Wie Sie compliant werden: Eine Schritt-für-Schritt-Anleitung (2026)

Wer hier gelandet ist, weil er "wie werde ich compliant" in ein Suchfeld getippt hat, starrt mit hoher Wahrscheinlichkeit auf einen Framework-Namen, einen Kundenfragebogen oder eine regulatorische Frist und fragt sich, wo um alles in der Welt er anfangen soll. Die gute Nachricht: Compliant zu werden ist kein Mysterium. Ob das Ziel ISO 27001, SOC 2, DSGVO, DORA, NIS2, der Cyber Resilience Act, HIPAA oder PCI DSS heißt, der zugrunde liegende Weg ist derselbe wiederholbare Prozess. Dieser Leitfaden geht ihn von Anfang bis Ende durch.

Zunächst eine Klarstellung, denn "Compliance" bedeutet für verschiedene Menschen Verschiedenes. In diesem Leitfaden geht es um Informationssicherheit, Datenschutz und regulatorische Compliance: die Welt der Sicherheits-Frameworks, des Datenschutzrechts und der Cybersicherheits-Regulierung. Gewerbezulassungen und Steuererklärungen sind ein anderes Thema. Wenn Ihre Frage eigentlich lautet "wie bekomme ich SOC 2" oder "wie erfülle ich die DSGVO", sind Sie hier richtig.

So sieht der Weg aus: sieben Schritte, die wir im Folgenden einzeln auspacken.

Was “compliant werden” tatsächlich bedeutet

Vor den Schritten drei Unterscheidungen, die viel vergeudeten Aufwand ersparen.

Frameworks und Regulierungen

Ein Framework ist ein freiwilliger Standard, für dessen Übernahme Sie sich entscheiden, meist weil Kunden danach fragen. ISO 27001 und SOC 2 sind Frameworks. Eine Regulierung ist ein Gesetz, das Sie befolgen müssen, weil Sie etwas Bestimmtes tun oder an einem bestimmten Ort tätig sind. DSGVO, DORA, NIS2 und der Cyber Resilience Act sind Regulierungen. Der praktische Unterschied: Bei einem Framework wählen Sie Geltungsbereich und Zeitplan selbst, während bei einer Regulierung Geltungsbereich und Frist für Sie festgelegt sind. Die meisten Organisationen tragen am Ende eine Mischung aus beidem.

Zertifizierung, Testat und Selbstbewertung

“Compliant” lässt sich auf drei Arten belegen, und es zählt, welche davon Ihr Kunde oder Ihre Aufsicht erwartet:

• Zertifizierung. Eine akkreditierte Stelle auditiert Sie und stellt ein Zertifikat aus. So funktioniert ISO 27001. Das Zertifikat ist das Ergebnis.
• Testat (Attestation). Ein unabhängiger Prüfer untersucht Ihre Kontrollen und schreibt einen Bericht über seine Feststellungen. So funktioniert SOC 2. Das Ergebnis ist ein Bericht, den ein Kunde liest und selbst bewertet.
• Selbstbewertung. Sie bewerten sich selbst gegen die Anforderungen und erklären die Konformität, teils per Fragebogen. Viele Regulierungsregime und die unteren Stufen von PCI DSS funktionieren so. Die Ehrlichkeitspflicht liegt bei Ihnen, und die Strafe für Fehler kommt später.

Was ein Prüfer wirklich kontrolliert

Zu jeder Anforderung stellt ein Auditor dieselben drei Fragen in dieser Reihenfolge: Existiert eine Kontrolle? Ist sie dokumentiert? Gibt es Nachweise, dass sie tatsächlich funktioniert? Eine Kontrolle, die nur im Kopf einer Person existiert, scheitert an der zweiten Frage. Eine wunderschön geschriebene Richtlinie, die niemand befolgt, scheitert an der dritten. Compliant zu werden ist am Ende die Arbeit, für jede Anforderung im Geltungsbereich alle drei Fragen mit Ja beantworten zu können.

