IT-Compliance Dokumentationspflichten entscheiden in der Praxis häufiger über den Ausgang einer Prüfung als die tatsächlich implementierten technischen Maßnahmen. Ein Unternehmen kann über ein solides Zugriffskonzept, verschlüsselte Datenübertragungen und ein funktionierendes Patch-Management verfügen und trotzdem bei einer Datenschutzaufsichtsbehörde, einem Wirtschaftsprüfer oder einem Auditor schlecht abschneiden, wenn diese Maßnahmen nicht nachweisbar dokumentiert sind. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, die Dokumentationsanforderungen der ISO 27001 und die Nachweispflichten der NIS2-Richtlinie verlangen nicht nur, dass Maßnahmen existieren, sondern dass ihre Existenz, ihre Wirksamkeit und ihre Aktualität jederzeit belegbar sind. Für mittelständische Unternehmen ohne dedizierte Compliance-Abteilung stellt sich damit die Frage, welche Dokumente in welcher Tiefe und mit welcher Aktualisierungsfrequenz geführt werden müssen. Dieser Beitrag ordnet die wichtigsten Dokumentationspflichten nach Rechtsrahmen, zeigt eine praxistaugliche Struktur und benennt die Fehler, die in Audits regelmäßig zu Beanstandungen führen.
Was zu IT-Compliance-Dokumentationspflichten gehört
Der Begriff Dokumentationspflicht umfasst im IT-Compliance-Kontext deutlich mehr als das Verzeichnis von Verarbeitungstätigkeiten. Er schließt technische Systemdokumentationen, organisatorische Richtlinien, Nachweise über Schulungen, Protokolle von Sicherheitsvorfällen und Belege für regelmäßige Risikobewertungen ein. Entscheidend ist dabei die Unterscheidung zwischen zwei Dokumentationsarten: Zum einen die Soll-Dokumentation, also Richtlinien, Konzepte und Prozessbeschreibungen, die festlegen, wie ein Unternehmen vorgehen will. Zum anderen die Ist-Dokumentation, also Protokolle, Logs, Freigabenachweise und Auditberichte, die belegen, dass diese Vorgaben tatsächlich gelebt werden.
Prüfer und Aufsichtsbehörden bemängeln in der Praxis seltener das Fehlen von Richtlinien als das Fehlen von Nachweisen für deren Anwendung. Ein Berechtigungskonzept, das seit drei Jahren nicht aktualisiert wurde und dessen Umsetzung sich nicht in Ticketsystemen oder Freigabeprotokollen widerspiegelt, gilt als nicht wirksam gelebt, selbst wenn das Dokument formal vorhanden ist.
Rechtliche und normative Grundlagen der Dokumentationspflicht
Mehrere Regelwerke wirken parallel auf die IT-Compliance-Dokumentation ein, mit teils unterschiedlichen Schwerpunkten und Fristen. Ein Überblick über die wichtigsten Anforderungen erleichtert die Priorisierung.
DSGVO: Rechenschaftspflicht nach Art. 5 Abs. 2
Die DSGVO verlangt nicht nur die Einhaltung der Grundsätze aus Art. 5 Abs. 1 (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit), sondern in Abs. 2 ausdrücklich deren Nachweisbarkeit. Ergänzend schreibt Art. 30 DSGVO ein Verzeichnis von Verarbeitungstätigkeiten vor, Art. 32 verlangt die Dokumentation technischer und organisatorischer Maßnahmen (TOMs), und bei risikoreichen Verarbeitungen ist gemäß Art. 35 eine Datenschutz-Folgenabschätzung zu dokumentieren.
ISO 27001: Dokumentierte Information
Die ISO 27001 fordert in Abschnitt 7.5 sogenannte „dokumentierte Information“, die sowohl obligatorische Dokumente (Anwendungsbereich, Risikobewertungsmethodik, Statement of Applicability) als auch Aufzeichnungen über die Durchführung von Kontrollen umfasst. Der Anhang A der Norm listet konkrete Controls, zu denen jeweils Nachweise über deren Umsetzung erwartet werden, etwa Protokolle zu Zugriffsüberprüfungen oder Nachweise über Awareness-Schulungen.
