IT-Compliance-Checkliste: 10 häufige Compliance-Fehler in der IT – und wie Sie gegensteuern

Hinweis: Die genannten Maßnahmen sind als Orientierung für IT-Compliance und Informationssicherheit zu verstehen. Ob und welche gesetzlichen Pflichten im konkreten Unternehmen gelten, sollte anhand von Branche, Einrichtungsart, Unternehmenskennzahlen, Datenverarbeitung und konkreten Anwendungsfällen geprüft werden.

Ein Fachbereich lädt Kundendaten in ein neues KI-Tool. Ein Cloud-Service wird mit wenigen Klicks hinzugebucht. Eine wichtige Sicherheitskontrolle steht zwar in einer Richtlinie, aber niemand kann nachweisen, wann sie zuletzt durchgeführt wurde.

Genau so entstehen viele IT-Compliance Risiken: nicht durch Vorsatz, sondern durch gewachsene Systeme, fehlende Transparenz und Prozesse, deren Verantwortlichkeiten nicht eindeutig geklärt sind.

Das Thema gewinnt zusätzlich an Dringlichkeit. Seit dem 6. Dezember 2025 gelten in Deutschland die Pflichten des NIS2-Umsetzungsgesetzes. Seit dem 2. August 2026 werden zudem wesentliche Regeln des EU AI Act durchgesetzt; unter anderem gelten neue Transparenzpflichten für bestimmte KI-Systeme. Einen praxisnahen Überblick bietet auch unser Beitrag zum Thema EU AI Act Compliance: Was Unternehmen 2026 konkret tun sollten.

Warum IT-Compliance zur operativen Aufgabe wird

Compliance ist längst mehr als Datenschutz. Je nach Branche, Unternehmensgröße und Geschäftsmodell treffen heute unterschiedliche gesetzliche und regulatorische Anforderungen, etwa aus der DSGVO, dem BSIG bzw. der NIS2-Umsetzung und dem EU AI Act, auf eine IT-Landschaft.

Dass Regulierung inzwischen Investitionsentscheidungen prägt, zeigt eine ENISA-Erhebung unter 1.080 Fach- und Führungskräften aus allen 27 EU-Mitgliedstaaten: 70 Prozent nannten regulatorische Anforderungen wie NIS2, DORA oder den Cyber Resilience Act als wichtigsten Treiber ihrer Cybersecurity-Investitionen (European Union Agency for Cybersecurity, ENISA – NIS Investments 2025).

IT-Compliance wird damit zunehmend zur Frage der Nachweisfähigkeit. Unternehmen müssen nicht nur Anforderungen kennen, sondern für relevante Systeme, Prozesse und Services transparent machen können, wie diese Anforderungen operativ umgesetzt und kontrolliert werden. Genau an dieser Stelle entstehen in der Praxis jedoch häufig Lücken. Fehlende Transparenz, unklare Zuständigkeiten oder nicht dokumentierte Kontrollen erschweren den Nachweis und erhöhen damit das Compliance-Risiko. Die folgenden zehn Fehler zeigen, wo IT-Leitungen besonders genau hinschauen sollten.

T-Compliance-Checkliste: 10 typische Fehler und wie Sie gegensteuern können

Fehler 1: Es gibt kein vollständiges Inventar der Compliance-relevanten IT

Was nicht bekannt ist, kann nicht kontrolliert werden. In gewachsenen Unternehmen existieren neben zentral betriebenen Anwendungen häufig SaaS-Lösungen einzelner Fachbereiche, Altanwendungen, Cloud-Ressourcen und externe Schnittstellen.

Praxis-Tipp: Führen Sie ein zentrales Inventar, das Systemverantwortliche, Datenkategorien, Anbieter, Speicherorte und relevante regulatorische Anforderungen enthält.