Schritt 1: Ermitteln Sie, welche Frameworks und Regulierungen für Sie gelten

Mit allem gleichzeitig compliant zu werden ist unmöglich, und der Versuch lohnt sich auch gar nicht. Die erste Aufgabe ist herauszufinden, was tatsächlich gilt. Die Anwendbarkeit wird durch Ihre Tätigkeit ausgelöst; ein Appetit auf Zertifikate spielt dabei keine Rolle. Eine Handvoll Fragen klärt das meist.

Gehen Sie die Auslöser durch, die Ihr Geschäft beschreiben. Wer Software an Großunternehmen verkauft, bekommt früher oder später in einem Security-Review SOC 2 oder ISO 27001 abverlangt. Wer personenbezogene Daten von Menschen in der EU oder in Großbritannien verarbeitet, unterliegt der DSGVO, unabhängig vom eigenen Sitz. Wer Bank, Versicherer oder ein IKT-Anbieter für solche Unternehmen in der EU ist, für den ist DORA verbindlich. Wer wesentliche oder wichtige Dienste in der EU betreibt, den erreicht NIS2. Wer Kartenzahlungen annimmt, hat PCI DSS im Geltungsbereich. Wer ein Produkt mit digitalen Elementen auf den EU-Markt bringt, den erfasst der Cyber Resilience Act, dessen Kernpflichten ab Dezember 2027 gelten.

Zwei Dinge überraschen an dieser Stelle. Erstens haben Sie fast immer mehrere Pflichten gleichzeitig: Ein europäisches Fintech kann problemlos zugleich in der DSGVO, in DORA und in NIS2 stecken. Zweitens ist die Überlappung zwischen ihnen enorm. Diese Überlappung ist Ihr größter Hebel, um effizient zu arbeiten, und wir kommen gegen Ende darauf zurück.

Das Scoping ist der günstigste Schritt in diesem Leitfaden und der mit der höchsten Rendite. Ein Nachmittag, der hier gut investiert wird, spart Monate, denn jede spätere Entscheidung erbt das Ergebnis. Es ist zugleich der Schritt, der am häufigsten von demjenigen entschieden wird, der in einem Verkaufsgespräch am lautesten gerufen hat, und das ist eine schlechte Methode, um zu bestimmen, wohin Ihr Jahr geht.

Schritt 2: Führen Sie eine Gap-Analyse durch, um Ihren Stand zu bestimmen

Eine Gap-Analyse ist ein strukturierter, ehrlicher Blick darauf, wo Ihre aktuelle Realität hinter den Anforderungen eines Frameworks zurückbleibt. Sie ist der Unterschied zwischen Raten und Wissen. Sie wird gern mit einem Audit verwechselt, deshalb hier die saubere Abgrenzung: Mit der Gap-Analyse bereiten Sie sich vor, und das Audit ist das, worauf Sie sich vorbereiten. Die Gap-Analyse führen Sie an sich selbst durch, so oft Sie wollen. Das Audit wird an Ihnen durchgeführt, nach Terminplan, von jemand anderem.

Die Mechanik ist einfach. Nehmen Sie jede Kontrolle im Framework und bewerten Sie, wie reif Ihr Umgang damit heute ist. Eine gängige Skala läuft von null bis vier.

Die Versuchung ist, großzügig mit sich selbst zu sein. Widerstehen Sie ihr. Eine Gap-Analyse, die Ihnen schmeichelt, erzeugt einen Behebungsplan, der die eigentliche Arbeit verfehlt, und die Wahrheit kommt später ans Licht, im denkbar schlechtesten Moment, vor einem Auditor. Stufen Sie eine Kontrolle nur dann als etabliert ein, wenn Sie heute auf Nachweise zeigen könnten. In der Praxis kommen die meisten ersten Gap-Analysen mit vielen Einsen und Zweien zurück, und das ist völlig normal. Der Wert ist eine Startlinie.

Das gewünschte Ergebnis dieses Schrittes ist eine priorisierte Liste konkreter Lücken, jede einer konkreten Kontrolle zugeordnet, damit Schritt drei etwas Handfestes hat. Wenn Sie eines aus diesem Abschnitt mitnehmen: Bewerten Sie alle Bereiche, bevor Sie irgendetwas reparieren. Der teuerste Fehler von Teams ist, Monate in die zwei Bereiche zu stecken, die sie verstehen, während echte Lücken unangetastet in den Bereichen liegen, die sie nie angesehen haben. Die Bewertung selbst geht schnell. Der langsame Teil ist, die Menschen, die jeden Bereich tatsächlich verantworten, zur Zustimmung zu Ihrer Bewertung zu bringen, und das lohnt die Sorgfalt, denn eine Gap-Analyse, die Ihr Engineering-Lead bestreitet, wird jeden Monat neu verhandelt, bis Sie sie in Ordnung bringen.