NIS2-Richtlinie und nationale Umsetzung
Die NIS2-Richtlinie verpflichtet betroffene Einrichtungen zur Dokumentation von Risikomanagementmaßnahmen, zur Meldung erheblicher Sicherheitsvorfälle innerhalb enger Fristen und zur Nachweisführung über die Umsetzung von Mindestmaßnahmen wie Multi-Faktor-Authentifizierung, Verschlüsselung und Lieferkettensicherheit. Die konkrete Ausgestaltung erfolgt über das jeweilige nationale Umsetzungsgesetz.
GoBD bei IT-gestützter Buchführung
Sofern IT-Systeme steuerlich relevante Daten verarbeiten, greifen zusätzlich die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD). Verfahrensdokumentationen zu Archivierung, Verfahrensänderungen und Zugriffsschutz sind hier über die gesetzlichen Aufbewahrungsfristen hinweg vorzuhalten.
| Rahmenwerk | Kernanforderung an Dokumentation | Typisches Prüfintervall |
|---|---|---|
| DSGVO (Art. 5, 30, 32, 35) | Verarbeitungsverzeichnis, TOMs, Folgenabschätzungen | jährlich, bei Änderungen sofort |
| ISO 27001 (Abschnitt 7.5, Anhang A) | Dokumentierte Information, Kontrollnachweise | halbjährlich bis jährlich |
| NIS2-Umsetzungsgesetz | Risikomanagementmaßnahmen, Vorfallmeldungen | laufend, Meldefristen einzelfallabhängig |
| GoBD | Verfahrensdokumentation, Aufbewahrungsnachweise | bei Systemänderung, sonst laufend |
Warum IT-Compliance Dokumentationspflichten strategisch entscheiden
Unternehmen, die Dokumentation als reine Pflichtübung behandeln, laufen Gefahr, sie erst kurz vor einer Prüfung nachträglich zu erstellen. Das führt regelmäßig zu inkonsistenten Angaben, weil Protokolle rekonstruiert statt laufend geführt werden. Wer IT-Compliance Dokumentationspflichten hingegen von Beginn an in bestehende Arbeitsabläufe integriert, etwa durch automatisierte Protokollierung in Ticketsystemen oder durch feste Reviewtermine für Richtliniendokumente, reduziert den Aufwand für Audits erheblich und verschafft sich zugleich eine belastbare Grundlage für interne Entscheidungen. Eine aktuelle Systemlandkarte etwa erleichtert nicht nur den Nachweis gegenüber Prüfern, sondern auch die Risikobewertung bei geplanten Migrationen oder Anbieterwechseln.
Darüber hinaus wirkt sich eine belastbare Dokumentation im Schadensfall unmittelbar auf die Haftungsfrage aus. Bei einer meldepflichtigen Datenschutzverletzung prüft die Aufsichtsbehörde regelmäßig, ob angemessene technische und organisatorische Maßnahmen vor dem Vorfall bereits dokumentiert und umgesetzt waren. Fehlt dieser Nachweis, erhöht sich das Risiko eines Bußgelds unabhängig davon, ob die Maßnahmen faktisch vorhanden waren.
Praktische Umsetzung: Welche Dokumente konkret geführt werden müssen
In der Praxis hat sich eine Gliederung in vier Dokumentationsebenen bewährt, die sich an den meisten Rahmenwerken orientiert und Doppelarbeit vermeidet.
Ebene 1: Systemlandkarte und Datenflüsse
Eine aktuelle Übersicht aller eingesetzten IT-Systeme, Cloud-Dienste und Schnittstellen bildet die Grundlage jeder weiteren Dokumentation. Sie sollte Verantwortlichkeiten, Speicherorte, Auftragsverarbeiter und die Klassifizierung der verarbeiteten Datenkategorien enthalten.
Ebene 2: Zugriffs- und Berechtigungskonzepte
Wer auf welche Systeme mit welchen Rechten zugreifen darf, muss dokumentiert und regelmäßig überprüft werden. Ein Rezertifizierungsprozess, bei dem Führungskräfte in festen Intervallen die Berechtigungen ihrer Teams bestätigen, liefert den geforderten Nachweis der laufenden Kontrolle.
