Compliance Automation: Vom Aktenschrank zur belegbaren Software

Seit dem Inkrafttreten der NIS-2-Richtlinie (EU 2022/2555), der Übergangsfrist auf die Norm ISO/IEC 27001:2022 mit Stichtag im Oktober 2025 und der nationalen Umsetzung des Hinweisgeberschutzgesetzes (HinSchG) ab Juli 2023 ist die Zahl der nachweispflichtigen Compliance-Prozesse in deutschen Unternehmen deutlich gestiegen. Wer noch mit Excel-Listen, geteilten Laufwerken und einem Aktenordner pro Beauftragtem arbeitet, verbringt einen wachsenden Teil der Arbeitszeit mit Suchen statt mit Steuern, und dieser Effekt wird beim ersten Audit oft auf unangenehme Weise sichtbar. Die Aufsicht fragt nicht nach guten Absichten, sondern nach Belegen mit Datum, Empfänger und Versionsstand, und sie tut das in einer Geschwindigkeit, die manuelles Suchen nicht mehr trägt.

Compliance Automation bezeichnet die strukturierte Verlagerung dieser Pflichten in eine zentrale Plattform, die Aufgaben, Fristen, Vorlagen, Berichtslinien und Belege maschinenlesbar und revisionssicher verwaltet. Dieser Beitrag ordnet den Begriff, grenzt ihn von reiner GRC-Software ab, beschreibt typische Automatisierungspfade in deutschen Unternehmen, benennt Kosten ehrlich, vergleicht das duale Modell aus Plattform und Officer-as-a-Service mit klassischen Vollzeit-Anstellungen und zeigt, an welchen Stellen die Plattform Officer-Arbeit ersetzt, ergänzt oder eben nicht ersetzen kann. CIVAC liefert die Plattform plus, falls gewünscht, die bestellten Beauftragten, ein duales Modell, das den deutschen Mittelstand und seinen Pflichtenkanon im Blick hat und nicht nur das international ausgelegte Risikoregister einer global ausgerollten GRC-Suite.

Compliance Automation ist ein präziser Begriff, kein Marketing-Sammelbecken, und sie umfasst vier klar abgrenzbare Funktionsblöcke, die ein seriöser Anbieter im Detail vorführen kann. Erstens die Aufgabensteuerung: jeder Pflicht im Unternehmen wird ein verantwortlicher Beauftragter, eine Frist und ein Belegformat zugeordnet. Das gilt für das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO genauso wie für das Schutzkonzept nach § 17 GeschGehG, für die Risikoanalyse nach § 5 GwG und für die Annex A-Controls der Norm ISO/IEC 27001:2022. Zweitens die Vorlagensteuerung: 490 einsatzbereite Audit-Vorlagen in der CIVAC-Plattform decken Datenschutz, Informationssicherheit, Hinweisgeberschutz, Gefahrgut, Brandschutz, ESG und weitere Themenfelder ab und werden zentral gegen neue Rechtsprechung und Verwaltungsvorschriften gepflegt.

Drittens die Berichtslinie: Art. 38 Absatz 3 DSGVO und vergleichbare Regelungen in anderen Spezialgesetzen verlangen, dass Beauftragte unmittelbar an die Geschäftsleitung berichten. Die Plattform protokolliert Berichte mit Zeitstempel, Empfänger und Inhaltsversion, sodass die Berichtslinie nachweisbar ist, nicht nur behauptet. Viertens der Meldepfad: der NIS-2 24/72-Meldepfad gegenüber dem BSI, die 72-Stunden-Datenpannenmeldung nach Art. 33 DSGVO und sektorspezifische Meldungen an BaFin, BAFA oder die Gewerbeaufsicht sind als Workflows hinterlegt, inklusive Prüfungslogik, Empfängeradressen je Bundesland und Eskalationsstufen für die Geschäftsleitung.

Was Compliance Automation nicht ist: ein Ersatz für die rechtliche Bewertung im Einzelfall oder für strategische Risikoabwägungen. Die Plattform strukturiert, sie entscheidet nicht und ersetzt keine Officer-Verantwortung. CIVAC kombiniert deshalb die 25 Beauftragten-Rollen mit der Plattform, damit Bewertung und Dokumentation in einer Verantwortungslinie liegen. Bestellurkunde, unterschrieben, abgelegt, belegbar. Diese vier Worte beschreiben den Anspruch genauer als jede Funktionsliste eines Anbietervergleichs.

