Kommende Pflichten für IT-Compliance im Mittelstand

Ein fehlendes Backup, ein gemeinsam genutztes Administratorkonto oder ein unbekannter Cloud-Zugang wirken im Tagesgeschäft oft wie kleine IT-Mängel. Bei den kommenden Pflichten für IT-Compliance werden genau solche Lücken zum Geschäftsrisiko: Sie können Ausfälle verlängern, Datenschutzverstöße auslösen und im Ernstfall die Haftungsfrage für die Geschäftsleitung verschärfen.

Für mittelständische Unternehmen geht es deshalb nicht darum, möglichst viele Regelwerke zu sammeln. Entscheidend ist ein belastbarer Nachweis: Wer schützt welche Systeme, wie werden Vorfälle erkannt, wie schnell lässt sich der Betrieb wiederherstellen und wo werden Unternehmensdaten verarbeitet? Die Anforderungen aus NIS2, DSGVO und den wachsenden Vorgaben an Lieferketten und Produkte verlangen vor allem eines: nachvollziehbare Verantwortung.

Warum IT-Compliance zur Führungsaufgabe wird

IT-Sicherheit ist längst kein rein technisches Thema mehr. NIS2 richtet sich in Deutschland an viele mittlere und große Unternehmen in kritischen oder besonders wichtigen Sektoren. Betroffen sein können etwa Unternehmen aus Produktion, Logistik, Energie, Gesundheitswesen, Abfallwirtschaft, digitaler Infrastruktur oder IT-Dienstleistungen. Ob ein Unternehmen konkret in den Anwendungsbereich fällt, hängt von Branche, Größe und Einzelfall ab. Gerade Zulieferer sollten sich nicht vorschnell für unbetroffen erklären.

Auch außerhalb des direkten Geltungsbereichs steigt der Druck. Auftraggeber fragen Sicherheitskonzepte ab, Versicherer erwarten Mindeststandards, und Kunden verlangen vertragliche Zusagen zu Datenschutz, Verfügbarkeit und Meldefähigkeit. Wer diese Anforderungen erst während einer Ausschreibung oder nach einem Sicherheitsvorfall prüft, verliert Zeit und Verhandlungsspielraum.

Das BSI beschreibt die Bedrohungslage in seinem Lagebericht 2024 weiterhin als angespannt. Täglich werden laut BSI rund 309.000 neue Schadprogramm-Varianten bekannt. Diese Zahl steht nicht für ein abstraktes Risiko. Sie erklärt, warum punktuelle Schutzmaßnahmen nicht reichen: Angreifer suchen fortlaufend nach ungepatchten Systemen, schwachen Zugängen und unzureichend getrennten Netzwerken.

Kommende Pflichten für IT-Compliance: Was jetzt zählt

Die einzelnen Vorgaben unterscheiden sich, doch die praktischen Erwartungen ähneln sich stark. Unternehmen müssen ihre Risiken kennen, angemessene Maßnahmen umsetzen und deren Wirksamkeit belegen können. Ein Ordner mit Richtlinien genügt nicht, wenn niemand sagen kann, ob kritische Updates rechtzeitig eingespielt werden oder ob Backups tatsächlich wiederherstellbar sind.

NIS2: Risikomanagement, Meldewege und Verantwortung

NIS2 verlangt von betroffenen Organisationen ein systematisches Risikomanagement. Dazu gehören unter anderem Sicherheitskonzepte, ein geregelter Umgang mit Sicherheitsvorfällen, Notfallvorsorge, Lieferkettensicherheit, Zugangsschutz und Schulungen. Besonders relevant für Geschäftsführer: Die Leitungsorgane tragen Verantwortung für die Umsetzung und müssen sich mit den Maßnahmen befassen.

Bei erheblichen Vorfällen sind gestufte Meldungen vorgesehen. Die erste Warnung muss grundsätzlich innerhalb von 24 Stunden erfolgen, eine ausführlichere Meldung innerhalb von 72 Stunden. Das funktioniert nur, wenn Zuständigkeiten, Erreichbarkeiten und Entscheidungswege vorab festgelegt sind. Ein externer Dienstleister kann dabei unterstützen, ersetzt aber nicht die Verantwortung des Unternehmens.

Für den Mittelstand ist die Abgrenzung wichtig. Nicht jedes Unternehmen unterliegt NIS2 unmittelbar. Dennoch sind die zugrunde liegenden Maßnahmen sinnvoll, weil sie die häufigsten Ursachen schwerer Schäden adressieren: unklare Berechtigungen, fehlende Überwachung, ungetestete Wiederanläufe und unkontrollierte Dienstleisterzugänge.

DSGVO: Sicherheit muss nachweisbar sein

Die DSGVO ist keine kommende Pflicht, sondern geltendes Recht. Ihre Bedeutung für die IT-Compliance wächst jedoch, weil Datenverarbeitungen komplexer werden und Aufsichtsbehörden genauer auf technische und organisatorische Maßnahmen schauen. Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Dazu zählen Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.

In der Praxis bedeutet das: Zugriffe müssen rollenbasiert vergeben und regelmäßig überprüft werden. Mobile Geräte brauchen Schutz und zentrale Verwaltung. Sicherungen müssen verschlüsselt, gegen Manipulation geschützt und in Wiederherstellungstests geprüft werden. Wer personenbezogene Daten in Cloud-Diensten verarbeitet, braucht außerdem Klarheit über Auftragsverarbeitung, Speicherorte, Unterauftragnehmer und mögliche Drittlandtransfers.

