Continuous Compliance

Continuous Compliance verschiebt die Frage, wann ein Unternehmen seine Regeln einhält, vom Prüftermin in den Alltag. Statt einmal im Jahr Unterlagen für ein Audit zusammenzutragen, werden Kontrollen laufend beobachtet, Abweichungen sofort sichtbar und Belege dort gesammelt, wo sie entstehen: in Systemprotokollen, Konfigurationen, Freigaben und Schulungsnachweisen. Das Ergebnis ist kein einzelnes Dokument, sondern ein Zustand, der sich jederzeit abfragen lässt.

Der Ansatz besteht aus drei Bausteinen. Erstens eine klare Zuordnung, welche Vorgabe durch welche Kontrolle erfüllt wird, etwa aus NIS-2, DORA, Datenschutzrecht oder einem Kundenvertrag. Zweitens eine Messung, ob diese Kontrolle tatsächlich wirkt, möglichst automatisiert und in festen Abständen. Drittens ein Verfahren, das Abweichungen einem Verantwortlichen zuweist und ihre Behebung dokumentiert. Fachlich verwandt ist das Konzept des Information Security Continuous Monitoring, das das US-Normungsinstitut NIST in der Publikation SP 800-137 (2011) als fortlaufendes Bewusstsein über Informationssicherheit, Schwachstellen und Bedrohungen zur Unterstützung von Risikoentscheidungen beschreibt.

Warum der Stichtag als Nachweis nicht mehr reicht

Die Regulierung fragt zunehmend nicht nur, ob Maßnahmen existieren, sondern ob sie wirken. Die NIS-2-Richtlinie verlangt in Art. 21 Abs. 2 Buchstabe f „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit“. In Deutschland steht dieselbe Pflicht in § 30 Abs. 2 Nr. 6 BSI-Gesetz. Nach § 38 BSIG muss die Geschäftsleitung diese Maßnahmen umsetzen und ihre Umsetzung überwachen. Eine Überwachung, die nur aus einem Jahresbericht besteht, lässt zwischen zwei Berichten eine lange Lücke, in der niemand weiß, ob die Lage noch stimmt.

Im Finanzsektor ist der Takt ausdrücklich vorgegeben: Nach Art. 6 Abs. 5 der Verordnung (EU) 2022/2554 (DORA) wird der IKT-Risikomanagementrahmen mindestens einmal jährlich überprüft, zusätzlich nach schwerwiegenden IKT-bezogenen Vorfällen sowie nach Erkenntnissen aus Tests und Prüfungen. Wer erst zum Prüftermin feststellt, dass eine Kontrolle seit Monaten nicht greift, hat ein Haftungs- und ein Glaubwürdigkeitsproblem zugleich.

Auch Kunden und Partner fragen anders. Das BSI weist in seinen Antworten zum Kriterienkatalog C5 darauf hin, dass ein Testat typischerweise einen vergangenen Zeitraum von drei bis zwölf Monaten abdeckt und dass Berichte vom Typ 2 prüfen, ob Kontrollen in diesem Zeitraum tatsächlich gewirkt haben. Ein Bericht vom Typ 1 bewertet dagegen nur, ob die Kontrollen geeignet ausgestaltet sind. Der Trend geht also schon in etablierten Prüfverfahren vom Stichtag zum Zeitraum.

Wie Continuous Compliance im Alltag aussieht

In der Praxis beginnt Continuous Compliance selten mit Werkzeugen, sondern mit einer Kontrolllandkarte: einer Liste der Pflichten, der zugehörigen Kontrollen, ihrer Verantwortlichen und der Belege, die ihre Wirkung zeigen. Erst danach lohnt es sich, Messungen zu automatisieren, etwa die regelmäßige Abfrage, ob alle Administratorkonten eine starke Anmeldung nutzen, ob Sicherungen wiederherstellbar sind oder ob Zugriffsrechte nach einem Rollenwechsel entzogen wurden.

Ein denkbares Szenario: Ein mittelständischer Zulieferer muss gegenüber einem Großkunden belegen, dass Zugriffsrechte quartalsweise überprüft werden. Bisher entstand der Nachweis jedes Jahr neu, aus E-Mails und Tabellen, mit wochenlangem Aufwand. Nach der Umstellung erzeugt jede Überprüfung automatisch einen datierten Beleg, und offene Abweichungen erscheinen in einer gemeinsamen Übersicht von IT, Einkauf und Geschäftsleitung. Fragt der Kunde nach, liegt die Antwort am selben Tag vor, und die Geschäftsleitung sieht bereits vorher, wo die Organisation hinterherhinkt.

Abgrenzung zu verwandten Begriffen

Continuous Compliance nutzt also die Daten der technischen Überwachung, ordnet sie aber Pflichten und Verantwortlichen zu. Die externe Prüfung ersetzt es nicht: Testate und Zertifikate bleiben nötig, werden aber einfacher, weil die Belege bereits vorliegen.

Worauf es bei der Einführung ankommt

• Pflichten einmal sauber abbilden: Gleiche Anforderungen aus verschiedenen Regelwerken einer gemeinsamen Kontrolle zuordnen, statt für jedes Gesetz eigene Nachweise zu führen.
• Wirkung messen, nicht Existenz: Ein Dokument belegt, dass eine Regel beschlossen wurde. Ein Beleg der Wirkung zeigt, dass sie im Betrieb eingehalten wird.
• Eigentümer je Kontrolle festlegen: Jede Abweichung braucht eine Person, die sie bearbeitet, und eine Frist, bis wann.
• Dienstleister einbeziehen: Belege aus ausgelagerten Diensten vertraglich vereinbaren, etwa laufende Prüfberichte und Zugriff auf relevante Protokolle.
• Lage regelmäßig in die Geschäftsleitung bringen: Eine kurze, wiederkehrende Übersicht über offene Abweichungen stützt die Überwachungspflicht besser als ein umfangreicher Jahresbericht.

Quellen

• EU: Richtlinie (EU) 2022/2555 (NIS-2), Art. 21
• BSIG: § 30 Risikomanagementmaßnahmen
• BSIG: § 38 Pflichten der Geschäftsleitung
• EU: Verordnung (EU) 2022/2554 (DORA), Art. 6
• BSI: Kriterienkatalog C5 – häufige Fragen
• NIST: Information Security Continuous Monitoring (SP 800-137)

*** Keine Rechtsberatung. Dieser Eintrag ordnet rechtliche Rahmenbedingungen strategisch ein und ersetzt keine Rechtsberatung im Einzelfall.