# IT-Compliance im Mittelstand: Pflichten kennen, zuordnen und nachweisen > Welche IT-bezogenen Pflichten Ihr Unternehmen treffen, wer sie verantwortet, welche Nachweise nötig sind und wie Sie mit einer Pflichtenübersicht vorbereitet in jede Prüfung gehen. URL: https://techport.ai/it-beratung/it-governance-und-recht/it-compliance --- 1. [IT-Beratung](/it-beratung)/ 2. [IT-Governance und Recht](/it-beratung/it-governance-und-recht)/ 3. IT-Pflichten im Überblick [IT-Governance und Recht](/it-beratung/it-governance-und-recht) # IT-Pflichten im Überblick Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am 21\. August 2026 Die IT-bezogenen Pflichten eines mittelständischen Unternehmens verteilen sich heute über mehrere Rechtsgebiete und mehrere Behörden. Datenschutz, Cybersicherheit, künstliche Intelligenz, Aufbewahrung, elektronische Rechnungen, Barrierefreiheit, Produktsicherheit für digitale Produkte, dazu branchenspezifische Anforderungen. Sie sind zu unterschiedlichen Zeitpunkten entstanden, sie haben eigene Fristen, und in den meisten Unternehmen gibt es keine Stelle, die den Überblick hält. Der erste Schritt ist deshalb kein Projekt, sondern eine Liste: Was gilt für uns, wer verantwortet es, welchen Nachweis haben wir, und wann wird es wieder geprüft. ## Woran Sie es merken * Bei einer Kundenanfrage zu Compliance-Themen wird die Antwort jedes Mal neu erarbeitet. * Es ist unklar, ob eine Pflicht bereits gilt oder erst angekündigt ist. * Verantwortung liegt implizit bei der IT, obwohl die Pflicht das Unternehmen trifft. * Maßnahmen werden umgesetzt, aber nicht dokumentiert, und sind deshalb nicht belegbar. ## Warum das passiert Pflichten kommen einzeln und aus verschiedenen Richtungen. Jede für sich wird zur Kenntnis genommen, meist von der Person, die zuerst davon liest. Es gibt selten einen Ort, an dem sie zusammengeführt werden, und noch seltener einen Termin, an dem geprüft wird, ob sich etwas geändert hat. Dazu kommt, dass die meisten Pflichten keine unmittelbare Wirkung entfalten: Ihr Fehlen fällt erst auf, wenn ein Kunde fragt, ein Prüfer kommt oder etwas passiert. ## So gehen wir vor 1. **Pflichten erheben und zuordnen.** Wir erstellen eine Übersicht der für Ihr Unternehmen relevanten IT-bezogenen Pflichten, mit Rechtsgrundlage, Anwendbarkeit, Frist und einer kurzen Beschreibung dessen, was konkret zu tun ist. 2. **Verantwortung benennen.** Wir ordnen jeder Pflicht eine verantwortliche Person zu, in der Regel außerhalb der IT, weil die Pflicht das Unternehmen trifft und nicht die Abteilung. Die IT liefert die technische Umsetzung. 3. **Lücken schließen und Nachweise erzeugen.** Wir prüfen den Umsetzungsstand, schließen Lücken in der Reihenfolge von Risiko und Frist und sorgen dafür, dass jede Maßnahme einen Nachweis hinterlässt: Richtlinie, Protokoll, Bericht oder Schulungsnachweis. 4. **Aktuell halten.** Wir richten einen Turnus ein, in dem die Übersicht geprüft wird, mindestens halbjährlich, und benennen Quellen für Änderungen. Eine Pflichtenübersicht ohne Pflege ist nach einem Jahr irreführend statt hilfreich. ## Was Sie davon haben * Eine Antwort auf Kunden- und Prüferfragen, die vorliegt statt erarbeitet werden zu müssen. * Klare Verantwortung statt der Annahme, die IT werde das schon machen. * Eine Reihenfolge für Maßnahmen, die sich an Risiko und Frist orientiert. ## Aus unseren Projekten Beim Erstellen der Übersicht stellt sich regelmäßig heraus, dass ein Teil der Pflichten bereits erfüllt ist, aber ohne Nachweis. Das betrifft besonders technische Maßnahmen, die seit Jahren laufen und nie beschrieben wurden. Der Aufwand, diesen Zustand zu dokumentieren, ist gering im Vergleich zum Aufwand, ihn im Prüfungsfall nachträglich zu belegen. Der zweite regelmäßige Befund betrifft die Zuständigkeit: Sobald Pflichten mit Namen versehen werden, verändern sich Prioritäten spürbar, weil aus einem abstrakten Thema eine persönliche Aufgabe wird. ## Gut zu wissen Die Verantwortung für die Einhaltung liegt bei der Geschäftsleitung. Für die GmbH folgt das aus § 43 GmbHG, für die Aktiengesellschaft aus § 91 