Fehler 2: KI-Dienste werden ohne KI-Governance eingesetzt

Ein relevantes KI-Risiko entsteht häufig schon beim alltäglichen Einsatz generativer KI. Mitarbeiter:innen geben Vertragsinhalte, Quellcode oder personenbezogene Daten in Tools ein, ohne Freigaben und Nutzungsvorgaben zu kennen. KI-Governance muss deshalb über reine Toolfreigaben hinausgehen. Art. 4 AI Act verpflichtet Anbieter und Betreiber, Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten und weiterer Personen zu ergreifen, die in ihrem Auftrag KI-Systeme nutzen. Seit dem 2. August 2026 gelten zudem für bestimmte KI-Systeme und -Anwendungen Transparenzpflichten nach Art. 50 AI Act.

Durch die Verordnung (EU) 2026/1744 wurden die Anwendungsfristen für bestimmte Hochrisiko-KI-Systeme verschoben: auf den 2. Dezember 2027 für Systeme nach Art. 6 Abs. 2 i. V. m. Anhang III und auf den 2. August 2028 für Systeme nach Art. 6 Abs. 1 i. V. m. Anhang I (Verordnung (EU) 2026/1744, 2026).

Praxis-Tipp: Führen Sie ein KI-Use-Case-Register und definieren Sie je Anwendung Zweck, Verantwortlichkeiten, zulässige Tools und Datenklassen. Legen Sie zudem Vorgaben zu Datenschutz und Vertraulichkeit, Provider- und Vertragsprüfung, Logging bzw. Nachweisführung und menschlicher Aufsicht fest. Qualifizieren Sie Beschäftigte rollen- und einsatzbezogen im Umgang mit KI und etablieren Sie einen definierten Prüfprozess für neue oder wesentlich geänderte KI-Anwendungen. Wie sich dafür ein belastbarer organisatorischer Rahmen schaffen lässt, zeigt unser Beitrag zu KI-Governance: Leitfaden für verantwortungsvollen KI-Einsatz. Ergänzend sollten Unternehmen gezielt in KI-Kompetenz investieren: Das Seminar KI verstehen und bewerten – Grundlagen, Chancen und Risiken vermittelt dafür eine praxisnahe Grundlage.

Fehler 3: NIS2 wird als reines Security-Projekt behandelt

Firewall, MFA und Endpoint Protection sind wichtig – NIS2 verlangt aber mehr. Die Anforderungen umfassen unter anderem Risikoanalyse, Incident Handling, Business Continuity, Lieferkettensicherheit sowie organisatorische Maßnahmen. Für Unternehmen in NIS2-relevanten Sektoren reicht deshalb eine technische Maßnahmenliste nicht aus.

Auch die Geschäftsleitung steht in der Verantwortung.Nach § 38 BSIG muss sie die nach § 30 erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen, um IT-Sicherheitsrisiken und geeignete Risikomanagementmaßnahmen beurteilen zu können.

Praxis-Tipp: Prüfen Sie zunächst systematisch Ihre Betroffenheit. Ordnen Sie anschließend jede relevante Anforderung einem Prozess, einer verantwortlichen Rolle, einer Kontrolle und einem überprüfbaren Nachweis zu. Beziehen Sie die Geschäftsleitung dabei ausdrücklich in Steuerung, Überwachung und Schulung ein.

Fehler 4: In hybriden Cloud-Umgebungen fehlt Datentransparenz

Ein ERP läuft On-Premises, das CRM als SaaS, Backups liegen in einer Public Cloud und Analytics-Daten werden über Schnittstellen an weitere Dienste übertragen. Schnell weiß niemand mehr zuverlässig, welche Daten wo verarbeitet werden und wer dafür verantwortlich ist.

Gerade im Cloud Computing ist die transparente Aufteilung der Verantwortlichkeiten zwischen Provider und Kunde wesentlich; auch der BSI-Kriterienkatalog C5 adressiert diese Schnittstelle ausdrücklich (Bundesamt für Sicherheit in der Informationstechnik (2020). BSI – Cloud Computing Compliance Criteria Catalogue C5:2020).

Praxis-Tipp: Dokumentieren Sie Datenflüsse statt nur Anwendungen: Quelle, Ziel, Datenklasse, Verantwortliche, Speicherregion, Aufbewahrungsdauer und Drittanbieter.