Ebene 3: Change- und Incident-Protokolle
Jede wesentliche Änderung an sicherheitsrelevanten Systemen sowie jeder Sicherheitsvorfall, unabhängig von seiner Meldepflichtigkeit, sollte in einem Protokoll mit Zeitstempel, Verantwortlichem und Ergebnis erfasst werden. Diese Protokolle dienen im Ernstfall als zentraler Nachweis für die Reaktionsfähigkeit des Unternehmens.
Ebene 4: Risikobewertungen und Managementreviews
Regelmäßige, dokumentierte Risikobewertungen sowie Managementreviews, in denen die Geschäftsleitung den Stand der Compliance-Maßnahmen zur Kenntnis nimmt und Entscheidungen trifft, runden die Dokumentation ab und erfüllen zugleich Vorgaben zur Governance-Verantwortung.
Praxisbeispiel: Dokumentationsaufbau in einem mittelständischen Produktionsunternehmen
Ein Beispiel aus der Beratungspraxis verdeutlicht, wie sich die vier Dokumentationsebenen konkret umsetzen lassen. Ein Unternehmen mit rund 250 Mitarbeitenden und mehreren Produktionsstandorten verfügte zunächst über verstreute Word-Dokumente ohne einheitliche Struktur und ohne erkennbare Aktualisierungshistorie. Im ersten Schritt wurde eine zentrale Systemlandkarte erstellt, die sämtliche ERP-, ME- und Cloud-Systeme sowie deren Datenflüsse zwischen den Standorten abbildete. Anschließend wurden Dokumenteneigentümer für jede Systemkategorie benannt und ein einfaches, aber verbindliches Reviewintervall von sechs Monaten eingeführt.
Im zweiten Schritt wurden Berechtigungskonzepte für die produktionsnahen Systeme überarbeitet, da hier historisch gewachsene Rechtevergaben ohne dokumentierte Begründung bestanden. Durch die Einführung einer halbjährlichen Rezertifizierung, bei der Abteilungsleiter die Berechtigungen ihrer Teams schriftlich bestätigen mussten, ließ sich der Nachweis der laufenden Kontrolle herstellen, ohne dass zusätzliche Software beschafft werden musste. Bei der anschließenden ISO-27001-Zertifizierung stellte der Auditor keine Beanstandungen zur Nachweisführung fest, obwohl das Unternehmen zuvor über keinerlei formalisierte Compliance-Struktur verfügt hatte.
Dieses Beispiel zeigt, dass der Aufwand für den Aufbau einer belastbaren Dokumentation überschaubar bleibt, wenn er in klar abgegrenzten Schritten angegangen wird, statt zu versuchen, alle Anforderungen gleichzeitig und vollständig zu erfüllen. Entscheidend ist, frühzeitig mit der Systemlandkarte als Grundlage zu beginnen, da sich viele weitere Dokumentationsanforderungen unmittelbar aus ihr ableiten lassen.
Revisionssichere Dokumentation: Anforderungen und Werkzeuge
Revisionssicherheit bedeutet, dass Dokumente nach ihrer Erstellung nicht unbemerkt verändert werden können und ihre Historie nachvollziehbar bleibt. Für die IT-Compliance Dokumentationspflichten empfiehlt sich der Einsatz eines Dokumentenmanagementsystems mit Versionierung, das Änderungen protokolliert und frühere Fassungen archiviert. Reine Ablagen in Dateiordnern ohne Versionskontrolle gelten in Audits regelmäßig als unzureichend, weil sich weder der Zeitpunkt noch der Urheber einer Änderung zweifelsfrei rekonstruieren lässt.
Für Protokolle und Logs, die aus Systemen automatisiert erzeugt werden, ist zusätzlich auf eine manipulationssichere Speicherung zu achten, etwa durch zentrale Log-Server mit eingeschränkten Schreibrechten. Bei GoBD-relevanten Daten ist zudem die unveränderbare Aufbewahrung über die gesetzliche Frist hinweg technisch sicherzustellen.
