Als Richtlinie gilt NIS2 nicht unmittelbar, sondern musste in nationales Recht umgesetzt werden. Deutschland hat das mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung getan. Kern ist ein neu gefasstes BSI-Gesetz (BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), das am 6. Dezember 2025 in Kraft getreten ist. Zuletzt geändert wurde das BSIG durch ein Gesetz vom 23. Juli 2026 (BGBl. 2026 I Nr. 226).

Die EU-Richtlinie im Überblick

Die Mitgliedstaaten sollten NIS2 bis zum 17. Oktober 2024 umsetzen und die Vorschriften ab dem 18. Oktober 2024 anwenden. Die Richtlinie unterscheidet zwei Gruppen von Einrichtungen: wesentliche und wichtige Einrichtungen. Welche Gruppe greift, hängt vom Sektor und von der Größe ab.

Anhang I der Richtlinie nennt die Sektoren mit hoher Kritikalität:

• Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen, Trinkwasser und Abwasser
• Digitale Infrastruktur und Verwaltung von IKT-Diensten (Business-to-Business)
• Öffentliche Verwaltung und Weltraum

Anhang II nennt sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe, Anbieter digitaler Dienste sowie Forschung.

Grundsätzlich erfasst NIS2 Einrichtungen aus diesen Sektoren ab der Größe eines mittleren Unternehmens nach der Empfehlung 2003/361/EG der Kommission. Für einige Einrichtungen gilt die Richtlinie unabhängig von der Größe, etwa für Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter.

Umsetzung in Deutschland: das neue BSI-Gesetz

Das BSIG verwendet die Begriffe „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“. Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Nach Angaben des BSI sind rund 29.500 Einrichtungen erstmals gesetzlich verpflichtet. Vor dem Inkrafttreten waren es nach Angaben des BSI etwa 4.500 regulierte Organisationen.

Wer betroffen ist (§ 28 BSIG)

Welche Einrichtungsarten erfasst sind, regeln die Anlagen 1 und 2 des BSIG. Anlage 1 umfasst die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 umfasst unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Die Einstufung richtet sich dann nach Größe:

• Besonders wichtige Einrichtungen sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter sowie Einrichtungen einer Einrichtungsart nach Anlage 1 mit mindestens 250 Mitarbeitern oder einem Jahresumsatz über 50 Millionen Euro und einer Jahresbilanzsumme über 43 Millionen Euro.
• Wichtige Einrichtungen sind unter anderem Vertrauensdiensteanbieter sowie Einrichtungen einer Einrichtungsart nach Anlage 1 oder 2 mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro.

Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gelten eigene Schwellen. Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben. Bei der Größe werden Daten von Partner- oder verbundenen Unternehmen nicht hinzugerechnet, wenn das Unternehmen bei seinen informationstechnischen Systemen, Komponenten und Prozessen von diesen unabhängig ist.

Ausnahmen für Finanzunternehmen und Energieversorger

Für Finanzunternehmen im Sinne der Verordnung (EU) 2022/2554 gelten die Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSIG nicht (§ 28 Abs. 6 BSIG). Sie unterliegen stattdessen dem Digital Operational Resilience Act (DORA). Ähnliche Ausnahmen bestehen für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie für Betreiber von Energieversorgungsnetzen und Energieanlagen, die den Regeln der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen (§ 28 Abs. 5 BSIG).

Pflichten nach dem BSIG

Risikomanagementmaßnahmen (§ 30 BSIG)

Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme zu vermeiden. Die Maßnahmen sollen dem Stand der Technik entsprechen, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Die Einhaltung ist zu dokumentieren. Mindestens umfassen die Maßnahmen:

1. Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
4. Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Management und Offenlegung von Schwachstellen
6. Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
7. Schulungen und Sensibilisierung im Bereich der IT-Sicherheit
8. Einsatz kryptographischer Verfahren
9. Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation

Eine bestimmte Norm schreibt das BSIG nicht vor. Wer bereits ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 betreibt, kann die Liste mit den vorhandenen Maßnahmen abgleichen. Für bestimmte digitale Dienste wie Cloud-Computing-Dienste, Rechenzentrumsdienste, Managed Service Provider oder DNS-Diensteanbieter hat die Durchführungsverordnung (EU) 2024/2690 der Kommission Vorrang, die die technischen und methodischen Anforderungen konkretisiert.

Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 BSIG)

Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Solche Vorfälle sind an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe in mehreren Stufen zu melden:

• Frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, mit Angabe, ob ein rechtswidriger oder böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden.
• Meldung unverzüglich, spätestens 72 Stunden nach Kenntnis, mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren.
• Zwischenmeldung auf Ersuchen des BSI.
• Abschlussmeldung spätestens einen Monat nach der Meldung, mit Beschreibung, Ursache, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen. Dauert der Vorfall noch an, ist zunächst eine Fortschrittsmeldung fällig.

Die kurzen Fristen setzen voraus, dass Vorfälle schnell erkannt und bewertet werden. Das ist Aufgabe des Incident Managements. Einzelheiten zum Meldeverfahren legt das BSI fest. Vor der Registrierung erfolgt die Meldung nach Angaben des BSI über ein Online-Formular, danach über das BSI-Portal.

Registrierung beim BSI (§ 33 BSIG)

Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten, beim BSI registrieren. Anzugeben sind unter anderem Name und Rechtsform, Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor und Branche, die Mitgliedstaaten, in denen die Einrichtung tätig ist, sowie die zuständigen Aufsichtsbehörden. Änderungen sind spätestens nach zwei Wochen zu melden. Kommt eine Einrichtung der Pflicht nicht nach, kann das BSI die Registrierung selbst vornehmen.

Die Registrierung läuft in zwei Schritten: zuerst über das Nutzerkonto „Mein Unternehmenskonto“, danach im BSI-Portal, das seit dem 6. Januar 2026 freigeschaltet ist. Bis zum 30. September 2026 hatten sich nach Angaben des BSI 20.141 Einrichtungen registriert, davon 6.837 besonders wichtige und 13.252 wichtige Einrichtungen.

Pflichten der Geschäftsleitung (§ 38 BSIG)

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform. Außerdem muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken in der Informationstechnik erkennen und bewerten zu können. IT-Sicherheit ist damit ausdrücklich Aufgabe der Unternehmensleitung und Teil der IT-Governance.

Bußgelder

Verstöße etwa gegen die Risikomanagement- oder Meldepflichten können bei besonders wichtigen Einrichtungen mit Geldbußen bis zu 10 Millionen Euro geahndet werden, bei wichtigen Einrichtungen bis zu 7 Millionen Euro. Bei einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro steigt der Rahmen auf bis zu 2 Prozent (besonders wichtige Einrichtungen) beziehungsweise 1,4 Prozent (wichtige Einrichtungen) des Gesamtumsatzes (§ 65 BSIG). Wer die Registrierung versäumt oder Angaben nicht richtig übermittelt, riskiert eine Geldbuße bis zu 500.000 Euro. Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits eine Geldbuße nach der Datenschutz-Grundverordnung, darf keine weitere Geldbuße nach dem BSIG verhängt werden.

Einordnung in das Risikomanagement

Die Pflichten aus NIS2 berühren mehrere klassische GRC-Themen. Die Risikoanalyse gehört zum Risikomanagement, die Aufrechterhaltung des Betriebs zum Business Continuity Management und die Sicherheit der Lieferkette zum Third-Party Risk Management. Grundlagen zum Schutz von Informationen behandeln die Beiträge zur Informationssicherheit und zur Cybersecurity.

Häufige Fragen zu NIS2

Seit wann gilt NIS2 in Deutschland?

Die Pflichten gelten seit dem 6. Dezember 2025. An diesem Tag ist das neu gefasste BSI-Gesetz in Kraft getreten, mit dem Deutschland die Richtlinie (EU) 2022/2555 umgesetzt hat.

Woran erkennt ein Unternehmen, ob es unter NIS2 fällt?

Entscheidend sind zwei Fragen: Gehört die Tätigkeit zu einer Einrichtungsart aus Anlage 1 oder 2 des BSIG? Erreicht das Unternehmen die Schwellen bei Mitarbeiterzahl, Umsatz und Bilanzsumme? Für einige Einrichtungsarten gilt das Gesetz unabhängig von der Größe. Die Prüfung muss das Unternehmen selbst vornehmen; das BSI stellt dafür eine Betroffenheitsprüfung bereit.