Schritt 3: Priorisieren und schließen Sie die Lücken

Jetzt haben Sie eine Liste von Lücken. Alle auf einmal zu schließen ist unmöglich, und die zufällige Reihenfolge ihres Auftauchens ist ein schlechter Plan. Priorisieren Sie auf zwei Achsen: wie viel Risiko die Lücke trägt und wie viel Aufwand ihre Schließung kostet. Gehen Sie die Punkte mit hohem Risiko und geringem Aufwand zuerst an. Sie kaufen Ihnen die meiste Sicherheit für die wenigste Arbeit und bauen Schwung auf.

Sortieren Sie die übrigen Lücken in drei Körbe:

• Schnelle Erfolge. Multi-Faktor-Authentifizierung aktivieren, Logging einschalten, die eine fehlende Richtlinie schreiben. Das ist in Tagen erledigt.
• Prozessänderungen. Zugriffsüberprüfungen einführen, ein formales Vorfallverfahren, eine Onboarding-Checkliste für Lieferanten. Diese brauchen einen menschlichen Verantwortlichen und einen Rhythmus, in dem sie laufen.
• Schwergewichte. Verschlüsselungsprogramme, Netzwerksegmentierung, eine vollwertige Business-Continuity-Fähigkeit. Planen Sie diese bewusst und geben Sie ihnen einen echten Verantwortlichen und ein Budget.

Weisen Sie jedem Behebungspunkt einen Verantwortlichen und ein Fälligkeitsdatum zu. Eine Lücke ohne Verantwortlichen wird nie geschlossen. Das ist auch der Moment, eine Roadmap zu bauen, die Sie tatsächlich verfolgen können, damit der Fortschritt für die Menschen sichtbar ist, denen die Frist wichtig ist.

Schritt 4: Schreiben Sie Richtlinien, die zur Realität passen

Jedes Framework will Richtlinien: eine Informationssicherheitsrichtlinie, eine Zugriffskontrollrichtlinie, einen Incident-Response-Plan und so weiter. Es ist verlockend, ein Vorlagenpaket herunterzuladen, den Firmennamen einzusetzen und weiterzuziehen. Tun Sie es nicht. Eine Richtlinie ist eine Kontrolle, und ein Auditor prüft sie wie jede andere Kontrolle: Passiert das, was im Dokument steht, tatsächlich?

Der klassische Fehlschlag ist eine Richtlinie, die vierteljährliche Zugriffsüberprüfungen verspricht, obwohl das Unternehmen noch nie eine durchgeführt hat. Diese Lücke ist schlimmer als gar keine Richtlinie, denn jetzt behaupten Sie aktenkundig eine Kontrolle, die Sie nicht belegen können. Schreiben Sie Richtlinien, die beschreiben, was Sie wirklich tun, oder ändern Sie Ihr Tun, bis es zu der Richtlinie passt, die Sie brauchen, und halten Sie beides anschließend im Gleichschritt. Eine kurze Richtlinie, die wahr ist, schlägt eine lange, die Fiktion ist.

Behandeln Sie Richtlinien als lebende Dokumente mit Verantwortlichem, Überprüfungsdatum und Versionshistorie. “Vor achtzehn Monaten freigegeben, seitdem nie wieder angesehen” ist eine Feststellung, die nur auf ihren Moment wartet. Vorlagen bleiben ein guter Ausgangspunkt. Der Ärger beginnt, wenn eine unbearbeitet in Umlauf geht. Übernehmen Sie die Struktur und schreiben Sie dann jede Klausel um, die etwas beschreibt, was Sie nicht tun. Für ein kleines Unternehmen ist das ein Tag ehrlicher Redaktionsarbeit pro Richtlinie, und dieser Tag ist gut investiert.

