Compliance ist kein Kürzel-Thema mehr: Was DSGVO, NIS2 und GoBD von Unternehmen verlangen

In deutschen Vorstandsetagen gibt es eine bemerkenswerte Asymmetrie: Während über Margen, Zinsen und Fachkräftemangel stundenlang diskutiert wird, werden regulatorische Pflichten gerne an die Rechtsabteilung oder den externen Steuerberater delegiert. Das Wort DSGVO löst bei manchen eher Augenrollen aus als Handlungen. Diese Haltung war nachlässig – sie ist 2025 schlicht riskant. Denn die Regulatorik ist längst dort angelangt, wo sie das Kerngeschäft berührt: in der IT-Infrastruktur, in der Lieferkette und in der Haftung der Geschäftsführung.

Warum Abkürzungen hier strategische Substanz haben

Es mag pedantisch wirken, über Buchstaben zu sprechen. Doch die Abkürzungen stehen für Pflichten mit sehr unterschiedlichen Sanktionsmechanismen. Die DSGVO bedroht mit Bußgeldern bis zu vier Prozent des weltweiten Jahresumsatzes. NIS2, die über das NIS2-Umsetzungs- und Harmonisierungsgesetz (NIS2UHSUG) in deutsches Recht gefasst wurde, verfolgt einen anderen Ansatz: Sie verpflichtet sogenannte wesentliche und wichtige Einrichtungen zu organisierter Cybersicherheit – inklusive Meldepflichten bei Vorfällen und persönlicher Verantwortung der Leitungsorgane. Die GoBD schließlich, die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, sind steuerrechtlicher Natur – hier drohen im Ernstfall Betriebsprüfungen, Hinzuschätzungen und im schlimmsten Fall der Vorwurf der Steuerhinterziehung.

Drei Regelwerke, drei Logiken, ein gemeinsamer Nenner: Sie verlangen dokumentierte, nachvollziehbare Prozesse – nicht einmalige Zertifikate.

NIS2: Das Sanktionsrisiko des Jahres

Wenn man für 2025 ein einziges Regelwerk mit realer Sanktionsgefahr benennen müsste, wäre es NIS2. Das Gesetz richtet sich an Unternehmen ab bestimmten Größenklassen in Sektoren wie Energie, Verkehr, Gesundheit, Lebensmittel, Chemie oder digitaler Infrastruktur – und damit an einen erheblichen Teil des deutschen Mittelstands, der sich bislang nicht als kritische Infrastruktur begriff.

Wesentlich ist die Betroffenheit der Geschäftsführung: Schulungen, Risikoanalyse und ein angemessener Stand der Sicherheitsmaßnahmen sind explizit Leitungsaufgaben. Wer hier nichts vorweisen kann, handelt nicht nur fahrlässig, sondern dokumentiert die eigene Fahrlässigkeit gleich mit.

Die Unterschätzung liegt im Prozess, nicht im Paragraphen

Unsere These lautet: Unternehmen unterschätzen nicht die Regeln, sondern den Aufwand, ihre bestehende IT darauf abzubilden. Typische Schwachstellen sind unsauber geführte Berechtigungskonzepte, fehlende Dokumentation von Datenverarbeitungsverzeichnissen oder E-Mail-Archivierungen, die weder DSGVO noch GoBD standhalten. Keines dieser Probleme kostet im Kern viel Geld – aber es kostet Disziplin und Zuständigkeit, und genau daran scheitert es meist.

Checkliste zur Selbstbewertung

Fünf Fragen, die jede Geschäftsführung in einer Stunde beantworten können sollte:

1. Verzeichnis: Existiert ein aktuelles Verzeichnis der Verarbeitungstätigkeiten, und wurde es in den letzten zwölf Monaten geprüft?
2. Auftragsverarbeitung: Liegen mit allen Dienstleistern (Cloud, Steuerberater, Marketing) aktuelle AV-Verträge vor?
3. Incident-Response: Gibt es einen schriftlichen Prozess für Sicherheitsvorfälle – inklusive der NIS2-Meldefristen gegenüber dem BSI?
4. Archivierung: Werden steuerrelevante Belege revisionssicher und mit Verfahrensdokumentation aufbewahrt?
5. Verantwortung: Ist schriftlich geregelt, wer im Unternehmen für welches Reglement zuständig ist – und wurde das der Leitung berichtet?

Wer mehr als zwei Fragen mit Nein beantwortet, hat Handlungsbedarf – nicht wegen der Abkürzung, sondern wegen des Risikos.

Fazit: Nüchternheit statt Panik

Compliance-Panik ist ein schlechter Berater, Compliance-Verdrängung ein noch schlechterer. Die nüchterne Betrachtung zeigt: DSGVO ist etabliert, GoBD ist seit Jahren Praxis, und NIS2 ist das neue Pflichtenheft mit echtem Sanktionszahn. Keines dieser Regelwerke verlangt Perfusion mit Beratungsbudgets – es verlangt Ordnung, Dokumentation und eine Geschäftsführung, die die Abkürzungen nicht delegiert, sondern versteht.