Bis wann muss sich eine Einrichtung beim BSI registrieren?

Spätestens drei Monate, nachdem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. So steht es in § 33 Abs. 1 BSIG, ein festes Stichtagsdatum nennt das Gesetz nicht. Das BSI-Gesetz ist am 6. Dezember 2025 in Kraft getreten. Kommt eine Einrichtung ihrer Pflicht nicht nach, kann das BSI die Registrierung im Einvernehmen mit der zuständigen Aufsichtsbehörde selbst vornehmen (§ 33 Abs. 3 BSIG).

Welche Fristen gelten für die Meldung eines Sicherheitsvorfalls?

Eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden nach Kenntnis und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu.

Haftet die Geschäftsleitung für Versäumnisse?

Ja. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung für den Schaden nach den Regeln des Gesellschaftsrechts. Nur wenn das Gesellschaftsrecht der Rechtsform keine solche Regelung enthält, ergibt sich die Haftung aus dem BSIG selbst.

Gilt NIS2 auch für Banken und Versicherungen?

Finanzunternehmen, die unter DORA fallen, sind von den Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSIG ausgenommen. Für sie gelten die entsprechenden Vorgaben der Verordnung (EU) 2022/2554, die auch als sektorspezifische Regelung im Sinne der NIS2-Richtlinie gilt.

Die KI-Verordnung folgt einem risikobasierten Ansatz. Je höher das Risiko eines KI-Systems für Gesundheit, Sicherheit und Grundrechte, desto strenger die Anforderungen. Sie richtet sich vor allem an zwei Gruppen: an Anbieter, die KI-Systeme entwickeln und in Verkehr bringen, sowie an Betreiber, die KI-Systeme in eigener Verantwortung verwenden. Unternehmen, die KI einsetzen, sind damit in der Regel als Betreiber betroffen.

Die Risikostufen

Verbotene Praktiken

Artikel 5 verbietet bestimmte Anwendungen vollständig. Dazu gehören unter anderem:

• KI-Systeme, die Menschen durch unterschwellige oder manipulative Techniken so beeinflussen, dass ihnen erheblicher Schaden entsteht
• das Ausnutzen von Schwächen aufgrund von Alter, Behinderung oder sozialer oder wirtschaftlicher Lage
• die Bewertung von Personen nach ihrem sozialen Verhalten mit ungerechtfertigten Nachteilen (Social Scoring)
• Datenbanken zur Gesichtserkennung durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen
• das Ableiten von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen Gründen oder Sicherheitsgründen
• biometrische Kategorisierung zur Ableitung sensibler Merkmale wie politischer Einstellung oder Gewerkschaftszugehörigkeit

Mit der Verordnung (EU) 2026/1744 kommen zwei Verbote hinzu, die ab dem 2. Dezember 2026 gelten: KI-Systeme, die ohne ausdrückliche Zustimmung der betroffenen Person realistische intime oder sexuelle Darstellungen einer bestimmbaren Person erzeugen oder manipulieren, sowie KI-Systeme, die Material sexuellen Kindesmissbrauchs erzeugen oder manipulieren.

Hochrisiko-KI-Systeme

Als hochriskant gelten zum einen KI-Systeme, die Sicherheitsbauteil eines Produkts sind oder selbst ein Produkt, das nach den in Anhang I genannten EU-Harmonisierungsvorschriften einer Konformitätsbewertung durch Dritte unterliegt, etwa Spielzeug, Aufzüge oder Medizinprodukte. Zum anderen nennt Anhang III acht Bereiche:

• Biometrie
• kritische Infrastruktur
• allgemeine und berufliche Bildung
• Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit
• Zugang zu grundlegenden privaten und öffentlichen Diensten und Leistungen
• Strafverfolgung
• Migration, Asyl und Grenzkontrolle
• Rechtspflege und demokratische Prozesse

Ein in Anhang III genanntes System gilt nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, zum Beispiel weil es nur eine eng gefasste Verfahrensaufgabe erfüllt. Für Hochrisiko-KI-Systeme gelten umfangreiche Anforderungen an Risikomanagementsystem, Daten-Governance, technische Dokumentation, Aufzeichnung, Transparenz, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit. Betreiber müssen solche Systeme nach der Betriebsanleitung verwenden, die menschliche Aufsicht kompetenten Personen übertragen und den Betrieb überwachen.

Transparenzpflichten

Für bestimmte KI-Systeme gelten Transparenzpflichten nach Artikel 50. Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass Nutzer erkennen, dass sie mit einer KI interagieren, sofern das nicht offensichtlich ist. Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgaben maschinenlesbar als künstlich erzeugt oder manipuliert kennzeichnen. Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die betroffenen Personen informieren.

KI-Modelle mit allgemeinem Verwendungszweck

Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck enthält Kapitel V eigene Pflichten. Sie müssen eine technische Dokumentation erstellen, Informationen für Anbieter bereitstellen, die das Modell in eigene Systeme einbauen, eine Strategie zur Einhaltung des Urheberrechts festlegen und eine Zusammenfassung der Trainingsinhalte veröffentlichen. Bei Modellen mit systemischem Risiko kommen weitere Pflichten hinzu. Fähigkeiten mit hohem Wirkungsgrad, die zur Einstufung als Modell mit systemischem Risiko führen, werden vermutet, wenn für das Training mehr als 10²⁵ Gleitkommaoperationen verwendet wurden.

Ab wann welche Pflichten gelten

Die Anwendung ist nach Artikel 113 gestaffelt. Durch die Verordnung (EU) 2026/1744 gilt seit deren Inkrafttreten am 27. Juli 2026 folgender Stand:

• 2. Februar 2025: allgemeine Bestimmungen einschließlich der Pflicht zur KI-Kompetenz sowie die Verbote nach Artikel 5
• 2. August 2025: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Governance, Sanktionen sowie Vorschriften zu notifizierenden Behörden und notifizierten Stellen; Geldbußen gegen Anbieter solcher Modelle nach Artikel 101 ausgenommen
• 2. August 2026: übrige Vorschriften, darunter die Transparenzpflichten nach Artikel 50
• 2. Dezember 2026: die zwei neuen Verbote; außerdem müssen Anbieter von Systemen für synthetische Inhalte, die vor dem 2. August 2026 in Verkehr gebracht wurden, bis dahin die Kennzeichnungspflicht erfüllen
• 2. Dezember 2027: Einstufung, Anforderungen und Pflichten für Hochrisiko-KI-Systeme nach Anhang III (ursprünglich 2. August 2026)
• 2. August 2028: dieselben Vorschriften für Hochrisiko-KI-Systeme nach Anhang I, also in regulierten Produkten (ursprünglich 2. August 2027)
• 2. August 2030: Frist für Hochrisiko-KI-Systeme, die von Behörden verwendet werden sollen und schon vor Geltung der Hochrisiko-Vorschriften in Verkehr gebracht wurden

Was der digitale Omnibus geändert hat

Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat drei Tage später in Kraft. Neben der Verschiebung der Hochrisiko-Termine und den neuen Verboten enthält sie unter anderem diese Änderungen:

• KI-Kompetenz: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Die Neufassung stellt klar, dass sie kein bestimmtes Kompetenzniveau garantieren müssen. Kommission und Mitgliedstaaten sollen insbesondere KMU dabei unterstützen.
• Daten gegen Verzerrungen: Ein neuer Artikel 4a erlaubt Anbietern von Hochrisiko-KI-Systemen unter engen Bedingungen, besondere Kategorien personenbezogener Daten zu verarbeiten, um Verzerrungen zu erkennen und zu korrigieren.
• Sicherheitsbauteile: KI-Systeme, die ausschließlich für nicht sicherheitsrelevante Zwecke wie Nutzerunterstützung oder Leistungsoptimierung eingesetzt werden, gelten nicht als Sicherheitsbauteile, solange ihr Ausfall Gesundheit und Sicherheit nicht gefährden würde.
• Kleine Midcap-Unternehmen: Für sie gilt bei Geldbußen wie bei KMU der jeweils niedrigere Betrag.

