Compliance-Dokumentation automatisieren: Software, die Audit-fest dokumentiert

Art. 33 DSGVO setzt 72 Stunden, NIS-2 verlangt eine 24-Stunden-Frühwarnung und ISO/IEC 27001:2022 fordert lückenlose Nachweise zu 93 Controls. Wer diese Pflichten weiterhin in Word, SharePoint und E-Mail-Threads erfüllt, riskiert nicht nur Bußgelder bis 10 Mio. Euro, sondern auch eine zerfaserte Beweislage im Audit. Die Folge: Stunden vergehen mit der Suche nach der richtigen Bestellurkunde, anstatt sich auf den Vorfall zu konzentrieren.

Compliance-Dokumentation automatisieren bedeutet, jeden Beauftragten-Vorgang als versionierten Datensatz zu führen, Fristen aus dem Gesetz heraus zu triggern und Nachweise auf Knopfdruck reproduzierbar zu machen. Dieser Leitfaden erklärt, welche Funktionen eine Compliance-Plattform 2026 abdecken muss, wie Sie zwischen Tool-Lizenz und Officer-as-a-Service entscheiden und an welchen Stellen automatisierte Dokumentation die Bußgeldrisiken nach DSGVO, NIS-2 und OWiG messbar senkt.

Wer Compliance-Dokumentation noch in Word-Vorlagen pflegt, kennt das Muster: Bestellungen liegen im Personalordner, Risikoanalysen auf einem Laufwerk, Meldepfade in einem geteilten Postfach. Im Audit muss der oder die Beauftragte aus drei Systemen den belegbaren Stand rekonstruieren. Diese Sammelarbeit kostet Stunden und produziert Lücken, sobald Personen wechseln.

Die regulatorische Realität hat sich verschoben. NIS-2 erwartet eine 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung. Art. 33 DSGVO setzt die 72-Stunden-Frist ab Kenntnis. ISO/IEC 27001:2022 verlangt zu 93 Controls Nachweise, die maschinell prüfbar sein müssen. SharePoint kennt diese Fristen nicht, Word generiert keine Bestellurkunde mit Revisionssicherheit.

Compliance-Software definiert Pflichten als Datensätze. Eine Bestellung ist nicht ein Dokument, sondern ein Vorgang mit Rolle, Geltungsbereich, Datum, Unterschrift und Versionsstand. Eine Schulung ist nicht eine PDF, sondern ein Nachweis pro Person mit Ablaufdatum. Eine Meldung ist nicht eine E-Mail, sondern ein Workflow mit Fristuhr.

Der Unterschied wird im Ernstfall sichtbar. Wenn die Aufsicht anruft oder ein Vorfall meldepflichtig wird, läuft die Uhr ab Kenntnis. Eine automatisierte Dokumentation liefert die Bestellurkunde, das Risikoregister und den Meldeentwurf in Minuten, nicht in Tagen. Der Prüfer ruft an, der Nachweis liegt bereit.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. CIVAC versteht sich als Compliance-Plattform und Officer-as-a-Service: 25 Beauftragten-Rollen, 93 Controls, 490 Audit-Vorlagen, ein Workspace.

Die Konsequenz ist organisatorisch. Wer Word verlässt, gibt nicht ein Tool auf, sondern ein Arbeitsmodell. Compliance wird vom verteilten Aktenchaos zu einer geführten Prozesskette mit klarem Eigentümer pro Vorgang.

Eine moderne Plattform deckt vier Kernschichten ab: Rollen und Bestellungen, Pflichten und Fristen, Nachweise und Audit-Vorlagen, Berichtslinien und Meldepfade. Wer eine dieser Schichten in externen Tools belässt, baut Medienbrüche ein, die jeden Audit-Vorteil aufzehren.

Rollen und Bestellungen sind die Basis. Eine Plattform muss Bestellurkunden generieren, die nach OWiG, BDSG und Fachgesetzen formal halten. Jede Bestellung dokumentiert Geltungsbereich, Datum, Unterschrift und Berichtslinie. Sie ist verknüpft mit der Person, dem Vertrag und dem Risikoregister, das diese Rolle füllt.

