Compliance-Plattform: Welche Funktionen 2026 zur Audit-Reife im Mittelstand führen

Eine Compliance-Plattform bündelt 2026 mindestens sechs regulatorische Verpflichtungen in einem System: DSGVO mit Art. 30-Verzeichnis und Art. 33-Meldewesen, NIS-2 nach § 32 BSIG mit 24h-Frühwarnung und 72h-Folgemeldung, LkSG mit Sorgfaltspflichtenkette, HinSchG mit interner Meldestelle nach § 14, ISO/IEC 27001:2022 mit dem 93-Controls-Annex A in der Fassung Oktober 2026, sowie der EU AI Act mit den ab August 2026 wirksamen Pflichten für Hochrisiko-Systeme.

Wer diese Pflichten in Excel, SharePoint und Outlook führt, scheitert spätestens im ersten gemeinsamen Audit. Dieser Beitrag erklärt, welche Funktionen eine Compliance-Plattform 2026 abdecken muss, wie sich klassische GRC-Suiten von spezialisierten Plattformen unterscheiden und warum CIVAC als Compliance-Plattform und Officer-as-a-Service das Dual-Modell verfolgt: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Eine Compliance-Plattform im Sinne von 2026 verbindet sechs Domänen in einem Workspace: Datenschutz nach DSGVO, IT-Sicherheit nach NIS-2 und ISO 27001:2022, Lieferkettensorgfalt nach LkSG, Hinweisgeberschutz nach HinSchG, ESG/Nachhaltigkeit nach CSRD und KI-Compliance nach EU AI Act. Jede Domäne hat eigene Pflichten, eigene Fristen, eigene Prüfer und eigene Bußgeldhöhen.

Wer die sechs Domänen in fünf Tools führt, zahlt Lizenz fünfmal, schult Mitarbeiter fünfmal und kämpft mit fünfmal getrennten Datenmodellen. Im Audit erscheint dasselbe Ereignis fünfmal in fünf Versionen, je nach Tool.

Die Logik einer integrierten Plattform: Ein Vorfall wird einmal erfasst, dann je nach Domäne mit den passenden Pflichten verlinkt. Eine Datenpanne nach Art. 33 DSGVO kann gleichzeitig ein meldepflichtiger Sicherheitsvorfall nach § 32 BSIG sein, und die Plattform routet die 72h-Frist und die 24h-Frühwarnung an die richtigen Adressaten.

Ein Lieferantenrisiko nach LkSG kann zugleich eine ESG-Berichtspflicht nach CSRD auslösen und einen Hinweisgeberhinweis nach HinSchG. Eine integrierte Plattform erkennt die Mehrfachrelevanz und dokumentiert sie konsistent.

Eine taugliche Compliance-Plattform deckt zehn Funktionsbereiche ab: Rollenregister mit Bestellurkunden, Fristenmonitor, Berichtswesen, Audit-Repository mit Vorlagen, Incident- und Meldewesen, Schulungsverwaltung, Hinweisgeberschutz-Modul, ESG-Datenmodell, ISO-27001-Controls-Mapping und Prüfer-Cockpit.

Eine Übersicht der CIVAC-Plattformfunktionen findet sich auf civac.de/facts. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die fünf Pflichtdomänen unterscheiden sich in Logik, Fristen und Bußgeldhöhe deutlich, und eine Plattform muss jede einzeln korrekt abbilden, ohne den Bezug zur Gesamtsicht zu verlieren. DSGVO: Art. 30-Verzeichnis der Verarbeitungstätigkeiten, Art. 33-Meldung an Aufsichtsbehörde innerhalb 72 Stunden, Art. 34-Benachrichtigung der Betroffenen bei hohem Risiko. Bußgeldrahmen bis 20 Millionen Euro oder 4 Prozent des weltweiten Konzernumsatzes.

NIS-2 nach § 32 BSIG: 24-Stunden-Frühwarnung an das BSI, 72-Stunden-Folgemeldung, einmonatige Abschlussmeldung. Geltungsbereich ungefähr 29.500 Unternehmen in Deutschland, gestaffelt in wesentliche und wichtige Einrichtungen. Bußgeldrahmen bis 10 Millionen Euro oder 2 Prozent des Konzernumsatzes für wesentliche Einrichtungen.

LkSG: Sorgfaltspflichten in der eigenen Lieferkette für Unternehmen ab 1.000 Mitarbeitern. Risikoanalyse, Beschwerdemechanismus, Berichtspflicht bis Juni des Folgejahres. Bußgeldrahmen bis 8 Millionen Euro oder 2 Prozent des Konzernumsatzes.

