Was ist ein Rechtskataster?
Ein Rechtskataster zerlegt die für ein Unternehmen geltenden Gesetze, Verordnungen und Verträge in einzelne, prüfbare Pflichten und hält zu jeder fest, wer sie erfüllt und womit das belegt ist. Der Begriff stammt aus dem Umwelt- und Arbeitsschutzmanagement, wo Betriebe Genehmigungsauflagen, Grenzwerte und Prüffristen verzeichnen. In der Informationssicherheit leistet es dasselbe für Datenschutz, IT-Sicherheitsrecht und vertragliche Sicherheitszusagen. Wer ein ISMS einführt, legt es zusammen mit Geltungsbereich und interessierten Parteien an.
Die Bezeichnungen Rechtskataster, Rechtsregister und Pflichtenregister werden weitgehend synonym verwendet. Wo unterschieden wird, ist das Rechtsregister die Liste der Vorschriften und das Rechtskataster die Aufgliederung in Einzelpflichten mit Zuständigkeit, Bewertung und Nachweis. Diese Aufgliederung macht den Unterschied: „DSGVO“ lässt sich nicht als erfüllt bewerten, Art. 32 DSGVO für ein bestimmtes System schon.
Ist ein Rechtskataster Pflicht?
Ein Dokument mit diesem Namen verlangt kein deutsches Gesetz. Verlangt ist, die geltenden Pflichten zu kennen, einzuhalten und das belegen zu können; Managementsystemnormen machen daraus eine dokumentierte Anforderung.
| Norm | Was sie verlangt | Bezug zum Rechtskataster |
|---|---|---|
| ISO/IEC 27001 | Abschnitt 4.2: Anforderungen interessierter Parteien bestimmen, einschließlich gesetzlicher und vertraglicher; Anhang A 5.31: einschlägige rechtliche, regulatorische und vertragliche Anforderungen ermitteln, dokumentieren und aktuell halten | das Rechtskataster ist die übliche Form dieses Nachweises |
| ISO 14001 und ISO 45001 | bindende beziehungsweise rechtliche Verpflichtungen ermitteln, verfügbar halten und ihre Einhaltung bewerten | Herkunft des klassischen Rechtskatasters; beide lassen sich mit dem ISMS-Kataster gemeinsam führen |
Hinzu kommt die Organisationsverantwortung der Geschäftsleitung. Nach § 130 Abs. 1 OWiG handelt ordnungswidrig, wer als Inhaber eines Betriebes oder Unternehmens erforderliche Aufsichtsmaßnahmen unterlässt, wenn deshalb eine Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Ein gepflegtes Kataster belegt, dass die Aufsicht über Pflichten organisiert ist.
Vorlage: eine Katasterzeile mit acht Feldern
Eine brauchbare Zeile beschreibt eine einzelne Pflicht, nicht ein ganzes Gesetz. Beispiel (fiktiv) für ein mittelständisches Unternehmen; Angaben und Datum sind frei gewählt:
| Feld | Inhalt | Beispiel |
|---|---|---|
| Fundstelle | Rechtsakt mit Artikel oder Paragraf, Absatz und Nummer | Art. 32 Abs. 1 DSGVO |
| Pflicht in eigenen Worten | was konkret zu tun ist | Systeme mit personenbezogenen Daten mit dem Risiko angemessenen technischen und organisatorischen Maßnahmen schützen |
| Anwendbarkeit | gilt, gilt teilweise oder gilt nicht, jeweils mit Begründung | gilt für alle Systeme mit personenbezogenen Daten |
| Betroffene Bereiche und Systeme | Prozesse, Anwendungen, Cloud-Dienste, Dienstleister | Personalverwaltung, CRM, Lohnabrechnungsdienstleister |
| Verantwortliche Person | eine benannte Person, kein Team | Leitung IT-Betrieb |
| Nachweis | Dokument, Konfiguration, Protokoll, Bericht | Maßnahmenbeschreibung, Bericht des letzten Berechtigungsreviews |
| Bewertung der Einhaltung | erfüllt, teilweise erfüllt oder nicht erfüllt, mit Datum | teilweise erfüllt am 15.09.2026: Verschlüsselung des CRM-Exports fehlt |
| Letzte Änderungsprüfung | wann die Fundstelle zuletzt auf Rechtsänderungen geprüft wurde | 01.10.2026 |
Auch eine Vorschrift, die nicht gilt, bekommt eine Zeile mit Begründung. Im Audit muss nachvollziehbar sein, warum sie ausgeschlossen wurde. Eine Bewertung „teilweise erfüllt“ führt zu einer Maßnahme oder als Compliance-Risiko in die Risikobewertung.
Welche Vorschriften gehören in ein Rechtskataster für die Informationssicherheit?