Sanktionen

Verstöße gegen die Verbote nach Artikel 5 können mit Geldbußen bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für Verstöße gegen andere Pflichten, etwa die Pflichten von Anbietern oder Betreibern von Hochrisiko-KI-Systemen, liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent. Falsche oder irreführende Angaben gegenüber Behörden können bis zu 7,5 Millionen Euro oder 1 Prozent kosten. Für KMU, Start-ups und kleine Midcap-Unternehmen gilt jeweils der niedrigere Betrag.

Durchführung in Deutschland

Die KI-Verordnung gilt unmittelbar. Zuständigkeiten und Bußgeldverfahren regelt in Deutschland das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026 (BGBl. 2026 I Nr. 223), das am 29. Juli 2026 in Kraft getreten ist. Zuständige Marktüberwachungsbehörde ist grundsätzlich die Bundesnetzagentur. Für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen und von beaufsichtigten Finanzunternehmen eingesetzt werden, ist die BaFin zuständig. KI-Systeme in Produkten nach Anhang I überwachen die Behörden, die bereits für diese Produkte zuständig sind. Für öffentliche Stellen der Länder sind die Landesbehörden zuständig.

Einordnung in Governance und Compliance

Für Unternehmen ist die KI-Verordnung vor allem ein Compliance-Thema: Welche KI-Systeme werden eingesetzt, in welche Risikostufe fallen sie und welche Pflichten folgen daraus? Ein KI-Managementsystem nach ISO/IEC 42001 kann helfen, diese Fragen geordnet zu beantworten, ersetzt aber nicht die Prüfung der gesetzlichen Pflichten. Berührungspunkte gibt es außerdem zur Datenschutz-Grundverordnung, wenn KI-Systeme personenbezogene Daten verarbeiten, zu unternehmenseigenen Ethikrichtlinien und zum Risikomanagement. Organisatorisch gehört das Thema in das Compliance-Management-System und die IT-Governance.

Häufige Fragen zu KI-Verordnung

Gilt die KI-Verordnung auch für Unternehmen, die KI nur nutzen?

Ja. Wer ein KI-System in eigener Verantwortung verwendet, ist Betreiber im Sinne der Verordnung. Für Betreiber gelten unter anderem die Pflicht zur KI-Kompetenz, Transparenzpflichten bei bestimmten Systemen und, sobald die Hochrisiko-Vorschriften anwendbar sind, besondere Pflichten beim Einsatz von Hochrisiko-KI-Systemen.

Wurden die Pflichten für Hochrisiko-KI verschoben?

Ja. Die Verordnung (EU) 2026/1744 hat den Beginn verschoben: für Hochrisiko-KI-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027, für Systeme in Produkten nach Anhang I vom 2. August 2027 auf den 2. August 2028. Aufgehoben wurden die Hochrisiko-Vorschriften nicht.

Was bedeutet KI-Kompetenz?

Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz der Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sind Vorkenntnisse, Erfahrung, Ausbildung und der Einsatzkontext zu berücksichtigen. Ein bestimmtes Kompetenzniveau müssen sie nach der Neufassung durch die Verordnung (EU) 2026/1744 nicht garantieren.

Welche Behörde ist in Deutschland zuständig?

Nach dem KI-MIG grundsätzlich die Bundesnetzagentur. Für KI-Systeme beaufsichtigter Finanzunternehmen im Zusammenhang mit regulierten Finanztätigkeiten ist die BaFin zuständig, für KI in bereits regulierten Produkten die jeweilige Produktaufsicht und für öffentliche Stellen der Länder die Landesbehörden.

Wie hängen KI-Verordnung und ISO/IEC 42001 zusammen?

Die KI-Verordnung ist geltendes Recht mit verbindlichen Pflichten. ISO/IEC 42001:2023 ist eine internationale Norm mit Anforderungen an ein KI-Managementsystem für Organisationen, die KI-basierte Produkte oder Dienste entwickeln, anbieten oder nutzen. Ein solches Managementsystem kann die Umsetzung der gesetzlichen Pflichten organisieren, ersetzt deren Prüfung aber nicht.

Digitale operationale Resilienz bedeutet, dass ein Finanzunternehmen seinen Betrieb auch bei Störungen der Informations- und Kommunikationstechnologie (IKT) aufrechterhalten oder schnell wiederherstellen kann. Für die erfassten Finanzunternehmen gilt DORA als sektorspezifische Regelung gegenüber der NIS2-Richtlinie.

Wer unter DORA fällt

Artikel 2 der Verordnung zählt 20 Arten von Finanzunternehmen auf. Dazu gehören unter anderem:

• Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute
• Wertpapierfirmen, Handelsplätze, Zentralverwahrer und zentrale Gegenparteien
• Anbieter von Krypto-Dienstleistungen und Emittenten wertreferenzierter Token
• Verwalter alternativer Investmentfonds und Verwaltungsgesellschaften
• Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler und Einrichtungen der betrieblichen Altersversorgung
• Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister und Verbriefungsregister

Zusätzlich nennt Artikel 2 die IKT-Drittdienstleister, also Anbieter, die Finanzunternehmen IKT-Dienstleistungen bereitstellen. Ausgenommen sind unter anderem Versicherungsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind, sowie Einrichtungen der betrieblichen Altersversorgung mit insgesamt weniger als 15 Versorgungsanwärtern.

Die Anforderungen gelten nach dem Grundsatz der Verhältnismäßigkeit: Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Geschäfte sind zu berücksichtigen. Für kleine und nicht verflochtene Wertpapierfirmen und einige weitere Unternehmen sieht Artikel 16 einen vereinfachten IKT-Risikomanagementrahmen vor.

Die fünf Bereiche von DORA

IKT-Risikomanagement

Finanzunternehmen brauchen einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der Teil ihres gesamten Risikomanagements ist. Die Verordnung gliedert die Anforderungen in Identifizierung, Schutz und Prävention, Erkennung, Reaktion und Wiederherstellung, Backup und Wiederherstellung von Daten, Lernprozesse sowie Kommunikation. Reaktion und Wiederherstellung schließen eine IKT-Geschäftsfortführungsleitlinie ein, die eng mit dem Business Continuity Management verbunden ist.

Die Verantwortung liegt beim Leitungsorgan. Es definiert, genehmigt und überwacht alle Vorkehrungen des IKT-Risikomanagementrahmens und trägt die letztendliche Verantwortung für das Management der IKT-Risiken. Es legt die Strategie für die digitale operationale Resilienz einschließlich der Toleranzschwelle für IKT-Risiken fest und stellt ein angemessenes Budget bereit. Die Mitglieder des Leitungsorgans müssen ihre Kenntnisse über IKT-Risiken aktiv auf dem neuesten Stand halten, unter anderem durch regelmäßige Schulungen.

Behandlung und Meldung IKT-bezogener Vorfälle

Finanzunternehmen müssen einen Prozess einrichten, um IKT-bezogene Vorfälle zu erkennen, zu behandeln und zu melden. Alle Vorfälle und erheblichen Cyberbedrohungen sind zu erfassen, ihre Ursachen zu ermitteln und zu beheben. Das entspricht einem strukturierten Incident Management. Nach festgelegten Kriterien werden Vorfälle klassifiziert; schwerwiegende IKT-bezogene Vorfälle sind der zuständigen Behörde zu melden. Erhebliche Cyberbedrohungen können freiwillig gemeldet werden.

Die Fristen regelt die Delegierte Verordnung (EU) 2025/301:

• Erstmeldung so früh wie möglich, spätestens vier Stunden nach Einstufung des Vorfalls als schwerwiegend und spätestens 24 Stunden, nachdem das Unternehmen vom Vorfall Kenntnis erlangt hat.
• Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung, aktualisiert, sobald der reguläre Geschäftsbetrieb wieder läuft.
• Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung.

Stuft ein Unternehmen einen Vorfall erst später als 24 Stunden nach Kenntnis als schwerwiegend ein, ist die Erstmeldung innerhalb von vier Stunden nach dieser Einstufung fällig (Art. 5 Abs. 2 der Delegierten Verordnung (EU) 2025/301).