Klassische Governance, Risk und Compliance Tools, kurz GRC, sind häufig amerikanische Plattformen, die auf SOX, NIST CSF und FedRAMP optimiert sind. Sie unterstützen Risikoregister, Audit-Workflows und Reporting, kennen aber das deutsche Beauftragtenmodell, die Spezifika des § 38 BDSG oder die NIS-2-Umsetzung im novellierten BSI-Gesetz nur eingeschränkt und liefern für die deutsche Aufsicht nicht die richtigen Formate. Wer ein US-GRC-Tool in einem deutschen Mittelständler einführt, baut typischerweise sechs bis neun Monate Customising, bevor das System die Bestellurkunde, den Berichtslinien-Nachweis und die Anforderungen der deutschen Aufsichtsbehörden überhaupt korrekt abbildet, und die laufende Pflege erfordert weiter externes Customising bei jeder Gesetzesänderung.

Compliance Automation deutscher Prägung setzt umgekehrt an: Plattform und Vorlagen sind ab Werk auf DSGVO, BDSG, BSI-Gesetz, GwG, HinSchG, LkSG, GbV, GefStoffV, ASiG, ArbSchG und die einschlägigen technischen Normen wie ISO/IEC 27001:2022, ISO 9001 und ISO 14001 ausgerichtet. EU-Datenresidenz ist gesetzt, Auftragsverarbeitung nach Art. 28 DSGVO mit vollständiger Subunternehmerliste ist Standard, und die Plattform spricht die Sprache der Aufsicht, der Landesdatenschutzbehörden und der Berufsgenossenschaften ohne weitere Übersetzungsarbeit.

Der praktische Unterschied zeigt sich beim ersten Audit. Eine deutsche Plattform liefert die Bestellurkunde, das Verzeichnis von Verarbeitungstätigkeiten, das ISMS-Inventar und die Meldepfade als zusammenhängendes Belegpaket mit deutscher Terminologie und korrekten Paragraphen. Ein US-GRC-Tool liefert ein Risikoregister mit englischen Bezeichnungen und ohne den deutschen Pflichtenkanon, und der Prüfer muss erst übersetzt bekommen, was er ohnehin in deutscher Form sehen wollte. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software, mit Versionierung, Zeitstempel und Berichtslinie.

Automatisierbar sind in hohem Maße: das Fristenmanagement mit Schulungszyklen, Wiederholungsprüfungen und Audits, die Vorlagenpflege mit Verträgen nach Art. 28 DSGVO, Bestellurkunden und Berichtsformaten, die Meldepfade nach NIS-2 mit 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung an das BSI, die Datenpannenmeldung nach Art. 33 DSGVO an die zuständige Landesdatenschutzbehörde und die Verdachtsmeldung nach § 8 GwG an die FIU, die Belegketten mit Versionierung, Zeitstempel und Empfänger, die Aufgabenroutinen wie jährliches Risikoassessment und Wirksamkeitskontrolle der Maßnahmen sowie das strukturierte Reporting an die Geschäftsleitung. Diese Bereiche profitieren am stärksten, weil die Tätigkeit repetitiv, fristgebunden und dokumentpflichtig ist und die Plattform die Genauigkeit liefert, die ein Mensch unter Last verliert.

Teilweise automatisierbar sind: Risikobewertungen, bei denen Vorlage und Bewertungsraster automatisiert sind, die fachliche Einschätzung aber beim Beauftragten bleibt, Schulungsinhalte, bei denen Verteilung und Nachweis automatisiert sind, die Inhaltsanpassung an die jeweilige Rolle aber redaktionell bleibt, und Vorfallsanalysen, bei denen Erstaufnahme und Ablauf automatisiert sind, die forensische Bewertung aber manuell durch qualifizierte Fachleute erfolgen muss. Nicht automatisierbar sind: Einzelfallrechtsberatung, strategische Risikoabwägungen, Verhandlungen mit Aufsichtsbehörden und die Bewertung neuartiger Sachverhalte ohne Präzedenz, etwa bei neuen KI-Anwendungen oder Cloud-Architekturen mit Drittlandtransfer.

Die ehrliche Antwort lautet deshalb: 60 bis 75 Prozent des operativen Aufwands lassen sich automatisieren, der Rest bleibt qualifizierte Officer-Arbeit, die ein Auditor auch sehen will. Wer Anbieter sieht, die Vollautomation ohne menschliche Bewertung versprechen, sollte den Aufsichtsbezug genau prüfen und nach Referenzen aus deutschen Audits fragen. CIVAC trennt deshalb sauber zwischen Plattform-Funktionen und Officer-Mandat und macht beides vertraglich transparent, mit getrennten Leistungsbeschreibungen.

