Was ist IT-Compliance?
IT-Compliance bedeutet, dass ein Unternehmen für seine IT belegen kann, alle geltenden Vorgaben einzuhalten. Sie betrifft drei Ebenen: die IT-Systeme selbst (Sicherheit, Verfügbarkeit, Protokollierung), die Daten, die sie verarbeiten (Datenschutz, Aufbewahrung, Integrität), und die Prozesse, mit denen IT betrieben, beschafft und geändert wird.
Ein eigenes Rechtsgebiet ist IT-Compliance nicht. Der Begriff bündelt Pflichten aus unterschiedlichen Quellen, die in der IT umgesetzt und dort belegt werden. Damit ist sie ein Teil der allgemeinen Compliance und überschneidet sich mit der Informationssicherheit. Zu den internen Vorgaben gehören die Informationssicherheitsleitlinie und die IT-Sicherheitsrichtlinien des Unternehmens.
Welche Gesetze und Regelwerke gehören zur IT-Compliance?
Welche Vorgaben gelten, hängt von Branche, Größe und Rechtsform ab. Zentrale Quellen für Unternehmen in Deutschland (Stand: Oktober 2026):
| Quelle | Wen sie trifft | Was sie von der IT verlangt | Fundstelle |
|---|---|---|---|
| DSGVO, BDSG | alle, die personenbezogene Daten verarbeiten | Sicherheit der Verarbeitung durch technische und organisatorische Maßnahmen, Meldung von Datenpannen möglichst binnen 72 Stunden | Art. 32 der Verordnung (EU) 2016/679, Art. 33 |
| NIS-2-Umsetzungsgesetz / BSIG | rund 29.500 wichtige und besonders wichtige Einrichtungen, seit 06.12.2025 | zehn Mindestmaßnahmen des Risikomanagements, Registrierung, Meldung erheblicher Sicherheitsvorfälle | § 30 Abs. 2 BSIG, §§ 32, 33, 38 BSIG |
| KRITIS-Recht | Betreiber kritischer Anlagen | Nachweis der Maßnahmen gegenüber dem BSI alle drei Jahre; physische Resilienz nach dem KRITIS-Dachgesetz, in Kraft seit 17.03.2026 | § 39 Abs. 1 BSIG, KRITISDachG |
| DORA | Finanzunternehmen, seit 17.01.2025 | IKT-Risikomanagementrahmen, Vorfallmeldung, Resilienztests, IKT-Drittparteienrisiko | Verordnung (EU) 2022/2554, Art. 5 bis 44 |
| MaRisk (BaFin-Rundschreiben 06/2026) | Kreditinstitute und Finanzdienstleistungsinstitute, ausgenommen bedeutende Institute unter direkter EZB-Aufsicht (AT 2.1 Tz. 1) | angemessenes und wirksames Risikomanagement als Teil einer ordnungsgemäßen Geschäftsorganisation | § 25a Abs. 1 KWG |
| HGB, AO, GoBD | alle buchführungspflichtigen Unternehmen | elektronische Bücher und Aufzeichnungen unveränderbar, verfügbar und lesbar halten, solange die Aufbewahrungsfrist läuft | § 239 Abs. 3 und 4 HGB, § 257 HGB, § 147 AO |
| AktG, GmbHG | Vorstand und Geschäftsführung | Früherkennungs- und Überwachungssystem, bei börsennotierten Gesellschaften ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem | § 91 Abs. 2 und 3 AktG, § 43 Abs. 1 GmbHG |
| Cyber Resilience Act | Hersteller von Produkten mit digitalen Elementen | Meldepflichten seit 11.09.2026, volle Anwendung ab 11.12.2027 | Verordnung (EU) 2024/2847 |
| EU AI Act | Anbieter und Betreiber von KI-Systemen | Transparenzpflichten seit 02.08.2026, Hochrisikopflichten ab 02.12.2027 bzw. 02.08.2028 | Verordnung (EU) 2024/1689, geändert durch Verordnung (EU) 2026/1744 |
Für Betreiber öffentlicher Telekommunikationsnetze und bestimmter Energieanlagen sowie für Finanzunternehmen nach DORA gelten die BSIG-Pflichten nach § 28 Abs. 5 und 6 BSIG grundsätzlich nicht.
Normen wie ISO/IEC 27001 sind für sich genommen freiwillig. Verbindlich werden sie, sobald ein Kunde, eine Ausschreibung oder ein Vertrag das Zertifikat verlangt. Für besonders wichtige und wichtige Einrichtungen sollen die Maßnahmen zudem nach § 30 Abs. 2 Satz 1 BSIG die einschlägigen europäischen und internationalen Normen berücksichtigen.
Wer ist für IT-Compliance verantwortlich?
Verantwortlich ist die Geschäftsleitung. Der Vorstand einer AG muss nach § 91 Abs. 2 AktG geeignete Maßnahmen treffen, insbesondere ein Überwachungssystem einrichten, damit bestandsgefährdende Entwicklungen früh erkannt werden. Geschäftsführer einer GmbH haben nach § 43 Abs. 1 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.
