IT-Teams sind nicht plötzlich bürokratisch geworden. Sie zahlen gerade die Rechnung für Jahre, in denen Dokumentation, Transparenz, saubere Verantwortlichkeiten und technische Hygiene oft hinter Projektdruck, Wachstum und Kostenzielen zurückstehen mussten.
Eine aktuelle Sophos-Untersuchung zeigt das sehr deutlich: IT- und Cybersecurity-Teams verbringen im Durchschnitt 39 Prozent ihrer Zeit mit Compliance-Aufgaben. 82 Prozent der befragten Verantwortlichen befürchten, nicht vollständig compliant zu sein. Im Median müssen Unternehmen fünf verschiedene Compliance-Standards gleichzeitig erfüllen. 79 Prozent haben Schwierigkeiten, mit den laufenden Änderungen Schritt zu halten.
Das Problem ist damit nicht nur „zu viel Regulierung“. Das Problem ist, dass Regulierung heute sichtbar macht, was in vielen Unternehmen lange zu wenig strukturiert wurde.
Compliance ist kein Papierproblem mehr
Lange wurde Compliance in vielen Organisationen wie ein Nachweisproblem behandelt. Man bereitete Audits vor, sammelte Screenshots, schrieb Richtlinien, aktualisierte Excel-Listen und hoffte, dass der Prüfer keine zu tiefen Fragen stellt.
Diese Zeit ist vorbei.
NIS2, DORA, DSGVO, ISO 27001, branchenspezifische Anforderungen, Kundenanforderungen, Lieferkettenprüfungen und künftig verstärkt auch KI-Regulierung greifen immer stärker ineinander. NIS2 schafft in der EU einen einheitlichen Rechtsrahmen für Cybersicherheit in 18 kritischen Sektoren und bringt Risikomanagement, Meldepflichten, Aufsicht und Managementverantwortung stärker zusammen. In Deutschland ist das NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten; es erweitert die Anforderungen an Unternehmen und Branchen, verschärft Meldepflichten und sieht strengere Sanktionen vor.
Auch DORA zeigt, wohin die Reise geht. Für den Finanzsektor gilt seit dem 17. Januar 2025 ein Rahmen, der digitale operationelle Resilienz nicht mehr als IT-Nebenthema behandelt, sondern als Voraussetzung dafür, dass Banken, Versicherer, Investmentfirmen und andere Finanzunternehmen ICT-Störungen, Cyberangriffe und Ausfälle überstehen können. DORA umfasst unter anderem ICT-Risikomanagement, Drittparteienrisiken, Resilienztests, Incident Reporting und Informationsaustausch.
Die eigentliche Schwachstelle heißt fehlende Transparenz
Viele Unternehmen können heute nicht belastbar beantworten, welche Systeme geschäftskritisch sind, welche Daten wo verarbeitet werden, welche Dienstleister an welchen Prozessen hängen, welche Berechtigungen tatsächlich notwendig sind und welche technischen Ausnahmen seit Jahren toleriert werden.
Genau hier entsteht der Compliance-Druck.
Ein Unternehmen, das seine Assets nicht vollständig kennt, kann Schwachstellen nicht priorisieren. Ein Unternehmen, das seine Lieferkette nicht versteht, kann Drittparteienrisiken nicht steuern. Ein Unternehmen, das Rollen und Berechtigungen nicht sauber pflegt, kann Zugriffskontrollen nicht glaubwürdig nachweisen. Ein Unternehmen, das Incidents nur improvisiert behandelt, wird Meldefristen nicht sicher einhalten.
Compliance ist deshalb kein zusätzlicher Ordner im Intranet. Compliance ist der Stresstest für die eigene Steuerungsfähigkeit.
Das World Economic Forum beschreibt genau diese Entwicklung: Cybersecurity-Komplexität wird durch geopolitische Risiken, neue Technologien, Lieferkettenabhängigkeiten und regulatorische Fragmentierung verstärkt. 54 Prozent der großen Organisationen sehen Lieferkettenprobleme als größte Hürde für Cyberresilienz. Gleichzeitig berichten mehr als 76 Prozent der CISOs, dass fragmentierte Regulierung über verschiedene Rechtsräume hinweg ihre Fähigkeit zur Compliance erheblich beeinflusst.
Regulierung zwingt zum Aufräumen
Aus meiner Sicht müssen Unternehmen jetzt aufräumen, was sie viele Jahre verbummelt haben oder erst unter regulatorischem Druck umsetzen.
Das klingt hart, ist aber notwendig. Viele Sicherheits- und Compliance-Probleme sind nicht neu. Sie wurden nur zu lange als technische Randthemen behandelt. Unklare Systemverantwortung, veraltete Anwendungen, Schatten-IT, unvollständige Notfallpläne, manuelle Berechtigungsprozesse, lückenhafte Protokollierung, schlecht gepflegte CMDBs und fehlende Lieferantentransparenz waren schon vor NIS2, DORA oder dem AI Act Risiken.