HinSchG: Interne Meldestelle nach § 14 für Unternehmen ab 50 Beschäftigten seit dem 17. Dezember 2023. Eingangsbestätigung innerhalb von sieben Tagen, Rückmeldung innerhalb von drei Monaten. Datenschutz nach § 8 HinSchG mit Identitätsschutz des Hinweisgebers.

ISO/IEC 27001:2022 mit 93 Controls im Annex A, Übergangsfrist endet Oktober 2025, alle Re-Zertifizierungen ab 2026 müssen den neuen Katalog erfüllen. Wer die alte Version 2013 weiter führt, verliert die Zertifikat-Gültigkeit.

Eine Plattform muss alle fünf Domänen mit eigenen Fristen, eigenen Vorlagen und einer übergreifenden Sicht abbilden. Die NIS-2-Umsetzung in Deutschland ist ein eigener Schwerpunkt.

Eine Compliance-Plattform 2026 deckt zehn Funktionsbereiche vollständig ab. Erstens das Rollenregister mit Bestellurkunde, Vertretungsregelung und Berichtslinie für jede Beauftragtenrolle, von DSB über ISB bis Hygienebeauftragter. CIVAC bildet alle 25 Pflichtrollen ab.

Zweitens der Fristenmonitor mit gesetzlichen Stichtagen, Wiederbestellungen, Schulungspflichten und Eskalation an die Geschäftsleitung. Konfigurierbare Vorlaufzeiten je Frist sind Mindestanforderung.

Drittens das Berichtswesen mit fertigen Vorlagen pro Rolle und dokumentierter Kenntnisnahme nach § 38 Abs. 3 BDSG. Viertens das Audit-Repository mit Vorlagen, Protokollen und Belegen in einer durchsuchbaren Ablage. CIVAC liefert 490 einsatzbereite Audit-Vorlagen.

Fünftens das Incident- und Meldewesen mit eigenen Timern für 72h-DSGVO-Meldung und 24h/72h-NIS-2-Meldepfad. Sechstens die Schulungsverwaltung mit Teilnehmerlisten, Lernzielen und Abschlusszertifikaten.

Siebtens das Hinweisgeberschutz-Modul nach § 14 HinSchG mit Identitätsschutz, Eingangsbestätigung und Drei-Monats-Rückmeldungs-Timer. Achtens das ESG/CSRD-Datenmodell mit Risikoanalyse, Beschwerdemechanismus und Berichtsstruktur.

Neuntens das ISO-27001-Controls-Mapping mit Aufnahme der 93 Controls des Annex A 2022 in das interne Statement of Applicability. Zehntens das Prüfer-Cockpit mit zeitlich begrenztem Lesezugriff für externe Auditoren.

Wer eine dieser zehn Funktionen vermisst, kauft eine Insellösung und integriert spätestens im zweiten Audit doppelt, in Form zusätzlicher Beratertage und parallel zu führender Tabellen. Eine Übersicht der Rollen findet sich auf civac.de/roles.

Ein belastbarer Anforderungskatalog für eine Compliance-Plattform enthält 14 Kriterien, die in der Ausschreibung verbindlich geprüft werden. Erstens die Abdeckung der Pflichtdomänen: DSGVO, NIS-2, LkSG, HinSchG, ISO 27001:2022, EU AI Act. Welche Domäne ist out-of-the-box konfiguriert, welche muss kundenseitig modelliert werden?

Zweitens die Bestellurkunden-Generierung mit qualifiziertem Signaturwerkzeug und revisionssicherer Versionsführung. Drittens der Fristenmonitor mit Eskalation. Viertens das Berichtswesen mit dokumentierter Kenntnisnahme der Geschäftsleitung.

Fünftens die Audit-Vorlagensammlung mit konkreter Anzahl pro Domäne. Sechstens das Incident-Modul mit eigenen Timern für 72h-DSGVO und 24h/72h-NIS-2. Siebtens die Schulungsverwaltung. Achtens die ISO/IEC 27001:2022-Zertifizierung des Anbieters und EU-Datenresidenz.

Neuntens die Schnittstellen zu HR, IAM und Ticketsystemen über standardisierte APIs. Zehntens die vollständige Exportierbarkeit der Daten in PDF, JSON und CSV. Elftens das Berechtigungskonzept mit rollenbasiertem Zugriff und Audit-Trail.

Zwölftens der Prüfer-Lesezugriff mit zeitlich begrenzter Gültigkeit. Dreizehntens das Mehrsprachigkeitsmodell für Deutsch und Englisch in identischer Tiefe. Vierzehntens das Service Level Agreement mit definierten Antwortzeiten, Verfügbarkeit und Reaktionszeiten im Vorfallsmanagement.

Audit-fest, dokumentiert, § 32 BSIG-fest. Die CIVAC Facts-Seite dokumentiert jedes Kriterium offen und reproduzierbar.

