IT Compliance – Regelkonformität in der Informationstechnologie

IT Compliance beschreibt die Einhaltung aller gesetzlichen, regulatorischen und vertraglichen Anforderungen, die für den IT-Betrieb eines Unternehmens relevant sind. Von der DSGVO über die NIS2-Richtlinie bis zu branchenspezifischen Standards — die Anforderungen an IT Compliance wachsen stetig und die Konsequenzen bei Nichteinhaltung werden empfindlicher.

IT Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess, der in die Managementsysteme des Unternehmens integriert werden muss. Die DATUREX GmbH unterstützt Unternehmen als externer Informationssicherheitsbeauftragter bei der systematischen Umsetzung aller IT-Compliance-Anforderungen.

Was ist IT Compliance?

IT Compliance umfasst drei Dimensionen:

• Gesetzliche Compliance – Einhaltung von Gesetzen und Verordnungen (DSGVO, NIS2, IT-Sicherheitsgesetz, GoBD)
• Regulatorische Compliance – Erfüllung branchenspezifischer Vorgaben (BaFin, BSI, PCI DSS, HIPAA)
• Vertragliche Compliance – Einhaltung vertraglicher Pflichten gegenüber Kunden, Partnern und Versicherern

IT Compliance vs. IT-Sicherheit vs. IT-Governance

• IT Compliance – Fokus: Erfüllung externer Anforderungen. Frage: „Halten wir alle Regeln ein?“
• IT-Sicherheit – Fokus: Schutz vor Bedrohungen. Frage: „Sind wir sicher?“
• IT-Governance – Fokus: Steuerung der IT durch die Unternehmensführung. Frage: „Wird IT strategisch gesteuert?“

Alle drei Bereiche überlappen sich stark und sollten integriert betrachtet werden. In der Praxis zeigt sich, dass Unternehmen mit einem umfassenden Ansatz — der Compliance, Sicherheit und Governance gemeinsam adressiert — deutlich effizienter arbeiten als solche, die jeden Bereich isoliert behandeln.

Relevante IT-Compliance-Anforderungen

Gesetze und Verordnungen

• DSGVO – Datenschutz-Grundverordnung: Art. 32 fordert angemessene technische und organisatorische Maßnahmen
• NIS2-Richtlinie – Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen
• IT-Sicherheitsgesetz 2.0 – Anforderungen für KRITIS-Betreiber und Unternehmen im besonderen öffentlichen Interesse
• EU AI Act – KI Compliance für Unternehmen, die KI-Systeme einsetzen oder entwickeln
• DORA – Digital Operational Resilience Act für den Finanzsektor
• GoBD – Grundsätze ordnungsmäßiger Buchführung und Dokumentation

Standards und Frameworks

• ISO 27001 – Internationaler Standard für Informationssicherheits-Managementsysteme (Teil der ISO 27000 Normenreihe)
• BSI IT-Grundschutz – Deutsches Framework für IT-Sicherheit
• TISAX – Informationssicherheit in der Automobilindustrie
• PCI DSS – Payment Card Industry Data Security Standard
• SOC 2 – Service Organization Controls für Cloud- und SaaS-Anbieter
• COBIT – Framework für IT-Governance und -Management

Branchenspezifische Anforderungen

• Gesundheitswesen – BSI B3S, Patientendatenschutzgesetz, DiGAV
• Finanzsektor – BaFin BAIT/VAIT/KAIT, DORA, PSD2
• Automobilindustrie – TISAX, UNECE R155/R156
• Öffentliche Verwaltung – BSI IT-Grundschutz, OZG, SächsISichG
• Energie – IT-Sicherheitskatalog der BNetzA

IT-Compliance-Programm aufbauen

Ein strukturiertes IT-Compliance-Programm folgt einem bewährten Sieben-Schritte-Prozess:

