Autor: Dr. Stefan Ransom, Partner und Prokurist
Berater bei der TTS GmbH mit über 25 Jahren Erfahrung in der Informationssicherheit
Veröffentlicht am 23. Oktober 2026
Wie Multi-Compliance Anforderungen, Risiken und konkrete Maßnahmen zusammenführt
Schon wieder ein neuer Anforderungskatalog.
Ich blättere durch die Kapitel. Zugriffsrechte. Lieferanten. Sicherheitsvorfälle. Wiederherstellung. Vieles davon kenne ich seit Jahren. Dafür haben wir Prozesse aufgebaut, Verantwortliche benannt und Maßnahmen umgesetzt.
Eigentlich müssten wir also schon ziemlich weit sein.
Aber wie weit genau?
Was deckt unsere bisherige Umsetzung ab? Was ist tatsächlich neu? Wo klingt eine Anforderung nur vertraut, verlangt aber inhaltlich mehr? Und wie belege ich das, ohne wieder sämtliche Vorgaben auseinanderzunehmen und unseren Maßnahmen zuzuordnen?
Dann kommt die Frage der Geschäftsführung: „Erfüllen wir das schon, oder müssen wir noch etwas tun?“
Genau das möchte ich auch wissen. Stattdessen erstelle ich zum gefühlt hundertsten Mal eine Excel-Gap-Analyse und breche die Anforderungen herunter, um unsere Umsetzung zu prüfen. Vieles davon haben wir schon mehrfach durchgearbeitet.
Währenddessen müsste die nächste Notfallübung vorbereitet werden, und die Überarbeitung des Berechtigungskonzepts wartet weiter.
Diese Situation kennen viele Sicherheitsverantwortliche. Mit jeder zusätzlichen gesetzlichen Anforderung und jedem Normupdate wächst diese Übersetzungsarbeit. Dabei ist oft längst angemessene Sicherheit vorhanden. Was fehlt, ist ein belastbarer Überblick: Welche Verpflichtungen erfüllt sie bereits, und wo müssen wir nachschärfen?
Das Wichtigste in Kürze
- Neue Anforderungen treffen auf bestehende Sicherheit. Die Herausforderung ist, vorhandene Maßnahmen nachvollziehbar zuzuordnen und tatsächliche Lücken in der Umsetzung zu erkennen.
- Viele Anforderungen referenzieren auf dieselbe Umsetzung. Multi-Compliance verbindet unterschiedliche Anforderungen mit gemeinsam gepflegten Maßnahmen und Nachweisen.
- Unternehmen brauchen eine individuelle betriebliche Umsetzung. Neben Anforderungen bestimmen Risiken, Stand der Technik und Verhältnismäßigkeit, wie ein Unternehmen seine Sicherheitsmaßnahmen ausgestaltet.
- Multi-Compliance schafft eine wesentliche Grundlage für integrierte Managementsysteme. Dokumentierte Zusammenhänge helfen, neue Anforderungen gezielt einzubringen.
Neue Anforderungen treffen auf eine bestehende Organisation
NIS-2 und das BSIG, der Cyber Resilience Act, das KRITIS-Dachgesetz, der AI Act: Die regulatorische Landschaft betrifft unterschiedliche Seiten eines Unternehmens. Hinzu kommen sektorale Vorgaben wie die IT-Sicherheitskataloge der Bundesnetzagentur, Technische Richtlinien des BSI sowie europäische und internationale Normen.
Welche Anforderungen gelten, hängt von Tätigkeit und Rolle des Unternehmens ab: Betriebssicherheit, Anlagenresilienz, Produktsicherheit und KI-Risiken betreffen Hersteller, Betreiber und Dienstleister unterschiedlich.
Auch die Konkretisierung entwickelt sich weiter, beispielsweise durch die Überarbeitung der BNetzA-IT-Sicherheitskataloge nach § 5c EnWG oder europäische Normen zur CRA-Umsetzung.
