IT-Compliance: Überblick über relevante Vorschriften

Was ist IT-Compliance? Definition und Bedeutung

IT-Compliance bezeichnet die Einhaltung aller gesetzlichen, regulatorischen und vertraglichen Anforderungen, die den Einsatz von Informationstechnologie in einem Unternehmen betreffen. Das umfasst Datenschutzgesetze, Sicherheitsvorschriften, branchenspezifische Regulierungen und freiwillige Standards, die Unternehmen einhalten müssen oder sollten.

Die Bedeutung von IT-Compliance hat in den letzten Jahren massiv zugenommen. Digitalisierung durchdringt jeden Geschäftsprozess, und mit der zunehmenden Vernetzung steigen auch die Anforderungen an den Schutz von Daten und IT-Systemen. Gleichzeitig verschärfen Gesetzgeber auf nationaler und europäischer Ebene die Vorschriften kontinuierlich - mit empfindlichen Strafen bei Nichteinhaltung.

Für mittelständische Unternehmen ist die Herausforderung besonders groß: Die Anforderungen sind oft dieselben wie für Konzerne, doch die Ressourcen für die Umsetzung sind begrenzt. Umso wichtiger ist es, die relevanten Vorschriften zu kennen, Prioritäten zu setzen und systematisch vorzugehen.

DSGVO - Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung (DSGVO) ist seit Mai 2018 in Kraft und bildet das Fundament des Datenschutzes in der Europäischen Union. Sie regelt, wie personenbezogene Daten erhoben, verarbeitet, gespeichert und gelöscht werden dürfen.

Wer ist betroffen?

Praktisch jedes Unternehmen. Sobald Sie personenbezogene Daten verarbeiten - und das tut jedes Unternehmen mit Mitarbeitern, Kunden oder Lieferanten - gilt die DSGVO. Es spielt keine Rolle, ob Sie ein Einzelunternehmer mit drei Mitarbeitern sind oder ein Konzern mit 50.000 Beschäftigten. Die Pflichten skalieren zwar mit der Unternehmensgröße, aber die Grundprinzipien gelten für alle.

Kernpflichten im Überblick

• Rechtmäßigkeit der Verarbeitung: Jede Datenverarbeitung braucht eine Rechtsgrundlage - Einwilligung, Vertragserfüllung, rechtliche Verpflichtung oder berechtigtes Interesse
• Datenschutz-Folgenabschätzung: Bei risikoreichen Verarbeitungen muss vorab eine systematische Risikoanalyse durchgeführt werden
• Verzeichnis der Verarbeitungstätigkeiten: Dokumentation aller Prozesse, bei denen personenbezogene Daten verarbeitet werden
• Technische und organisatorische Maßnahmen: Angemessener Schutz der Daten durch Verschlüsselung, Zugriffskontrollen, Pseudonymisierung und regelmäßige Überprüfung
• Meldepflicht bei Datenpannen: Datenschutzverletzungen müssen innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden
• Betroffenenrechte: Auskunft, Löschung, Datenportabilität und Widerspruchsrecht müssen umgesetzt und innerhalb eines Monats beantwortet werden
• Datenschutzbeauftragter: Pflicht ab 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind

Strafen bei Verstößen

Die DSGVO kennt zwei Bußgeldstufen: Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für organisatorische Verstöße wie fehlende Dokumentation. Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes für schwerwiegende Verstöße wie unrechtmäßige Datenverarbeitung oder Missachtung von Betroffenenrechten. Es gilt jeweils der höhere Betrag. Deutsche Aufsichtsbehörden verhängen zunehmend Bußgelder auch gegen mittelständische Unternehmen.