Fehler 5: Protokollierung und Audit-Trails sind lückenhaft

Ein typisches Szenario: Ein Administrator ändert eine Berechtigung, eine Konfiguration wird angepasst oder ein Datensatz exportiert. Monate später kann niemand mehr zuverlässig feststellen, wer was wann getan hat. Damit entsteht nicht nur eine IT-Sicherheitslücke, sondern auch ein Nachweisproblem.

Praxis-Tipp: Definieren Sie für kritische Systeme verbindlich, welche Ereignisse protokolliert werden, wie lange Logs aufbewahrt werden, wer darauf zugreifen darf und wie Manipulationen verhindert werden. Testen Sie regelmäßig, ob sich relevante Vorgänge tatsächlich rekonstruieren lassen.

Fehler 6: Compliance-Kontrollen laufen manuell und sind kaum nachweisbar

Quartalsweise fragt jemand aus der IT in den Fachabteilungen nach Screenshots, Listen und Bestätigungen. Das Ergebnis landet in einem Ordner – bis zum nächsten Audit. Problematisch an dieser Herangehensweise sind die punktuellen Kontrollen ohne kontinuierlichen Nachweis.

Praxis-Tipp: Automatisieren Sie wiederkehrende Prüfungen dort, wo Systeme die Daten bereits liefern, beispielsweise bei privilegierten Konten, Patchständen, Verschlüsselungen, Cloud-Konfigurationen oder überfälligen Berechtigungsreviews. IT-Teams sollten Kapazitäten haben, um Abweichungen zu bewerten und nicht Daten manuell zusammensuchen zu müssen.

Fehler 7: IT und Fachbereiche arbeiten bei Compliance getrennt

Der Fachbereich kennt oftmals den Geschäftsprozess am besten, die IT die Systeme und Compliance die Vorgaben. Arbeitet jede Einheit für sich, bleibt genau an den Übergängen ein Risiko.

Beispiel: HR beschafft eine KI-Lösung für Bewerbungen. IT prüft Schnittstellen und Sicherheit, Datenschutz die personenbezogenen Daten – aber niemand bewertet den konkreten KI-Anwendungsfall ganzheitlich.

Praxis-Tipp: Arbeiten Sie mit einer klaren RACI-Matrix und stimmen Sie sich ab: Wer ist für welche Aufgabe verantwortlich, wer entscheidet, wer muss konsultiert werden und wer informiert? Unternehmen mit umfangreichem KI-Einsatz können zudem prüfen, ob sich eine dedizierte Rolle für AI Compliance anbietet. Welche Aufgaben eine solche Schnittstellenfunktion übernehmen kann, zeigt unser Berufsbild „AI Compliance Specialist“.

Fehler 8: Risikoanalysen finden erst vor Audits statt

Zwischen zwei regulären Audits können neue Anwendungen, Dienstleister, Releases oder KI-Use-Cases die Risikolage erheblich verändern.

Regelmäßige Risikoanalysen gehören deshalb zu den wichtigsten IT-Compliance Maßnahmen. Auch NIS2 basiert ausdrücklich auf einem risikoorientierten Ansatz.

Praxis-Tipp: Ergänzen Sie den jährlichen Risikozyklus um Trigger: Eine Neubewertung wird beispielsweise automatisch bei neuen kritischen Anwendungen, wesentlichen Architekturänderungen oder neuen Dienstleistern ausgelöst.

Fehler 9: Lieferanten werden beim Onboarding geprüft – danach kaum noch

Cloud-, SaaS- und Managed-Service-Anbieter sind Teil Ihrer Risikolandschaft. Ein unterschriebener Vertrag ersetzt deshalb kein laufendes Third-Party-Risk-Management.  Eine ENISA-Erhebung unter 1.080 öffentlichen und privaten Organisationen in allen EU-Mitgliedstaaten zeigt, wie stark Regulierung inzwischen Cybersecurity-Investitionen beeinflusst. 70 Prozent nannten Compliance-Anforderungen wie NIS2, DORA oder den Cyber Resilience Act als wichtigsten Investitionstreiber. ENISA stellte 2023 fest, dass nur 24 % der untersuchten Organisationen dedizierte Rollen und Verantwortlichkeiten für ICT-/OT-Supply-Chain-Cybersecurity hatten; 76 % verfügten über keine dedizierten FTEs dafür. (European Union Agency for Cybersecurity. (2023). ENISA – Good Practices for Supply Chain Cybersecurity).