1. Anforderungsanalyse – Welche Gesetze, Standards und vertraglichen Pflichten sind für Ihr Unternehmen relevant? Diese Phase erfordert eine systematische Bestandsaufnahme aller regulatorischen Rahmenbedingungen unter Berücksichtigung von Branche, Größe, Standort und Kundenstruktur.
2. Gap-Analyse – Wo stehen Sie heute? Welche Anforderungen sind bereits erfüllt, wo gibt es Lücken? Ein detaillierter Soll-Ist-Vergleich deckt Handlungsbedarf auf und priorisiert nach Risiko.
3. Maßnahmenplanung – Priorisierte Roadmap zur Schließung der identifizierten Lücken. Dabei werden Quick Wins von langfristigen Projekten unterschieden und Ressourcen realistisch eingeplant.
4. Implementierung – Umsetzung technischer und organisatorischer Maßnahmen. Dies umfasst sowohl technische Lösungen wie Schwachstellenmanagement als auch organisatorische Prozesse wie Richtlinien und Schulungen.
5. Dokumentation – Richtlinien, Prozesse, Nachweise systematisch dokumentieren. Ohne lückenlose Dokumentation ist Compliance nicht nachweisbar — und damit im Audit-Fall wertlos.
6. Audit und Überprüfung – Regelmäßige interne und externe Audits stellen sicher, dass die Maßnahmen wirksam sind und eingehalten werden.
7. Kontinuierliche Verbesserung – Anpassung an neue Anforderungen und Erkenntnisse. Regulatorische Landschaften ändern sich ständig — Ihr Compliance-Programm muss Schritt halten.

Typische IT-Compliance-Maßnahmen

• ISMS aufbauen (ISO 27001 oder BSI IT-Grundschutz)
• Vulnerability Management etablieren
• Passwortrichtlinien und MFA implementieren
• Incident Response Plan erstellen
• BCM und DR-Plan aufbauen
• Security Awareness Trainings durchführen
• Clean Desk Policy einführen
• Regelmäßige Security Audits durchführen

IT-Compliance-Rollen und Verantwortlichkeiten

Ein effektives IT-Compliance-Programm erfordert klare Verantwortlichkeiten:

Geschäftsführung

Die Geschäftsführung trägt die Gesamtverantwortung für die IT Compliance. Die NIS2-Richtlinie verschärft dies durch die persönliche Haftung der Geschäftsleitung. Konkret bedeutet das: Die Geschäftsführung muss Compliance-Maßnahmen genehmigen, überwachen und sich regelmäßig über den Status informieren lassen.

IT-Compliance-Beauftragter

In größeren Unternehmen wird häufig ein dedizierter IT-Compliance-Beauftragter ernannt, der:

• Das Compliance-Programm operativ steuert
• Regulatorische Änderungen überwacht und bewertet
• Compliance-Berichte für die Geschäftsführung erstellt
• Als Schnittstelle zu Aufsichtsbehörden fungiert
• Interne Audits koordiniert

IT-Sicherheitsbeauftragter (ISB)

Der ISB setzt die technischen Compliance-Anforderungen um und stellt sicher, dass die Schutzziele der Informationssicherheit — Vertraulichkeit, Integrität und Verfügbarkeit — eingehalten werden. In vielen mittelständischen Unternehmen übernimmt der ISB auch IT-Compliance-Aufgaben.

Datenschutzbeauftragter (DSB)

Der DSB überwacht die DSGVO-Compliance und berät bei datenschutzrelevanten IT-Entscheidungen. Eine enge Zusammenarbeit zwischen ISB und DSB ist zentral, da Informationssicherheit und Datenschutz sich stark überschneiden.

IT-Compliance-Management-Tools

Für die effiziente Verwaltung von IT-Compliance-Anforderungen gibt es spezialisierte Software:

GRC-Plattformen (Governance, Risk, Compliance)

• Vanta — Automatisierte Compliance-Überwachung für SOC 2, ISO 27001, HIPAA. Kontinuierliches Monitoring statt punktueller Audits
• Drata — Compliance-Automatisierung mit über 75 Integrationen. Echtzeit-Dashboard für den Compliance-Status
• Spezialisierte GRC-Plattformen — Umfassende Compliance-Lösungen mit Fokus auf Datenschutz und Risikomanagement
• ServiceNow GRC — Enterprise-Lösung für große Organisationen mit komplexen Compliance-Anforderungen