AktG. Delegierbar ist die Durchführung, nicht die Verantwortung für Auswahl, Anweisung und Überwachung. Einzelne Regelwerke verschärfen das zusätzlich: Das BSI-Gesetz verpflichtet die Leitung ausdrücklich zur Billigung und Überwachung der Risikomanagementmaßnahmen und sieht eine persönliche Haftung vor. Für Unternehmen im Finanzsektor gelten mit DORA eigene Anforderungen an das Management von Risiken der Informations- und Kommunikationstechnologie, die über die allgemeinen Pflichten hinausgehen. ## Häufige Fragen Brauchen wir dafür eine eigene Compliance-Stelle? In den meisten mittelständischen Unternehmen nicht. Es genügt eine benannte Person, die die Übersicht führt und die Termine setzt, mit fachlicher Zuarbeit aus IT, Recht, Datenschutz und Steuerberatung. Wichtiger als die Organisationsform ist, dass jemand die Aufgabe verbindlich hat und dass sie in dessen Arbeitszeit vorgesehen ist. Wie halten wir uns über neue Pflichten auf dem Laufenden? Über wenige verlässliche Quellen statt über viele: die Veröffentlichungen der zuständigen Behörden, die Hinweise Ihres Verbands oder Ihrer Kammer und die Rundschreiben Ihrer Rechts- und Steuerberatung. Zusätzlich hilft ein fester Termin zweimal im Jahr, an dem die Übersicht durchgesehen wird. Ohne diesen Termin verpufft jede Quelle. ## Sprechen wir über IT-Pflichten im Überblick Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind. [Erstgespräch vereinbaren](/kontakt)[Unsere Beratung](/so-funktionierts) ## Weiterführend [Sicherheit und ResilienzNIS2 und CybersicherheitOb Ihr Unternehmen unter das neue BSI-Gesetz fällt, welche Pflichten daraus folgen, wie Risikomanagement, Meldewege und Lieferkette umgesetzt werden und was die Geschäftsleitung persönlich betrifft.](/it-beratung/sicherheit-und-resilienz/nis2-und-cybersicherheit)[IT-Governance und RechtDatenschutz technisch umsetzenDSGVO praktisch umgesetzt: technische und organisatorische Maßnahmen, Auftragsverarbeitung, Verzeichnis, Löschkonzept, Protokolldaten, Drittlandtransfer und Umgang mit Datenpannen.](/it-beratung/it-governance-und-recht/datenschutz-in-der-it)[Sicherheit und ResilienzInformationssicherheit aufbauenEin Managementsystem für Informationssicherheit, das zur Unternehmensgröße passt: Geltungsbereich, Risiken, Richtlinien, Nachweise und der Weg zu einer Zertifizierung, wenn Kunden sie verlangen.](/it-beratung/sicherheit-und-resilienz/isms-und-zertifizierung)[WissenIT-Regulatorik-RadarWas gilt, was kommt, was Sie jetzt tun sollten.](/it-beratung/regulatorik-radar)[WissenIT-Reifegrad-CheckIn zehn Minuten wissen, wo Ihre IT steht.](/it-beratung/reifegrad-check) Zurück zum Feld [IT-Governance und Recht](/it-beratung/it-governance-und-recht) ## Quellen * [§ 43 GmbHG, Haftung der Geschäftsführer](https://www.gesetze-im-internet.de/gmbhg/__43.html) * [§ 91 AktG, Organisation, Buchführung](https://www.gesetze-im-internet.de/aktg/__91.html) * [§ 38 BSIG, Unterrichtung und Billigung durch die Geschäftsleitung](https://www.gesetze-im-internet.de/bsig_2025/__38.html) Rt Geschrieben von [Redaktion techport.ai](/ueber-uns), IT-Beratung Mehr als 15 Jahre Erfahrung in IT-Projekten des Mittelstands, Auswahl und Einführung von Unternehmenssoftware, Aufbau von IT-Betrieb und Informationssicherheit in wachsenden Organisationen. Diese Seite gibt den Stand zum angegebenen Datum wieder und ersetzt keine Rechtsberatung. Bei konkreten Fragen arbeiten wir mit Ihren Rechtsberatern zusammen. [Mehr über uns](/ueber-uns) Weiter im Angebot [ Software Individuelle Prozesssoftware für den Mittelstand. ](/loesungen)[ HR-Beratung Personalarbeit, Prozesse und Systeme. ](/hr-beratung)[ IT-Reifegrad-Check In zehn Minuten zur Standortbestimmung. ](/it-beratung/reifegrad-check)[ HR-Reifegrad-Check 24 Aussagen, Ergebnis je Themenfeld. ](/hr-beratung/reifegrad-check)[ Förderung BAFA-Zuschuss und über 50 Programme für die Umsetzung. ](/foerderung)[ Prozesse in der Praxis Wie aus Abläufen belastbare Software wird. ](/sop-praxis)[ Daten und KI Auswertungen, Prognosen und Assistenzsysteme. ](/daten-ki)[ Über uns Wer hinter techport.ai steht. ](/ueber-uns)