Welche Vorschriften gelten, hängt von Branche, Größe, Produkten und Verträgen ab. Die Übersicht ist ein Ausgangspunkt für Unternehmen in Deutschland, keine abschließende Liste (Stand: Oktober 2026).
| Vorschrift | Betrifft | Beispiele für Einzelpflichten |
|---|---|---|
| DSGVO, Verordnung (EU) 2016/679 | alle, die personenbezogene Daten verarbeiten | Art. 28 Auftragsverarbeitung, Art. 30 Verzeichnis von Verarbeitungstätigkeiten, Art. 32 Sicherheit der Verarbeitung, Meldung von Datenpannen unverzüglich und möglichst binnen 72 Stunden (Art. 33 Abs. 1) |
| BDSG | Verantwortliche und Auftragsverarbeiter in Deutschland | § 38 Abs. 1 BDSG: Benennung eines Datenschutzbeauftragten, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind |
| BSIG in der Fassung des NIS-2-Umsetzungsgesetzes | besonders wichtige und wichtige Einrichtungen | § 30 BSIG Risikomanagementmaßnahmen, § 32 Meldepflichten, § 33 Registrierung, § 38 Pflichten der Geschäftsleitung |
| DORA, Verordnung (EU) 2022/2554 | Finanzunternehmen | IKT-Risikomanagement, Vorfallmeldung, Resilienztests, IKT-Drittparteienrisiko |
| Cyber Resilience Act, Verordnung (EU) 2024/2847 | Hersteller von Produkten mit digitalen Elementen | Meldepflichten nach Art. 14 seit dem 11. September 2026, volle Anwendung ab dem 11. Dezember 2027 (Art. 71 Abs. 2) |
| TDDDG | Anbieter digitaler Dienste und Websites | Speichern von und Zugriff auf Informationen in Endgeräten, etwa durch Cookies (§ 25 TDDDG) |
| GeschGehG | alle mit schützenswertem Know-how | Schutz als Geschäftsgeheimnis nur bei angemessenen Geheimhaltungsmaßnahmen (§ 2 Nr. 1 Buchst. b GeschGehG) |
| Verträge | Kunden, Dienstleister, Versicherer | Sicherheitsanhänge, Auftragsverarbeitungsverträge, SLA, Obliegenheiten aus Cyberpolicen |
Die §§ 30, 32, 38 BSIG gelten nach § 28 Abs. 6 BSIG nicht für Finanzunternehmen nach DORA und nach § 28 Abs. 5 BSIG grundsätzlich nicht für Betreiber öffentlicher Telekommunikationsnetze und bestimmter Energieversorgungsnetze. Die Zeile „Verträge“ gehört ausdrücklich dazu, denn ISO/IEC 27001 nennt vertragliche Anforderungen neben den gesetzlichen. Sicherheitszusagen in Kundenverträgen können strenger und konkreter sein als das Gesetz.
Wie erstellen Sie ein Rechtskataster in 6 Schritten?
- Rahmen festlegen: Branche, Standorte, Produkte, Rechtsform und wesentliche Kundenverträge bestimmen, welche Rechtsgebiete in Frage kommen.
- Pflichten erheben: jede Vorschrift bis auf die einzelne Pflicht herunterbrechen.
- Anwendbarkeit begründen, auch für bewusst ausgeschlossene Vorschriften.
- Zuständigkeit und Bezug herstellen: Jede Pflicht erhält eine verantwortliche Person und die Bereiche, Systeme oder Dienstleister, an denen sie erfüllt wird.
- Einhaltung bewerten und belegen: festhalten, ob die Pflicht erfüllt ist und womit das nachgewiesen wird.
- Änderungsprozess einrichten: festlegen, wer Rechtsänderungen beobachtet, in welchem Turnus geprüft wird und wie die Ergebnisse in die Managementbewertung gelangen.
Wie oft wird ein Rechtskataster aktualisiert?
Die Normen nennen keinen festen Turnus, sie verlangen ein aktuelles Verzeichnis. Legen Sie eine regelmäßige Prüfung auf Rechtsänderungen fest, etwa vierteljährlich, und prüfen Sie zusätzlich aus Anlass: bei neuen Gesetzen wie dem NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 in Kraft ist, bei neuen Produkten, Standorten oder Großkundenverträgen und nach Feststellungen aus Audits. Halten Sie Datum und Ergebnis jeder Prüfung fest.
Vorlage oder Rechtskataster-Software?
Eine Tabellenvorlage mit den acht Feldern reicht für den Einstieg und für Organisationen mit überschaubarem Rechtsrahmen. Ihre Grenzen zeigen sich bei drei Fragen: Wer bemerkt eine Rechtsänderung? Wer wird benachrichtigt, wenn eine Pflicht ihn betrifft? Wo liegt der Nachweis zur Zeile?
Software mit redaktionellem Änderungsdienst beantwortet die erste Frage. Die zweite und dritte beantwortet sie nur, wenn das Kataster mit den Systemen, Prozessen und Personen verbunden ist, an denen die Pflicht erfüllt wird.
Woran ein Rechtskataster im Audit scheitert
- Gesetze sind gelistet, Einzelpflichten nicht.
- Vertragliche Pflichten fehlen, obwohl die Norm sie ausdrücklich einbezieht.
- Die Spalte „verantwortlich“ nennt eine Abteilung statt einer Person.
- Die Bewertung der Einhaltung ist älter als die letzte Rechtsänderung.
- Das Kataster steht neben dem Managementsystem: Keine Zeile führt zu einer Maßnahme, einem Risiko oder einem Nachweis.
Rechtskataster in Rizzqo
In Rizzqo hängen die Pflichten aus Frameworks und Gesetzen wie ISO 27001, DORA oder dem Cyber Resilience Act an den Systemen, für die sie gelten. Jede Pflicht geht an die richtige Person, die sie beantwortet und Nachweise hochlädt. Zu jeder Antwort sehen Sie, an welchem System sie gegeben wurde, von wem und ob die Pflicht erfüllt oder noch offen ist.