Open Source und KMU-Lösungen

• CISO Assistant — Open-Source-GRC-Tool für ISO 27001, NIS2, BSI IT-Grundschutz. Ideal für den Einstieg
• Eramba — Open-Source-GRC mit Risikomanagement, Policy-Management und Audit-Unterstützung
• Wazuh — Open-Source-SIEM mit integriertem Compliance-Monitoring (PCI DSS, HIPAA, GDPR)

Häufige IT-Compliance-Fehler

In der Beratungspraxis der DATUREX GmbH begegnen uns regelmäßig dieselben Fehler:

• Compliance als einmaliges Projekt — IT Compliance erfordert kontinuierliche Pflege. Richtlinien, die einmal erstellt und nie aktualisiert werden, sind wertlos
• Papier-Compliance — Richtlinien existieren auf dem Papier, werden aber nicht gelebt. Audits decken diese Diskrepanz schonungslos auf
• Fehlende Verantwortlichkeiten — Wenn niemand explizit für IT Compliance verantwortlich ist, kümmert sich niemand
• Ignorieren von Drittanbieter-Risiken — Cloud-Dienstleister, SaaS-Anbieter und Lieferanten müssen in die Compliance-Betrachtung einbezogen werden
• Mangelnde Dokumentation — „Wir machen das alles“ reicht nicht — ohne Nachweis keine Compliance
• Überkomplexität — Das Compliance-Programm muss zur Unternehmensgröße passen. Ein 5-Personen-Startup braucht kein Enterprise-GRC-Tool
• Fehlende Management-Unterstützung — Ohne Rückendeckung der Geschäftsführung bleibt IT Compliance ein zahnloses Vorhaben

IT Compliance und Penetrationstests

Penetrationstests sind ein wesentliches Instrument zur Überprüfung der IT-Compliance. Sie decken Schwachstellen auf, die bei rein dokumentenbasierten Audits übersehen werden, und liefern den praktischen Beweis, ob die implementierten Sicherheitsmaßnahmen tatsächlich wirksam sind.

Viele Compliance-Frameworks fordern regelmäßige Penetrationstests:

• PCI DSS — Verpflichtend mindestens jährlich und nach wesentlichen Änderungen
• ISO 27001 — Empfohlen als Teil der Schwachstellenbewertung (A.12.6)
• NIS2 — Fordert regelmäßige Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen
• TISAX — Pentest als Nachweis der Sicherheit empfohlen

Konsequenzen mangelnder IT Compliance

• Bußgelder – DSGVO: bis 20 Mio. €/4% Umsatz. NIS2: bis 10 Mio. €/2% Umsatz. EU AI Act: bis 35 Mio. €/7% Umsatz
• Persönliche Haftung – NIS2 sieht persönliche Haftung der Geschäftsführung vor
• Vertragsverlust – Kunden und Partner fordern zunehmend Compliance-Nachweise (ISO 27001, TISAX)
• Versicherungsausschluss – Cyber-Versicherungen verweigern Leistungen bei Compliance-Mängeln
• Reputationsschäden – Öffentliche Bekanntmachung von Verstößen durch Aufsichtsbehörden
• Betriebseinschränkungen – Behördliche Anordnungen können den IT-Betrieb einschränken

IT Compliance Roadmap für den Mittelstand

Für mittelständische Unternehmen empfehlen wir folgenden pragmatischen Ansatz:

Phase 1: Grundlagen (Monat 1-3)

• Anforderungsanalyse: Welche Gesetze und Standards sind relevant?
• IT-Sicherheitsbeauftragten benennen oder externen ISB beauftragen
• Erste Gap-Analyse durchführen
• Quick Wins umsetzen (Passwortrichtlinien, MFA, Backup-Überprüfung)

Phase 2: Aufbau (Monat 3-9)

• ISMS nach ISO 27001 oder BSI IT-Grundschutz aufbauen
• Richtlinien und Prozesse dokumentieren
• Security Awareness Programm starten
• Schwachstellenmanagement implementieren
• Incident Response Plan erstellen und testen

Phase 3: Reife (Monat 9-18)

• Internes Audit durchführen und Findings beheben
• Externe Zertifizierung anstreben (wenn gewünscht)
• Automatisierung und Monitoring ausbauen
• Compliance-Reporting für die Geschäftsführung etablieren
• Regelmäßige Penetrationstests einplanen

IT Compliance Audit — Ablauf und Vorbereitung

Ein IT-Compliance-Audit überprüft systematisch, ob alle relevanten Anforderungen eingehalten werden. Audits können intern oder extern durchgeführt werden und sind ein wesentlicher Bestandteil des Compliance-Managements.

