Die Zahl der Sicherheitsvorgaben für Unternehmen wächst seit Jahren. Europäische Gesetzgebung, Branchenstandards und Kundenverträge stellen parallel Anforderungen an dieselbe IT, jeweils mit eigenen Fristen und Nachweispflichten.
Für IT-Verantwortliche wird Compliance damit zur Daueraufgabe, die Architekturentscheidungen ebenso prägt wie Budgets. Wer die Regelwerke kennt und technische Maßnahmen mehrfach verwertet, senkt den Aufwand deutlich.
Was ist Cybersecurity-Compliance?
Cybersecurity-Compliance bedeutet, dass ein Unternehmen die für seine IT-Sicherheit geltenden Vorgaben einhält und dies belegen kann. Die Anforderungen stammen aus Gesetzen und Verordnungen, aus Branchenstandards sowie aus Verträgen mit Kunden und Versicherern. Die wichtigsten Regelwerke im Überblick:
- DSGVO: Gilt für jede Verarbeitung personenbezogener Daten. Artikel 32 verlangt dem Risiko angemessene technische und organisatorische Maßnahmen, Artikel 33 die Meldung von Datenpannen binnen 72 Stunden.
- NIS2: Die EU-Richtlinie verpflichtet wichtige und besonders wichtige Einrichtungen vieler Sektoren zu Risikomanagement, Vorfallsmeldungen und Lieferkettensicherheit. Die Geschäftsleitung haftet für die Umsetzung ihrer Pflichten.
- DORA: Die EU-Verordnung zur digitalen operationalen Resilienz gilt seit Januar 2025 für Finanzunternehmen und regelt unter anderem IKT-Risikomanagement, Tests und den Umgang mit IT-Dienstleistern.
- ISO 27001: Die internationale Norm beschreibt ein zertifizierbares Managementsystem für Informationssicherheit (ISMS). Sie ist freiwillig, wird in Ausschreibungen und Lieferantenbewertungen aber häufig vorausgesetzt.
- PCI DSS: Der Standard der Kreditkartenindustrie gilt vertraglich für alle Unternehmen, die Karteninhaberdaten verarbeiten, und macht sehr konkrete technische Vorgaben.
Wie der Weg zur Konformität aussieht
Unabhängig vom Regelwerk folgt nachweisbare Konformität einem wiederkehrenden Muster:
- Anforderungen ermitteln: Zuerst wird geklärt, welche Vorgaben überhaupt greifen. Maßgeblich sind Branche, Unternehmensgröße, verarbeitete Datenarten und die Rolle in Lieferketten regulierter Kunden.
- Lücken bewerten: Eine Gap-Analyse vergleicht den Ist-Zustand mit dem geforderten Soll und priorisiert die Abweichungen nach Risiko und Frist.
- Maßnahmen umsetzen: Technische Bausteine kehren in fast allen Regelwerken wieder: Zugriffskontrolle mit Mehrfaktor-Authentifizierung, Verschlüsselung, Netzwerksegmentierung, Protokollierung, Backup und geregeltes Schwachstellenmanagement. Organisatorisch kommen Richtlinien, Schulungen und ein geübter Meldeprozess für Vorfälle hinzu.
- Nachweise führen: Compliance existiert erst, wenn sie dokumentiert ist. Dazu gehören ein Risikoregister, Verfahrensbeschreibungen, Prüfprotokolle und Berichte an die Leitungsebene.
- Prüfen und verbessern: Interne Audits, externe Zertifizierungsaudits und Kennzahlen halten das Niveau. Regelwerke ändern sich; die Beobachtung neuer Vorgaben gehört deshalb fest zum Prozess.
Warum Compliance wichtig ist
- Bußgelder und Haftung: Verstöße gegen DSGVO oder NIS2 können empfindliche Bußgelder auslösen. NIS2 nimmt zusätzlich die Geschäftsleitung persönlich in die Pflicht.
- Marktzugang: Ausschreibungen und Konzernlieferketten verlangen zunehmend Nachweise wie ISO-27001-Zertifikate. Ohne sie scheiden Anbieter früh aus.
- Versicherbarkeit: Cyber-Versicherer knüpfen Deckung und Prämien an belegbare Kontrollen, etwa Mehrfaktor-Authentifizierung und getestete Backups.
- Geordnete Krisenreaktion: Wer Meldewege und Zuständigkeiten vorab geregelt hat, gewinnt im Ernstfall Zeit und vermeidet Fehler unter Druck.
- Struktur statt Einzelmaßnahmen: Compliance-Rahmenwerke erzwingen Inventar, Risikobewertung und klare Verantwortlichkeiten. Davon profitiert die Sicherheitsarbeit insgesamt.