Pflichten und Fristen müssen aus dem Gesetz heraus getriggert werden. Wenn Art. 33 DSGVO einen Vorfall meldepflichtig macht, startet die 72-Stunden-Uhr in der Plattform. Wenn ISO 27001 ein internes Audit pro Jahr fordert, plant der Workspace den nächsten Termin. Fristen sind keine Kalendererinnerung, sondern ein Workflow mit Eskalation.

Nachweise und Audit-Vorlagen schließen die Kette. CIVAC hält 490 einsatzbereite Audit-Vorlagen: Risikoanalysen, Verfahrensverzeichnisse, Schulungsnachweise, Lieferanten-Audits. Jede Vorlage ist versioniert, jede Ausfüllung erzeugt einen Datensatz, der zur Bestellung und zur Rolle gehört. Der Auditor sieht den vollständigen Pfad ohne Rückfrage.

Berichtslinien und Meldepfade sind die vierte Schicht. Eine Plattform muss zeigen, wer an wen berichtet, und im Ernstfall den Meldepfad zur zuständigen Aufsicht öffnen. Für NIS-2 sind das BSI und ggf. Sektor-Aufsichten. Für DSGVO die Landes- oder Bundesdatenschutzbehörde. Für Geldwäsche die FIU. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Diese vier Schichten zusammen bilden den Workspace. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Das ist die Entscheidung, die Sie treffen, sobald die Plattform technisch klar ist.

Die Bestellurkunde ist der häufigste Stolperstein im Audit. Aufsichten prüfen nicht nur, ob eine Beauftragte oder ein Beauftragter benannt ist, sondern ob die Bestellung formal hält. Geltungsbereich, Datum, Unterschrift, Berichtslinie, Ressourcenzusage. Fehlt ein Element, gilt die Rolle als nicht wirksam bestellt.

In einer Plattform wird die Bestellurkunde aus dem Rollendatensatz generiert. Sie wählen die Rolle, beispielsweise externe Datenschutzbeauftragte nach Art. 37 DSGVO oder Informationssicherheitsbeauftragten nach NIS-2 § 38 BSIG. Die Plattform fügt die rechtlichen Mindestangaben ein, ergänzt Geltungsbereich aus dem Unternehmensstamm und legt die Unterschriftenseite an.

Die Berichtslinie wird im selben Vorgang fixiert. Der ISB berichtet an die Geschäftsleitung, der DSB an die oberste Leitungsebene unabhängig, der Geldwäschebeauftragte an den Geldwäsche-Vorstand. Die Plattform zeichnet diese Linie als Beziehung im Organigramm und macht sie für den Audit nachweisbar.

Versionsstände sind ein eigenes Thema. Wer eine Bestellung anpasst, beispielsweise weil sich der Geltungsbereich ändert, will keine Datei überschreiben, sondern eine neue Version anlegen. Die alte Version bleibt revisionssicher erreichbar, die neue gilt ab Unterschrift. Der vollständige Verlauf liegt in einer Akte, nicht in fünf Word-Dateien.

CIVAC bietet diese Logik für 25 Beauftragten-Rollen, darunter Informationssicherheitsbeauftragter, Datenschutzbeauftragter und Geldwäschebeauftragter. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Automatisierung erfasst auch externe Bestellungen. Wenn CIVAC die Rolle als Officer-as-a-Service stellt, generiert die Plattform die Bestellurkunde gegenüber dem Auftraggeber, hält den Vertrag, das SLA und die Vertraulichkeitsvereinbarung im selben Datensatz. Zwei Modelle, eine Plattform.

Audit-Vorlagen sind das Arbeitstier jeder Compliance-Funktion. Risikoanalyse nach Art. 32 DSGVO, Risikobewertung nach ISO 27005, Verfahrensverzeichnis nach Art. 30 DSGVO, Schulungsnachweis nach § 4f BDSG, Lieferanten-Audit nach ISO 27001 Anhang A 5.19. Wer diese Vorlagen einzeln in Word pflegt, verliert die Verbindung zwischen den Dokumenten.