Interne Audits

Interne Audits werden vom Unternehmen selbst durchgeführt — entweder durch eine dedizierte Audit-Abteilung, den IT-Sicherheitsbeauftragten oder externe Berater. Sie dienen der Selbstkontrolle und der Vorbereitung auf externe Audits:

• Frequenz — Mindestens jährlich, bei kritischen Bereichen halbjährlich
• Umfang — Alle relevanten Compliance-Bereiche oder fokussiert auf einzelne Standards
• Findings — Abweichungen werden dokumentiert, bewertet und mit Maßnahmen und Zeitplänen versehen
• Follow-up — Nachverfolgung der Umsetzung aller Maßnahmen

Externe Audits und Zertifizierungen

Externe Audits werden von unabhängigen Zertifizierungsstellen durchgeführt:

• ISO 27001 Zertifizierungsaudit — Stage 1 (Dokumentenprüfung) und Stage 2 (Vor-Ort-Audit). Danach jährliche Überwachungsaudits, alle 3 Jahre Re-Zertifizierung
• TISAX Assessment — Bewertung durch einen akkreditierten Prüfdienstleister, Ergebnis wird über das ENX-Portal geteilt
• SOC 2 Prüfung — Prüfung durch einen unabhängigen Wirtschaftsprüfer, Type I (Stichtag) oder Type II (Zeitraum)

Audit-Vorbereitung — Checkliste

• Alle Richtlinien und Prozesse sind aktuell und genehmigt
• Nachweise für die Umsetzung liegen vor (Schulungsnachweise, Scan-Reports, Meeting-Protokolle)
• Findings aus vorherigen Audits sind nachweislich behoben
• Verantwortliche Mitarbeiter sind informiert und verfügbar
• Management-Review des ISMS ist aktuell
• Risikobehandlungsplan ist dokumentiert und wird umgesetzt

IT Compliance und Künstliche Intelligenz

Der EU AI Act stellt neue Compliance-Anforderungen an Unternehmen, die KI-Systeme einsetzen oder entwickeln:

• Risikobewertung — KI-Systeme müssen nach ihrem Risiko klassifiziert werden (unakzeptabel, hoch, begrenzt, minimal)
• Transparenzpflichten — Benutzer müssen wissen, wenn sie mit einem KI-System interagieren
• Dokumentation — Hochrisiko-KI-Systeme erfordern vollständige technische Dokumentation und Konformitätsbewertungen
• Menschliche Aufsicht — KI-Systeme müssen so gestaltet sein, dass Menschen sie effektiv beaufsichtigen können

Für die IT Compliance bedeutet dies: KI-Compliance muss als neuer Bestandteil in bestehende Compliance-Programme integriert werden. Die DATUREX GmbH unterstützt bei der Bewertung und Umsetzung der AI-Act-Anforderungen.

DATUREX GmbH — IT Compliance Beratung

• Compliance-Analyse – Identifikation aller relevanten Anforderungen für Ihr Unternehmen
• Gap-Analyse – Abgleich Ist-Zustand mit Soll-Anforderungen (ISO 27001, BSI, NIS2)
• Maßnahmenplanung – Priorisierte Roadmap mit realistischem Zeitplan
• ISMS-Aufbau – Implementierung eines Informationssicherheits-Managementsystems
• Audit-Vorbereitung – Begleitung bei Zertifizierungsaudits (ISO 27001, TISAX)
• Laufende Betreuung – Externer ISB als kontinuierlicher Compliance-Partner
• Schulungen – Compliance-Trainings für Führungskräfte und Mitarbeiter