IT-Pflichten im Überblick
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Die IT-bezogenen Pflichten eines mittelständischen Unternehmens verteilen sich heute über mehrere Rechtsgebiete und mehrere Behörden. Datenschutz, Cybersicherheit, künstliche Intelligenz, Aufbewahrung, elektronische Rechnungen, Barrierefreiheit, Produktsicherheit für digitale Produkte, dazu branchenspezifische Anforderungen. Sie sind zu unterschiedlichen Zeitpunkten entstanden, sie haben eigene Fristen, und in den meisten Unternehmen gibt es keine Stelle, die den Überblick hält.
Der erste Schritt ist deshalb kein Projekt, sondern eine Liste: Was gilt für uns, wer verantwortet es, welchen Nachweis haben wir, und wann wird es wieder geprüft.
Woran Sie es merken
- Bei einer Kundenanfrage zu Compliance-Themen wird die Antwort jedes Mal neu erarbeitet.
- Es ist unklar, ob eine Pflicht bereits gilt oder erst angekündigt ist.
- Verantwortung liegt implizit bei der IT, obwohl die Pflicht das Unternehmen trifft.
- Maßnahmen werden umgesetzt, aber nicht dokumentiert, und sind deshalb nicht belegbar.
Warum das passiert
Pflichten kommen einzeln und aus verschiedenen Richtungen. Jede für sich wird zur Kenntnis genommen, meist von der Person, die zuerst davon liest. Es gibt selten einen Ort, an dem sie zusammengeführt werden, und noch seltener einen Termin, an dem geprüft wird, ob sich etwas geändert hat. Dazu kommt, dass die meisten Pflichten keine unmittelbare Wirkung entfalten: Ihr Fehlen fällt erst auf, wenn ein Kunde fragt, ein Prüfer kommt oder etwas passiert.
So gehen wir vor
- Pflichten erheben und zuordnen. Wir erstellen eine Übersicht der für Ihr Unternehmen relevanten IT-bezogenen Pflichten, mit Rechtsgrundlage, Anwendbarkeit, Frist und einer kurzen Beschreibung dessen, was konkret zu tun ist.
- Verantwortung benennen. Wir ordnen jeder Pflicht eine verantwortliche Person zu, in der Regel außerhalb der IT, weil die Pflicht das Unternehmen trifft und nicht die Abteilung. Die IT liefert die technische Umsetzung.
- Lücken schließen und Nachweise erzeugen. Wir prüfen den Umsetzungsstand, schließen Lücken in der Reihenfolge von Risiko und Frist und sorgen dafür, dass jede Maßnahme einen Nachweis hinterlässt: Richtlinie, Protokoll, Bericht oder Schulungsnachweis.
- Aktuell halten. Wir richten einen Turnus ein, in dem die Übersicht geprüft wird, mindestens halbjährlich, und benennen Quellen für Änderungen. Eine Pflichtenübersicht ohne Pflege ist nach einem Jahr irreführend statt hilfreich.
Was Sie davon haben
- Eine Antwort auf Kunden- und Prüferfragen, die vorliegt statt erarbeitet werden zu müssen.
- Klare Verantwortung statt der Annahme, die IT werde das schon machen.
- Eine Reihenfolge für Maßnahmen, die sich an Risiko und Frist orientiert.
Aus unseren Projekten
Beim Erstellen der Übersicht stellt sich regelmäßig heraus, dass ein Teil der Pflichten bereits erfüllt ist, aber ohne Nachweis. Das betrifft besonders technische Maßnahmen, die seit Jahren laufen und nie beschrieben wurden. Der Aufwand, diesen Zustand zu dokumentieren, ist gering im Vergleich zum Aufwand, ihn im Prüfungsfall nachträglich zu belegen. Der zweite regelmäßige Befund betrifft die Zuständigkeit: Sobald Pflichten mit Namen versehen werden, verändern sich Prioritäten spürbar, weil aus einem abstrakten Thema eine persönliche Aufgabe wird.
Gut zu wissen
Die Verantwortung für die Einhaltung liegt bei der Geschäftsleitung. Für die GmbH folgt das aus § 43 GmbHG, für die Aktiengesellschaft aus § 91 AktG. Delegierbar ist die Durchführung, nicht die Verantwortung für Auswahl, Anweisung und Überwachung. Einzelne Regelwerke verschärfen das zusätzlich: Das BSI-Gesetz verpflichtet die Leitung ausdrücklich zur Billigung und Überwachung der Risikomanagementmaßnahmen und sieht eine persönliche Haftung vor. Für Unternehmen im Finanzsektor gelten mit DORA eigene Anforderungen an das Management von Risiken der Informations- und Kommunikationstechnologie, die über die allgemeinen Pflichten hinausgehen.
Häufige Fragen
Brauchen wir dafür eine eigene Compliance-Stelle?
In den meisten mittelständischen Unternehmen nicht. Es genügt eine benannte Person, die die Übersicht führt und die Termine setzt, mit fachlicher Zuarbeit aus IT, Recht, Datenschutz und Steuerberatung. Wichtiger als die Organisationsform ist, dass jemand die Aufgabe verbindlich hat und dass sie in dessen Arbeitszeit vorgesehen ist.
Wie halten wir uns über neue Pflichten auf dem Laufenden?
Über wenige verlässliche Quellen statt über viele: die Veröffentlichungen der zuständigen Behörden, die Hinweise Ihres Verbands oder Ihrer Kammer und die Rundschreiben Ihrer Rechts- und Steuerberatung. Zusätzlich hilft ein fester Termin zweimal im Jahr, an dem die Übersicht durchgesehen wird. Ohne diesen Termin verpufft jede Quelle.
Sprechen wir über IT-Pflichten im Überblick
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld IT-Governance und Recht