Schritt 5: Sammeln Sie die Nachweise

Nachweise sind die Währung der Compliance. Sie sind der Beleg, dass eine Kontrolle über das Aufgeschriebene hinaus tatsächlich in Betrieb ist. Wenn Menschen den Weg zur Compliance als schmerzhaft beschreiben, meinen sie fast immer diesen Teil, denn Nachweise leben überall und gehören allen außer der Person, die sie zusammenträgt.

Nachweise kommen in einigen Formen:

• Dokumente: Richtlinien, Verfahren, Risikobewertungen, Sitzungsprotokolle, unterschriebene Freigaben.
• Konfigurationen: ein Screenshot oder Export, der erzwungene MFA, aktivierte Verschlüsselung oder eine vorhandene Firewall-Regel zeigt.
• Logs und Aufzeichnungen: Ergebnisse von Zugriffsüberprüfungen, Backup-Erfolgsberichte, Nachweise abgeschlossener Schulungen.
• Tickets: der behandelte Vorfall, die freigegebene Änderung, die gepatchte Schwachstelle.

Der schwierige Teil: Die meisten dieser Nachweise liegen bei anderen als dem Compliance-Verantwortlichen. Die Netzwerkkonfiguration liegt beim Infrastrukturteam, die HR-Unterlagen bei People Operations, die Zugriffsüberprüfungen bei den jeweiligen Systemverantwortlichen. Beim Hinterherjagen per E-Mail verschwinden die Monate. Das effiziente Muster: Leiten Sie jede Anfrage an die Person, die den Nachweis tatsächlich besitzt, lassen Sie sie ihn direkt einreichen, und lassen Sie eine prüfende Person freigeben und die Kontrolle schließen. Genau dafür gibt es die delegierte Nachweiserfassung.

Setzen Sie Ihre Erwartungen hier ehrlich. Dieser Schritt ist ein Monat des Hinterherlaufens, und kein Werkzeug beseitigt das vollständig. Was gutes Tooling ändert, ist, wer hinterherläuft und ob Sie auf einen Blick sehen, was noch aussteht. Die eine Planungsentscheidung, die sich selbst bezahlt, ist, die Nachweiserfassung in Woche eins zu starten, parallel zur Behebung, statt zu warten, bis die Korrekturen fertig sind. Nachweise sind der längste Balken im Plan, und sie sind zugleich das, was sich am leichtesten früh starten lässt.

Schritt 6: Das Audit, die Zertifizierung oder die Selbstbewertung

Mit eingerichteten Kontrollen und gesammelten Nachweisen erreichen Sie die Bewertung. Was hier passiert, hängt davon ab, welcher der drei Nachweistypen von oben auf Sie zutrifft, doch der Rhythmus ähnelt sich. Ein interner oder externer Prüfer arbeitet die Anforderungen durch, verlangt zu jeder Nachweise und zieht Stichproben: Statt jede Zugriffsüberprüfung des Jahres zu kontrollieren, greift er drei heraus und erwartet, dass sie standhalten.

Bei einer Zertifizierung wie ISO 27001 erwarten Sie zwei Stufen. Die erste Stufe prüft, dass Ihre Dokumentation und Ihr Managementsystem existieren, die zweite prüft anhand von Nachweisen, dass sie funktionieren. Bei einem Testat wie SOC 2 betrachtet ein Type-I-Bericht einen einzelnen Zeitpunkt, während ein Type-II-Bericht untersucht, ob die Kontrollen über einen Zeitraum funktioniert haben, üblicherweise drei bis zwölf Monate, weshalb die Nachweisdisziplin aus Schritt fünf so wichtig ist.

Der Weg zum Bestehen ist unglamourös: Machen Sie zuerst einen Readiness-Review. Führen Sie Ihre eigene Gap-Analyse noch einmal durch, ehrlich, und schließen Sie alles noch Offene, bevor der echte Prüfer eintrifft. Auditoren lassen Organisationen, die die Arbeit gemacht haben und ihre Nachweise schnell finden, selten durchfallen. Die Geduld verlieren sie mit Organisationen, die improvisieren. Es hilft, sich zu erinnern, dass der Prüfer ein Mensch mit einer festen Zahl gebuchter Tage ist. Eine Organisation, die jede Anfrage innerhalb einer Stunde beantwortet, bekommt ein glatteres Audit als eine gleich reife, die Tage braucht, um einen Screenshot zu finden. Vorbereitung ist teils Kompetenz und teils die Kunst, das Wohlwollen des Auditors zu schonen.