Eine Kontrolle gilt aus Sicht der ISO 27001 erst dann als wirksam umgesetzt, wenn ihre Anwendung durch nachvollziehbare Aufzeichnungen belegt werden kann, nicht bereits durch die bloße Existenz einer Richtlinie.
Rollen und Verantwortlichkeiten im Dokumentationsprozess
Ohne klare Zuständigkeiten bleibt selbst die beste Dokumentationsvorlage ungepflegt. In der Praxis empfiehlt sich eine Aufteilung in drei Rollen. Die Geschäftsleitung trägt die Gesamtverantwortung und muss die Ergebnisse der Dokumentation regelmäßig zur Kenntnis nehmen, was sich wiederum selbst dokumentieren lässt, etwa durch Protokolle von Managementreviews. Die Dokumenteneigentümer, meist Fachverantwortliche aus IT, Datenschutz oder Personalabteilung, pflegen die ihnen zugeordneten Dokumente inhaltlich und stellen sicher, dass Änderungen an Systemen oder Prozessen zeitnah eingearbeitet werden. Eine dritte Rolle, häufig als Compliance-Koordination bezeichnet, überwacht die Einhaltung der festgelegten Reviewzyklen unternehmensweit und eskaliert überfällige Aktualisierungen an die Geschäftsleitung.
Gerade in mittelständischen Strukturen wird diese dritte Rolle häufig nebenamtlich von der IT-Leitung oder einer Assistenz der Geschäftsführung übernommen. Entscheidend ist weniger der formale Titel als die tatsächliche Ausstattung mit Zeit und Durchsetzungsfähigkeit, damit Reviewtermine nicht regelmäßig verschoben werden. Ein einfaches, aber wirksames Mittel ist die Verknüpfung von Dokumentationsaufgaben mit bestehenden Terminen, etwa der vierteljährlichen Geschäftsleitungssitzung, sodass die Pflege nicht als isolierte Zusatzaufgabe wahrgenommen wird, sondern in etablierte Routinen eingebettet ist.
Dokumentation bei Cloud- und Outsourcing-Szenarien
Werden IT-Systeme oder einzelne Prozesse an externe Dienstleister ausgelagert, verändert sich die Dokumentationspflicht in ihrer Form, nicht in ihrer Substanz. Das Unternehmen bleibt gegenüber Aufsichtsbehörden und Auditoren verantwortlich, auch wenn die technische Umsetzung bei einem Auftragsverarbeiter oder Cloud-Anbieter liegt. Erforderlich sind in diesem Fall zusätzlich Auftragsverarbeitungsverträge nach Art. 28 DSGVO, Nachweise über die Prüfung der Auftragsverarbeiter, etwa in Form von Zertifikaten oder Auditberichten des Anbieters, sowie eine klare Zuordnung, welche Partei für welche Kontrolle in einem geteilten Verantwortungsmodell zuständig ist.
Shared-Responsibility-Modelle dokumentieren
Bei Cloud-Diensten teilen sich Anbieter und Kunde die Verantwortung für Sicherheitsmaßnahmen, wobei die genaue Aufteilung je nach Servicemodell variiert. Bei Infrastructure-as-a-Service liegt die Absicherung der Betriebssysteme und Anwendungen typischerweise beim Kunden, bei Software-as-a-Service übernimmt der Anbieter einen deutlich größeren Anteil. Unternehmen sollten diese Aufteilung für jeden eingesetzten Dienst schriftlich festhalten, da Prüfer bei Cloud-Nutzung gezielt nachfragen, welche Kontrollen tatsächlich in eigener Verantwortung liegen und wie deren Umsetzung nachgewiesen wird.
Lieferkettensicherheit als Dokumentationsthema
Die NIS2-Richtlinie rückt zusätzlich die Absicherung der Lieferkette in den Fokus. Betroffene Unternehmen müssen dokumentieren, wie sie Risiken bei Zulieferern und Dienstleistern bewerten, welche vertraglichen Sicherheitsanforderungen gestellt werden und wie regelmäßig diese überprüft werden. Eine einfache Lieferantenliste ohne Risikobewertung genügt diesen Anforderungen in der Regel nicht.