Fällt eine Frist auf ein Wochenende oder einen Feiertag, darf die Meldung grundsätzlich bis 12 Uhr des folgenden Arbeitstags erfolgen. Für Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und Unternehmen, die nach NIS2 als wesentliche oder wichtige Einrichtung eingestuft sind, gilt diese Erleichterung nicht.

Testen der digitalen operationalen Resilienz

Finanzunternehmen, die keine Kleinstunternehmen sind, brauchen ein risikobasiertes Testprogramm für ihre IKT-Systeme als Teil des IKT-Risikomanagementrahmens. Unternehmen, die die zuständige Behörde dafür bestimmt, müssen mindestens alle drei Jahre erweiterte Tests in Form bedrohungsorientierter Penetrationstests (Threat-Led Penetration Testing, TLPT) durchführen. Diese Tests laufen auf Live-Produktionssystemen und schließen kritische oder wichtige Funktionen ein. Die Einzelheiten regelt die Delegierte Verordnung (EU) 2025/1190.

Management des IKT-Drittparteienrisikos

Wer IKT-Dienstleistungen auslagert, bleibt für die Einhaltung aller Pflichten voll verantwortlich. Finanzunternehmen müssen das IKT-Drittparteienrisiko als Teil ihres IKT-Risikos steuern, eine Strategie dafür festlegen und ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen. Dabei ist zu unterscheiden, ob eine Dienstleistung kritische oder wichtige Funktionen unterstützt. Über neue Vereinbarungen ist der Aufsicht mindestens einmal jährlich zu berichten. Das Vorgehen ähnelt dem allgemeinen Third-Party Risk Management, ist bei DORA aber detailliert vorgeschrieben.

Verträge über IKT-Dienstleistungen müssen nach Artikel 30 bestimmte Mindestinhalte haben, darunter:

• eine vollständige Beschreibung der Leistungen und die Bedingungen für Unteraufträge
• die Standorte, an denen Leistungen erbracht und Daten verarbeitet werden
• Regeln zu Verfügbarkeit, Integrität und Vertraulichkeit der Daten sowie zum Zugang zu den Daten bei Insolvenz oder Vertragsende
• die Pflicht des Dienstleisters, bei IKT-Vorfällen zu unterstützen und mit den Behörden zusammenzuarbeiten
• Kündigungsrechte und Mindestkündigungsfristen

Austausch von Informationen über Cyberbedrohungen

Finanzunternehmen dürfen Informationen über Cyberbedrohungen untereinander austauschen, etwa Indikatoren für Beeinträchtigungen, Taktiken und Techniken von Angreifern oder Sicherheitswarnungen. Voraussetzung ist, dass der Austausch die Resilienz stärkt und innerhalb vertrauenswürdiger Gemeinschaften auf Grundlage von Vereinbarungen erfolgt.

Aufsicht über kritische IKT-Drittdienstleister

DORA stellt auch Dienstleister selbst unter Aufsicht. Die drei Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) stufen IKT-Drittdienstleister als kritisch ein. Maßgeblich ist unter anderem, welche systemischen Auswirkungen eine umfassende Betriebsstörung beim Dienstleister auf die Erbringung von Finanzdienstleistungen hätte. Für jeden kritischen Dienstleister wird eine federführende Überwachungsbehörde bestimmt. Die Kriterien für die Einstufung legt die Delegierte Verordnung (EU) 2024/1502 fest, die Überwachungsgebühren die Delegierte Verordnung (EU) 2024/1505. Die erste Liste benannter kritischer IKT-Drittdienstleister haben die Europäischen Aufsichtsbehörden am 18. November 2025 veröffentlicht.

Technische Regulierungs- und Durchführungsstandards

Viele Einzelheiten stehen nicht in der Verordnung selbst, sondern in technischen Regulierungsstandards (RTS) und technischen Durchführungsstandards (ITS), die die Kommission als eigene Verordnungen erlassen hat. Die wichtigsten:

• Delegierte Verordnung (EU) 2024/1774: Tools, Methoden, Prozesse und Richtlinien für das IKT-Risikomanagement und den vereinfachten Rahmen
• Delegierte Verordnung (EU) 2024/1772: Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, Wesentlichkeitsschwellen
• Delegierte Verordnung (EU) 2025/301: Inhalt und Fristen der Meldungen schwerwiegender Vorfälle
• Durchführungsverordnung (EU) 2025/302: Standardformulare und Verfahren für die Meldungen
• Delegierte Verordnung (EU) 2025/1190: bedrohungsorientierte Penetrationstests (TLPT)
• Delegierte Verordnung (EU) 2024/1773: Leitlinie für Verträge über IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen
• Delegierte Verordnung (EU) 2025/532: Unterauftragsvergabe bei IKT-Dienstleistungen für kritische oder wichtige Funktionen
• Durchführungsverordnung (EU) 2024/2956: Standardvorlagen für das Informationsregister

DORA in Deutschland

In Deutschland ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zuständig. Schwerwiegende IKT-bezogene Vorfälle werden über die Melde- und Veröffentlichungsplattform (MVP) der BaFin gemeldet, im Fachverfahren „Digital Operational Resilience Act (DORA)“. Auch das Informationsregister nimmt die BaFin ausschließlich über die MVP entgegen.

Für Finanzunternehmen im Sinne von DORA gelten die Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSI-Gesetzes nicht (§ 28 Abs. 6 BSIG). Wer unter DORA fällt, meldet IKT-Vorfälle also nach DORA und nicht zusätzlich nach § 32 BSIG. Die Registrierungspflicht nach § 33 BSIG ist in dieser Ausnahme nicht genannt. Wie DORA und NIS2 zusammenhängen, erklärt der Beitrag zu NIS2.

Einordnung in das Risikomanagement

DORA greift Themen auf, die auch im Operational Risk Management behandelt werden. Grundlagen dazu behandeln die Beiträge zum IT-Risiko und zur Business Impact Analysis, mit der sich kritische oder wichtige Funktionen bestimmen lassen. Eine bestimmte Norm schreibt DORA nicht vor; ein Informationssicherheitsmanagement nach ISO/IEC 27001 kann als Ausgangspunkt für einen Abgleich dienen.

Häufige Fragen zu DORA

Seit wann gilt DORA?

Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025. Sie gilt unmittelbar in allen Mitgliedstaaten, ein nationales Umsetzungsgesetz ist dafür nicht erforderlich.

Gilt DORA auch für IT-Dienstleister?

Ja, auf zwei Wegen. Die Pflichten treffen in erster Linie die Finanzunternehmen, Artikel 30 verlangt aber Vertragsinhalte, die auch den Dienstleister binden, etwa die Unterstützung bei IKT-Vorfällen und die Zusammenarbeit mit den Behörden. Dienstleister, die die Europäischen Aufsichtsbehörden als kritisch einstufen, unterliegen zusätzlich einer direkten Überwachung auf EU-Ebene.

Wie schnell muss ein schwerwiegender IKT-Vorfall gemeldet werden?

Die Erstmeldung ist spätestens vier Stunden nach der Einstufung als schwerwiegend fällig und in jedem Fall spätestens 24 Stunden, nachdem das Unternehmen vom Vorfall erfahren hat. Erfolgt die Einstufung erst nach diesen 24 Stunden, gilt die Vier-Stunden-Frist ab der Einstufung. Es folgen eine Zwischenmeldung nach spätestens 72 Stunden und eine Abschlussmeldung nach spätestens einem Monat.

Was ist das Informationsregister?

Eine Aufstellung aller vertraglichen Vereinbarungen über IKT-Dienstleistungen von Drittdienstleistern, geführt auf Unternehmensebene und gegebenenfalls auf Gruppenebene. Es unterscheidet, ob eine Dienstleistung kritische oder wichtige Funktionen unterstützt. Die Vorlagen dafür legt die Durchführungsverordnung (EU) 2024/2956 fest.

Was ist ein TLPT?

Ein bedrohungsorientierter Penetrationstest (Threat-Led Penetration Testing) simuliert reale Angriffe auf die Live-Produktionssysteme eines Finanzunternehmens, die kritische oder wichtige Funktionen unterstützen. Unternehmen, die die Aufsicht dafür bestimmt, müssen solche Tests mindestens alle drei Jahre durchführen.

Müssen DORA-pflichtige Unternehmen zusätzlich NIS2 erfüllen?