Neu ist, dass diese Risiken jetzt nicht mehr nur im Maschinenraum der IT bleiben. Sie werden prüfbar. Sie werden meldepflichtig. Sie werden haftungsrelevant. Und sie werden zu einem Thema für Geschäftsführung, Vorstand, Aufsichtsrat und Kunden.
PwC kommt in den Global Digital Trust Insights 2025 zu einem ähnlichen Befund: Nur 2 Prozent der befragten Unternehmen geben an, Cyberresilienz organisationsweit umgesetzt zu haben, obwohl Cyberrisiken zu den wichtigsten Risiken zählen. Gleichzeitig berichten 96 Prozent, dass Cyberregulierung ihre Investitionen erhöht hat.
Die gefährliche Illusion: Mehr Tools lösen das Problem
Viele Unternehmen reagieren auf neue Anforderungen reflexartig mit neuen Tools. Ein weiteres GRC-System. Ein neues Dashboard. Noch ein Scanner. Noch eine Plattform für Vendor Risk Management.
Das kann sinnvoll sein. Aber Tools lösen kein Strukturproblem, wenn vorher die Grundlagen fehlen.
Wer nicht weiß, welche Systeme relevant sind, bekommt auch mit dem besten Tool nur schön visualisierte Unschärfe. Wer keine klaren Verantwortlichkeiten hat, automatisiert im Zweifel nur die Unverbindlichkeit. Wer jeden Standard einzeln bearbeitet, produziert doppelte Nachweise, widersprüchliche Kontrollbeschreibungen und Audit-Stress.
Der entscheidende Schritt ist daher nicht zuerst Technologie. Der entscheidende Schritt ist Ordnung.
Unternehmen sollten ihre regulatorischen Anforderungen auf ein gemeinsames Kontrollmodell abbilden. Viele Vorgaben fragen im Kern ähnliche Dinge ab: Risikomanagement, Zugriffsschutz, Schwachstellenmanagement, Backup und Wiederherstellung, Incident Response, Lieferantensteuerung, Protokollierung, Schulung, Governance und Nachweisführung. Wer diese Anforderungen einzeln behandelt, verliert Zeit. Wer sie harmonisiert, gewinnt Steuerungsfähigkeit.
Frameworks wie das NIST Cybersecurity Framework 2.0 können dabei als gemeinsame Sprache dienen, weil sie Organisationen dabei unterstützen, Cyberrisiken strukturiert zu steuern. Entscheidend ist aber nicht, welches Framework auf dem Deckblatt steht. Entscheidend ist, ob die Kontrollen im Betrieb tatsächlich funktionieren.
Vom Audit-Modus in den Betriebsmodus
Viele Organisationen arbeiten in Wellen. Kurz vor dem Audit steigt die Aktivität. Dokumente werden nachgezogen, Nachweise werden gesucht, Verantwortliche werden erinnert, Lücken werden erklärt.
Das ist ineffizient und riskant.
Moderne Compliance muss kontinuierlich funktionieren. Nachweise sollten möglichst aus dem Betrieb entstehen, nicht erst für den Prüftermin nachgebaut werden. Ein sauber gepflegtes Asset-Inventar, automatisierte Schwachstellenscans, nachvollziehbare Berechtigungsprozesse, getestete Backups, dokumentierte Incident-Übungen und transparente Lieferantenbewertungen sind nicht nur Audit-Unterlagen. Sie sind operative Sicherheitsinstrumente.
Der Anspruch muss lauten: Wir erfüllen Anforderungen nicht, weil ein Prüfer kommt. Wir erfüllen sie, weil unser Unternehmen sonst nicht belastbar steuerbar ist.
Managementverantwortung statt IT-Abschiebung
Ein weiterer Fehler besteht darin, Compliance vollständig an IT und Security zu delegieren. Natürlich müssen CIO, CISO, Datenschutz, Risk Management und Compliance eng zusammenarbeiten. Aber die Ursache vieler Probleme liegt außerhalb der IT.
Fachbereiche kaufen Software ein. Einkauf verhandelt Lieferantenverträge. HR betreibt sensible Mitarbeiterprozesse. Legal bewertet Meldepflichten. Produktteams bauen digitale Services. Geschäftsführungen entscheiden über Budgets, Risikoappetit und Prioritäten.
Deshalb muss Cybersicherheit als Unternehmensrisiko geführt werden. NIS2 macht genau diese Verschiebung sichtbar, indem Top-Management-Verantwortung ausdrücklich gestärkt wird. Wer Compliance weiterhin als IT-Aufgabe behandelt, wird an der Schnittstelle zwischen Verantwortung und Umsetzung scheitern.