Typische Stolperfallen bei der Dokumentationspflicht
- Richtlinien werden einmalig erstellt und danach nicht mehr an veränderte Systemlandschaften angepasst.
- Verantwortlichkeiten für die Pflege einzelner Dokumente sind nicht klar zugewiesen, sodass Aktualisierungen ausbleiben.
- Nachweise existieren nur in den Köpfen einzelner Mitarbeitender und nicht in schriftlicher, auffindbarer Form.
- Protokolle werden zwar erzeugt, aber nicht ausgewertet, sodass Auffälligkeiten unentdeckt bleiben.
- Dokumentation wird kurz vor angekündigten Audits rückwirkend erstellt, was bei Plausibilitätsprüfungen auffällt.
Schritt-für-Schritt: Dokumentationsprozess aufbauen
Der Aufbau eines belastbaren Dokumentationsprozesses lässt sich in überschaubaren Schritten umsetzen, ohne dass hierfür sofort eine vollständige Compliance-Abteilung erforderlich ist.
- Bestandsaufnahme aller vorhandenen Dokumente und Abgleich mit den Anforderungen der relevanten Rahmenwerke.
- Benennung von Dokumenteneigentümern für jede Kategorie mit klarer Zuständigkeit für Aktualität.
- Festlegung fester Reviewzyklen, kalendarisch hinterlegt und mit Erinnerungsfunktion im verwendeten System.
- Einführung eines Versionierungssystems für alle Richtlinien- und Konzeptdokumente.
- Automatisierung der Protokollierung dort, wo technisch möglich, etwa bei Zugriffs- und Änderungsprotokollen.
- Durchführung interner Stichprobenprüfungen vor externen Audits, um Lücken frühzeitig zu erkennen.
- Dokumentation der Managementreviews selbst, um die Governance-Verantwortung nachweisbar zu machen.
FAQ
Wie lange müssen IT-Compliance-Dokumente aufbewahrt werden?
Die Aufbewahrungsfrist richtet sich nach dem jeweiligen Rahmenwerk. Steuerlich relevante Dokumentationen nach GoBD unterliegen den gesetzlichen Aufbewahrungsfristen, während datenschutzrechtliche Nachweise so lange vorgehalten werden sollten, wie eine Rechenschaftspflicht gegenüber der Aufsichtsbehörde bestehen kann.
Reicht eine einmal erstellte Richtlinie als Nachweis aus?
Nein. Erforderlich ist zusätzlich der Nachweis der laufenden Anwendung, etwa durch Protokolle, Freigaben oder Schulungsnachweise, die belegen, dass die Richtlinie tatsächlich gelebt wird.
Wer trägt im Unternehmen die Verantwortung für die Dokumentationspflicht?
Die Gesamtverantwortung liegt bei der Geschäftsleitung, die operative Umsetzung wird jedoch üblicherweise an IT-Leitung, Datenschutzbeauftragte oder ein Compliance-Team delegiert, wobei die Zuständigkeiten dokumentiert sein sollten.
Welche Rolle spielt ein Dokumentenmanagementsystem?
Es unterstützt die Versionierung, Nachvollziehbarkeit und revisionssichere Aufbewahrung und reduziert den manuellen Aufwand bei Audits erheblich, ist aber kein gesetzliches Muss, sofern die geforderten Eigenschaften anderweitig sichergestellt werden.
Was passiert bei fehlender Dokumentation im Rahmen einer Prüfung?
Fehlende Nachweise können zu Beanstandungen, Auflagen oder im Falle der DSGVO zu Bußgeldern führen, selbst wenn die zugrunde liegenden technischen Maßnahmen tatsächlich umgesetzt waren.
Müssen kleine Unternehmen dieselben Dokumentationstiefen erfüllen wie Konzerne?
Der Umfang orientiert sich am Risiko und an der Größe der Verarbeitung, nicht an starren Vorgaben. Ein risikobasierter, aber vollständiger Ansatz mit angemessenem Detailgrad wird von Aufsichtsbehörden und Auditoren in der Regel akzeptiert.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