Für die Risikomanagement- und Meldepflichten nein. DORA gilt gegenüber NIS2 als sektorspezifische Regelung. Das BSI-Gesetz nimmt Finanzunternehmen im Sinne von DORA von seinen Risikomanagement-, Melde- und Geschäftsleitungspflichten aus.

Relevanz von Finance-Compliance für Unternehmen

Finanzprozesse müssen regelkonform, nachvollziehbar und manipulationssicher ablaufen. Gesetzliche Anforderungen wie die GoBD, die Abgabenordnung oder das Handelsgesetzbuch verpflichten Unternehmen zur lückenlosen Erfassung aller Buchungsvorgänge. Fehlerhafte oder verspätete Angaben können Sanktionen, Prüfaufwand und Haftungsrisiken nach sich ziehen. Compliance im Finanzbereich umfasst unter anderem folgende Aufgaben:

• Ordnungsgemäße Buchführung nach GoBD
• Fristgerechte Steuererklärungen
• Dokumentations- und Aufbewahrungspflichten
• Plausibilitätskontrollen bei Buchungsvorgängen
• Nachvollziehbare Archivierung aller Finanzdaten
• Schutz vor internen und externen Manipulationen

Buchhaltungssoftware als technische Grundlage für GRC

Eine moderne Buchhaltungssoftware automatisiert zahlreiche Kontrollmechanismen, die in einem manuellen System fehleranfällig wären. Sie strukturiert Buchungsvorgänge regelbasiert und unterstützt die Einhaltung gesetzlicher Anforderungen. Integrierte Prüfregeln, systematische Nutzerrechte und transparente Workflows machen sie zu einem Baustein innerhalb der GRC-Architektur. Wie Unternehmen die Verlässlichkeit ihrer Finanzdaten insgesamt sichern, beschreibt der Beitrag zur finanziellen Integrität.

Die folgende Tabelle zeigt typische Funktionen einer Buchhaltungssoftware im Compliance-Kontext:

Vorteile digitaler Buchhaltung für Compliance

Eine Buchhaltungssoftware verringert manuelle Fehlerquellen, verbessert die Datenqualität und entlastet interne Ressourcen. Prüfprozesse werden automatisiert, wiederholbar und nachvollziehbar. Fristen, Transaktionen und Steuerdaten bleiben jederzeit im Blick.

Typische Verbesserungen durch den Einsatz digitaler Lösungen sind beispielsweise:

• Niedrigere Fehlerquoten bei der Belegerfassung
• Schnellere Erstellung prüfungsrelevanter Auswertungen
• Sofortige Verfügbarkeit von Finanzdaten für interne Audits
• Einheitliche Datenbasis für Geschäftsführung und Steuerberater
• Frühzeitige Erkennung möglicher Unregelmäßigkeiten

Zahlen zu Digitalisierung und Compliance im Rechnungswesen

Die digitale Transformation verändert Abläufe und Rollen im Rechnungswesen und wirkt sich auf die Einhaltung gesetzlicher, steuerlicher und interner Vorschriften aus. Für die Studie „Digitalisierung im Rechnungswesen 2024/2025“ von KPMG wurden 261 Personen befragt, hauptsächlich Finanzvorstände sowie Leiterinnen und Leiter des Rechnungswesens von Unternehmen aus Deutschland, Österreich und der Schweiz. Die Studie untersucht den Einsatz von Technologien wie künstlicher Intelligenz, Cloud-Systemen und Robotic Process Automation.

Digitalisierung als Hebel für regelkonforme Prozesse

Bei 49 Prozent der befragten Unternehmen führten KI-Anwendungen kurzfristig zu deutlichen Zeiteinsparungen in transaktionalen Prozessen. Das betrifft Routineaufgaben wie Buchung und Zahlungsabwicklung, zwei typische Risikopunkte der Finance-Compliance. Mittelfristig stehen bei 59 Prozent Kostensenkung und Qualitätssteigerung im Vordergrund. 71 Prozent der Befragten sehen ihre Erwartungen an den KI-Einsatz erfüllt, bei 5 Prozent wurden sie übertroffen.

Technologien mit Bezug zu Compliance-Vorgaben

Neben KI kommen weitere Technologien zum Einsatz, die compliance-relevante Funktionen unterstützen können:

• Cloud-Lösungen (bei 56 Prozent etabliert) sorgen für standortunabhängige und zentralisierte Datenverfügbarkeit, was die Einhaltung von Aufbewahrungsfristen und GoBD-Vorgaben erleichtern kann.
• Robotic Process Automation (28 Prozent) automatisiert standardisierte Vorgänge und dokumentiert sie, was bei Betriebsprüfungen und internen Audits hilft.
• In-Memory-Datenbanken (36 Prozent) ermöglichen schnelle und konsistente Datenanalysen, etwa für Monitoring und Risikofrüherkennung.

Compliance durch neue Rollen und Strukturen

Die Studie zeigt auch organisatorische Veränderungen. 79 Prozent der Befragten sehen die Optimierung von Prozessen und Arbeitsabläufen als eines der zentralen Ergebnisse der Digitalisierung, 59 Prozent geben an, dass sich ihre Organisationsstrukturen deutlich weiterentwickelt haben. Jeweils 68 Prozent der Unternehmen haben neue Rollen wie Finance Data Scientist oder Finance Quality Manager bereits eingeführt oder planen dies.

Solche Rollen bündeln Zuständigkeiten für Datenqualität, regulatorische Vorgaben und Risikoanalyse im Rechnungswesen. Systeme, die Transparenz, Automatisierung und zeitnahe Auswertungen ermöglichen, können das Risiko von Verstößen verringern und interne Prüfprozesse effizienter machen.

Was ist ISO/IEC 42001?

Zuständig ist das Normungsgremium ISO/IEC JTC 1/SC 42. Die Norm richtet sich an Organisationen jeder Größe, die KI-basierte Produkte oder Dienstleistungen entwickeln, anbieten oder nutzen. Sie gilt branchenübergreifend und ist nach Angaben der ISO ebenso für Behörden wie für Unternehmen und gemeinnützige Organisationen relevant.

Was ist ein KI-Managementsystem?

Ein KI-Managementsystem im Sinne der ISO/IEC 42001 ist ein Satz zusammenhängender oder zusammenwirkender Elemente einer Organisation, mit denen Richtlinien und Ziele sowie Prozesse zu deren Erreichung festgelegt werden, bezogen auf die verantwortungsvolle Entwicklung, Bereitstellung oder Nutzung von KI-Systemen. In der Praxis legt es Zuständigkeiten für den KI-Einsatz fest, macht KI-bezogene Risiken bewertbar und begleitet KI-Systeme über ihren gesamten Lebenszyklus.

Anforderungen im Überblick

Nach der Übersicht der ISO umfasst die Norm unter anderem Anforderungen zu folgenden Themen:

• Führung und Kontext der Organisation
• KI-Politik und KI-Ziele
• Risikomanagement für KI-Systeme
• Daten-Governance und Steuerung des Lebenszyklus von KI-Systemen
• Transparenz und Bereitstellung von Informationen
• Leistungsbewertung und Überwachung
• Kontinuierliche Verbesserung

Die Norm greift damit Herausforderungen auf, die KI mit sich bringt, etwa ethische Fragen, Transparenz und lernende Systeme, und bietet einen strukturierten Weg, Risiken und Chancen von KI zu steuern.

Nutzen für Organisationen

Die ISO nennt als Nutzen der Norm unter anderem:

• einen Rahmen für den Umgang mit Risiken und Chancen von KI
• den Nachweis eines verantwortungsvollen KI-Einsatzes
• Nachvollziehbarkeit, Transparenz und Zuverlässigkeit
• Kosteneinsparungen und Effizienzgewinne

Zertifizierung

Eine Zertifizierung nach ISO/IEC 42001 ist freiwillig. Organisationen können sie anstreben, wenn sie unabhängig bestätigen lassen wollen, dass ihr KI-Managementsystem die Anforderungen der ISO/IEC 42001:2023 erfüllt. Die ISO selbst zertifiziert nicht. Zertifizierungen führen unabhängige Zertifizierungsstellen durch, die von nationalen Akkreditierungsstellen akkreditiert sein können.

