IT-Compliance in Deutschland: Pflichten, Strukturen und ein belastbarer Bauplan für KMU

IT-Compliance bezeichnet die Einhaltung aller gesetzlichen, regulatorischen und vertraglichen Anforderungen an IT-Systeme. In Deutschland überlappen sich dabei DSGVO (Art. 32), das IT-Sicherheitsgesetz 2.0, die NIS-2-Umsetzung von 2026, GoBD-Anforderungen aus § 146 AO und branchenspezifische Vorgaben wie BAIT, VAIT oder TISAX. Etwa 29.500 Unternehmen sind allein von NIS-2 direkt betroffen.

Dieser Beitrag fasst die fünf Pflichtachsen der IT-Compliance zusammen, benennt typische Lücken in KMU und zeigt einen Bauplan, der Rollen, Vorlagen und Berichtslinie zu einem prüffähigen System verbindet. Sie erfahren, wann ein Compliance-Beauftragter ausreicht und wann ein zusätzlicher Informationssicherheitsbeauftragter zwingend ist.

IT-Compliance ist kein eigenes Gesetz, sondern eine Klammer um fünf Pflichtwelten. Erstens der Datenschutz nach DSGVO und BDSG mit Verzeichnis nach Art. 30, Datenschutz-Folgenabschätzung nach Art. 35 und Meldepflicht nach Art. 33. Zweitens die Informationssicherheit nach IT-SiG 2.0, NIS-2 und ISO/IEC 27001:2022.

Drittens die Buchführung nach § 146 AO und den GoBD, die Aufzeichnungspflicht, Unveränderbarkeit, Nachvollziehbarkeit und Archivierung digitaler Belege regeln. Viertens das Branchenrecht, etwa BAIT für Banken, VAIT für Versicherungen oder TISAX für Automotive-Zulieferer.

Fünftens vertragliche Verpflichtungen aus Kunden- und Lieferantenverträgen, NDA, Service-Level-Agreements und Auftragsverarbeitungsverträgen nach Art. 28 DSGVO. Diese Schicht wird oft unterschätzt, obwohl sie in Audits regelmäßig Findings erzeugt.

Die fünf Achsen teilen sich Datenobjekte und Prozesse. Ein einziges Asset, etwa ein CRM-System, ist gleichzeitig datenschutzrechtlich relevant, informationssicherheitspflichtig, buchführungsrelevant und Gegenstand vertraglicher Auflagen.

Wer die Achsen getrennt betreibt, erzeugt Mehraufwand und Inkonsistenzen. Ein integriertes Modell mit gemeinsamem Asset-Register, einer Risikomatrix und einem Maßnahmenkatalog reduziert den Aufwand und macht den Prüfer-Termin planbar.

Die CIVAC-Plattform bildet alle fünf Achsen in einem Workspace ab, mit gemeinsamer Datenbasis und rollenbasiertem Zugriff für Compliance-Beauftragten, ISB und DSB.

Die DSGVO definiert in Art. 32 die Pflicht zu geeigneten technischen und organisatorischen Maßnahmen. Diese sind risikoorientiert zu wählen, dokumentiert zu belegen und regelmäßig zu überprüfen. Pauschalformulierungen wie Stand der Technik reichen ohne konkrete Maßnahmen nicht aus.

Pflicht ist das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30, das in der Regel ab 20 Beschäftigten oder bei besonders sensiblen Daten zwingend wird. Jede Verarbeitung wird mit Zweck, Rechtsgrundlage, Empfängern, Aufbewahrungsdauer und TOMs dokumentiert.

Die Datenschutz-Folgenabschätzung nach Art. 35 ist Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt. Die DSK-Liste konkretisiert dies für Videoüberwachung, Profilbildung und besondere Datenkategorien. Eine pauschale Verneinung ohne Prüfung ist nicht zulässig.

Die Meldepflicht nach Art. 33 beträgt 72 Stunden ab Kenntnis. Frist läuft ab Kenntnis. Wer die Meldung verzögert oder unterlässt, riskiert eigenständige Bußgelder neben dem zugrundeliegenden Verstoß. Der 72h-Meldepfad gehört in jeden Incident-Response-Prozess.