Praxis-Tipp: Klassifizieren Sie Anbieter nach Kritikalität und definieren Sie Prüfintervalle, Sicherheitsnachweise, Incident-Pflichten, Exit-Regeln und Verantwortlichkeiten.

Fehler 10: Richtlinien existieren – aber die Wirksamkeit ist nicht belegbar

„Das steht in unserer Policy“ ist noch kein Compliance-Nachweis. Wenn eine Richtlinie beispielsweise jährliche Berechtigungsreviews verlangt, muss nachvollziehbar sein, wer geprüft hat, wann geprüft wurde, welche Abweichungen gefunden wurden und wie diese behoben wurden.

Genau hier unterscheiden sich dokumentierte Absichten von einem funktionierenden Kontrollsystem. Gute IT-Compliance erzeugt deshalb bei wichtigen Kontrollen einen belastbaren und nachvollziehbaren Audit-Trail.

Praxis-Tipp: Verknüpfen Sie Richtlinien mit konkreten Kontrollen, Verantwortlichkeiten und überprüfbaren Nachweisen. Legen Sie außerdem fest, wie regelmäßig geprüft wird, ob die Maßnahmen tatsächlich umgesetzt werden und wirksam sind. Wer die Grundlagen eines strukturierten Informationssicherheitsmanagements vertiefen möchte, erhält in unserer ISO/IEC 27001 Foundation-Zertifizierung einen praxisnahen Einstieg in ISMS, Risikomanagement und Sicherheitsmaßnahmen.

Fazit: Gute IT-Compliance macht Risiken frühzeitig sichtbar

IT-Compliance-Fehler entstehen häufig nicht durch gravierende Einzelereignisse, sondern durch Lücken im Tagesgeschäft. Gerade deshalb bleiben sie lange unentdeckt: ein unbekannter SaaS-Dienst, ein ungeprüfter KI-Use-Case, fehlende Logs oder eine Kontrolle, für die niemand eindeutig verantwortlich ist.

Eine IT-Compliance-Checkliste kann dabei unterstützen, Transparenz, Verantwortlichkeit und Nachweisbarkeit herzustellen. Wer diese drei Grundlagen schafft, kann neue Anforderungen wie NIS2 oder den EU AI Act deutlich strukturierter in bestehende IT-Prozesse integrieren. Ziel sollte es sein, dass eine IT-Organisation jederzeit erklären und belegen kann, welche Risiken sie kennt, welche Kontrollen dagegenwirken und wer wofür verantwortlich ist.

Möchten Sie Ihre IT-Compliance neu aufstellen?

Ob Risikoanalyse, Informationssicherheits­­­­management oder KI-Compliance: Entscheidend sind die richtigen Kompetenzen, um regulatorische Anforderungen in der Praxis sicher umzusetzen. Wir beraten Sie gerne dabei, passende Qualifizierungsmaßnahmen für Ihre Teams zusammenzustellen.

Jetzt Kontakt aufnehmen

FAQ: Häufige Fragen zum Thema IT-Compliance

War dieser Artikel hilfreich für Sie?

Geschrieben von

Daniela Budihardjo Welim

Daniela Budihardjo Welim verantwortet bei Cegos Integrata die Planung und Umsetzung von Content und Kampagnen. Mit klarem Fokus auf die Bedürfnisse von Weiterbildungsinteressierten entwickelt sie Inhalte und Botschaften, die Orientierung geben und Resonanz schaffen. Dabei verbindet sie analytisches Denken mit technologischem Verständnis und dem Anspruch, Kommunikation zielgerichtet zu gestalten. Vertrauensvolle Zusammenarbeit, kontinuierliches Wachstum und agiles Handeln sind ihr in ihrer Arbeit besonders wichtig.