Verhältnis zur KI-Verordnung der EU

Die KI-Verordnung der EU, die Verordnung (EU) 2024/1689, ist geltendes Recht. Sie wurde durch die Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI) geändert. ISO/IEC 42001 ist dagegen eine freiwillige Norm. Die KI-Verordnung nennt ISO/IEC 42001 nicht. Nach Angaben der ISO ersetzt die Norm keine Gesetze, sondern bietet einen Managementrahmen, der hilft, Compliance-Pflichten zu erfüllen.

Berührungspunkte gibt es vor allem beim Qualitätsmanagementsystem: Nach Artikel 17 der KI-Verordnung müssen Anbieter von Hochrisiko-KI-Systemen ein Qualitätsmanagementsystem einrichten, das die Einhaltung der Verordnung gewährleistet. Es ist schriftlich zu dokumentieren und umfasst unter anderem das Risikomanagementsystem nach Artikel 9, Verfahren für Datenmanagement, Beobachtung nach dem Inverkehrbringen und Meldung schwerwiegender Vorfälle sowie einen Rechenschaftsrahmen für Leitung und Personal. Ein KI-Managementsystem nach ISO/IEC 42001 kann die Organisation solcher Prozesse unterstützen, ersetzt aber nicht die Prüfung der gesetzlichen Pflichten.

Eine Vermutung der Konformität mit den Anforderungen der KI-Verordnung entsteht nach Artikel 40 nur bei Übereinstimmung mit harmonisierten Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden. Seit der Änderung durch die Verordnung (EU) 2026/1744 können KMU einschließlich Start-ups ohne Partnerunternehmen oder verbundene Unternehmen bestimmte Elemente des Qualitätsmanagementsystems nach Artikel 17 vereinfacht einhalten (Artikel 63). Die Vorschriften für Hochrisiko-KI-Systeme gelten nach der geänderten Fassung ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I.

Häufige Fragen zu ISO/IEC 42001

Ist ISO/IEC 42001 verpflichtend?

Nein. ISO/IEC 42001 ist eine freiwillige internationale Norm. Auch die Zertifizierung ist freiwillig. Verbindliche Pflichten für KI-Systeme in der EU ergeben sich aus der KI-Verordnung, der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung.

Für wen ist ISO/IEC 42001 gedacht?

Für Organisationen jeder Größe und Branche, die KI-basierte Produkte oder Dienstleistungen entwickeln, anbieten oder nutzen, einschließlich Behörden und gemeinnütziger Organisationen.

Wer zertifiziert nach ISO/IEC 42001?

Unabhängige Zertifizierungsstellen, die von nationalen Akkreditierungsstellen akkreditiert sein können. Die ISO selbst stellt keine Zertifikate aus.

Erfüllt ein Zertifikat nach ISO/IEC 42001 die Pflichten der KI-Verordnung?

Nicht automatisch. Die KI-Verordnung nennt ISO/IEC 42001 nicht. Eine Konformitätsvermutung knüpft Artikel 40 der Verordnung an harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Ein KI-Managementsystem nach ISO/IEC 42001 kann die Umsetzung der gesetzlichen Pflichten organisieren, etwa das Qualitätsmanagementsystem nach Artikel 17, ersetzt deren Prüfung aber nicht.

„Den TÜV“ als einheitlichen Anbieter gibt es nicht. Die Abschlüsse vergeben verschiedene Gesellschaften mit eigenen Bezeichnungen: die TÜV Rheinland Akademie GmbH mit der Zertifizierungsstelle PersCert TÜV, die TÜV SÜD Akademie GmbH und die TÜV NORD Akademie mit der Zertifizierungsstelle TÜV NORD CERT GmbH. Für die Steuerung eines ISMS gibt es den Informationssicherheitsmanager (TÜV) des TÜV Thüringen; für Führungskräfte der Unternehmenssicherheit insgesamt den Certified Protection Professional (CPP) der ASIS International.

Was ist der IT-Security-Manager (TÜV)?

Der Lehrgang ist Modul 2 der IT-Security-Schulungsreihe der TÜV Rheinland Akademie (Seminarnummer 31112). Er umfasst 24 Unterrichtseinheiten an drei Seminartagen, in Präsenz oder im Virtual Classroom. Laut Seminarbeschreibung werden behandelt:

• Informationssicherheits-Governance: gesetzliche Vorgaben, Kennzahlen und Reporting, Managementsysteme, Asset-Management
• Aufbau eines ISMS nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022, Rollen, IS-Policy, Risikomanagement nach ISO/IEC 27005:2022 und PDCA-Verbesserungszyklus
• BSI-IT-Grundschutz mit den Standards 200-2 (Sicherheitskonzeption) und 200-3 (Risikoanalyse), Risikobehandlung und Sensibilisierungsmaßnahmen
• ISMS-Berichtswesen, interne Audits, Managementbewertung und Zertifizierungsaudit

Für wen eignet sich der Abschluss?

Die TÜV Rheinland Akademie richtet das Seminar an Leitende und Verantwortliche aus IT, IT-Sicherheit, IT-Organisation, Qualitätsmanagement, Datenschutz, Revision, Risikomanagement und IT-Beratung.

Voraussetzungen

Nach der Prüfungs- und Zertifizierungsordnung von PersCert TÜV (Revision 1, gültig seit 02.09.2024) wird zur Prüfung nur zugelassen, wer beide Voraussetzungen erfüllt:

• eine erfolgreiche Zertifizierung als „IT-Security-Beauftragte:r (TÜV)“ oder als „Informationssicherheitsbeauftragte:r für TISAX® (TÜV)“
• die Teilnahme am von PersCert TÜV anerkannten Kurs „IT-Security-Manager (TÜV)“ der TÜV Rheinland Akademie

Die Vorstufe, das Seminar „IT-Security-Beauftragter (TÜV)“, umfasst 32 Unterrichtseinheiten an vier Seminartagen. Die PersCert-Prüfung findet am letzten Seminartag statt.

Ablauf und Prüfung

Im Anschluss an das Seminar legen die Teilnehmenden die Prüfung bei PersCert TÜV ab. Sie ist schriftlich und besteht aus 30 Multiple-Choice-Aufgaben, die in 45 Minuten ohne Hilfsmittel zu bearbeiten sind. Bestanden ist sie mit mindestens 18 von 30 Punkten (60 %). Die Prüfungssprache ist Deutsch. Die Prüfungsordnung regelt das Verfahren nach eigener Angabe in Anlehnung an die ISO/IEC 17024. Das Programm ist bei Certipedia unter der ID 0000085847 mit dem Niveau „Intermediate“ eingetragen.

Gültigkeit und Rezertifizierung

Das Zertifikat gilt höchstens drei Jahre ab der Zertifizierungsentscheidung. Die Rezertifizierung kann frühestens drei Monate vor und spätestens drei Monate nach Ablauf beantragt werden. Sie erfolgt als Dokumentenprüfung. Nachzuweisen sind mindestens eine fachbezogene Weiterbildung im Umfang von insgesamt 8 Unterrichtseinheiten à 45 Minuten im Gültigkeitszeitraum sowie die fortgesetzte berufliche Tätigkeit im zertifizierten Bereich.

Vergleichbare Abschlüsse anderer TÜV-Gesellschaften

Für die Arbeit mit einem ISMS nach ISO/IEC 27001 bieten auch TÜV SÜD und TÜV NORD Personenzertifikate an, allerdings unter anderen Bezeichnungen:

• TÜV SÜD Akademie: „Information Security Officer – TÜV“ ist der zweite Baustein der modularen Ausbildung im Information Security Management nach ISO/IEC 27001. Voraussetzung ist das Zertifikat Information Security Foundation oder eine vergleichbare Qualifikation. Darauf bauen nach Angabe des Anbieters „Chief Information Security Officer – CISO-TÜV“ und „ISO/IEC 27001 Lead Auditor – TÜV“ auf.
• TÜV NORD: Nach dem viertägigen Seminar „Information Security Officer – ISO (TÜV)“ der TÜV NORD Akademie stellt die TÜV NORD CERT GmbH bei bestandener Prüfung das Personenzertifikat „Information Security Officer (TÜV)“ aus. Es gilt drei Jahre. Aufbauend gibt es laut Leitfaden der TÜV NORD CERT den „Chief Information Security Officer (TÜV)“.

