Die meisten Datenschutz- und Cybersicherheitsprobleme entstehen nicht durch fehlende Gesetze oder unzureichende technische Maßnahmen. Unsere Analyse zeigt ein anderes Muster: Unternehmen scheitern häufig an einer fragmentierten Compliance-Organisation. DSGVO und NIS-2 werden getrennt umgesetzt, obwohl sie dieselben Systeme, dieselben Risiken und häufig dieselben Verantwortlichen betreffen.

Executive Summary

Betroffen: Unternehmen mit DSGVO- und NIS-2-Pflichten
Priorität: Hoch
Audit-Risiko: Hoch
Häufigste Ursache: Getrennte Compliance-Daten und organisatorische Silos
Empfohlene Maßnahme: Einheitliches Compliance-Datenmodell statt isolierter Dokumentationen

Unsere Bewertung

Die meisten Unternehmen investieren heute erheblich in Datenschutz und Informationssicherheit. Trotzdem zeigen Audits und Sicherheitsvorfälle immer wieder dieselben Schwachstellen.

Der Grund liegt häufig nicht in fehlenden technischen Maßnahmen oder mangelndem Wissen über regulatorische Anforderungen. Vielmehr werden DSGVO und NIS-2 organisatorisch getrennt umgesetzt, obwohl beide Regelwerke dieselben Systeme, dieselben Geschäftsprozesse und häufig dieselben Verantwortlichen betreffen.

Das Ergebnis sind doppelte Dokumentationen, widersprüchliche Informationen und vermeidbare Risiken.

Warum Unternehmen trotz hoher Investitionen scheitern

Ein ERP-System verarbeitet personenbezogene Daten, unterstützt kritische Geschäftsprozesse und gehört gleichzeitig zur IT-Infrastruktur eines Unternehmens.

Aus Sicht der DSGVO ist es Teil einer Verarbeitungstätigkeit. Aus Sicht der NIS-2 ist es ein kritisches Asset. Aus Sicht der Informationssicherheit ist es Bestandteil der Risikoanalyse.

In vielen Unternehmen werden diese Informationen jedoch in unterschiedlichen Dokumenten gepflegt. Der Datenschutz führt das Verzeichnis von Verarbeitungstätigkeiten. Die IT verwaltet das Asset-Inventar. Die Informationssicherheit dokumentiert Risiken. Das Lieferantenmanagement führt externe Dienstleister.

Jedes Dokument beschreibt dieselbe Realität – allerdings aus einer anderen Perspektive. Genau hier entstehen die meisten Compliance-Probleme.

Die fünf häufigsten Feststellungen

1. Auftragsverarbeiter werden technisch verwaltet, aber datenschutzrechtlich unvollständig bewertet

Beobachtung: Externe IT-Dienstleister betreiben häufig geschäftskritische Systeme und verarbeiten gleichzeitig personenbezogene Daten. Während technische Anforderungen regelmäßig überprüft werden, bleiben Auftragsverarbeitungsverträge oft unvollständig oder veraltet.

Risiko: Fehlende oder unzureichende Verträge erschweren den Nachweis einer ordnungsgemäßen Lieferantensteuerung und können erhebliche Bußgelder nach sich ziehen.

Warum passiert das? Lieferantenmanagement und Datenschutz arbeiten häufig unabhängig voneinander.

Empfehlung: Jeder externe Dienstleister sollte gleichzeitig als Lieferant, Auftragsverarbeiter und sicherheitsrelevanter Dienstleister geführt werden.

2. Asset-Inventar und Verzeichnis von Verarbeitungstätigkeiten sind nicht miteinander verknüpft

Beobachtung: Das Asset-Inventar wird meist von der IT gepflegt. Das Verzeichnis von Verarbeitungstätigkeiten liegt beim Datenschutz. Zwischen beiden Dokumentationen bestehen häufig keine direkten Beziehungen.

Risiko: Unternehmen können nicht zuverlässig beantworten, welche personenbezogenen Daten auf kritischen Systemen verarbeitet werden, welche regulatorischen Anforderungen für ein bestimmtes Asset gelten und welche Geschäftsprozesse betroffen sind.

Warum passiert das? Historisch gewachsene Dokumentationen wurden nie zusammengeführt.

Empfehlung: Assets, Verarbeitungstätigkeiten, Geschäftsprozesse und Verantwortlichkeiten sollten über gemeinsame Identifikatoren miteinander verbunden werden.

3. Sicherheitsvorfälle lösen nicht alle regulatorischen Meldeprozesse aus

Beobachtung: Nach einem Cybervorfall konzentrieren sich Unternehmen häufig auf die technische Incident Response. Datenschutzrechtliche Meldepflichten werden dagegen verspätet oder gar nicht berücksichtigt.

