Jahrelang verfolgte die Einhaltung gesetzlicher Vorschriften ein ganz klares Ziel: die Vermeidung von Sanktionen. Die Unternehmen ermittelten, welche Gesetze für sie galten, führten die erforderlichen Maßnahmen ein und bereiteten Unterlagen für den Fall einer behördlichen Überprüfung vor. Es handelte sich um ein reaktives Modell, das darauf ausgelegt war, den Anforderungen der Behörden gerecht zu werden.
Diese Situation hat sich grundlegend geändert – und das nicht nur, weil es mehr Vorschriften gibt.
Die europäische Regulierung schreitet in beispiellosem Tempo voran: NIS2, DORA, der AI Act, die Richtlinie zur Sorgfaltspflicht (CSDDD), die DSGVO, der ENS. Jede dieser Vorschriften definiert neu, wie Unternehmen ihre Risiken, ihre Lieferanten, ihre Cybersicherheit oder den Einsatz künstlicher Intelligenz handhaben.
Die eigentliche grundlegende Veränderung liegt jedoch woanders: Immer mehr Unternehmen müssen kontinuierlich nachweisen, dass sie die Anforderungen erfüllen – und immer häufiger wird diese Anforderung nicht von einer Aufsichtsbehörde, sondern von einem Kunden gestellt.
Von der Einhaltung gesetzlicher Vorschriften zur Einhaltung geschäftlicher Anforderungen
Ein Unternehmen ist möglicherweise weder unmittelbar an NIS2 noch an die Sorgfaltspflicht-Richtlinie gebunden.
Wenn Sie jedoch für ein größeres Unternehmen tätig sind, ist es sehr wahrscheinlich, dass Sie bald Anfragen wie die folgenden erhalten werden:
- Füllen Sie bitte unseren Fragebogen zur Cybersicherheit aus.
- Vereinfachen Sie Ihre Unternehmensrichtlinien.
- Legen Sie dar, wie Sie Ihre Lieferanten bewerten.
- Weisen Sie nach, dass Sie über einen internen Informationskanal verfügen.
- Bitte reichen Sie Nachweise über Ihre Sicherheitskontrollen ein.
- Bitte geben Sie an, welche Maßnahmen Sie für den verantwortungsvollen Umgang mit künstlicher Intelligenz ergreifen.
Das verlangt nicht die Verwaltung. Das verlangt der Kunde.
Und deshalb stellen immer mehr Unternehmen eine unangenehme Tatsache fest: Compliance ist nicht mehr nur eine gesetzliche Verpflichtung – sie ist zu einer Voraussetzung geworden, um Kunden zu binden, an Ausschreibungen teilzunehmen und neue Geschäftsmöglichkeiten zu erschließen.
Es reicht nicht mehr aus, die Anforderungen zu erfüllen. Man muss dies auch nachweisen können.
Die entscheidende Frage hat sich geändert.
Es ist nicht mehr:
Halten Sie diese Vorschriften ein?
Es ist:
Können Sie das nachweisen? Und in welcher Zeitspanne?
Nachweisfähigkeit bedeutet, Belege parat zu haben: Wer hat eine Richtlinie genehmigt, wann wurde ein Verfahren überprüft, welche Kontrollmaßnahmen gibt es, welche Risiken wurden bewertet, welche Lieferanten wurden zugelassen, welche Schulungen hat jeder Mitarbeiter erhalten?
Compliance ist nicht mehr nur ein Ordner mit statischen Dokumenten. Es wird zu einem lebendigen System, auf das man jederzeit zugreifen können muss – und das nicht jedes Mal neu zusammengestellt werden muss, wenn jemand danach fragt.
Der Fehler, den viele Organisationen nach wie vor begehen
Die meisten betrachten jede neue Vorschrift nach wie vor als eigenständiges Projekt: eine Richtlinie für ISO 27001, eine weitere für NIS2, einen Fragebogen für DORA, eine Kontrolle für den ENS und eine Bewertung für den AI Act.