Kosten

Die TÜV Rheinland Akademie nennt für das Seminar „IT-Security-Manager (TÜV)“ einen Preis ab 2.485,00 € zuzüglich MwSt., für das Vorstufen-Seminar „IT-Security-Beauftragter (TÜV)“ ab 3.105,00 € zuzüglich MwSt. (Stand Oktober 2026).

Häufige Fragen zu IT-Security-Manager (TÜV)

Was ist ein geprüfter IT-Sicherheitsmanager (TÜV)?

Unter genau dieser Bezeichnung vergeben TÜV Rheinland, TÜV SÜD und TÜV NORD keinen Abschluss (Stand 19.10.2026). Der nächstliegende Abschluss ist das Personenzertifikat „IT-Security-Manager:in (TÜV)“, das PersCert TÜV nach dem Lehrgang der TÜV Rheinland Akademie und einer schriftlichen Prüfung ausstellt.

Für wen ist die Qualifikation zum geprüften IT-Sicherheitsmanager (TÜV) sinnvoll?

Die TÜV Rheinland Akademie nennt als Zielgruppe des Lehrgangs „IT-Security-Manager (TÜV)“ Leitende und Verantwortliche aus IT, IT-Sicherheit, IT-Organisation, Qualitätsmanagement, Datenschutz, Revision, Risikomanagement und IT-Beratung. Zur Prüfung zugelassen wird nur, wer bereits als „IT-Security-Beauftragte:r (TÜV)“ oder als „Informationssicherheitsbeauftragte:r für TISAX® (TÜV)“ zertifiziert ist.

Welche Inhalte werden in der Fortbildung vermittelt?

Der Lehrgang behandelt Informationssicherheits-Governance, den Aufbau eines ISMS nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022, Risikomanagement nach ISO/IEC 27005:2022, den BSI-IT-Grundschutz mit den Standards 200-2 und 200-3 sowie Berichtswesen, interne Audits und Managementbewertung.

Wie läuft die Prüfung zum geprüften IT-Sicherheitsmanager (TÜV) ab?

Für den Abschluss „IT-Security-Manager:in (TÜV)“ gibt es eine schriftliche Prüfung bei PersCert TÜV mit 30 Multiple-Choice-Aufgaben in 45 Minuten ohne Hilfsmittel. Bestanden ist sie ab 18 von 30 Punkten. Einen praktischen Prüfungsteil sieht die Prüfungsordnung nicht vor.

Wie bleibt man nach der Zertifizierung zum geprüften IT-Sicherheitsmanager auf dem neuesten Stand?

Für die Verlängerung des Zertifikats „IT-Security-Manager:in (TÜV)“ verlangt PersCert TÜV innerhalb der Gültigkeit von höchstens drei Jahren mindestens eine fachbezogene Weiterbildung im Umfang von 8 Unterrichtseinheiten sowie den Nachweis fortgesetzter beruflicher Tätigkeit im zertifizierten Bereich.

„Den TÜV“ als einheitlichen Anbieter gibt es nicht. Alle drei Abschlüsse bauen auf einer Qualifikation als Datenschutzbeauftragter auf und vermitteln, wie Datenschutzaudits geplant, durchgeführt und nachbereitet werden. Dauer, Prüfungsform und Gültigkeit unterscheiden sich je nach Gesellschaft. Ein weiteres Personenzertifikat dafür ist der Datenschutz-Auditor (DGI) der DGI.

Anbieter und Inhalte

TÜV Rheinland Akademie und PersCert TÜV

Das Seminar „Datenschutzauditor (TÜV)“ (Seminarnummer 32114) umfasst 24 Unterrichtseinheiten. Inhalte sind die Auditierung von Managementsystemen nach ISO 19011 (Begriffe, Auditprogramm, Anforderungen an Auditoren), das Datenschutzmanagementsystem als Auditgegenstand sowie Vorbereitung, Durchführung, Berichterstattung und Abschluss eines Audits. Fundierte Vorkenntnisse zur DSGVO werden vorausgesetzt.

TÜV SÜD Akademie

Die Datenschutzauditor Ausbildung DSA-TÜV dauert vier Tage in Präsenz oder live online und ist auf 14 Teilnehmende begrenzt. Behandelt werden das Datenschutzaudit nach ISO 19011, Planung, Durchführung und Nachbereitung einer DSGVO-Konformitätsprüfung, Datenschutzrisikomanagement einschließlich technisch-organisatorischer Maßnahmen (TOMs), der Auditbericht sowie ein Kommunikationstraining für Auditinterviews und eine Fallstudie.

TÜV NORD

Das Seminar „Datenschutzauditor (TÜV)“ der TÜV NORD Akademie dauert drei Tage, optional folgt ein vierter Tag mit Prüfung. Es behandelt die Überprüfung der Einhaltung von DSGVO und BDSG: Audit-Grundlagen, Vorbereitung und Durchführung von Audits, Datenschutzmanagementsystem, Nachbereitung mit Auditbericht sowie Praxisübungen zu Audits in Personal, Marketing und IT. Das Personenzertifikat „Datenschutzauditor (TÜV)“ stellt die TÜV NORD CERT GmbH aus.

Für wen eignet sich der Abschluss?

Alle drei Anbieter nennen interne und externe Datenschutzbeauftragte als Hauptzielgruppe. TÜV SÜD und TÜV NORD ergänzen Verantwortliche aus Compliance, Datenschutz und Datensicherheit sowie Führungskräfte, Managementbeauftragte und Projektleiter. TÜV Rheinland nennt zusätzlich Revisoren, QM- und IT-Sicherheitsbeauftragte, Auditoren im Informationssicherheitsmanagement und Wirtschaftsprüfer.

Voraussetzungen

• TÜV Rheinland: Nach der Prüfungs- und Zertifizierungsordnung von PersCert TÜV (Revision 2, gültig seit 16.10.2026) sind eine erfolgreiche Zertifizierung als „Datenschutzbeauftragte:r (TÜV)“ oder „Behördliche:r Datenschutzbeauftragte:r (TÜV)“ und die Teilnahme am anerkannten Kurs der TÜV Rheinland Akademie nötig.
• TÜV SÜD: erfolgreicher Besuch des Seminars Datenschutzbeauftragter DSB-TÜV oder vergleichbare Schulungsnachweise.
• TÜV NORD: Für das Zertifikat sind nach dem Leitfaden der TÜV NORD CERT (Rev. 12, gültig ab 01.01.2026) die bestandene Prüfung zum Datenschutzbeauftragten (TÜV) und ein fachbezogener Lehrgang mit mindestens 24 Unterrichtseinheiten nötig. Für das Seminar genügen laut Akademie auch gleichwertige fachliche Kenntnisse.

Ablauf und Prüfung

• TÜV Rheinland: schriftliche Prüfung bei PersCert TÜV mit 27 Aufgaben (25 Multiple-Choice-Fragen und 2 Essayfragen) in 60 Minuten. Zugelassen sind das Schulungsskript und eine Datenschutz-Vorschriftensammlung. Bestanden ist die Prüfung ab 27 von 45 Punkten (60 %). Das Verfahren ist nach eigener Angabe in Anlehnung an die ISO/IEC 17024 geregelt.
• TÜV NORD: schriftliche Prüfung von 75 Minuten mit 20 Multiple-Choice-Aufgaben und einer Dokumentenprüfung (mindestens 24 von 40 Punkten) sowie eine mündliche Prüfung als simuliertes Audit in Teams von zwei Kandidaten mit 30 Minuten Vorbereitung und 10 bis 15 Minuten Prüfung je Kandidat (mindestens 9 von 15 Punkten). Beide Teile müssen bestanden werden. Als Hilfsmittel sind nur die relevanten Rechtstexte in Papierform zugelassen.
• TÜV SÜD: Nach bestandener Prüfung erhalten Teilnehmende das Zertifikat Datenschutzauditor DSA-TÜV.