Schritt 7: Compliant bleiben, denn Compliance ist ein Kreislauf

Diesen Schritt unterschätzt fast jeder Neuling. Nach dem bestandenen Audit geht die Arbeit weiter, denn Compliance zerfällt. Nachweise haben ein Haltbarkeitsdatum: Eine Zugriffsüberprüfung von vor vierzehn Monaten beweist nichts über heute. Zertifizierungen laufen ab und verlangen unterwegs Überwachungsaudits. Regulierungen ändern sich, und neue kommen hinzu. Die Organisation, die Compliance als einmaliges Projekt behandelt hat, findet sich nächstes Jahr in derselben Hetzjagd wieder.

Die Organisationen, die das nachhaltig machen, verwandeln die Nachweiserfassung von einem jährlichen Ereignis in einen Hintergrund-Rhythmus. Jeder Nachweis trägt ein Ablaufdatum. Rückt es näher, geht die Anfrage automatisch erneut hinaus, an denselben Verantwortlichen, und die Kontrolle schließt sich nach der Freigabe leise wieder. Gut gemacht, wird das Compliant-Bleiben zur Wartung und das Audit im nächsten Jahr zur Formalität.

Wie lange dauert es, compliant zu werden?

Die ehrliche Antwort: Es hängt von Ihrem Ausgangspunkt und Geltungsbereich ab, aber Bandbreiten helfen. Für ein mittelgroßes Unternehmen vor seinem ersten Framework sieht ein realistischer erster Durchlauf ungefähr so aus.

• Gap-Analyse: ein bis zwei Wochen, um sich über das gesamte Framework hinweg ehrlich zu bewerten.
• Behebung: zwei bis sechs Monate, fast vollständig bestimmt durch Ihre Schwergewichts-Lücken und dadurch, wie viel um die Zeit Ihres Teams konkurriert.
• Nachweiserfassung: beginnt parallel zur Behebung und hört danach nie ganz auf.
• Bewertung: zwei bis acht Wochen für ein Zertifizierungsaudit; bei einem SOC 2 Type-II-Bericht kommt das Beobachtungsfenster von drei bis zwölf Monaten obendrauf.

Wer bereits einigermaßen reif ist und nur formalisieren muss, kann das Ganze in ein paar Monaten schaffen. Wer bei einem weißen Blatt beginnt, sollte den Großteil eines Jahres bis zum ersten Zertifikat einplanen und daran denken: Das zweite Framework geht dramatisch schneller als das erste, wegen der Überlappung, die wir gleich besprechen.

Was kostet es?

Compliance-Kosten haben drei Bestandteile, und der, den alle vergessen, ist der größte.

• Interne Zeit. Das ist der große Posten, und er taucht auf keiner Rechnung auf. Die Stunden, die Ihr Team mit der Behebung und vor allem mit dem Einsammeln und Zusammentragen von Nachweisen verbringt, stellen die anderen Kosten in den Schatten. Alles, was das reduziert, ist der Ort der echten Einsparungen.
• Auditoren- oder Prüferhonorare. Eine Zertifizierung oder ein Testat durch Dritte ist ein realer externer Kostenpunkt, der mit Ihrer Größe und Ihrem Geltungsbereich skaliert. Budgetieren Sie ihn als wiederkehrende Ausgabe, denn Zertifizierungen kehren wieder.
• Tooling. Software, um die Gap-Analyse durchzuführen, die Behebung zu verfolgen, Nachweise zu sammeln und aktuell zu halten. Gutes Tooling verdient seinen Platz, indem es den Posten der internen Zeit senkt, weshalb es sich üblicherweise selbst bezahlt. Wie wir das bepreisen, sehen Sie auf unserer Preisseite.