Auftragsverarbeitungsverträge nach Art. 28 sind oft als reines Standardformular ausgeführt. In Audits wird zunehmend geprüft, ob die TOMs des Auftragsverarbeiters bekannt und bewertet sind. Eine reine Vertragsunterschrift ohne Sachprüfung genügt nicht mehr.

CIVAC bietet ein integriertes DSGVO-Modul mit Verzeichnis-Vorlagen, DSFA-Schemata und einem strukturierten Meldepfad. Der Prüfer ruft an, der Nachweis liegt bereit.

Die NIS-2-Richtlinie wird in Deutschland 2026 in nationales Recht überführt. Der Adressatenkreis wächst von rund 4.500 KRITIS-Unternehmen auf etwa 29.500 wesentliche und wichtige Einrichtungen. Schwellenwerte sind 50 Mitarbeitende oder 10 Millionen Euro Umsatz in 18 Sektoren.

Die Pflichten umfassen Risikomanagement, technische und organisatorische Maßnahmen, Lieferketten-Sicherheit, Schulungen und ein Meldewesen. Frühwarnung binnen 24 Stunden, Folgemeldung binnen 72 Stunden und Abschlussbericht nach einem Monat. Diese Fristen sind hart.

Die persönliche Haftung der Geschäftsführung ist eine zentrale Neuerung. Geschäftsleiter müssen Risikomanagement persönlich überwachen und an Schulungen teilnehmen. Bußgelder erreichen 10 Mio. Euro oder 2 Prozent Konzernumsatz für wesentliche Einrichtungen.

Für wichtige Einrichtungen liegt die Obergrenze bei 7 Mio. Euro oder 1,4 Prozent Konzernumsatz. Die Bußgeldhöhe orientiert sich an Schwere, Dauer und vorsätzlichem oder fahrlässigem Verhalten. § 130 OWiG eröffnet zusätzliche persönliche Sanktionen.

Das IT-Sicherheitsgesetz 2.0 bleibt für KRITIS-Betreiber relevant und ergänzt NIS-2. Systeme zur Angriffserkennung sind dort Pflicht. Eine reine Firewall reicht nicht, gefordert ist eine prozessuale und technische Erkennung mit definierter Reaktion.

Die Umsetzung beginnt mit Betroffenheitsanalyse, Lückenanalyse und Maßnahmenplanung. CIVAC liefert ein ISB-Workspace mit den 93 Controls nach ISO/IEC 27001:2022, der NIS-2 vollständig abbildet.

Die Revision 2022 reduziert die Controls in Annex A von 114 auf 93 und ordnet sie in vier Themen: organisatorisch, personell, physisch und technologisch. Bestehende Zertifikate nach 27001:2013 müssen bis Oktober 2026 umgestellt sein, sonst verlieren sie ihre Gültigkeit.

Die Norm fordert ein Information Security Management System mit Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung. Diese sieben Kapitel decken sich strukturell mit ISO 9001:2015 und ISO 14001:2015, was Integrationsvorteile schafft.

Ein zentraler Bestandteil ist die Statement of Applicability, die jedes der 93 Controls mit Anwendung oder Ausschluss und Begründung dokumentiert. Auditoren prüfen diese Liste systematisch, ein leeres SoA ist eine sichere Hauptabweichung.

Die Risikobewertung folgt einer eigenen Methodik nach Kapitel 6.1.2, mit Identifikation, Analyse und Bewertung von Risiken. Die Behandlung erfolgt durch Vermeidung, Reduktion, Übertragung oder Akzeptanz. Jede Akzeptanz braucht eine dokumentierte Begründung.

Audit-Vorlagen, Schulungspläne, Asset-Inventar und Berechtigungsmatrix bilden das operative Rückgrat. Ohne diese vier Bausteine ist ein ISMS nicht prüfbar. Eine reine Policy-Sammlung reicht nicht für die Zertifizierung.

CIVAC stellt die ISO/IEC 27001:2022 Controls als interaktive Liste bereit, mit Verknüpfung zu Maßnahmen, Verantwortlichen und Audit-Befunden. Audit-fest, dokumentiert, § 130-OWiG-fest.

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern regeln die Anforderungen an digitale Buchführung. § 146 AO fordert Vollständigkeit, Richtigkeit, zeitgerechte Buchungen, Ordnung, Nachvollziehbarkeit und Unveränderbarkeit aller buchungspflichtigen Vorgänge.