NIS2-Richtlinie - Netzwerk- und Informationssicherheit

Die NIS2-Richtlinie ist die Weiterentwicklung der ursprünglichen NIS-Richtlinie und stellt einen Paradigmenwechsel in der europäischen Cybersicherheitsregulierung dar. Sie wurde im Januar 2023 auf EU-Ebene verabschiedet und sollte bis Oktober 2024 in nationales Recht umgesetzt werden. Die deutsche Umsetzung durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) erweitert den Kreis der betroffenen Unternehmen massiv.

Betroffene Branchen und Unternehmen

NIS2 unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen. Betroffen sind Unternehmen aus 18 Sektoren, darunter:

• Wesentliche Einrichtungen: Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, ICT-Dienstleister, öffentliche Verwaltung, Weltraum
• Wichtige Einrichtungen: Post und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung
• Schwellenwerte: Generell ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz. Bestimmte Einrichtungen wie DNS-Dienstanbieter oder Vertrauensdiensteanbieter fallen unabhängig von der Größe unter die Richtlinie

Kernanforderungen

NIS2 verlangt ein umfassendes Risikomanagement für die Sicherheit von Netz- und Informationssystemen. Das beinhaltet Risikoanalysen, Incident-Response-Pläne, Business Continuity Management, Sicherheit in der Lieferkette, Schwachstellenmanagement und den Einsatz von Kryptografie. Besonders relevant: Die Geschäftsleitung haftet persönlich für die Einhaltung und muss an Schulungen teilnehmen.

Meldepflichten

Bei erheblichen Sicherheitsvorfällen gilt eine dreistufige Meldepflicht: Eine Frühwarnung innerhalb von 24 Stunden, eine ausführliche Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Das ist deutlich strenger als die bisherigen Regelungen und erfordert etablierte Incident-Response-Prozesse.

ISO 27001 - Informationssicherheits-Management

ISO 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Anders als DSGVO und NIS2 ist ISO 27001 grundsätzlich freiwillig - doch in der Praxis wird die Zertifizierung immer häufiger zur faktischen Pflicht.

Freiwillig oder doch Pflicht?

De jure ist ISO 27001 freiwillig. De facto fordern immer mehr Auftraggeber, Branchen und Regulierungen eine Zertifizierung. Großunternehmen verlangen von ihren IT-Dienstleistern und Zulieferern zunehmend den Nachweis einer ISO-27001-Zertifizierung. Im öffentlichen Sektor ist sie bei IT-Ausschreibungen oft Voraussetzung. NIS2 und das BSI verweisen auf ISO 27001 als anerkannten Nachweis für ein angemessenes Sicherheitsniveau. Für Managed Service Provider, Rechenzentren und Cloud-Anbieter ist die Zertifizierung faktisch zum Marktstandard geworden.

Vorteile einer Zertifizierung

• Strukturiertes Sicherheitsmanagement: Ein ISMS nach ISO 27001 schafft klare Prozesse, Verantwortlichkeiten und eine kontinuierliche Verbesserung der Informationssicherheit
• Wettbewerbsvorteil: Die Zertifizierung ist ein starkes Vertrauenssignal gegenüber Kunden, Partnern und Aufsichtsbehörden
• Compliance-Grundlage: ISO 27001 deckt viele Anforderungen von DSGVO, NIS2 und branchenspezifischen Regulierungen ab und vereinfacht deren Umsetzung erheblich
• Reduziertes Haftungsrisiko: Im Schadensfall können Sie nachweisen, dass angemessene Maßnahmen getroffen wurden
• Versicherbarkeit: Cyber-Versicherungen gewähren zertifizierten Unternehmen bessere Konditionen oder setzen eine Zertifizierung zunehmend voraus

Aufwand und Kosten

Der Aufwand für eine ISO-27001-Zertifizierung hängt stark von der Unternehmensgröße und dem bestehenden Sicherheitsniveau ab. Für ein mittelständisches Unternehmen mit 50 bis 250 Mitarbeitern sollten Sie mit 6 bis 18 Monaten Vorbereitungszeit rechnen. Die externen Kosten für Beratung und Zertifizierungsaudit liegen typischerweise zwischen 20.000 und 80.000 Euro. Hinzu kommen interne Personalkosten und die laufenden Kosten für den Betrieb des ISMS sowie die jährlichen Überwachungsaudits.

