Start › IT-Recht › IT-Compliance
IT-Compliance heißt: Ein Unternehmen hält die rechtlichen Anforderungen an seine IT, seine Daten und seine digitalen Produkte ein und kann das auch belegen. Wir beraten Geschäftsleitungen, Compliance-Verantwortliche und IT-Leiter dabei, aus der wachsenden Zahl von Gesetzen ein überschaubares Pflichtenprogramm zu machen.
Warum IT-Compliance Sache der Geschäftsleitung ist
Die Pflicht zur Einrichtung eines Überwachungs- und Risikomanagementsystems folgt für Geschäftsleiter bereits aus § 43 GmbHG und §§ 91, 93 AktG. Neuere Gesetze machen die Verantwortung ausdrücklich: Nach § 38 BSIG müssen Geschäftsleitungen von NIS2-pflichtigen Einrichtungen die Maßnahmen zum Cybersicherheits-Risikomanagement billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Die Umsetzung lässt sich delegieren, die Verantwortung nicht. Wer Pflichten verletzt, haftet der Gesellschaft gegenüber für den daraus entstehenden Schaden.
Die Regelwerke im Überblick (Stand November 2026)
| Bereich | Regelwerk | Wen es trifft |
|---|---|---|
| Datenschutz | DSGVO, BDSG, TDDDG | alle Unternehmen |
| Informationssicherheit | BSIG in der Fassung des NIS2UmsuCG (seit 6.12.2025) | wichtige und besonders wichtige Einrichtungen, Betreiber kritischer Anlagen |
| Finanzsektor | DORA, VO (EU) 2022/2554 (seit 17.1.2025) | Banken, Versicherer, Zahlungs- und Wertpapierinstitute, Krypto-Dienstleister und deren IKT-Dienstleister |
| Produkte mit digitalen Elementen | Cyber Resilience Act | Hersteller, Importeure, Händler; Meldepflichten seit 11.9.2026, volle Geltung ab 11.12.2027 |
| Künstliche Intelligenz | KI-Verordnung (AI Act), KI-MIG | Anbieter und Betreiber von KI-Systemen |
| Daten aus vernetzten Produkten | Data Act (seit 12.9.2025) | Hersteller, Dateninhaber, Cloud-Anbieter |
| Barrierefreiheit | BFSG (seit 28.6.2025) | Anbieter von Onlineshops, Apps und bestimmten digitalen Diensten |
| Software-Lizenzen | UrhG, Lizenzverträge, Open-Source-Lizenzen | alle, die Software einsetzen oder vertreiben |
Ein Compliance-Management-System für die IT aufbauen
Ein brauchbares System muss nicht groß sein, aber es muss nachvollziehbar funktionieren. Wir orientieren uns an anerkannten Standards wie IDW PS 980, ISO/IEC 27001 und dem BSI IT-Grundschutz, ohne Ihnen eine Zertifizierung aufzudrängen.
- Betroffenheitsanalyse: Welche der genannten Gesetze gelten für Ihr Unternehmen und Ihre Produkte, und ab wann?
- Pflichtenkataster: Jede Pflicht bekommt eine verantwortliche Stelle, eine Frist und einen Nachweis.
- Richtlinien: IT-Sicherheitsrichtlinie, KI-Richtlinie, Lösch- und Berechtigungskonzept, Regeln für Homeoffice und private Geräte.
- Verträge: Lieferanten- und Dienstleisterverträge mit Sicherheits-, Audit- und Meldeklauseln, insbesondere wegen der Lieferkettenpflichten nach NIS2 und DORA.
- Schulung und Kontrolle: Nachweisbare Schulungen, interne Audits und ein Berichtsweg zur Geschäftsleitung.
- Hinweisgebersystem: Seit dem Hinweisgeberschutzgesetz müssen Beschäftigungsgeber ab 50 Beschäftigten interne Meldestellen betreiben; sie sind oft auch der Kanal für IT- und Datenschutzverstöße.
Typische Mandate in der IT-Compliance
- Prüfung, ob ein Unternehmen unter NIS2, DORA oder den Cyber Resilience Act fällt, und Aufbau der Registrierungs- und Meldeprozesse.
- Lizenz-Audits durch Softwarehersteller: Prüfung der Audit-Klausel, Begleitung des Audits, Verhandlung von Nachforderungen.
- Einführung von KI-Anwendungen mit Richtlinie, Schulungskonzept und Prüfung der Pflichten aus dem AI Act.
- Interne Untersuchungen nach Sicherheitsvorfällen oder Datenabflüssen, unter Wahrung des Beschäftigtendatenschutzes.
- Schulungen für Geschäftsleitung und Aufsichtsrat zur Cybersicherheit nach § 38 BSIG.
Viele Pflichten überschneiden sich: Ein Sicherheitsvorfall kann zugleich nach § 32 BSIG an das BSI, nach Art. 33 DSGVO an die Datenschutzaufsicht und nach DORA an die BaFin zu melden sein, jeweils mit eigenen Fristen. Ein abgestimmter Meldeplan spart im Ernstfall wertvolle Stunden.
Häufige Fragen zur IT-Compliance
Haftet der Geschäftsführer persönlich für IT-Sicherheitsmängel?
Ja, im Innenverhältnis gegenüber der Gesellschaft, wenn er seine Organisationspflichten verletzt. § 38 BSIG verweist dafür auf die gesellschaftsrechtlichen Haftungsregeln. Ein dokumentiertes Risikomanagement ist deshalb auch Eigenschutz.
Reicht eine ISO-27001-Zertifizierung für NIS2?
Sie deckt einen großen Teil der technischen und organisatorischen Anforderungen ab, ersetzt aber nicht die Registrierung beim BSI, die gesetzlichen Meldewege und die Pflichten der Geschäftsleitung.
Wie oft sollte das Compliance-System überprüft werden?
Mindestens jährlich und zusätzlich bei wesentlichen Änderungen, etwa neuen Produkten, Auslagerungen, Übernahmen oder neuen Gesetzen.
Verwandte Themen
Ihr Ansprechpartner
Sie wollen wissen, welche IT-Compliance-Pflichten Ihr Unternehmen konkret treffen? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.