Risiko: DSGVO und NIS-2 verlangen unterschiedliche Meldewege, Fristen und Ansprechpartner. Ein einzelner Vorfall kann daher mehrere regulatorische Verpflichtungen gleichzeitig auslösen.

Warum passiert das? Incident-Response-Prozesse wurden nach Regelwerken statt nach Ereignissen aufgebaut.

Empfehlung: Jeder Sicherheitsvorfall sollte automatisch gegen sämtliche regulatorischen Meldepflichten geprüft werden.

4. Mehrere Risikobewertungen für dieselbe Anwendung

Beobachtung: Für dieselbe Anwendung existieren häufig mehrere voneinander unabhängige Bewertungen, darunter Datenschutz-Folgenabschätzungen, Informationssicherheitsbewertungen und NIS-2-Risikoanalysen.

Risiko: Widersprüchliche Bewertungen erhöhen den Dokumentationsaufwand und erschweren nachvollziehbare Entscheidungen.

Warum passiert das? Jedes Framework verwendet eigene Methoden und eigene Dokumentationsstrukturen.

Empfehlung: Risiken sollten einmal bewertet und anschließend verschiedenen regulatorischen Anforderungen zugeordnet werden.

5. Verantwortlichkeiten sind organisatorisch nicht eindeutig geregelt

Beobachtung: Datenschutzbeauftragte, Informationssicherheitsbeauftragte, IT und Geschäftsführung verfügen häufig über überschneidende Aufgaben. Klare Zuständigkeiten sind jedoch selten vollständig dokumentiert.

Risiko: Im Audit oder nach einem Sicherheitsvorfall bleibt häufig unklar, wer welche Entscheidung getroffen hat.

Warum passiert das? Verantwortlichkeiten werden an Personen statt an Prozesse geknüpft.

Empfehlung: Jeder Compliance-Prozess sollte einen eindeutig dokumentierten Verantwortlichen besitzen.

Stresstest · 10 Minuten

Wie gut sind DSGVO und NIS-2 in Ihrem Unternehmen verzahnt?

Kostenloser Cross-Framework-Stresstest für DSGVO, NIS-2, DORA, CRA und den EU AI Act.

Stresstest starten →

Was diese Feststellungen gemeinsam haben

Die fünf beschriebenen Probleme wirken zunächst unabhängig voneinander. Tatsächlich weisen sie jedoch alle auf dieselbe Ursache hin.

Datenschutz, Informationssicherheit und Compliance greifen auf dieselben Unternehmensinformationen zu, verwalten diese jedoch in getrennten Datenbeständen.

  • Redundante Dokumentationen
  • Widersprüchliche Informationen
  • Hoher Pflegeaufwand
  • Erhöhte Auditrisiken
  • Vermeidbare Melde- und Nachweisprobleme

Nicht die Anzahl regulatorischer Anforderungen ist das eigentliche Problem. Die fehlende Verbindung zwischen den vorhandenen Informationen ist es.

Brain Compliance Research Insight

Research Insight

Je stärker Datenschutz, Informationssicherheit und Governance organisatorisch getrennt sind, desto höher ist der Dokumentationsaufwand, desto häufiger entstehen widersprüchliche Informationen, desto größer ist das Risiko verspäteter Meldungen und desto wahrscheinlicher werden Auditfeststellungen.

Die eigentliche Herausforderung moderner Compliance besteht deshalb nicht darin, weitere Dokumente zu erstellen.

Sie besteht darin, eine gemeinsame Compliance-Datenbasis aufzubauen, in der Assets, Prozesse, Risiken, Nachweise und regulatorische Anforderungen miteinander verbunden werden.

Ein solches Modell reduziert Doppelarbeit, verbessert die Nachvollziehbarkeit regulatorischer Entscheidungen und erleichtert die Umsetzung zukünftiger Anforderungen – unabhängig davon, ob diese aus der DSGVO, NIS-2, DORA, dem Cyber Resilience Act oder dem EU AI Act stammen.

Fazit

Die häufigsten Compliance-Probleme entstehen nicht durch fehlendes Wissen über regulatorische Anforderungen. Sie entstehen, weil Unternehmen dieselbe Realität mehrfach dokumentieren.

Ein gemeinsames Compliance-Datenmodell reduziert Redundanzen, verbessert die Qualität regulatorischer Nachweise und schafft die Grundlage für eine effiziente Umsetzung verschiedener Frameworks.

Compliance sollte deshalb nicht als Sammlung einzelner Gesetze verstanden werden. Sie ist eine strukturierte Wissens- und Datenbasis, auf der regulatorische Anforderungen nachvollziehbar, wiederverwendbar und dauerhaft gepflegt werden können.

Quellen

Europäische Gesetzgebung

  • Datenschutz-Grundverordnung (DSGVO), insbesondere Art. 28, Art. 30, Art. 33 und Art. 35
  • Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2)

Behörden

Wissenschaftliche Veröffentlichungen

Marktanalysen