Eine Plattform hält Vorlagen als Schemata, nicht als Dateien. Wenn Sie eine Risikoanalyse anlegen, zieht das Schema die zugehörigen Assets aus dem Inventar, die zugehörigen Controls aus dem ISMS und die zuständigen Rollen aus dem Bestellregister. Was Sie ausfüllen, ist die Bewertung, nicht die Struktur.

Für ISO/IEC 27001:2022 sind 93 Controls einzeln nachweisbar. Die Übergangsfrist endete im Oktober 2025; seit 2026 prüfen Auditoren ausschließlich die neue Fassung. CIVAC hält für jede Control den Soll-Zustand, den Ist-Zustand, die zuständige Rolle und die Frequenz der Wirksamkeitsprüfung. Lesen Sie zur Übergangsstrategie auch unseren News-Artikel zum ISO 27001:2022-Übergang.

Im Audit zählt die Reproduzierbarkeit. Der Prüfer fragt: Wie haben Sie A.5.7 Threat Intelligence umgesetzt? Die Plattform öffnet die Control, zeigt die zugewiesene Rolle, den letzten Wirksamkeitsnachweis, die Bestellurkunde der verantwortlichen Person und das nächste Review-Datum. Audit-fest, dokumentiert, ISO 27001:2022-fest.

Schulungsnachweise gehören in dieselbe Kette. Jede Mitarbeiterin und jeder Mitarbeiter hat ein Schulungsprofil mit Rollenpflichten. Die Plattform plant Termine, erfasst Teilnahme und macht den Nachweis pro Person, pro Rolle, pro Datum sichtbar. Eine Excel-Liste ersetzt das nicht.

490 Audit-Vorlagen decken den Querschnitt der wesentlichen Beauftragten-Rollen ab. Jede Vorlage ist auf das deutsche und europäische Recht zugeschnitten, jede Vorlage wird aktuell gehalten, sobald sich Recht oder Norm ändert.

NIS-2 verschiebt die Mess­latte für Meldepflichten. § 32 BSIG verlangt eine Frühwarnung innerhalb von 24 Stunden ab Kenntnis und eine Folgemeldung innerhalb von 72 Stunden. Frist läuft ab Kenntnis, nicht ab Eskalation. Wer den Vorfall um 09:00 Uhr erkennt, hat bis 09:00 Uhr des Folgetags zu warnen.

Die Plattform muss diesen Pfad als Workflow abbilden, nicht als Checkliste. Sobald ein Vorfall im System geöffnet wird, startet die Fristuhr automatisch. Der ISB sieht die verbleibende Zeit, die zu fertigenden Felder der Frühwarnung und die Eskalationsstufe an die Geschäftsleitung. Eskalation ist nicht eine Frage höflicher Erinnerung, sondern eine Funktion.

Der Inhalt der Frühwarnung ist normiert: Verdacht auf Cybervorfall, mögliche Auswirkungen, betroffene Dienste. Die Folgemeldung erweitert um Ursache, Maßnahmen, mögliche grenzüberschreitende Auswirkungen. Eine Plattform hält Templates für beide Meldungen und befüllt sie aus dem Vorfallsdatensatz.

Das BSI ist die zentrale Meldestelle für NIS-2. Sektor-Aufsichten erhalten Kopien je nach Branche. CIVAC dokumentiert den Eingang, den Quittungsnachweis und die Folgekommunikation. Der Vorfall ist nicht abgeschlossen, wenn die Mail raus ist, sondern wenn die Aufsicht die Meldung quittiert hat.

Für die Vorbereitung auf NIS-2 lesen Sie auch unseren Überblick zur deutschen NIS-2-Umsetzung 2026. Bußgelder reichen für wesentliche Einrichtungen bis 10 Mio. Euro oder 2 % Konzernumsatz, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 %.

Wer den Meldepfad ohne Plattform betreibt, riskiert die Fristuhr zu übersehen, wenn IT, Recht und Geschäftsleitung in getrennten E-Mail-Threads sprechen. Die Automatisierung zwingt den Pfad in eine sichtbare, prüfbare Spur.