Belege müssen 10 Jahre aufbewahrt werden, in dem Format, in dem sie eingegangen sind. Eine Konvertierung in andere Formate ohne Beibehaltung des Originals ist unzulässig. PDF-Rechnungen werden als PDF aufbewahrt, ZUGFeRD-Dateien als XML samt PDF.

Die Verfahrensdokumentation ist Pflicht. Sie beschreibt, wie Belege erfasst, geprüft, gebucht, archiviert und gesichert werden. Eine fehlende oder unvollständige Verfahrensdokumentation ist ein klassisches Finding der Betriebsprüfung, auch ohne konkrete Beanstandung am Buchungssatz.

Berechtigungen, Vier-Augen-Prinzip und Änderungshistorie sind im Buchhaltungssystem nachzuweisen. Ein freier Schreibzugriff auf Buchungsdaten ohne Protokoll widerspricht der Unveränderbarkeit. ERP-Systeme bieten dafür eigene Audit-Logs.

Bei elektronischen Kassen gelten zusätzliche Anforderungen nach KassenSichV, mit zertifizierter technischer Sicherheitseinrichtung. Die Pflichten überschneiden sich mit dem Datenschutz, weil Kassendaten oft personenbezogene Bezüge enthalten.

Die GoBD lassen sich mit ISO/IEC 27001:2022 Controls auf Zugriff, Protokollierung und Backup harmonisieren. CIVAC bildet diese Überlappung im Workspace ab, sodass ein Maßnahmenkatalog beide Welten bedient.

Finanzaufsichtsrechtliche Anforderungen greifen tief in die IT. Die Bankaufsichtlichen Anforderungen an die IT der BaFin gelten für Kreditinstitute, VAIT für Versicherungen, KAIT für Kapitalverwaltungsgesellschaften und ZAIT für Zahlungsdienstleister. Alle vier folgen einer ähnlichen Struktur.

Die Kernpflichten umfassen IT-Strategie, Informationssicherheitsmanagement, Berechtigungsmanagement, Identitätsverwaltung, Anwendungsentwicklung, Auslagerungen und Notfallmanagement. Die BaFin prüft regelmäßig vor Ort und verhängt Sanktionen bei Defiziten.

TISAX gilt im Automotive-Bereich für alle Zulieferer, die OEM-Daten verarbeiten. Das Verfahren basiert auf dem VDA-Informationssicherheits-Assessment und führt zu einem Reife-Level, das vom OEM als Bedingung für die Zusammenarbeit gefordert wird.

Im Gesundheitswesen gelten KRITIS-Verordnung und § 75c SGB V, der Krankenhäuser ab 30.000 vollstationären Fällen jährlich zu IT-Sicherheit nach Stand der Technik verpflichtet. Hinzu kommen MDR/IVDR für Hersteller von Medizinprodukten mit Software.

Im öffentlichen Bereich greifen BSI-Grundschutz, OZG-Anforderungen und länderspezifische E-Government-Gesetze. Diese Welt ist eigen, lässt sich aber mit ISO/IEC 27001:2022 als Klammer effizient bedienen.

Branchenkenntnis ist hier entscheidend. CIVAC arbeitet mit erfahrenen Beauftragten je Branche, lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Die Geschäftsführung trägt die Letztverantwortung für IT-Compliance. § 130 OWiG sanktioniert die Verletzung der Aufsichtspflicht, § 91 Abs. 2 AktG verlangt ein Überwachungssystem für bestandsgefährdende Risiken. Delegation an Beauftragte entbindet nicht von der Aufsicht.

Der Datenschutzbeauftragte ist nach Art. 37 DSGVO und § 38 BDSG Pflicht, wenn 20 oder mehr Personen ständig automatisiert personenbezogene Daten verarbeiten oder bei besonders sensiblen Verarbeitungen. Er ist weisungsfrei und meldet direkt an die Geschäftsführung.

Der Informationssicherheitsbeauftragte ist nicht in jedem Gesetz vorgeschrieben, aber NIS-2, ISO/IEC 27001:2022 und KRITIS verlangen eine benannte Rolle mit Verantwortung und Berichtslinie. Die Bestellurkunde dokumentiert diese Funktion.