Die Falle ist, die kleinen, sichtbaren Kosten zu optimieren und die großen, unsichtbaren zu ignorieren. Ein günstigerer Auditor spart einmal ein wenig. Die Last des Nachweis-Hinterherlaufens zu senken spart viel, und zwar jedes Jahr. Der andere leise Kostenpunkt ist Aufmerksamkeit. Ein Compliance-Programm verbraucht Senior-Engineering-Zeit in kleinen, konstanten Scheiben, und diese Scheiben gehen von der Produkt-Roadmap ab, ob sie jemand einbucht oder nicht. Benennen Sie die Person, die das verantwortet, und geben Sie ihr echte Stunden, sonst zahlen Sie ohnehin, in Verzögerungen, die niemand der Compliance zuschreibt.

Die Abkürzung: einmal nachweisen, vielfach erfüllen

Hier kommt die Belohnung für die Überlappung aus Schritt eins. Die Frameworks und Regulierungen, denen Sie unterliegen, bilden eine gemeinsame Welt. Sie verlangen dieselben Kontrollen in unterschiedlichen Worten. Zugriffskontrolle, Verschlüsselung, Incident Response, Schwachstellenmanagement, Lieferanten-Due-Diligence und Business Continuity tauchen in nahezu jedem Framework auf. Der Nachweis, der Multi-Faktor-Authentifizierung für ISO 27001 belegt, ist derselbe Nachweis, der sie für SOC 2, für DORA und für NIS2 belegt.

Wer jedes Framework in seiner eigenen Tabelle verwaltet, sammelt diesen Nachweis wieder und wieder, einmal pro Framework, und genau deshalb empfinden so viele Teams Compliance als erdrückend. Die Alternative ist ein Control-Crosswalk: Bilden Sie die äquivalenten Kontrollen einmal über alle Frameworks hinweg ab, und lassen Sie einen einzelnen Nachweis alle seine Äquivalente gleichzeitig erfüllen.

Das ist der Unterschied zwischen Compliance, die skaliert, und Compliance, die erdrückt. Weisen Sie eine Kontrolle einmal nach und sehen Sie zu, wie sie sich in jedem Framework schließt, zu dem sie gehört. Das ist auch der Grund, warum Ihr zweites Framework so viel schneller geht als das erste: Der Großteil der Arbeit ist bereits erledigt, und Sie füllen nur die wirklich neuen Lücken. Wie das Mapping funktioniert, erkunden Sie in unserem Control-Crosswalk.

Häufige Fehler, die Sie ausbremsen

• Den Ozean kochen wollen. Alles auf einmal reparieren, statt Lücken nach Risiko und Aufwand zu ordnen. Die Energie geht Ihnen vor den Lücken aus.
• Der Gap-Analyse schmeicheln. Kontrollen höher bewerten, als die Nachweise hergeben. Die Wahrheit kommt später ans Licht, vor einem Auditor, zum schlechtesten Zeitpunkt.
• Vorlagen-Richtlinien, die niemand befolgt. Dokumente, die ein Wunschbild des Unternehmens beschreiben statt das echte. Eine unerfüllte Richtlinie ist eine Feststellung.
• Nachweise bis zum Schluss aufschieben. Die Erfassung als Last-Minute-Sprint behandeln statt als Hintergrundgewohnheit. Hier verschwinden die Monate.
• Jedes Framework separat verwalten. Denselben Nachweis pro Framework neu sammeln, statt ihn einmal zu erbringen und per Crosswalk zu verteilen.
• Nach dem Audit den Sieg erklären. Vergessen, dass Nachweise ablaufen und Zertifizierungen wiederkehren. Compliance ist ein Kreislauf.

Häufig gestellte Fragen

Mit welchem Framework sollte ich anfangen?

Beginnen Sie mit dem, das ein Kunde oder eine Aufsicht tatsächlich verlangt, denn daran hängt eine Frist. Wenn niemand ein bestimmtes erzwingt und Sie Software verkaufen, ist SOC 2 oder ISO 27001 der übliche erste Schritt. Wegen des Crosswalk-Effekts ist das erste Framework das teure, und alles danach fährt auf denselben Nachweisen.

Kann ich ohne Berater compliant werden?

