IT-Compliance: Was gilt und wie Sie sie umsetzen

IT-Compliance bedeutet, dass ein Unternehmen die gesetzlichen, vertraglichen und internen Regeln für seine IT einhält und das belegen kann. In Deutschland betrifft das vor allem die DSGVO für personenbezogene Daten, das BSI-Gesetz mit den NIS2-Pflichten, die GoBD für steuerlich relevante Daten und für Finanzunternehmen DORA. Dazu kommen Normen wie ISO/IEC 27001, die oft Kunden verlangen, und eigene Richtlinien. Für die Einhaltung ist die Geschäftsleitung verantwortlich, auch wenn die IT die Arbeit erledigt. In der Praxis geht es um wenige Fragen: Welche Regeln gelten, wer ist zuständig, welche Maßnahmen gibt es, und wo liegen die Nachweise?

Wenn Sie IT-Compliance neu aufbauen oder sich auf eine Prüfung vorbereiten, gehen Sie die Schritte unten der Reihe nach durch.

Was ist IT-Compliance?

Compliance heißt Regeleinhaltung. IT-Compliance ist der Teil davon, der Systeme, Daten und Abläufe in der IT betrifft. Sie ist nicht dasselbe wie IT-Sicherheit. Sicherheit schützt vor Schäden, Compliance belegt, dass Regeln eingehalten werden. Beide überschneiden sich stark, aber ein Unternehmen kann auf dem Papier konform und trotzdem angreifbar sein und umgekehrt. Sie ist Teil des größeren Rahmens aus GRC und des Compliance Managements.

Welche Regeln gelten?

Hinzu kommen Normen und Verträge: ISO/IEC 27001 und SOC 2, das BSI-Grundschutz-Kompendium, PCI DSS bei Kartenzahlungen, TISAX in der Autoindustrie und Vorgaben in Kundenverträgen.

Warum es sich lohnt

• Bußgelder und Haftung: Die DSGVO sieht Bußgelder bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes vor. Unter NIS2 haftet zudem die Geschäftsleitung für die Umsetzung (§ 38 BSIG).
• Aufträge: Große Kunden und Behörden verlangen zunehmend Nachweise von ihren Lieferanten.
• Versicherung: Cyberversicherer fragen nach denselben Maßnahmen.
• Ordnung: Wer weiß, welche Daten wo liegen und wer Zugriff hat, reagiert auch bei einem Vorfall schneller.

IT-Compliance aufbauen

1. Pflichten klären: Erstellen Sie ein Rechtskataster. Prüfen Sie zuerst, ob NIS2 oder DORA Sie betreffen. Das BSI bietet dafür eine Betroffenheitsprüfung an.
2. Verantwortung festlegen: Benennen Sie Zuständige für Informationssicherheit, Datenschutz und IT-Compliance, und regeln Sie die Berichte an die Leitung.
3. Bestand erfassen: Listen Sie Systeme, Geräte, Dienstleister und Datenarten auf. Hilfreich ist ein IT Asset Management.
4. Risiken bewerten: Wo drohen die größten Verstöße und Schäden?
5. Richtlinien schreiben: Knapp und verständlich, für Zugriffe, Geräte, Passwörter, Daten, Vorfälle und Dienstleister.
6. Maßnahmen umsetzen: Mehrfaktor-Anmeldung, Verschlüsselung, Updates, Backups, Rechteprüfung, Protokolle und Schulungen.
7. Nachweise sammeln: Legen Sie je Vorgabe fest, welcher Beleg sie zeigt, wer ihn liefert und wie oft.
8. Prüfen und verbessern: Interne Prüfungen und jährliche Überprüfung, nach Vorfällen auch außer der Reihe. Die interne Revision kann das unabhängig prüfen.

Die wichtigsten Maßnahmen im Überblick

Häufige Fehler

• Compliance als einmaliges Projekt vor dem Audit behandeln
• Richtlinien aus Vorlagen übernehmen, die nicht zur Firma passen
• Die Verantwortung allein der IT überlassen
• Nachweise erst kurz vor der Prüfung suchen
• Für jedes Regelwerk getrennt arbeiten, statt eine Kontrolle mehrfach zu nutzen
• Dienstleister und von Abteilungen selbst gekaufte Cloud-Dienste übersehen
• Laptops und Telefone vergessen, obwohl dort viele Daten liegen

Wer ist von NIS2 betroffen?

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und hat den Kreis der betroffenen Unternehmen stark erweitert. Es unterscheidet besonders wichtige und wichtige Einrichtungen, abhängig von Sektor und Größe. Als Faustregel gilt: Wer in einem der genannten Sektoren tätig ist, etwa Energie, Transport, Gesundheit, digitale Dienste, Abfall, Lebensmittel oder verarbeitendes Gewerbe, und mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme hat, sollte die Betroffenheit prüfen. Betroffene müssen sich beim BSI registrieren, Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und erhebliche Sicherheitsvorfälle melden. Auch Unternehmen, die selbst nicht betroffen sind, spüren das Gesetz oft über Lieferantenfragebögen ihrer Kunden.

IT-Compliance in kleinen und mittleren Unternehmen

Ein Mittelständler braucht kein eigenes Compliance-Team, aber klare Zuständigkeiten. Oft reicht es, wenn die IT-Leitung die Maßnahmen verantwortet, ein externer Datenschutzbeauftragter die DSGVO abdeckt und die Geschäftsleitung einmal im Jahr einen kurzen Bericht erhält und unterschreibt. Eine gepflegte Tabelle mit Pflichten, Maßnahmen, Verantwortlichen und dem Ablageort der Nachweise ist ein besserer Anfang als ein teures Werkzeug, das niemand befüllt.

Setzen Sie Prioritäten nach dem, was am meisten bewirkt: Mehrfaktor-Anmeldung, verschlüsselte Geräte, aktuelle Updates, getestete Backups und ein Notfallplan decken einen großen Teil dessen ab, was DSGVO, NIS2, Kunden und Versicherer erwarten. Eine Maßnahme kann also mehrere Regeln zugleich erfüllen, wenn Sie sie entsprechend zuordnen und nur einmal belegen.

Beispiel: Was ein Prüfer sehen möchte

Angenommen, ein Großkunde schickt einen Fragebogen zur Informationssicherheit und will Belege zu Zugriffen und Geräten. Gut vorbereitet legen Sie vor:

• die freigegebene Richtlinie mit Datum und Unterschrift,
• das Protokoll der letzten Rechteprüfung mit den entfernten Zugängen,
• einen aktuellen Bericht, welche Geräte verschlüsselt und gepatcht sind,
• die Liste der Ausnahmen mit Begründung und Enddatum,
• das Ergebnis des letzten Wiederherstellungstests.

Prüfer achten weniger auf Perfektion als darauf, ob die Abläufe wirklich stattfinden und ob jemand auf Abweichungen reagiert. Eine dokumentierte Ausnahme ist besser als eine verschwiegene Lücke.

IT-Compliance im Jahresablauf

Verwaltung auf vielen Geräten

Nachweise zu den Geräten gehören zu den ersten Dingen, die Prüfer sehen wollen. trio.so zeigt den Verschlüsselungsstatus jedes Geräts, setzt Richtlinien für Updates und Bildschirmsperren durch, führt das Geräteinventar und exportiert Compliance-Nachweise. Das deckt den Geräteteil ab. Konform wird dadurch kein Unternehmen, und Zertifikate ersetzt es nicht.

Weiterführend: COBIT, CIS Compliance und IT-Notfallplan.

Stand: November 2026. Dieser Beitrag ist eine Orientierung und keine Rechtsberatung.