Der Weg durch das Compliance-Audit Durchblick im Regulierungsdschungel

Von der DSGVO und ISO 27001 über den IT-Grundschutz bis hin zu MaRisk, BAIT, VAIT, KRITIS, DORA und NIS2 – die Liste der Compliance-Vorgaben wird immer länger und die Umsetzung zunehmend zur Sisyphusarbeit. Mit zertifizierten IT-Dienstleistern werden selbst Audits in streng regulierten Branchen zur Formsache.

Die Einhaltung der Compliance ist mehr als nur eine gesetzliche Pflicht. Sie bildet einen integralen Bestandteil der Unternehmensstrategie und hat sich zum Gradmesser für das Vertrauen von Kunden und Geschäftspartnern entwickelt. Doch die Vielzahl an Vorschriften, Regeln und Gesetzen erschwert die Umsetzung enorm. Das liegt unter anderem daran, dass einerseits nationale und internationale, andererseits aber auch branchen­abhängige Regularien den Geschäftsablauf in Organisationen maßgeblich beeinflussen.

Grundsätzlich lassen sich Compliance-Vorgaben in zwei Bereiche unterteilen:

• Gesetzliche Vorgaben: Sie bilden die Grundlage der regulatorischen Anforderungen, beispielsweise das Kreditwesengesetz oder die DSGVO.

• Standards und Zertifizierungen: Sie schaffen einen strukturierten Rahmen, um gesetzliche und branchenspezifische Anforderungen umzusetzen, wie beispielsweise die ISO 27001 für Informationssicherheitsmanagement.

Im Bankensektor bilden Gesetze wie das Kreditwesengesetz (KWG) und die Mindestanforderungen an das Risikomanagement (MaRisk) die Grundlage der regulatorischen Vorgaben. Ergänzt werden sie durch die BAIT, die bankaufsichtlichen Anforderungen an die IT. Diese Regularien fokussieren sich auf die IT-Sicherheit, die Verfügbarkeit von Systemen und die effektive Steuerung von IT-Risiken. Hinzu kommen die Vorgaben der Bundesanstalt für Finanz­dienst­leistungs­aufsicht (BaFin). Für Versicherer gelten vergleichbare Regelungen wie die versicherungsaufsichtlichen Anforderungen an die IT (VAIT), mit ähnlichen Vorgaben zur Sicherstellung von IT-Governance und Risikomanagement, sowie die Mindestanforderungen an die Geschäftsorganisation (MaGo). Die Pharmaindustrie wiederum steht im Fokus des Arzneimittelgesetzes (AMG) oder der Good Manufacturing Practice (GMP).

Und als sei das alles noch nicht genug, sind die europaweit gültige Datenschutz-Grund­ver­ord­nung (DSGVO), der IT-Grundschutz vom BSI sowie neue Direktiven wie der Digital Operational Resilience Act (DORA) oder die Network and Information Systems Directive 2 (NIS2) für nahezu jedes Unternehmen unterschiedlichster Branchensegmente relevant. Kurz: Unternehmen stehen in der Verantwortung, sich kontinuierlich weiterzubilden und ihre internen Prozesse fortwährend anpassen zu müssen, um den Auditanforderungen gerecht zu werden. Anforderungen, die in der Regel einen erheblichen organisatorischen und finanziellen Aufwand nach sich ziehen.

Verantwortung von IT-Dienstleistern

Eine besondere Pflicht kommt demnach auch IT-Dienstleistern zu, die in den entsprechenden Branchen tätig sind. Für sie besteht die besondere Herausforderung darin, sowohl das eigene Geschäft als auch die regulatorischen Vorschriften blind beherrschen zu müssen – auch deshalb, weil mehr und mehr Unternehmen aus stark regulierten Branchen dazu übergehen, ihre Compliance-Anforderungen an ihre Dienstleister zu übertragen und diese Verantwortung vertraglich zu fixieren. IT-Dienstleister müssen also sicherstellen, dass sowohl ihre eigenen Prozesse und Systeme den branchenspezifischen Anforderungen genügen als auch die spezifischen Vorgaben von Kunden eingehalten werden können. Damit sind sie häufig Teil eines doppelten Prüfungsprozesses: Neben internen Audits und Zertifizierungen durchlaufen sie regelmäßige Überprüfungen durch Kunden sowie behördliche Aufsichtsstellen wie die BaFin. Diese Prüfungen umfassen unter anderem Aspekte wie Sicherheitsmechanismen, Zugriffskontrollen und die Einhaltung vereinbarter Standards.

Zertifizierungen: Grundlage für Vertrauen

In diesem Zusammenhang haben sich Zertifizierungen bewährt. Sie dienen als Nachweis dafür, dass Sicherheits- und Qualitätsstandards auch tatsächlich eingehalten werden. ISO-Zertifikate wie die ISO 27001 für Informations­sicherheits­management, die ISO 9001 für Qualitäts­manage­ment oder die ISO 14001 für Umweltmanagement gelten dabei als Basis für das Vertrauen von Kunden. Viele Dienstleister gehen über diese Mindestanforderungen hinaus und investieren in zusätzliche Zertifizierungen, um ihre Wettbewerbsfähigkeit zu sichern. Noris Network lässt beispielsweise sein eigenes internes integriertes Kontrollsystem (IKS) von einem externen Wirtschaftsprüfer testieren und kann dieses in Form eines ISAE 3402 Typ II Testats vorlegen. ISAE 3402 ist die internationale Norm für die Wirtschaftsprüfung ausgelagerter Prozesse und erfüllt damit alle Anforderungen aus IDW PS 951 sowie die Anforderungen an einen SOC1 Report. Hinzu kommen der BSI C5 (Cloud Computing Compliance Criteria Catalogue), ein Prüfstandard des BSI, der spezifische Anforderungen an die Sicherheit von Cloud-Diensten stellt, sowie der TSI.STANDARD V4.3 Level 4. Dabei handelt es sich um einen Standard mit dem höchsten Sicherheitsniveau sowie umfangreichen Anforderungen an die Informations­sicherheit, den Schutz vor Cyberangriffen und die Einhaltung gesetzlicher Vorschriften.

Fest steht: Die Compliance ist eine stetige Herausforderung, doch sie bietet auch Chancen. Unternehmen, die sich frühzeitig an neue Regularien anpassen, profitieren von mehr Sicherheit, gesteigertem Vertrauen und langfristigen Wettbewerbsvorteilen. Zertifizierte IT-Dienstleister sind in diesem Szenario unverzichtbare Partner: Sie sorgen für reibungslose Audits, helfen Unternehmen, die wachsenden Anforderungen souverän zu meistern und entwickeln damit Compliance von der Pflicht zur strategischen Stärke.

Über die Autorin

Ina Märzluft ist seit Mai 2020 fester Bestandteil der noris network AG. Als Head of Governance & Standards verantwortet sie die Teams Governance, Risk und Compliance, Security Operations Center sowie die Prozesslandkarte des Unternehmens.

(ID:50377665)