Das Ergebnis ist absehbar: doppelte Daten, parallele Abläufe und ein Verwaltungsaufwand, der mit jeder neuen Vorschrift zunimmt, anstatt auf bereits Vorhandenes zurückzugreifen.
Und dieser Aufwand ist vermeidbar, da die Ausgangsprämisse falsch ist. Diese Vorschriften sind keine voneinander getrennten Bereiche: Sie haben einen Großteil ihrer Anforderungen gemeinsam. Zugangsmanagement, Lieferantenbewertung, Risikoanalyse, Schulungen oder die Reaktion auf Vorfälle tauchen – wenn auch mit unterschiedlichen Nuancen – in praktisch allen regulatorischen Rahmenwerken auf.
Die Kontrollen sind Teil der Organisation, nicht Teil der Vorschriften
Dies ist wahrscheinlich die wichtigste Umstellung, die Unternehmen in den kommenden Jahren vornehmen müssen: Sie sollten davon abkommen, Kontrollmaßnahmen zur Einhaltung einer bestimmten Norm zu konzipieren, und stattdessen damit beginnen, diese zum Schutz des Unternehmens zu gestalten.
Eine Multi-Faktor-Authentifizierung dient nicht der Erfüllung der NIS2-Vorschriften. Sie dient dazu, das Risiko eines unbefugten Zugriffs zu verringern. Dieselbe Kontrolle, die nur einmal durchgeführt werden muss, dient anschließend zum Nachweis der Konformität mit ISO 27001, NIS2, ENS, DORA, dem AI Act – sowie allen künftigen Vorschriften, die gleichwertige Maßnahmen vorschreiben.
Das Gleiche gilt für eine Richtlinie, eine Lieferantenbewertung oder eine Risikoanalyse: Sie werden einmalig verwaltet und beziehen sich auf so viele regulatorische Rahmenbedingungen, wie erforderlich ist.
Die Rolle der Technologie
Dieses Maß an Rückverfolgbarkeit mithilfe von Tabellenkalkulationen, E-Mails und gemeinsam genutzten Ordnern aufrechtzuerhalten, ist nicht mehr tragbar. Diese Komplexität muss von der Technologie bewältigt werden, nicht von den Menschen.
Eine dafür konzipierte Plattform sollte folgende Funktionen bieten:
- ein einheitliches Verzeichnis der Kontrollmaßnahmen zu führen;
- sie automatisch verschiedenen Rechtsrahmen zuzuordnen;
- festzustellen, welche Nachweise für mehrere Vorschriften gleichzeitig herangezogen werden können;
- Doppelte Einträge erkennen;
- Überprüfungen und Erinnerungen zu automatisieren;
- die lückenlose Rückverfolgbarkeit jeder Maßnahme zu gewährleisten.
Das Ziel besteht nicht darin, über mehr Tools zu verfügen. Vielmehr sollen die Mitarbeiter ihre Zeit dafür nutzen, Risiken zu managen und Entscheidungen zu treffen – und nicht dafür, dieselben Informationen in fünf verschiedene Systeme zu kopieren.
Die Zukunft der Compliance
Jahrelang lautete das Ziel: Anforderungen zu erfüllen. Heute lautet das Ziel: Leistung zu beweisen. Morgen wird es darum gehen, Prozesse zu automatisieren.
Unternehmen, die diese Veränderung frühzeitig erkennen, werden nicht nur ihren Verwaltungsaufwand verringern, sondern auch besser auf Audits, Zulassungsverfahren sowie die Anforderungen von Kunden, Investoren und Behörden vorbereitet sein.
Denn letztendlich wird es bei der Compliance der Zukunft nicht darum gehen, Vorschriften zu verwalten. Es wird vielmehr darum gehen, Vertrauen zu schaffen – das auf Fakten und nicht auf Versprechungen beruht.
Und dieses Vertrauen wird zunehmend zu einem der wertvollsten Vermögenswerte jedes Unternehmens werden.
Wir bei ithikios unterstützen Sie dabei, die Einhaltung der Vorschriften auf effiziente Weise nachzuweisen.
* Dieser Artikel wurde von Menschen verfasst und mithilfe von KI optimiert.
