Was das ist
IT-Compliance bedeutet, dass Ihr Unternehmen die Gesetze einhält, die den Einsatz von Informationstechnik betreffen, und das nachweisen kann. Dazu gehören die DSGVO, das Cybersicherheitsrecht (NIS-2, Cyber Resilience Act), die KI-Verordnung, die steuerlichen Aufbewahrungsregeln (GoBD) und Lizenzrecht. Das Bündel wächst seit 2024 jährlich um mindestens ein Gesetz.
Was das für Sie heißt
Compliance ist Organisationspflicht der Geschäftsführung: Sie müssen wissen, welche Regeln gelten, Zuständigkeiten festlegen, Maßnahmen umsetzen und dokumentieren. Delegieren dürfen Sie die Ausführung, nicht die Verantwortung. Praktisch heißt das ein Inventar: Welche Systeme und Dienste nutzen wir, welche Daten liegen wo, welche KI-Werkzeuge setzen Mitarbeiter ein, welche Verträge und Nachweise haben wir dazu. Auf dieser Grundlage lassen sich die Pflichten abarbeiten: AVV, Verarbeitungsverzeichnis, Schulungen, Meldewege für Sicherheitsvorfälle, Lizenzkontrolle, Archivierung. Einmal jährlich prüfen, was sich geändert hat.
Der typische Fehler
Die IT-Compliance liegt beim Systemadministrator, der Firewalls und Backups verantwortet. Verträge mit Cloud-Anbietern, KI-Nutzung im Vertrieb und die Frage, ob das Unternehmen unter NIS-2 fällt, gehören zu niemandem. Bei einem Sicherheitsvorfall stellt sich heraus, dass keine Meldewege existieren und der Geschäftsführer die Registrierungspflicht nicht kannte. Die persönliche Haftung trifft ihn, nicht den Administrator.
Rechtsgrundlage
§ 43 GmbHG, § 91 Abs. 2 AktG (Organisationspflicht); Art. 5 Abs. 2, 24 DSGVO (Rechenschaftspflicht); § 30 BSIG (Risikomanagement); Art. 4 KI-VO (KI-Kompetenz); § 147 AO, GoBD (Aufbewahrung)