Solche Konkretisierungen erleichtern die Umsetzung. Unternehmen müssen jedoch unterscheiden, welche Vorgaben in welcher Fassung für sie verbindlich sind und welche lediglich Orientierung oder einen möglichen Nachweisweg bieten.
Diese Vorgabenvielfalt trifft im Unternehmen auf vorhandene Prozesse, Systeme, Menschen und Sicherheitsmaßnahmen. Bestehende Managementsysteme stehen vor der Herausforderung, die Erfüllung der Anforderungen nachvollziehbar abzubilden.
Wenn Compliance zur Sisyphos-Arbeit wird
In vielen ISMS folgt die Sicherheitsumsetzung den Anforderungskatalogen: Für jeden Katalog werden Maßnahmen beschrieben, Umsetzungsstände gepflegt und Nachweise zusammengetragen. Mit jedem weiteren Katalog wächst die Gefahr, dieselbe betriebliche Realität mehrfach zu verwalten.
Der Berechtigungsprozess erscheint dann in mehreren Maßnahmen: Eine meldet „umgesetzt“, eine andere „in Bearbeitung“. Änderungen müssen mehrfach nachgezogen werden und im schlimmsten Fall tauchen im Audit unterschiedliche oder veraltete Beschreibungen auf.
Und beim nächsten Normupdate beginnt die Zuordnung erneut.
Die Belastung entsteht nicht nur durch die Zahl der Vorgaben, sondern auch dadurch, wie das ISMS mit ihnen umgeht.
Bei neuen Anforderungen sollte im Idealfall leicht erkennbar sein, was die bestehende Umsetzung bereits abdeckt und welche Ergänzungen erforderlich sind.
Dafür muss der Zusammenhang zwischen Anforderungen und Umsetzungsmaßnahmen dauerhaft sichtbar bleiben. Die konkrete Maßnahme entsteht dabei aus den geltenden Anforderungen, den Risiken und den verfügbaren technischen und organisatorischen Möglichkeiten, über die Grenzen einzelner Anforderungskataloge hinweg.
Spielraum beim Umsetzungskonzept
Viele regulatorische Vorgaben lassen Spielraum bei der konkreten Ausgestaltung der Sicherheitsmaßnahmen. Begriffe wie Angemessenheit, Verhältnismäßigkeit und Stand der Technik geben den Maßstab vor. Den betrieblichen Entwurf muss das Unternehmen daraus selbst entwickeln.
30 BSIG fordert beispielsweise geeignete, verhältnismäßige und wirksame Maßnahmen unter Berücksichtigung des Stands der Technik und einschlägiger Normen. Maßgeblich für die Ausgestaltung sind unter anderem Risiken, Unternehmensgröße, Kosten und mögliche Schadensfolgen für das Unternehmen sowie auch für die Gesellschaft und Wirtschaft.
Vier Perspektiven kommen hier zusammen:
| Perspektive | Die entscheidende Frage |
|---|---|
| Verbindliche Anforderungen | Welche Vorgaben gelten für unsere Tätigkeiten, Systeme und Produkte? |
| Stand der Technik und verfügbare Verfahren | Welche geeigneten technischen, organisatorischen und betrieblichen Lösungen stehen zur Verfügung? |
| Unternehmensspezifische Risiken | Welche Schäden und Beeinträchtigungen können bei uns und bei anderen entstehen? |
| Angemessenheit und Verhältnismäßigkeit | Welche konkrete Ausgestaltung ist angesichts dieser Anforderungen und Risiken gerechtfertigt? |
Im Markt verfügbare Technologien und Konzepte zeigen, welche Schutzmöglichkeiten grundsätzlich bestehen. Ihre betriebliche Eignung und Angemessenheit muss das Unternehmen selbst bewerten.
Verhältnismäßigkeit ist dabei mehr als eine Budgetfrage: Auch Folgen für Kunden und Versorgung zählen. Verbindliche Mindestanforderungen lassen sich hier nicht durch interne Risikoakzeptanz aufheben.