Gerade bei US-geprägten Cloud-Strukturen entsteht häufig ein Transparenzproblem. Ein Vertrag allein beantwortet nicht die Frage, wer technisch auf Daten zugreifen kann und welche Rechtsräume berührt werden. Deutsche oder klar europäisch betriebene Dienste können die Kontrollierbarkeit verbessern. Sie sind aber kein Freifahrtschein – auch dort müssen Berechtigungen, Protokollierung und Löschkonzepte stimmen.

Cyber Resilience Act: Lieferkette wird prüfbar

Der Cyber Resilience Act der EU betrifft Hersteller und Anbieter von Produkten mit digitalen Elementen. Die Pflichten werden schrittweise wirksam, darunter ab September 2026 Vorgaben zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Für viele Mittelständler ist das indirekt relevant: Sie kaufen vernetzte Produkte ein oder liefern Komponenten, Software und Dienstleistungen in regulierte Ketten.

Deshalb sollten Beschaffung und IT künftig gemeinsam fragen: Wie lange liefert der Hersteller Sicherheitsupdates? Wie werden Schwachstellen gemeldet? Gibt es eine belastbare Dokumentation der eingesetzten Software-Komponenten? Ohne diese Antworten kann eine günstige Anschaffung später zu einem teuren Betriebsrisiko werden.

Die vier Nachweise, die im Ernstfall fehlen

Viele Unternehmen haben Firewall, Virenschutz und Backup im Einsatz. Die entscheidende Frage lautet jedoch nicht, ob ein Produkt gekauft wurde, sondern ob der Schutz im laufenden Betrieb nachweisbar funktioniert. Vier Lücken treten in Sicherheitsanalysen besonders häufig auf:

• Es gibt keine vollständige Übersicht über Systeme, Administratorenkonten, Cloud-Anwendungen und externe Zugänge.
• Sicherheitsmeldungen werden zwar erzeugt, aber außerhalb der Geschäftszeiten nicht bewertet.
• Backups laufen automatisiert, doch eine vollständige Wiederherstellung wurde nie realistisch getestet.
• Dienstleister besitzen weitreichende Zugänge, ohne dokumentierte Freigabe, Ablaufdatum oder regelmäßige Kontrolle.

Diese Punkte sind keine Formalitäten. Sie entscheiden darüber, ob ein Ransomware-Angriff am einzelnen Arbeitsplatz endet oder den gesamten Betrieb stilllegt. ENISA bewertet Ransomware in ihrem Threat Landscape Report weiterhin als eine der prägendsten Bedrohungen für Organisationen in Europa. Der Schaden entsteht dabei oft nicht nur durch Verschlüsselung, sondern durch gestohlene Daten, Betriebsunterbrechung und Erpressung.

Praxisfall: Der Backup-Status war grün, die Wiederherstellung nicht

In einer anonymisierten Sicherheitsanalyse eines produzierenden Mittelständlers mit rund 90 Beschäftigten war die Sicherungssoftware unauffällig. Die täglichen Sicherungsjobs meldeten Erfolg. Erst die Prüfung zeigte, dass ein zentraler Dateiserver seit Monaten nicht vollständig in den Wiederherstellungstest einbezogen worden war. Zusätzlich war das Backup-System mit einem dauerhaft berechtigten Administratorkonto erreichbar.

Das Risiko lag nicht in einer fehlenden Lizenz, sondern in einer fehlenden Kontrolle. Gemeinsam mit dem Unternehmen wurden getrennte Administrationskonten eingerichtet, Sicherungen zusätzlich vom Produktivnetz getrennt, ein verbindlicher Wiederherstellungsplan erstellt und quartalsweise Tests definiert. Das Ergebnis war nicht mehr Technik, sondern Planbarkeit: Die Geschäftsführung kann nun nachweisen, welche Systeme priorisiert wieder anlaufen und wer im Störfall entscheidet.

Ein praktikabler Weg zur belastbaren Compliance

Der sinnvollste Einstieg ist eine Bestandsaufnahme mit klarer Priorisierung. Zuerst sollten geschäftskritische Prozesse identifiziert werden: Produktion, Warenwirtschaft, Kommunikation, Finanzbuchhaltung oder Kundendaten. Anschließend wird geprüft, welche Systeme, Daten, Zugänge und Dienstleister davon abhängen.

Darauf folgt die technische Absicherung. Endpoint Protection, Managed Firewall, Mehrfaktor-Authentisierung, Patch-Management, sichere Datensicherung und kontinuierliches Monitoring bilden einen wirksamen Kern. Welche Maßnahmen zuerst nötig sind, hängt vom Unternehmen ab. Ein Betrieb mit vielen mobilen Arbeitsplätzen hat andere Schwerpunkte als ein Fertiger mit älteren Maschinen und enger Produktionssteuerung.

Der dritte Schritt ist die Dokumentation. Sie muss nicht kompliziert sein, aber sie muss aktuell und nutzbar bleiben. Dazu gehören ein Berechtigungskonzept, ein Notfallplan, Dienstleistervereinbarungen, eine Übersicht der Datenverarbeitung und Nachweise zu Tests, Updates sowie Sicherheitsvorfällen. Wenn diese Unterlagen nur für eine Prüfung erstellt werden, veralten sie schnell. Wenn sie Teil des laufenden Betriebs sind, schaffen sie Kontrolle.

IT-Compliance wird nicht dadurch gut, dass ein Unternehmen jede Vorschrift auswendig kennt. Sie wird gut, wenn Verantwortliche jederzeit verständlich zeigen können: Unsere kritischen Systeme sind bekannt, unsere Daten bleiben kontrollierbar, Angriffe werden erkannt und der Betrieb lässt sich geordnet wiederherstellen. Eine unabhängige Sicherheitsanalyse kann genau diese offene Frage in eine konkrete, umsetzbare Prioritätenliste verwandeln.