BSI IT-Grundschutz

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist das deutsche Rahmenwerk für Informationssicherheit. Er bietet eine systematische Methodik und einen umfangreichen Katalog konkreter Sicherheitsmaßnahmen.

Für wen ist BSI IT-Grundschutz relevant?

Verpflichtend ist der BSI IT-Grundschutz für Betreiber kritischer Infrastrukturen (KRITIS) und Bundesbehörden. Diese müssen nachweisen, dass ihre IT-Sicherheit dem Stand der Technik entspricht - und der BSI IT-Grundschutz ist der vom BSI empfohlene Weg dorthin. Darüber hinaus nutzen viele Unternehmen den IT-Grundschutz freiwillig als Leitfaden für ihre Sicherheitsstrategie, auch ohne formale Zertifizierung.

Beziehung zu ISO 27001

Der BSI IT-Grundschutz und ISO 27001 ergänzen sich. Eine Zertifizierung nach "ISO 27001 auf Basis von IT-Grundschutz" kombiniert den internationalen Standard mit der konkreten Methodik des BSI. Der IT-Grundschutz liefert dabei die detaillierten Maßnahmenkataloge, die ISO 27001 auf abstrakter Ebene fordert. Für KRITIS-Betreiber ist diese Kombination der empfohlene Standard.

Vergleichstabelle: Die wichtigsten Regelwerke

Die folgende Tabelle gibt einen kompakten Überblick über die vier zentralen Regelwerke und ihre wichtigsten Unterschiede:

Kriterium	DSGVO	NIS2	ISO 27001	BSI Grundschutz
Art	EU-Verordnung	EU-Richtlinie	Internat. Standard	Nationales Framework
Pflicht/Freiwillig	Pflicht	Pflicht	Freiwillig*	Pflicht f. KRITIS
Wer ist betroffen	Alle Unternehmen	18 Sektoren, ab 50 MA	Alle (freiwillig)	KRITIS, Behörden
Fokus	Personenbezogene Daten	Netz-/IT-Sicherheit	Informationssicherheit	IT-Sicherheit
Bußgelder	Bis 20 Mio. / 4% Umsatz	Bis 10 Mio. / 2% Umsatz	Keine (Vertragsverlust)	Bis 2 Mio. (BSIG)
Meldepflicht	72 Stunden	24h / 72h / 1 Monat	Im ISMS definiert	Sofort an BSI
Zertifizierung	Nein (Audit möglich)	Nein (Nachweis nötig)	Ja (akkreditiert)	Ja (BSI-Zertifikat)

*ISO 27001 ist formal freiwillig, wird aber in vielen Branchen und Geschäftsbeziehungen faktisch vorausgesetzt.

Branchenspezifische Anforderungen

Neben den allgemeinen Regelwerken gibt es branchenspezifische Anforderungen, die zusätzliche Pflichten mit sich bringen:

Gesundheitswesen

Krankenhäuser ab einer bestimmten Größe gelten als KRITIS und unterliegen dem BSIG. Zusätzlich fordert die Digitalisierung im Gesundheitswesen (Patientenakten, Telemedizin, vernetzte Medizingeräte) besondere Schutzmaßnahmen. Die DSGVO stellt bei Gesundheitsdaten als "besondere Kategorie" erhöhte Anforderungen. Das Patientendaten-Schutz-Gesetz ergänzt die Pflichten um sektorspezifische IT-Sicherheitsstandards nach Paragraf 75c SGB V.