Ja, besonders bei den ersten, Framework-lastigen Standards, wenn Sie jemanden haben, der das Programm verantworten kann, und das richtige Tooling für Gap-Analyse und Nachweisverwaltung. Berater stiften den größten Wert bei wirklich komplexen Regulierungsregimen und beim Auslegen mehrdeutiger Anforderungen. Ihre Nachweise können sie jedoch für Sie nicht herstellen, die interne Arbeit bleibt also so oder so.

Ist eine Gap-Analyse dasselbe wie ein Audit?

Nein. Eine Gap-Analyse führen Sie an sich selbst durch, um Schwächen zu finden, bevor es jemand anderes tut. Ein Audit ist eine formale Überprüfung durch eine externe Partei gegen einen definierten Standard. Die Gap-Analyse ist die Vorbereitung, das Audit ist die Prüfung.

Wie vermeide ich, nächstes Jahr alles neu machen zu müssen?

Verwandeln Sie die Nachweiserfassung in einen kontinuierlichen Rhythmus statt eines jährlichen Ereignisses. Geben Sie jedem Nachweis ein Ablaufdatum, fordern Sie ihn automatisch neu an, wenn er altert, und halten Sie Ihren Crosswalk aktuell, damit neue Frameworks wiederverwenden, was Sie bereits haben. Das verwandelt das Audit im nächsten Jahr von einer Hetzjagd in eine Formalität.

Wo Sie heute anfangen

Compliant zu werden ist ein schrittweiser Prozess. Ermitteln Sie, was für Sie gilt, bewerten Sie sich ehrlich, schließen Sie die Lücken mit dem größten Risiko, schreiben Sie Richtlinien, die wahr sind, sammeln Sie Ihre Nachweise einmal und verwenden Sie sie überall wieder, bestehen Sie die Bewertung, und halten Sie dann den Kreislauf am Laufen. Keiner der einzelnen Schritte ist schwer. Die Schwierigkeit war schon immer die schiere Menge an Koordination, und genau diesen Teil nimmt gutes Tooling ab.

Der schnellste Weg zu sehen, wo Sie stehen, ist ein Gap-Report gegen das Framework, das Sie interessiert. Er dauert etwa zehn Minuten und startet ohne jede Verpflichtung. Beginnen Sie mit einem kostenlosen Compliance-Check und sehen Sie Ihre echten Lücken, bevor Sie entscheiden, was Sie dagegen tun.

Primärquellen

Dieser Leitfaden ist Framework-unabhängig, doch die konkreten Tatsachenaussagen oben gehen auf diese Standards und Regulierungen zurück. Prüfen Sie aktuellen Geltungsbereich und Fristen für Ihre Situation am Primärtext.

• ISO/IEC 27001:2022 - Zertifizierungsstandard; das zweistufige Audit (Stufe 1 Bereitschaft, Stufe 2 Wirksamkeit) und der Dreijahreszyklus mit jährlicher Überwachung sind durch ISO/IEC 17021-1 festgelegt. iso.org.
• SOC 2 - AICPA-Testat nach den Trust Services Criteria; Type I ist zeitpunktbezogen, Type II deckt einen Beobachtungszeitraum ab (üblicherweise drei bis zwölf Monate). aicpa-cima.com.
• DSGVO - Verordnung (EU) 2016/679; Art. 3 regelt den räumlichen Geltungsbereich, der Verantwortliche erfasst, die Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. EUR-Lex.
• DORA - Verordnung (EU) 2022/2554; gilt für Finanzunternehmen und ihre IKT-Drittanbieter, anwendbar seit dem 17. Januar 2025. EUR-Lex.
• NIS2 - Richtlinie (EU) 2022/2555; erfasst wesentliche und wichtige Einrichtungen. EUR-Lex.
• Cyber Resilience Act - Verordnung (EU) 2024/2847; Produkte mit digitalen Elementen, Kernpflichten ab dem 11. Dezember 2027 (Meldepflichten ab dem 11. September 2026). EUR-Lex.
• PCI DSS - PCI Security Standards Council; niedrigere Händlerstufen können sich per SAQ selbst bewerten. pcisecuritystandards.org.
• HIPAA - US-Gesundheitsministerium (Department of Health and Human Services), Security und Privacy Rules. hhs.gov/hipaa.