Wer Compliance-Software einsetzt, gibt zwangsläufig personenbezogene Daten in die Hand des Anbieters. Bestellurkunden enthalten Namen und Funktionen, Schulungsnachweise enthalten Teilnahmedaten, Meldepfade enthalten Vorfalls­details mit Betroffenenbezug. Diese Datenflüsse sind nach Art. 28 DSGVO als Auftragsverarbeitung zu regeln.

EU-Datenresidenz ist kein Marketingbegriff, sondern eine Anforderung. Daten müssen in der EU verarbeitet werden, idealerweise in Deutschland, und der Anbieter darf keine unkontrollierten Drittlandstransfers durchführen. Cloud-Anbieter mit US-Konzernmutter unterliegen dem CLOUD Act und sind seit dem Schrems-II-Urteil nur mit zusätzlichen Garantien zulässig.

CIVAC betreibt den Workspace in der EU mit Datenresidenz in Deutschland. Der Auftragsverarbeitungsvertrag liegt in einer geprüften Fassung vor, Subunternehmer sind transparent gelistet, Löschkonzepte sind dokumentiert. Diese Bausteine sind nicht optional, sie sind Voraussetzung für den DSGVO-konformen Betrieb.

Im ISMS schlägt sich die Datenresidenz in mehreren Controls nieder. A.5.34 Privacy and protection of personally identifiable information, A.8.10 Information deletion, A.5.14 Information transfer. Eine Plattform muss diese Controls nicht nur dokumentieren, sondern selbst erfüllen.

Für die Auftraggeber bedeutet das eine doppelte Erleichterung. Die internen DSB müssen den Anbieter nicht erst auf Schrems-II-Konformität prüfen, weil die Konstruktion bereits EU-only ist. Und das Verfahrensverzeichnis nach Art. 30 DSGVO ist für die Plattform-Nutzung mit einer Vorlage abgedeckt.

Die Verbindung zur Officer-Rolle ist eng. Der oder die externe Datenschutzbeauftragte kann die Plattform sowohl als eigenes Arbeitsmittel nutzen als auch im Auftrag des Verantwortlichen führen. In beiden Fällen bleibt der Datenfluss DSGVO-konform abgegrenzt.

Die Plattform unterstützt zwei Betriebsmodelle, die sich nicht ausschließen, sondern ergänzen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die Wahl hängt an Größe, Branchenkomplexität und Stand der internen Aufstellung.

Das Lizenz-Modell passt, wenn Sie bereits interne Rollen besetzt haben, beispielsweise einen festen ISB, einen DSB im Konzernverbund und eine Compliance-Funktion mit Personal. Diese Rollen erhalten Werkzeug, Vorlagen und Workflows. Die Plattform wird zur Arbeitsumgebung, nicht zur Beratungsleistung. Lizenzkosten skalieren mit Rollenanzahl und Modulen.

Officer-as-a-Service passt, wenn Rollen nicht besetzt sind oder ein klassischer externer Berater zu langsam ist. CIVAC stellt die Bestellurkunde innerhalb von 2 Werktagen, gegenüber den marktüblichen 2 bis 6 Wochen klassischer Mandatsverhandlung. Die Beauftragte oder der Beauftragte arbeitet in derselben Plattform, in der Sie auch lesen können, was gerade geschieht.

Hybride sind die Regel, nicht die Ausnahme. Ein Konzern hat oft einen internen DSB, lässt aber den Geldwäschebeauftragten extern stellen. Ein Mittelständler hat eine SiFa-Funktion intern, holt aber den ISB als Service. Die Plattform führt beide Wege im selben Workspace.

Kostenmechanik unterscheidet sich. Lizenz: Pro Rolle und Modul, planbar, abrechenbar als IT-Investition. Service: Pro Mandat und Stunde, planbar gegen ein SLA, abrechenbar als Beratungsleistung. Beide Modelle teilen das Audit-Ergebnis: belegbar, reproduzierbar, audit-fest.