Finanzbranche

Banken, Versicherungen und Finanzdienstleister unterliegen den Bankaufsichtlichen Anforderungen an die IT (BAIT) beziehungsweise den Versicherungsaufsichtlichen Anforderungen an die IT (VAIT). Hinzu kommen die europäische DORA-Verordnung (Digital Operational Resilience Act) für digitale Betriebsresilienz sowie MaRisk für das Risikomanagement. Die Aufsichtsbehörden BaFin und EZB prüfen die Einhaltung aktiv und regelmäßig.

Kritische Infrastrukturen (KRITIS)

KRITIS-Betreiber aus den Sektoren Energie, Wasser, Ernährung, IT und Telekommunikation, Gesundheit, Finanzwesen, Transport und Verkehr sowie Siedlungsabfallentsorgung müssen IT-Sicherheit nach dem Stand der Technik nachweisen. Das KRITIS-Dachgesetz erweitert die Pflichten um physische Sicherheit und Resilienz. Die Schwellenwerte definieren, ab welcher Versorgungsrelevanz ein Unternehmen als KRITIS gilt.

Handel und E-Commerce

Für Unternehmen, die Kreditkartenzahlungen verarbeiten, gilt der Payment Card Industry Data Security Standard (PCI DSS). Online-Händler müssen zudem die DSGVO-Anforderungen an Webshops umsetzen, einschließlich Cookie-Consent, Datenschutzerklärung und sicherer Datenübertragung. Mit NIS2 fallen auch größere Handelsunternehmen erstmals unter die Cybersicherheitspflichten.

Compliance-Roadmap für KMU: Wo anfangen?

Die Vielzahl der Regelwerke kann überwältigend wirken. Eine strukturierte Vorgehensweise hilft, die richtigen Prioritäten zu setzen:

Schritt 1: Betroffenheit prüfen

Klären Sie zunächst, welche Regelwerke für Ihr Unternehmen überhaupt gelten. Die DSGVO betrifft praktisch jeden. Prüfen Sie darüber hinaus, ob Sie unter NIS2 fallen (Branche und Größe), ob Sie KRITIS-Betreiber sind und welche branchenspezifischen Anforderungen zusätzlich gelten. Diese Bestandsaufnahme bildet die Grundlage für alle weiteren Schritte.

Schritt 2: Gap-Analyse durchführen

Vergleichen Sie den aktuellen Stand Ihrer IT-Sicherheit und Ihres Datenschutzes mit den identifizierten Anforderungen. Wo stehen Sie gut da, wo gibt es Lücken? Eine ehrliche Gap-Analyse zeigt Ihnen den konkreten Handlungsbedarf und hilft bei der Budgetplanung.

Schritt 3: Synergien nutzen

Die gute Nachricht: Die Regelwerke überlappen sich erheblich. Wer ein ISMS nach ISO 27001 aufbaut, erfüllt damit gleichzeitig viele Anforderungen von DSGVO, NIS2 und BSI IT-Grundschutz. Ein Verzeichnis der Verarbeitungstätigkeiten hilft sowohl für die DSGVO als auch für die Asset-Inventarisierung nach ISO 27001. Incident-Response-Prozesse dienen DSGVO-Meldepflichten, NIS2-Meldepflichten und dem ISMS gleichermaßen.

Schritt 4: Priorisieren nach Risiko

Nicht alles muss sofort umgesetzt werden. Priorisieren Sie Maßnahmen nach dem Risiko: Wo drohen die höchsten Bußgelder? Wo ist die Wahrscheinlichkeit eines Vorfalls am größten? Wo sind die größten Lücken? Beginnen Sie mit den Grundlagen - Dokumentation, Zugriffsmanagement, Backup, Incident Response - und bauen Sie schrittweise aus.

Schritt 5: Verantwortlichkeiten festlegen

Benennen Sie klare Verantwortliche für IT-Compliance. Das muss kein Vollzeitjob sein, aber jemand muss den Überblick behalten, Fristen überwachen und die Umsetzung vorantreiben. Bei NIS2 haftet die Geschäftsleitung persönlich - delegieren Sie die Verantwortung, aber nicht die Haftung.