KI erhöht den Druck zusätzlich
Mit KI kommt die nächste Komplexitätswelle. Der EU AI Act ist der weltweit erste umfassende Rechtsrahmen für KI und arbeitet risikobasiert. Hochrisiko-KI-Systeme unterliegen strengen Anforderungen wie Risikomanagement, Datenqualität, Protokollierung, Dokumentation, Transparenz, menschlicher Aufsicht, Robustheit, Cybersecurity und Genauigkeit.
Das bedeutet: Unternehmen müssen nicht nur wissen, welche klassischen IT-Systeme sie betreiben. Sie müssen auch wissen, wo KI eingesetzt wird, welche Daten genutzt werden, wer Entscheidungen überwacht, welche Risiken bestehen und wie Ergebnisse nachvollziehbar bleiben.
Auch hier gilt: Wer heute keine saubere Daten- und Prozessgovernance hat, wird KI-Compliance nicht durch ein nachträgliches Policy-Dokument lösen.
Der Lösungsansatz: Aufräumen, vereinheitlichen, automatisieren
Unternehmen sollten jetzt nicht versuchen, jede neue Regulierung isoliert abzuarbeiten. Das führt zu Parallelwelten. Sinnvoller ist ein integrierter Ansatz.
Am Anfang steht eine ehrliche Bestandsaufnahme. Welche regulatorischen Anforderungen gelten wirklich? Welche Kunden- und Branchenanforderungen kommen hinzu? Welche Systeme, Daten, Prozesse, Standorte und Dienstleister sind betroffen? Welche Nachweise existieren bereits und welche werden nur behauptet?
Danach braucht es ein gemeinsames Kontrollmodell. Nicht fünf Compliance-Projekte mit fünf Datenmodellen, sondern ein Steuerungsmodell, das Anforderungen aus NIS2, DORA, DSGVO, ISO 27001, Kundenverträgen und internen Richtlinien zusammenführt. Jede Kontrolle sollte einen Eigentümer, einen Zweck, eine Umsetzungsform, einen Nachweis und eine Prüffrequenz haben.
Anschließend muss die technische Basis bereinigt werden. Veraltete Systeme, unklare Schnittstellen, überprivilegierte Konten, Schatten-IT, unklassifizierte Datenbestände und nicht getestete Notfallkonzepte sind keine Schönheitsfehler. Sie sind Compliance- und Sicherheitsrisiken.
Erst dann entfaltet Automatisierung ihren Wert. Automatisierte Evidenzsammlung, kontinuierliches Kontrollmonitoring, zentrale Asset-Daten, Identity Governance, Vulnerability Management, SIEM-/XDR-Integration und strukturierte Vendor-Risk-Prozesse können den manuellen Aufwand deutlich reduzieren. Aber Automatisierung braucht klare Prozesse, sonst digitalisiert sie nur das Chaos.
Compliance muss leichter werden, nicht lauter
Die gute Nachricht ist: Richtig umgesetzt macht Compliance Unternehmen nicht langsamer, sondern belastbarer.
Ein Unternehmen mit klaren Verantwortlichkeiten entscheidet schneller. Ein Unternehmen mit sauberer Systemübersicht reagiert schneller auf Schwachstellen. Ein Unternehmen mit getesteten Notfallplänen meldet und kommuniziert sicherer. Ein Unternehmen mit harmonisierten Kontrollen spart Audit-Aufwand. Ein Unternehmen mit nachvollziehbarer Lieferantensteuerung reduziert Abhängigkeiten.
Die Herausforderung besteht also nicht darin, noch mehr Papier zu produzieren. Die Herausforderung besteht darin, Compliance in die tägliche Steuerung des Unternehmens zu integrieren.
Wer jetzt nur dokumentiert, verliert
Der aktuelle Compliance-Druck ist unbequem. Aber er ist auch eine Chance.
Er zwingt Unternehmen dazu, die Grundlagen endlich ernst zu nehmen: Transparenz über Assets und Daten. Klare Verantwortung. Belastbare Prozesse. Technische Hygiene. Lieferantenkontrolle. Geübte Incident Response. Kontinuierliche Nachweise. Management-Awareness.
Regulierung ist dabei nicht der eigentliche Gegner. Der eigentliche Gegner ist die Illusion, man könne moderne digitale Risiken mit alten, manuellen und fragmentierten Strukturen beherrschen.
Unternehmen, die jetzt nur Dokumente nachziehen, werden weiter unter Druck stehen. Unternehmen, die jetzt aufräumen, vereinheitlichen und automatisieren, können aus Compliance einen echten Resilienzvorteil machen.