Wer einem Anbieter eines dieser 14 Kriterien durchgehen lässt, kauft eine spätere Auflage. Die methodische Prüfung kostet wenige Stunden, spart aber Monate an Nachverhandlung.

Eine Compliance-Plattform verwaltet ausgesprochen sensible Daten: Bestellurkunden mit Personendaten, Datenschutz-Vorfallsmeldungen, Whistleblower-Hinweise mit Identitätsschutz nach § 8 HinSchG, ESG-Risikobewertungen mit Lieferkettenangaben, Audit-Befunde mit Schwachstellenbeschreibungen.

Wenn die Plattform selbst nicht abgesichert ist, untergräbt sie die Compliance, die sie organisieren soll. Sie schafft an zentraler Stelle ein neues Konzentrationsrisiko, das im Worst Case alle Domänen gleichzeitig betrifft.

Die Mindestanforderung an den Anbieter ist eine gültige ISO/IEC 27001:2022-Zertifizierung mit dem aktualisierten Annex A. Die alte Version 2013 reicht nicht mehr aus, die Übergangsfrist endete Oktober 2025, alle Re-Zertifizierungen ab 2026 müssen den vollständigen 93-Controls-Katalog erfüllen.

EU-Datenresidenz ist die zweite zwingende Mindestanforderung. Datenverarbeitung in den USA, Indien oder Singapur ist nach Schrems II und SCC 2021/914 nur mit Transfer Impact Assessment und Zusatzmaßnahmen zulässig.

Für eine Plattform, die HinSchG-Hinweise oder § 26 BDSG-Beschäftigtendaten verarbeitet, ist der laufende Aufwand für US-Hosting unverhältnismäßig. Die DSK hat wiederholt klargestellt, dass bei besonders sensiblen Daten europäische Hosting-Lösungen vorzuziehen sind.

CIVAC hostet ausschließlich in der EU mit deutschen Rechenzentren als Primärstandort, georedundantem Backup in der EU und ohne Datenzugriff durch US-Mutterunternehmen. Die ISO/IEC 27001:2022-Zertifizierung ist abgeschlossen, die 93 Controls dokumentiert in das Workspace-Sicherheitsmodell überführt.

Audit-fest, dokumentiert, § 32 BSIG-fest. Details finden sich auf civac.de/facts.

Die Lizenzkosten sind nur ein Teil der Gesamtkosten und meist der kleinere. Eine realistische Drei-Jahres-Rechnung umfasst sechs Positionen. Erstens die Plattformlizenz: Bei spezialisierten Anbietern liegt die jährliche Gebühr zwischen 8.000 und 60.000 Euro, gestaffelt nach Mitarbeiterzahl und Modulen. Bei klassischen GRC-Suiten beginnt das Lizenzvolumen bei 40.000 Euro pro Jahr.

Zweitens die Einführungskosten: vom Beratungsworkshop über die Konfiguration bis zur Migration der Altdaten aus Excel, Word und SharePoint. CIVAC führt in vier Wochen ein, klassische Suiten benötigen sechs bis 18 Monate.

Drittens die Schulungskosten für interne Beauftragte, Geschäftsleitung, HR und IT. Eine professionelle Schulung kostet zwischen 200 und 500 Euro pro Teilnehmer und Tag.

Viertens Wartung und Support mit jährlich 15 bis 22 Prozent der Lizenzgebühr. Fünftens Personalkosten für interne oder externe Beauftragte. Ein externer DSB liegt zwischen 420 und 4.400 Euro pro Monat, ein externer ISB zwischen 2.000 und 7.000 Euro.

Sechstens die Opportunitätskosten verpasster Fristen und Bußgelder. Eine NIS-2-Pflichtverletzung kostet wesentliche Unternehmen bis 10 Millionen Euro oder 2 Prozent des Konzernumsatzes, wichtige Unternehmen bis 7 Millionen Euro oder 1,4 Prozent.

Aus dieser sechsspaltigen Rechnung folgt die CIVAC-Logik: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die Kombination deckt häufig den Bedarf zu 50 bis 70 Prozent der Kosten klassischer Beratungslösungen ab.

Eine Compliance-Plattform muss in unter vier Wochen produktiv sein, sonst verfehlt sie ihren Zweck und bindet Beraterbudget ohne Ergebnis. Der CIVAC-Standardfahrplan gliedert sich in vier Wochen mit klar abgegrenzten Lieferergebnissen.

Woche eins: Bestandsaufnahme. In einem zweistündigen Kickoff werden vorhandene Bestellungen, laufende Beauftragte, offene Fristen und Berichtslinien in ein gemeinsames Datenmodell überführt. Die Plattform wird konfiguriert, der Rollenkatalog wird eingegrenzt, das Berechtigungskonzept mit IT und HR abgestimmt.