Der Compliance-Beauftragte koordiniert die fünf Achsen und ist Ansprechpartner für die Geschäftsleitung. In KMU ist diese Rolle oft mit anderen Funktionen kombiniert, in größeren Unternehmen eigenständig. Eine Personalunion mit dem DSB ist umstritten.

Interessenkonflikte vermeidet eine klare Berichtslinie. Beauftragte berichten an die Geschäftsführung, nicht an die IT-Leitung, die sie kontrollieren sollen. Diese Trennung schützt die Beauftragten und die Glaubwürdigkeit der Funktion.

CIVAC liefert Bestellurkunden, Berichtslinien und Stellenbeschreibungen für alle relevanten Rollen, plus die Option, externe Beauftragte mit zwei Werktagen SLA zu bestellen statt 2 bis 6 Wochen Suche.

Audits scheitern selten an der Sache, oft an der Vorbereitung. Wer Vorlagen, Aufzeichnungen und Berechtigungen erst beim Auditorbesuch zusammensucht, verliert Tage und produziert vermeidbare Findings. Ein lebendes Compliance-System verkürzt diesen Aufwand drastisch.

Ein realistischer Audit-Plan beginnt drei Monate vor dem Termin mit der Aktualisierung des Asset-Inventars, des Risikoregisters und der Maßnahmenliste. Vier Wochen vor dem Termin folgt die Sichtung der Aufzeichnungen, zwei Wochen vorher die Probe-Auditgespräche mit den Verantwortlichen.

Die Auditmappe enthält Geltungsbereich, Politik, Ziele, Risikobewertung, SoA, Maßnahmenkatalog, Schulungsnachweise, interne Audits, Managementbewertung und Vorfallsdokumentation. Diese zehn Bausteine sind der Audit-Mindeststandard.

Während des Audits zählt Reaktionsgeschwindigkeit. Wer Nachweise innerhalb von 10 Minuten vorlegt, signalisiert ein lebendes System. Wer 24 Stunden braucht, signalisiert Ablage. Beide Wahrnehmungen wirken auf das Audit-Ergebnis.

Nach dem Audit ist vor dem Audit. Korrekturmaßnahmen werden mit Verantwortlichen und Fristen geplant, im Folgejahr wird die Wirksamkeit geprüft. Diese Schleife ist der Kern jedes ISMS und QM-Systems.

CIVAC verkürzt die Audit-Vorbereitung mit 490 Vorlagen, einer Berichtslinie und einem Workspace, der Aufzeichnungen über alle Rollen hinweg konsistent hält. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Drei Modelle dominieren in der Praxis. Erstens das interne Modell mit eigenen Beauftragten, das volle Kontrolle bietet, aber Personal, Wissen und Vertretung verlangt. Zweitens das externe Modell mit bestellten Officers, das Kapazität und Erfahrung bringt, aber Integrationsaufwand erfordert. Drittens ein hybrides Modell.

Im hybriden Modell führt ein interner Compliance-Beauftragter die Klammer, externe Spezialisten bedienen Datenschutz, Informationssicherheit oder Geldwäsche. Diese Variante ist für KMU oft die wirtschaftlichste Lösung, weil Spitzenlasten ausgelagert sind.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Wege liefern denselben prüffähigen Stand: Bestellurkunde, unterschrieben, abgelegt, belegbar. Die SLA für externe Bestellungen beträgt zwei Werktage statt 2 bis 6 Wochen klassisch.

Konkrete erste Schritte: Betroffenheitsanalyse je Achse, Lückenanalyse gegen die fünf Pflichtfelder, Maßnahmenplan mit Terminen und Verantwortlichen, Bestellung fehlender Beauftragter, Audit-Vorlagen aktivieren, Berichtslinie zur Geschäftsführung etablieren.

Wer parallel ISO 9001 oder ISO 14001 betreibt, profitiert von der gemeinsamen Datenbasis. Risiken, Audits und Maßnahmen werden einmal gepflegt, mehrfach genutzt. Die CIVAC-Plattform und Officer-as-a-Service-Struktur ist genau dafür gebaut.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir prüfen Ihre Compliance-Lage, schlagen Modell und Rollen vor, benennen externe Beauftragte mit SLA. Eine Übersicht aller 25 Beauftragtenrollen finden Sie auf der Plattform.