Eine ernsthafte Compliance-Automation-Plattform misst sich am Audit, nicht an der Demo, und drei Prüfsteine sind dabei besonders aussagekräftig. Erstens die Vorlagenbasis: CIVAC liefert 490 einsatzbereite Audit-Vorlagen, die jährlich gegen neue Rechtsprechung, geänderte Aufsichtshinweise und novellierte Gesetzestexte gepflegt werden. Vorlagen ohne Pflege sind nach 18 Monaten ein Risiko, kein Schutz, und das Datum der letzten Überprüfung ist deshalb ein hartes Auswahlkriterium, das ein seriöser Anbieter pro Vorlage einzeln offenlegt und mit einer Änderungshistorie belegt.

Zweitens die Controls-Abdeckung: die Norm ISO/IEC 27001:2022 nennt 93 Annex A-Controls, gruppiert in Organisational, People, Physical und Technological. Die Plattform muss alle 93 als Statement of Applicability abbilden, mit Status, Verantwortlichem, Wirksamkeitskontrolle und Nachweis. Ein Tool, das nur 60 oder 70 Controls aktiv pflegt, fällt im Übergangsaudit auf die neue Normfassung durch, und die Frist für den Wechsel von ISO/IEC 27001:2013 auf ISO/IEC 27001:2022 läuft seit Oktober 2025 ab. Drittens das Belegpaket: bei einem Audit muss innerhalb der typischen Frist von 14 bis 30 Tagen ein zusammenhängendes Paket lieferbar sein, das Bestellurkunde, Verzeichnis von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, ISMS-Statement of Applicability, Schulungsnachweise, Meldepfade und das Reporting an die Geschäftsleitung enthält.

Der Prüfer ruft an, der Nachweis liegt bereit. Diese Reihenfolge ist das eigentliche Versprechen von Compliance Automation, und sie ist das einzige Kriterium, das im Ernstfall zählt. Wer dieses Versprechen nicht in einer Demo am realen Audit-Szenario zeigen kann, verkauft Software, keine Compliance, und der Unterschied wird in der ersten Prüfung schmerzhaft sichtbar.

CIVAC tritt mit einer klaren Positionierung an: Compliance-Plattform und Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Diese Dualität ist mehr als ein Vertriebsangebot, sie ist die strukturelle Antwort auf die Realität, dass viele deutsche Unternehmen einen Mischbetrieb fahren: Datenschutz intern, Informationssicherheit extern, Gefahrgut extern, ESG intern, Hinweisgeberschutz extern, je nach Verfügbarkeit qualifizierter Personen, je nach strategischer Bedeutung der Rolle und je nach historisch gewachsener Aufbauorganisation. Eine einheitliche Plattform mit verteilter Officer-Besetzung ist deshalb der Normalfall im Mittelstand, nicht die Ausnahme oder das theoretische Ideal.

Praktisch bedeutet das: das Unternehmen lizenziert den Workspace für alle Pflichten, besetzt einzelne Rollen mit internen Personen und beauftragt CIVAC für die übrigen Rollen über das Officer-as-a-Service-Modell. Die Bestellurkunden werden zentral verwaltet, die Berichtslinien laufen auf einer Plattform zusammen, die Geschäftsleitung sieht ein konsolidiertes Compliance-Dashboard mit allen offenen Pflichten, Fristen und Eskalationen. Wenn sich die Verteilung ändert, etwa weil eine interne Datenschutzbeauftragte das Unternehmen verlässt oder eine neue Tochter hinzukommt, übernimmt CIVAC kurzfristig mit dem 2-Werktage-SLA, ohne Umzug der Belege und ohne Bruch in der Audit-Spur.

Das Modell adressiert auch den häufigen Fehler, externe Beauftragte ohne Plattformanbindung zu bestellen. Wer eine externe Datenschutzbeauftragte beauftragt, aber die Belege auf einem internen SharePoint pflegt, fragmentiert die Audit-Spur und die Verantwortung, und im Krisenfall sucht jeder im anderen System. Die Plattform schließt diese Lücke, unabhängig davon, ob der Beauftragte intern oder extern bestellt ist, und die Bestellurkunde liegt unterschrieben in einem einzigen, geprüften System.