Typische Szenarien
Ein Maschinenbauer mit mehreren hundert Mitarbeitenden fällt als Zulieferer kritischer Sektoren unter NIS2. Er baut ein Risikomanagement auf, definiert Meldeprozesse und muss die Sicherheit seiner Fernwartungszugänge belegen. Die Segmentierung der Produktionsnetze wird zum zentralen Nachweisbaustein; belegbare Zonenkonzepte samt Visualisierung der Verbindungen, wie sie etwa Mikrosegmentierung liefert, erkennen Auditoren von NIS2 bis PCI DSS an.
Ein Zahlungsdienstleister unterliegt DORA und PCI DSS gleichzeitig. Statt zwei getrennte Kontrollkataloge zu pflegen, ordnet er seine Maßnahmen in einer gemeinsamen Kontrollmatrix und bedient beide Prüfungen aus denselben Nachweisen.
Ein SaaS-Anbieter verliert Ausschreibungen, weil das ISO-27001-Zertifikat fehlt. Er führt ein ISMS ein, lässt es zertifizieren und verkürzt damit zugleich die Sicherheitsfragebögen seiner Enterprise-Kunden erheblich.
Compliance und Sicherheit: zwei verschiedene Ziele
Compliance belegt die Erfüllung definierter Mindestanforderungen zu einem Prüfzeitpunkt. Sicherheit beschreibt die tatsächliche Widerstandsfähigkeit gegen Angriffe, und die verändert sich täglich. Ein Unternehmen kann alle Audits bestehen und trotzdem verwundbar sein, wenn Kontrollen nur auf dem Papier existieren oder neue Angriffstechniken nicht abgedeckt sind.
Umgekehrt erzeugt gute Sicherheitsarbeit den größten Teil der geforderten Nachweise fast von selbst. Sinnvoll ist deshalb die Reihenfolge: Risiken verstehen, wirksame Kontrollen etablieren und die Dokumentation daraus ableiten. Wer Compliance als Nebenprodukt gelebter Sicherheit organisiert, vermeidet Doppelarbeit und Papierkontrollen ohne Schutzwirkung.
Häufige Fragen
Welche Regelwerke gelten für welches Unternehmen?
Das ergibt sich aus Branche, Größe, Datenarten und Kundenbeziehungen. Die DSGVO greift praktisch immer, sobald personenbezogene Daten verarbeitet werden. NIS2 erfasst viele Sektoren ab mittlerer Unternehmensgröße, DORA den Finanzbereich, PCI DSS jede Kartenzahlung. Hinzu kommen vertragliche Vorgaben von Kunden und Versicherern. Eine strukturierte Betroffenheitsanalyse schafft früh Klarheit.
Worin unterscheiden sich NIS2 und DORA?
NIS2 ist eine EU-Richtlinie für viele Sektoren, die über nationale Gesetze umgesetzt wird und allgemeine Pflichten zu Risikomanagement und Meldungen definiert. DORA ist eine unmittelbar geltende EU-Verordnung speziell für den Finanzsektor mit deutlich detaillierteren Vorgaben, etwa zu Resilienztests und zur Steuerung von IKT-Dienstleistern. Für Finanzunternehmen geht DORA als Spezialregelung vor.
Ist ISO 27001 gesetzlich verpflichtend?
Nein, die Norm ist grundsätzlich freiwillig. Praktisch entsteht die Pflicht oft indirekt: Konzerne verlangen das Zertifikat von Lieferanten, Ausschreibungen setzen es voraus, und Aufsichten akzeptieren es als starken Beleg für ein funktionierendes Sicherheitsmanagement. Zudem eignet sich ein ISMS nach ISO 27001 gut als Fundament für NIS2- und DORA-Pflichten.
Welche technischen Maßnahmen verlangen fast alle Regelwerke?
Ein stabiler Kern kehrt überall wieder: Inventar und Risikobewertung, Zugriffskontrolle mit Mehrfaktor-Authentifizierung, Verschlüsselung sensibler Daten, Netzwerksegmentierung, zentrale Protokollierung, getestete Backups und ein geregeltes Schwachstellenmanagement. Wer diese Bausteine sauber betreibt und dokumentiert, deckt einen großen Teil der Anforderungen aus DSGVO, NIS2, DORA und ISO 27001 gleichzeitig ab.
Garantiert Compliance Schutz vor Angriffen?
Nein. Compliance bestätigt die Erfüllung von Mindestanforderungen zum Prüfzeitpunkt; Angreifer richten sich aber weder nach Katalogen noch nach Auditterminen. Wirksamen Schutz erzeugen erst gelebte Kontrollen, kurze Reaktionswege und regelmäßige Tests. Richtig eingesetzt bleibt Compliance dennoch wertvoll: Sie erzwingt Struktur, Verantwortlichkeiten und Transparenz, auf denen echte Sicherheitsarbeit aufbaut.