Häufige Compliance-Fehler

In der Beratungspraxis sehen wir immer wieder dieselben Fehler, die Unternehmen bei der IT-Compliance machen:

1. Compliance als einmaliges Projekt behandeln

Viele Unternehmen setzen Compliance-Anforderungen einmalig um und haken das Thema dann ab. Regulatorische Anforderungen ändern sich jedoch, Bedrohungen entwickeln sich weiter und Ihre IT-Landschaft wächst. Compliance ist ein laufender Prozess, kein Projekt mit Enddatum.

2. Dokumentation vernachlässigen

Sie können die besten Sicherheitsmaßnahmen haben - ohne Dokumentation können Sie nichts nachweisen. Im Prüfungsfall oder nach einem Vorfall zählt nur, was dokumentiert ist. Verarbeitungsverzeichnisse, Richtlinien, Protokolle und Nachweise müssen aktuell und auffindbar sein.

3. Nur auf Technik setzen

Eine Firewall und ein Virenscanner machen Sie nicht compliant. Compliance erfordert organisatorische Maßnahmen: Richtlinien, Schulungen, Prozesse, Verantwortlichkeiten. Die beste Technik nützt nichts, wenn die Mitarbeiter nicht wissen, wie sie damit umgehen sollen.

4. Lieferkette ignorieren

NIS2 verlangt ausdrücklich Sicherheit in der Lieferkette. Aber auch die DSGVO fordert die Kontrolle von Auftragsverarbeitern. Prüfen Sie Ihre IT-Dienstleister, Cloud-Anbieter und Zulieferer auf deren Sicherheitsniveau. Auftragsverarbeitungsverträge sind Pflicht - und sollten mehr als ein Standardformular sein.

5. Incident Response nicht vorbereiten

Wenn der Sicherheitsvorfall eintritt, ist es zu spät, Meldeprozesse zu definieren. Die 24-Stunden-Frist der NIS2 und die 72-Stunden-Frist der DSGVO erfordern eingespielte Prozesse. Definieren Sie vorab, wer was wann meldet, und üben Sie den Ernstfall regelmäßig.

6. Geschäftsführung nicht einbinden

IT-Compliance ohne Rückhalt der Geschäftsleitung scheitert. Budgets werden nicht genehmigt, Mitarbeiter nehmen Schulungen nicht ernst und organisatorische Änderungen werden blockiert. Mit NIS2 haftet die Geschäftsleitung persönlich - das sollte Motivation genug sein.

Fazit: Compliance als Wettbewerbsvorteil

IT-Compliance wird oft als Belastung wahrgenommen - als regulatorischer Aufwand, der Ressourcen bindet und Prozesse verlangsamt. Doch diese Sichtweise greift zu kurz. Unternehmen, die Compliance strategisch angehen, profitieren mehrfach: Sie reduzieren Haftungsrisiken, stärken das Vertrauen von Kunden und Partnern, verbessern ihre IT-Sicherheit nachhaltig und schaffen eine solide Grundlage für Digitalisierung und Wachstum.

Der Schlüssel liegt in der systematischen Herangehensweise. Statt jedes Regelwerk isoliert zu betrachten, bauen Sie ein integriertes Managementsystem auf, das die Anforderungen von DSGVO, NIS2 und ISO 27001 gemeinsam adressiert. Nutzen Sie die Synergien zwischen den Regelwerken und priorisieren Sie nach Risiko statt nach Panik.

Beginnen Sie mit dem, was am wichtigsten ist: Verstehen Sie, welche Regelwerke für Sie gelten. Dokumentieren Sie Ihren aktuellen Stand. Schließen Sie die kritischsten Lücken zuerst. Und holen Sie sich externe Unterstützung, wo Ihnen die Expertise oder die Ressourcen fehlen. IT-Compliance ist kein Sprint, sondern ein Marathon - aber einer, der sich für Ihr Unternehmen lohnt.