Compliance Automation ist kein Mehrjahresprojekt, wenn das Vorgehen stimmt und die Plattform vorkonfiguriert ist. CIVAC arbeitet mit einem dreistufigen Onboarding, das nach 90 Tagen ein audit-bereites Unternehmen liefert, vorausgesetzt die Mitwirkungspflichten werden eingehalten und die Geschäftsleitung steht hinter dem Projekt. Stufe eins, Tag 1 bis 14: Bestandsaufnahme der aktuellen Beauftragtenrollen, Bestellurkunden, des Verarbeitungsverzeichnisses und der ISMS-Dokumentation, sofern vorhanden. Ergebnis ist eine Gap-Analyse mit priorisierter Maßnahmenliste, einer Risikoeinschätzung je Lücke und einem Statement of Applicability für die ISO/IEC 27001:2022-Controls, sofern für die Branche relevant.

Stufe zwei, Tag 15 bis 45: Aufsetzen des Workspaces, Import der vorhandenen Belege, Aktivierung der 490 Vorlagen, Festlegen der Berichtslinien und Meldepfade, Konfiguration des NIS-2 24/72-Meldepfads gegenüber dem BSI und Kalibrierung des Reportings an die Geschäftsleitung mit echten Empfängern und realistischen Eskalationsstufen. Die Bestellurkunden für externe Mandate werden ausgestellt und gegengezeichnet, die Berichtslinie wird im System mit Zeitstempeln aktiviert. Stufe drei, Tag 46 bis 90: Schulung der internen Beauftragten auf dem Workspace, erste Wirksamkeitskontrolle der Maßnahmen, erstes konsolidiertes Quartalsreporting an die Geschäftsleitung, Übergabe in den Regelbetrieb mit definierten Verantwortlichkeiten und Eskalationen.

Nach 90 Tagen ist das Unternehmen audit-bereit für die typischen Prüfanlässe Aufsichtsbehörde, Konzernrevision, Lieferantenaudit und Re-Zertifizierung der Norm ISO/IEC 27001:2022. Im Vergleich zu klassischen GRC-Projekten mit 6 bis 12 Monaten Laufzeit ist das eine ganze Größenordnung schneller, weil Plattform, Vorlagen und Officer-Modell aus einer Hand kommen und nicht jedes Teilstück separat integriert und nachjustiert werden muss.

Die Kostenstruktur hat drei Komponenten, und seriöse Anbieter legen alle drei offen und ohne versteckte Aufschläge dar. Erstens die Plattform: Lizenz für den Workspace, gestaffelt nach Anzahl Beauftragtenrollen und Mitarbeitenden im Geltungsbereich. Für ein mittelständisches Unternehmen mit 80 bis 300 Mitarbeitenden und fünf bis acht aktiven Beauftragtenrollen liegt der Workspace-Jahresbeitrag im niedrigen fünfstelligen Bereich, inklusive 490 Vorlagen, Berichtslinien, Meldepfaden, EU-Datenresidenz und laufender Pflege gegen neue Rechtsprechung und Aufsichtshinweise ohne Customising-Aufpreis.

Zweitens das Officer-Mandat, falls beauftragt: 6.000 bis 24.000 Euro pro Jahr je Rolle, abhängig von Komplexität, Größe und Schnittstellen zu anderen Beauftragten. Drittens die Einmalkosten für das Onboarding, typischerweise 5.000 bis 15.000 Euro für Bestandsaufnahme, Gap-Analyse, Konfiguration und Schulung der internen Beauftragten. Im Vergleich zur klassischen Variante mit einem internen Vollzeit-Beauftragten, die über 36 Monate auf 320.000 bis 410.000 Euro kommt und die Plattformkosten obendrauf erfordert, ist das eine deutliche Reduktion bei gleichzeitig besserer Audit-Defensibilität und schnellerer Onboarding-Zeit.

Die ehrliche Rechnung berücksichtigt auch das, was Compliance Automation nicht direkt einspart, aber sichtbar macht: Bußgeldrisiken nach Art. 83 DSGVO bis 20 Millionen Euro oder 4 Prozent Konzernumsatz, NIS-2-Bußgelder bis 10 Millionen Euro oder 2 Prozent für wesentliche Einrichtungen, bis 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen, sowie die persönliche Haftung der Geschäftsleitung nach § 130 OWiG bei Aufsichtspflichtverletzungen. Diese Risiken werden durch saubere Belege nicht beseitigt, aber sie werden kontrollierbar und im Ernstfall rechtssicher entlastbar, und das ist der eigentliche ökonomische Hebel.