So entsteht ein unternehmensspezifisches Sicherheitskonzept. Seine Qualität zeigt sich daran, ob es relevante Risiken beherrscht und geltende Vorgaben erfüllt. Seine Nachvollziehbarkeit zeigt sich daran, ob das Unternehmen seine Entscheidungen erklären kann.
Warum wir diese Maßnahme genau so umsetzen
Ein Beispiel: Externe Dienstleister benötigen Fernzugriff für Wartung und Störungsbehebung. Wie das Unternehmen Zugänge freigibt, authentifiziert, kontrolliert und beendet, hängt von der Kritikalität der einzelnen Systeme, ihrer Technik und den Betriebsabläufen ab.
In einem Unternehmen könnte die Entscheidung so aussehen:
| Bestandteil | Beispielhafte Festlegung |
|---|---|
| Risiko | Kompromittierte Dienstleisterzugänge könnten unberechtigte Eingriffe in betriebswichtige Systeme ermöglichen. |
| Anforderungen | Die einschlägigen Vorgaben zu Zugriffskontrolle, Authentifizierung und Dienstleistersteuerung müssen beachtet werden. |
| Gewählte Umsetzung | Fernzugriffe erfolgen über einen zentral kontrollierten Zugang mit MFA, personenbezogenen Konten und zeitlich begrenzten Freigaben. |
| Begründung | Der zentrale Zugang ermöglicht eine einheitliche Kontrolle. Zielsysteme werden nur für freigegebene Tätigkeiten erreichbar gemacht. Die Ausgestaltung berücksichtigt Betriebsanforderungen und technische Einschränkungen. |
| Nachweise | Freigaben, Konfigurationen, Zugriffsprotokolle und regelmäßige Prüfungen belegen Betrieb und Kontrolle des Verfahrens. |
Das Beispiel verbindet Anforderungen und Risiken mit der Auswahlentscheidung, Umsetzung und Überprüfung. Diese Darstellung ist vereinfacht und ersetzt keine vollständige Risikoanalyse oder technische Planung.
Eine Umsetzung, mehrere Compliance-Perspektiven
Multi-Compliance macht den Beitrag dieser Umsetzung zu unterschiedlichen Anforderungen durch nachvollziehbare Zuordnungen sichtbar. Die Umsetzung wird einmal beschrieben und gepflegt.
Im allgemeinen Sprachgebrauch stolpern wir hier häufig bei den Begriffen. Mit „Maßnahme“ bezeichnen wir sowohl die allgemeine Schutzvorkehrung aus einem Anforderungskatalog als auch ihre konkrete Umsetzung im Unternehmen. Wer beides gleichsetzt, pflegt schnell für jeden Katalog eigene Maßnahmen, obwohl im Betrieb derselbe Prozess oder dieselbe technische Lösung dahintersteht.
Grundsätzlich sollten wir immer drei Ebenen unterscheiden:
- Anforderungen und Anwendbarkeit: Welche Vorgaben gelten für den betrachteten Anwendungsbereich, und wie ist ihre Einbeziehung beziehungsweise Nichtanwendbarkeit begründet?
- Maßnahmen: Wie setzt das Unternehmen die erforderliche Sicherheit konkret um?
- Bewertung und Nachweise: Inwieweit deckt diese Umsetzung die Anforderungen ab, und was belegt ihre Umsetzung und Wirksamkeit?
Eine Anforderung kann mehrere Maßnahmen benötigen. Eine Maßnahme kann zu mehreren Anforderungen beitragen – jeweils in unterschiedlichem Umfang. Eine gemeinsame Maßnahmenvorlage lässt sich für verschiedene Systeme unterschiedlich konkretisieren.