Die Entscheidung sollte nicht nach Bauchgefühl fallen. Eine kurze Rollenanalyse, ein Risiko-Workshop und eine Aufwandsschätzung zeigen, welches Modell pro Rolle die geringeren Gesamtkosten erzeugt. CIVAC bietet diesen Mapping-Workshop als Einstieg an.

Wer eine Compliance-Plattform auswählt, sollte zehn Prüfpunkte abarbeiten, bevor ein Lastenheft entsteht. Diese Liste vermeidet die häufigsten Fehler, die sich erst im laufenden Betrieb oder im ersten Audit zeigen.

Erstens: Welche Rollen deckt die Plattform ab? Mindestanforderung sind DSB, ISB, Compliance-Beauftragte und SiFa. Wer in regulierten Branchen agiert, braucht zusätzlich Geldwäsche, Gefahrgut, Brandschutz oder ESG. CIVAC führt 25 Rollen live.

Zweitens: Sind Bestellurkunden formal rechtssicher? Prüfen Sie Geltungsbereich, Berichtslinie, Versionsstand. Lassen Sie eine Musterbestellung durch Ihren Justiziar prüfen, bevor Sie unterschreiben.

Drittens: Welche Audit-Vorlagen sind enthalten und wer hält sie aktuell? Die Frage ist nicht, wie viele Vorlagen vorhanden sind, sondern wer das Pflegerisiko trägt, wenn sich Recht ändert.

Viertens: Gibt es einen 24h/72h-Meldepfad mit Fristuhr? Ohne diese Funktion bleibt NIS-2 ein Risiko, das nicht durch Software gemindert wird.

Fünftens: Erfüllt der Anbieter selbst ISO/IEC 27001:2022 mit 93 Controls? Wer ein ISMS-Tool verkauft, muss eines betreiben. Sechstens: EU-Datenresidenz mit AV-Vertrag und transparenter Subunternehmerliste. Siebtens: Berichtslinien und Eskalation als Funktion, nicht als Konvention.

Achtens: Officer-as-a-Service als Option, falls Rollen nicht besetzt sind. Neuntens: SLA-gestützte Reaktionszeiten, idealerweise 2 Werktage. Zehntens: Migrationspfad aus Word und SharePoint, der Bestandsdaten in versionierte Datensätze überführt. Eine ehrliche Plattform legt diese zehn Antworten in einer Übersicht offen, die Sie auf civac.de/facts nachlesen können.

Compliance-Dokumentation zu automatisieren ist kein IT-Projekt allein, sondern eine Entscheidung über die Arbeitsweise. Sobald Sie den Workspace einführen, ändert sich, wie Bestellungen entstehen, wie Vorfälle gemeldet werden und wie Audits vorbereitet sind. Das ist die eigentliche Wirkung.

Der Einstieg ist klein gehalten. Eine Bestandsaufnahme erfasst, welche Rollen heute besetzt sind, welche Vorlagen kursieren und wo Fristen latent verloren gehen. Diese Analyse dauert in der Regel zwei Workshops. Das Ergebnis ist eine Roadmap, die zeigt, welche Rollen Sie lizenzieren und welche Sie als Service stellen lassen.

Im zweiten Schritt richtet CIVAC den Workspace ein. Bestellurkunden für bestehende Rollen werden migriert, Vorlagen werden auf Ihre Branche zugeschnitten, Berichtslinien werden in das Organigramm gespiegelt. Innerhalb von zwei Werktagen sind erste Rollen produktiv.

Im dritten Schritt übernehmen Sie oder CIVAC die laufende Arbeit. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen zum selben Audit-Ergebnis: belegbar, reproduzierbar, audit-fest.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Eine Erstantwort erhalten Sie innerhalb von 2 Werktagen, eine erste Bestellurkunde innerhalb von 5 Werktagen nach Auftragsklärung.

Die Plattform ersetzt nicht den Anwalt, nicht die Geschäftsleitung und nicht das eigene Urteil. Sie sorgt dafür, dass alles, was diese Personen entscheiden, dokumentiert, versioniert und im Audit reproduzierbar bleibt. Der Prüfer ruft an, der Nachweis liegt bereit.