Eine kompakte Checkliste mit acht Punkten trennt seriöse Anbieter von Marketingversprechen, und Sie sollten alle acht in der ersten Anbieter-Demo prüfen, idealerweise an einem realen Audit-Szenario aus Ihrem Unternehmen. Erstens, deutsche Pflichtenabdeckung mit DSGVO, BDSG, BSI-Gesetz für NIS-2, GwG, HinSchG, LkSG, ArbSchG, GefStoffV und aktuellen Vorlagen, deren letztes Reviewdatum sichtbar und je Vorlage einzeln einsehbar ist. Zweitens, EU-Datenresidenz mit dokumentierter Subunternehmerliste nach Art. 28 DSGVO, einschließlich Hosting-Region, Backup-Region und etwaiger Drittlandtransfers samt Rechtsgrundlage. Drittens, dokumentierte 24/72-Meldepfade für NIS-2 und 72-Stunden-Meldepfad für Art. 33 DSGVO mit aktuellen Empfängeradressen je Bundesland.

Viertens, vollständige Abdeckung der Norm ISO/IEC 27001:2022 Annex A mit allen 93 Controls als Statement of Applicability, nicht nur einer Teilmenge der Themengruppen. Fünftens, Bestellurkundenverwaltung mit Versionierung, Zeitstempel und elektronischer Signatur, idealerweise nach eIDAS QES mit qualifiziertem Vertrauensdiensteanbieter. Sechstens, ein dokumentiertes Officer-Modell, das die Bestellung externer Beauftragter ermöglicht, ohne dass die Plattformnutzung daran gebunden ist und ohne Lock-in. Siebtens, ein verbindlicher SLA für Onboarding und Vorfallsreaktion, bei CIVAC zwei Werktage. Achtens, ein dokumentierter Pflegezyklus für Vorlagen und Controls mit letztem Reviewdatum, idealerweise pro Vorlage einzeln einsehbar und mit Änderungshistorie über die letzten Releases.

Anbieter, die einen dieser Punkte nicht klar beantworten oder ausweichend formulieren, sind für den deutschen Mittelstand selten geeignet, unabhängig vom Markenglanz oder vom Preisschild im Angebot. Audit-fest, dokumentiert, § 38 BDSG-fest, NIS-2-fest, ISO 27001-fest. Das ist der Maßstab, an dem sich Compliance Automation messen lassen muss.

Der typische Einstieg in Compliance Automation beginnt mit einer 60 bis 90 Minuten dauernden Bestandsaufnahme, die Sie ohne Vorbereitung beginnen können, weil die strukturierten Fragen die Antworten leiten und keine vorab erstellten Unterlagen voraussetzen. Welche Beauftragtenrollen sind aktuell besetzt, welche fehlen, wo liegen die Belege physisch und digital, welche Audits stehen in den nächsten zwölf Monaten an, welche Sektorpflichten gelten zusätzlich, welche Tochtergesellschaften und welche Auslandsgesellschaften sind in den Geltungsbereich einzubeziehen. CIVAC führt diese Bestandsaufnahme als kostenfreies Erstgespräch und liefert im Anschluss eine schriftliche Empfehlung mit Aufwandsschätzung, Phasenplan und Festpreisangebot innerhalb von fünf Werktagen.

CIVAC positioniert sich als Compliance-Plattform und Officer-as-a-Service mit deutscher Rechtsausrichtung. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Varianten teilen dieselbe Plattform, dieselben 490 Vorlagen, dieselben Meldepfade und dieselbe EU-Datenresidenz, und Sie können zwischen den Modellen jederzeit wechseln, ohne die Belege zu verlieren oder einen Wechsel der Bestellurkunde durchlaufen zu müssen. Das ist der Vorteil eines integrierten Ansatzes gegenüber dem üblichen Mix aus Excel, Kanzlei und Standalone-Tool, der erst beim ersten Audit unter Druck reißt.

Für ein konkretes Angebot zu Ihrer Lage, inklusive Gap-Analyse gegen die aktuelle Rechtslage, einer Workspace-Demo mit Ihren realen Pflichten und Belegformaten und einem Bestellurkunden-Entwurf für die gewünschten externen Rollen samt namentlich genanntem Stellvertreter, schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf der CIVAC-FAQ-Seite. Aus dem Lesen einen Auftrag machen.