12 regelbasierte Entscheidungen, ein KI-Indikator, zwei menschliche Eskalationen

Der Agent zerlegt die Equipment-Bereitstellung in 15 Micro-Entscheidungen. 12 davon laufen deterministisch nach Regelwerk, eine ist ein KI-Indikator, zwei bleiben beim Menschen. Jede Entscheidung dokumentiert die Frage, ihre Einordnung (R für regelbasiert, A für KI-Indikator ohne Endentscheidung, H für menschliche Pflicht-Eskalation), die Begründung mit Rechtsgrundlage und Audit-Trail aus dem Quellsystem sowie einen Anfechtungs-Pfad. Regelbasiert sind unter anderem die Übernahme der Stammdaten und die Bedarfsklassifikation, die Mitbestimmungsprüfung nach BetrVG §87 Abs. 1 Nr. 6, die Ergonomie-Validierung nach DGUV V1+V2, die Einrichtung über Microsoft Intune und Apple DEP, die NIS2-Cybersecurity-Konfiguration, die Datenschutz-Folgenabschätzung nach Art. 35, die eIDAS-Signatur-Hardware, die Sicherheits-Grundkonfiguration, die Auslieferung, die Geräterückgabe nach Art. 17 und der revisionssichere Audit-Trail. Der eine KI-Indikator ist die Cross-System-Synchronisation des Lebenszyklus-Status, validiert von der IT-Operations-Leitung. Die zwei menschlichen Entscheidungen sind die Schwerbehinderten-Anpassung nach SGB IX §164 unter Beteiligung der Schwerbehinderten-Vertretung und die Eskalation eines Cyber-Vorfalls an Aufsichtsrat und BSI.

Laufender Abgleich mit BSI-Schwerpunkten und Aufsichtspraxis 2024-2026

Der Agent gleicht die Equipment-Konfiguration fortlaufend gegen die BSI-Schwerpunkte und die Aufsichtspraxis ab. Im Zentrum stehen die NIS2-Equipment-Cybersecurity mit Risiko-Management und Incident-Reporting nach BSI-Grundschutz sowie das IT-SiG 2.0 für die KRITIS-Sektoren. Die Datenschutzbehörden prüfen das Equipment-Tracking gegen Art. 22 DSGVO und die Folgenabschätzungs-Pflicht nach Art. 35; die arbeitsgerichtliche Rechtsprechung 2024 bis 2026 behandelt Microsoft Intune und Apple DEP als mitbestimmungspflichtige technische Einrichtungen. Die DGUV setzt Schwerpunkte bei der Bildschirmarbeits-Ergonomie und der Sehtest-Pflicht, Schwerbehinderten-Vertretung und Inklusionsamt bei den behinderungsgerechten Anpassungen. Bei kapitalmarktorientierten Konzernen besteht ein DPR-Folgeprüfungs-Risiko nach Cyber-Vorfällen. Der Agent dokumentiert pro Schwerpunkt die Konformität und meldet Auffälligkeiten früh an den Prüfungsausschuss des Aufsichtsrats (§107 AktG), an das BSI binnen 24 Stunden und als Datenpanne nach Art. 33 DSGVO binnen 72 Stunden.

Schwierige Fälle: Schwerbehinderte, internationale Mitarbeiter, C-Suite

Die komplexen Equipment-Szenarien sind eigens dokumentiert. Eine Schwerbehinderten-Anpassung nach SGB IX §164 verlangt eine individuelle Bedarfsanalyse - Vergrößerungssoftware, Spezial-Tastatur, Sprachsteuerung -, die Beteiligung der Schwerbehinderten-Vertretung und den Schutz der Gesundheitsdaten als Sondercategorie nach Art. 9 DSGVO; das Inklusionsamt kann die Kosten erstatten. Bei internationalen Mitarbeitern kommen Equipment-Spedition, Zollerlaubnis, Außenwirtschaftsrecht mit Embargo-Listen und die A1-Bescheinigung hinzu. C-Suite-Geräte erfordern erhöhte Cybersecurity-Anforderungen mit Hardware Security Module, dediziertem VPN und Smart-Card-Reader für die eIDAS-Signatur. In KRITIS-Sektoren gelten verschärfte Vorgaben mit BSI-Grundschutz und dedizierter Incident-Response, für Field-Worker robuste, spritzwassergeschützte Geräte, in explosionsgefährdeten Bereichen mit ATEX-Zertifizierung. Im Home-Office greifen die Bildschirmarbeits-Ergonomie und VPN-Pflicht. Bei Verlust oder Diebstahl löst die Regel die Datenpannen-Meldung binnen 72 Stunden nach Art. 33 DSGVO, die BSI-Meldung nach IT-SiG 2.0 und die Fernlöschung über Microsoft Intune oder Apple DEP aus.

Integration mit IT-Operations-Plattformen, MDM-Systemen und E-Signatur

Der Agent bindet die führenden Equipment-Provisioning-Plattformen über API an. Für Onboarding und Beschaffung sind das auf Konzernebene SAP (SuccessFactors Onboarding, HCM Equipment Tracking, Asset Manager, Ariba) und Workday, im Service-Management ServiceNow mit IT Asset und Service Management, für den Mittelstand Personio und BambooHR. Das Mobile Device Management läuft über Microsoft Intune mit Autopilot und Defender, Jamf Pro für Apple-Geräte sowie VMware Workspace ONE und IBM MaaS360 als plattformübergreifende Alternativen. Für die Asset-Verfolgung kommen Lansweeper, Snipe-IT und Freshservice hinzu. Schriftformbedürftige Erhaltsbestätigungen laufen über eIDAS-konforme E-Signatur-Dienste - DocuSign, Adobe Sign, Yousign. Maßstab der Cybersecurity-Konfiguration sind BSI-Grundschutz, ISO 27001 und ISO 22301. Der Agent verbindet sich mit dem Employee-Self-Service-Agent für die Anbindung ans Mitarbeiterportal, mit dem Compliance-Training-Agent für die Schulung zur KI-Kompetenz und mit dem Audit-Compliance-Agent für HR-Audit-Berichte.