Für Einrichtungen im Anwendungsbereich des BSIG verpflichtet § 38 Abs. 1 BSIG die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflicht, haftet sie der Einrichtung nach § 38 Abs. 2 BSIG nach den Regeln des Gesellschaftsrechts. Mehr dazu im Beitrag Geschäftsführerhaftung für IT-Sicherheit.
Die operative Arbeit tragen die IT-Leitung für den Betrieb, der Informationssicherheitsbeauftragte für das ISMS, der Datenschutzbeauftragte für personenbezogene Daten, die Compliance-Funktion für den Überblick über die Pflichten und die Interne Revision für die unabhängige Prüfung.
IT-Compliance, IT-Governance und IT-Sicherheit: der Unterschied
IT-Compliance fragt, ob die IT alle verbindlichen Vorgaben einhält und ob sich das belegen lässt. Die Nachbarbegriffe stellen andere Fragen:
| Begriff | Leitfrage | Bezug zur IT-Compliance |
|---|---|---|
| IT-Governance | Wie wird die IT gesteuert, damit sie die Unternehmensziele unterstützt? | übergeordneter Rahmen; IT-Compliance ist ein Teil davon |
| IT-Sicherheit / Informationssicherheit | Sind Vertraulichkeit, Integrität und Verfügbarkeit geschützt? | liefert die Maßnahmen, mit denen IT-Compliance erfüllt wird |
| Datenschutz | Werden personenbezogene Daten rechtmäßig verarbeitet? | eine der Rechtsquellen, mit eigenem Pflichtenkreis |
| IT-Risikomanagement | Welche IT-Risiken bestehen, und wie werden sie behandelt? | verbindet Pflichtverstöße mit ihren Folgen; nach DORA und MaRisk selbst Pflicht |
Eine IT kann sicher und trotzdem nicht compliant sein, wenn Maßnahmen wirken, aber nicht belegt sind. Umgekehrt erfüllt eine vollständige Dokumentation keine Pflicht, wenn die beschriebenen Maßnahmen im Betrieb nicht greifen. Was IT-Sicherheit umfasst, erklärt der eigene Eintrag.
Wie setzen Sie IT-Compliance um?
- Ermitteln Sie, welche Gesetze, Aufsichtsvorgaben, Normen und Verträge für Ihr Unternehmen gelten, und halten Sie das in einem Rechtskataster fest.
- Ordnen Sie jede Pflicht den Systemen, Anwendungen und Dienstleistern zu, an denen sie umgesetzt wird. Grundlage ist ein aktuelles Asset-Inventar.
- Benennen Sie je Pflicht und System eine verantwortliche Person, keine Abteilung.
- Setzen Sie die Maßnahmen um und legen Sie den Nachweis dort ab, wo die Pflicht bewertet wird.
- Prüfen Sie Wirksamkeit und Aktualität in festen Abständen, nach Rechtsänderungen und nach Audits, und berichten Sie an die Geschäftsleitung.
Beispiel (fiktiv) für einen Eintrag, der Schritt 2 bis 5 für eine Pflicht und ein System zusammenführt; Systeme, Daten und Termine sind frei gewählt:
| Feld | Eintrag |
|---|---|
| Pflicht | Art. 32 DSGVO; als wichtige Einrichtung zusätzlich § 30 Abs. 2 Satz 2 Nr. 10 BSIG (Multi-Faktor-Authentifizierung) |
| System | Personalverwaltung (SaaS) mit Gehalts- und Bankdaten |
| Verantwortlich | Leitung Personal fachlich, IT-Betrieb technisch |
| Maßnahme | zweiter Faktor für alle Konten mit Zugriff auf Personaldaten |
| Nachweis | Export der Anmelderichtlinie und Liste der Konten ohne zweiten Faktor vom 30.09.2026: keine |
| Nächste Prüfung | 31.03.2027, Ergebnis an die Geschäftsleitung |
Prüfen Sie Ihr Register an diesem Muster: Wählen Sie eine Pflicht und gehen Sie zu einem betroffenen System. Fehlt dort ein Nachweis oder ist er älter als das festgelegte Prüfintervall, ist die Pflicht an diesem System offen, auch wenn sie im Kataster als erfüllt gilt. Den Rahmen für Maßnahmen, Nachweise und Prüfungen kann ein ISMS bilden; wie es eingeführt wird, beschreibt der Leitfaden ISMS einführen.
Anforderungen am einzelnen System in Rizzqo
Rizzqo führt jede Anforderung am System, für das sie gilt. In Rizzqo sind unter anderem ISO/IEC 27001, ISO/IEC 27002 und DORA als Anforderungskataloge hinterlegt; ihre Anforderungen hängen über Kategorie und Unterkategorie an den unterstützenden Assets, etwa an der Personalverwaltung aus dem Beispiel.
Der Eigentümer beantwortet jede Anforderung, kann einen Nachweis anhängen und finalisiert die Antwort mit Name und Zeitstempel. Eine Lücke ist eine finalisierte Antwort „nicht erfüllt“, und die Abdeckung rechnet Rizzqo aus den finalisierten Antworten. Maßnahmen zu einer Lücke laufen als Aufgaben, die sich in beide Richtungen mit Jira synchronisieren.