Woche zwei: Migration der Altdaten. Bestehende Bestellurkunden, Berichtsprotokolle, Audit-Befunde, Schulungsnachweise und offene Maßnahmenpläne werden hochgeladen und mit Rollen und Fristen verlinkt.

Woche drei: Training der Anwender. Beauftragte, Geschäftsleitung, HR-Team und IT-Ansprechpartner durchlaufen je ein Rollenpaket mit praktischen Übungen und Lernzielkontrolle. Die ersten regulären Berichte werden erfasst.

Woche vier: Probelauf. Ein Tabletop-Audit simuliert eine Prüfung durch eine Aufsichtsbehörde, ein Datenpannen-Szenario nach Art. 33 DSGVO mit voller 72h-Frist und eine NIS-2-Meldung nach § 32 BSIG mit 24h-Frühwarnung.

Schwächen werden behoben, Vorlagen werden ergänzt, Berichtswege verifiziert. Am Ende der Woche vier ist die Plattform produktiv. Frist läuft ab Kenntnis. Wer länger braucht, kauft entweder das falsche Produkt oder unterschätzt die Vorbereitung. CIVAC unterstützt mit festem Implementierungsteam, das nach Go-Live in den Regelbetrieb übergibt.

Sieben Fehler tauchen in fast jeder zweiten Ausschreibung im deutschen Markt auf. Erstens die Wahl einer reinen Datenschutz-Suite, die später um ISB, Brandschutz, Hygiene und ESG erweitert werden muss. Die Integration mehrerer Insellösungen kostet im Drei-Jahres-Vergleich häufig das Doppelte einer integrierten Plattform.

Zweitens die Unterschätzung der Datenschutz-Anforderungen an die Plattform selbst. Wenn der Anbieter in den USA hostet oder keine ISO/IEC 27001:2022-Zertifizierung vorweist, schafft der Einkauf ein neues Risiko und verlängert die Audit-Vorbereitung.

Drittens das Vertrauen auf Demo-Versionen ohne Probebetrieb mit echten Daten. Eine konfigurierte Demo zeigt nicht, wie die Plattform mit realen Datenmengen und Spezialfällen umgeht.

Viertens die fehlende Definition des Berichtswegs in der Konfigurationsphase. Eine Plattform, die Berichte an niemanden routet und keine Kenntnisnahme dokumentiert, ist eine Excel-Tabelle in moderner Verpackung.

Fünftens die Vernachlässigung der Schnittstellen zu HR, IAM und Ticketsystemen. Wer Stammdaten manuell pflegt, scheitert spätestens beim zwanzigsten neuen Mitarbeiter.

Sechstens die fehlende Übung des Datenpannen- und Vorfallswegs. Die 72h-Frist nach Art. 33 DSGVO und die 24h/72h-Meldungen nach § 32 BSIG müssen mindestens einmal pro Jahr durchgespielt werden.

Siebtens die fehlende Exit-Strategie. Verträge müssen klare Datenexport-Regelungen, definierte Formate und eine maximale Rückgabefrist enthalten, damit ein Anbieterwechsel ohne Datenverlust möglich ist. Die CIVAC FAQ beantwortet jeden Punkt mit konkreten Vertragsklauseln. Der Prüfer ruft an, der Nachweis liegt bereit.

Eine Compliance-Plattform ist 2026 keine Frage der Kategorie, sondern der Umsetzungstiefe. CIVAC bietet zwei Wege zum gleichen Audit-festen Ergebnis, und beide stützen sich auf denselben Workspace mit denselben Vorlagen, Fristen und Berichtswegen.

Weg eins: Sie führen die Beauftragten intern und lizenzieren den CIVAC-Workspace. Ihre Beauftragten arbeiten im selben System mit einheitlichem Datenmodell, die Audit-Vorlagen sind hinterlegt, der Fristenmonitor läuft, der Prüfer-Lesezugriff ist vorbereitet.

Weg zwei: Sie überlassen CIVAC die Bestellung der Beauftragten als Officer-as-a-Service. Unsere Beauftragten werden DACH-weit bestellt, die Berichte werden quartalsweise an Ihre Geschäftsleitung geliefert, die ASA- und Audit-Termine werden organisiert.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen zur gleichen Compliance-Plattform und Officer-as-a-Service.

Aus dem Lesen einen Auftrag machen. Sprechen Sie uns an unter info@civac.de oder über das Kontaktformular auf civac.de, mit Angabe der relevanten Domänen, Mitarbeiterzahlen und Standorte.

Sie erhalten innerhalb von zwei Werktagen einen strukturierten Vorschlag mit Modulauswahl, Honorarrahmen und Vier-Wochen-Einführungsplan. Bestellurkunde, unterschrieben, abgelegt, belegbar.