Im Fernzugriffsbeispiel bleibt MFA Bestandteil des gemeinsamen Zugangsverfahrens. Je nach Schutzbedarf kommen zusätzliche Freigabeschritte, stärkere Zugriffsbeschränkungen oder engere Überwachungsintervalle hinzu. Änderungen an der gemeinsamen Umsetzung werden für alle zugeordneten Anforderungen sichtbar.
Auch Prozessbeschreibungen, Freigaben und Prüfergebnisse können mehrere Bewertungen unterstützen. Eine Zuordnung allein ist jedoch noch kein Erfüllungsnachweis: Für jede Anforderung ist zu bewerten, inwieweit die Maßnahmen sie vollständig abdecken und welche Nachweise ihre Umsetzung und Wirksamkeit belegen.
Eine gemeinsame Umsetzung der Anforderungen schafft Übersicht, wenn ihre unterschiedlichen Verbindungen sichtbar bleiben.
Das Sicherheitskonzept muss sich weiterentwickeln
Mit der ersten Zuordnung ist die Arbeit nicht abgeschlossen. Der eigentliche Wert einer gemeinsamen Grundlage zeigt sich bei Veränderungen.
Neue Vorgaben, veränderte Bedrohungen und bessere verfügbare Verfahren erfordern eine erneute fachliche Bewertung: Reicht die bisherige Umsetzung aus, welche Alternativen bestehen und wo muss nachgebessert werden?
Dokumentierte Beziehungen zeigen, welche Maßnahmen, Systeme, Anforderungen und Nachweise betroffen sind. Die fachliche Prüfung baut auf Bestehendem auf, statt Zusammenhänge erneut rekonstruieren zu müssen.
Was ein ISMS-Werkzeug dafür unterstützen muss
Ein ISMS-Werkzeug sollte konkrete Umsetzungen unabhängig von Katalogstrukturen verwalten und Anforderungen mit mehreren Maßnahmen sowie Maßnahmen mit mehreren Anforderungen verknüpfen können. Es sollte Nachweise mehrfach nutzbar machen, anwendungsbezogene Bewertungen ermöglichen und die Auswirkungen von Änderungen sichtbar machen.
Diese Trennung greift das neue Release 6.4 von TTS trax auf: Anforderungskataloge werden von Maßnahmenkatalogen und den daraus abgeleiteten konkreten Maßnahmen getrennt. Zuordnungen zwischen Anforderungen und Maßnahmenvorlagen ermöglichen es, dieselbe betriebliche Umsetzung aus Sicht unterschiedlicher Anforderungskataloge auszuwerten.
Damit wird die wiederholte Anlage inhaltlich gleicher Maßnahmen für unterschiedliche Vorgaben unnötig. Zugleich wird sichtbar, zu welchen Anforderungen eine Maßnahme beiträgt. Vorbereitete Zuordnungen können hierbei den Einstieg erleichtern. Ihre Eignung und Vollständigkeit muss jedoch für den konkreten Anwendungsbereich fachlich geprüft werden.
Multi-Compliance unterstützt die gemeinsame Steuerung und schafft damit eine wesentliche Grundlage für integrierte Managementsysteme. Unterschiedliche Anforderungen werden über gemeinsame Prozesse, Maßnahmen und Nachweise bearbeitet. Zur Integration gehören ebenso gemeinsame Ziele und abgestimmte Verantwortlichkeiten.
Beim nächsten Katalog auf Bestehendem aufbauen
Der nächste Anforderungskatalog wird kommen.
Der CISO kann dann auf die Frage der Geschäftsführung nachvollziehbar antworten: Diese Anforderungen erfüllen wir bereits. Dafür liegen Nachweise vor. Und hier müssen wir nachschärfen.
Viele Vorgaben. Eine gemeinsame Umsetzung. Und eine belastbare Antwort auf die Frage:
Warum machen wir es genau so?
Hinweis zur KI-Nutzung:
Inhalte und Thesen stammen vom Autor. KI wurde unterstützend für Struktur, Rechtschreibung und Visualisierung eingesetzt. Die redaktionelle Verantwortung liegt beim Autor.