Gültigkeit und Rezertifizierung

• TÜV Rheinland (PersCert TÜV): höchstens drei Jahre ab Zertifizierungsentscheidung. Für die Verlängerung sind mindestens 8 Unterrichtseinheiten fachbezogene Weiterbildung und die fortgesetzte berufliche Tätigkeit im zertifizierten Bereich nachzuweisen.
• TÜV NORD CERT: drei Jahre. Für die Rezertifizierung sind mindestens 2 Jahre Tätigkeit im zertifizierten Bereich, mindestens 3 Audits mit insgesamt 3 Personentagen Auditdauer sowie mindestens 8 Unterrichtseinheiten Schulung oder Erfahrungsaustausch nachzuweisen.
• TÜV SÜD: Eine Auffrischung der Zertifizierung ist nach Angabe der Akademie nicht vorgeschrieben, wird aber wegen sich ändernder Rechtslage empfohlen.

Kosten

Stand Oktober 2026 nennen die Anbieter folgende Nettopreise zuzüglich MwSt.: TÜV SÜD eine Teilnehmergebühr von 2.629,00 € und eine Prüfungsgebühr von 339,00 €. TÜV NORD nennt für das Seminar ab 1.790,00 € und für die separat zu buchende Prüfung 540,00 € laut Gebührenübersicht gültig ab 01.01.2026. Die TÜV Rheinland Akademie nennt für das Seminar einen Preis ab 2.375,00 €.

Häufige Fragen zu Datenschutzauditor (TÜV)

Was genau ist ein „Geprüfter Datenschutz-Auditor (TÜV)“?

Unter genau dieser Bezeichnung vergeben TÜV Rheinland, TÜV SÜD und TÜV NORD keinen Abschluss. Nächstliegend sind die Personenzertifikate „Datenschutzauditor (TÜV)“ der TÜV NORD CERT, „Datenschutzauditor:in (TÜV)“ von PersCert TÜV und „Datenschutzauditor DSA-TÜV“ der TÜV SÜD Akademie. Sie setzen eine Qualifikation als Datenschutzbeauftragter voraus und bescheinigen nach Lehrgang und Prüfung Kenntnisse zur Planung, Durchführung und Nachbereitung von Datenschutzaudits.

Wer sollte eine Ausbildung zum geprüften Datenschutz-Auditor in Betracht ziehen?

Die Anbieter richten ihre Lehrgänge vor allem an interne und externe Datenschutzbeauftragte sowie an Verantwortliche aus Compliance, Datenschutz und Datensicherheit, Revision und Managementsystemen.

Welche Themen werden typischerweise in der Ausbildung zum Datenschutz-Auditor abgedeckt?

Im Mittelpunkt stehen Auditmethodik (bei TÜV Rheinland und TÜV SÜD nach ISO 19011), das Datenschutzmanagementsystem als Auditgegenstand, Planung, Durchführung und Nachbereitung eines Audits, Fragetechnik und Gesprächsführung sowie der Auditbericht.

Wie lange dauert die Ausbildung und was sind die Zulassungsvoraussetzungen?

TÜV SÜD schult vier Tage, TÜV NORD drei Tage mit optionalem vierten Prüfungstag, TÜV Rheinland 24 Unterrichtseinheiten. Vorausgesetzt wird jeweils eine Qualifikation als Datenschutzbeauftragter: bei PersCert TÜV und TÜV NORD CERT die bestandene Zertifizierung beziehungsweise Prüfung zum Datenschutzbeauftragten (TÜV), bei TÜV SÜD der Besuch des Seminars DSB-TÜV oder vergleichbare Nachweise.

Die Ausbildung endet mit einer Teilnahmebestätigung. Das Personenzertifikat ist optional und setzt eine gesonderte Prüfung voraus.

Was ist der Datenschutz-Auditor (DGI®)?

Die Ausbildung zum Datenschutz-Auditor (DGI®) dauert drei Tage und findet in Berlin, online oder als Inhouse-Veranstaltung statt. Sie behandelt:

• Zielsetzung, Planung und Durchführung von Audits nach ISO 19011 einschließlich der Auditprinzipien
• Aufbau und Betrieb eines Datenschutz-Auditprogramms
• Audit-Checkliste gemäß ISO 27701
• Prüfung von Prozessen, Dokumentation sowie technischen und organisatorischen Maßnahmen
• Auditmethoden wie Interviews, Vor-Ort-Prüfung und Stichprobenprüfung
• Feststellungen, Korrekturmaßnahmen, Auditbericht, Abschlussgespräch und Nachbereitung

Für wen eignet sich der Abschluss?

Die DGI nennt angehende Datenschutz-Auditoren, Verantwortliche aus Informationssicherheit, Risikomanagement, Audit-Programmmanagement und (IT-)Revision, Führungskräfte, Datenschutzbeauftragte, Unternehmensberater und Wirtschaftsprüfer.

Voraussetzungen

Vorausgesetzt werden der vorherige Besuch einer Ausbildung zum Datenschutzbeauftragten oder vertiefte Kenntnisse im Datenschutzmanagement. Zur Prüfung wird laut Prüf- und Zertifizierungsordnung (PZO) der DGI zugelassen, wer an der Veranstaltung teilgenommen hat, durchgeführt von der Akademie der DGI AG oder einem autorisierten Kooperationspartner.

Ablauf und Prüfung

Die Prüfung ist schriftlich und besteht aus Multiple-Choice-Fragen, bei denen jeweils genau eine Antwort richtig ist. Hilfsmittel wie Lehrgangsunterlagen oder eigene Aufzeichnungen sind nicht zugelassen. Bestanden ist mit mindestens 65 Prozent der Punkte. Bei bestandener Prüfung stellt die Akademie der DGI AG das Personenzertifikat aus. Eine Akkreditierung der Zertifizierung nennt die PZO nicht.

Gültigkeit und Rezertifizierung

Die Personenzertifikate der DGI gelten zwei Jahre. Eine Rezertifizierung verlängert sie um jeweils zwei weitere Jahre, beliebig oft. Dafür muss mindestens eine dieser Bedingungen erfüllt und nachgewiesen sein:

• Weiterbildung von mindestens 16 Zeitstunden im Themenbereich seit Erwerb oder letzter Rezertifizierung
• über 24 Monate angewandtes Fachwissen im Themenbereich
• kontinuierliche Tätigkeit im Themenbereich

Kosten

Stand Oktober 2026 kostet die Ausbildung bei der DGI 1.950,00 Euro netto, für Mitglieder von Verbänden und KRITIS-Betreiber 1.850,00 Euro netto. Die Zertifizierung wird mit 240,00 Euro netto gesondert berechnet, ebenso die Rezertifizierung mit 240,00 Euro netto.

Häufige Fragen zu Datenschutz-Auditor (DGI)

Was ist ein zertifizierter Datenschutz-Auditor (DGI)?

Eine Person, die die dreitägige Ausbildung der DGI Deutsche Gesellschaft für Informationssicherheit AG besucht und die Prüfung zum Personenzertifikat „Datenschutz-Auditor (DGI®)“ bestanden hat. Die Ausbildung vermittelt die Auditierung des Datenschutzes nach ISO 19011.

Für wen ist die Zertifizierung zum Datenschutz-Auditor (DGI) besonders geeignet?

Für angehende Datenschutz-Auditoren, Datenschutzbeauftragte, Verantwortliche aus Informationssicherheit, Risikomanagement und Revision, Führungskräfte, Unternehmensberater und Wirtschaftsprüfer.

Welche Voraussetzungen müssen für die Zertifizierung zum Datenschutz-Auditor (DGI) erfüllt sein?

Die DGI setzt eine vorherige Ausbildung zum Datenschutzbeauftragten oder vertiefte Kenntnisse im Datenschutzmanagement voraus. Zur Prüfung zugelassen wird, wer an der Ausbildung der DGI oder eines autorisierten Kooperationspartners teilgenommen hat.

Wie läuft die Prüfung zum zertifizierten Datenschutz-Auditor (DGI) ab?

Schriftlich im Multiple-Choice-Format mit jeweils genau einer richtigen Antwort, ohne Hilfsmittel. Bestanden ist mit mindestens 65 Prozent der Punkte.

„Den TÜV“ als einheitlichen Anbieter gibt es nicht. Die drei Gesellschaften führen eigene Lehrgänge mit unterschiedlicher Dauer, Prüfungsform und Gültigkeit. Gemeinsam ist ihnen der inhaltliche Bezug zur Norm ISO 37301 für Compliance-Managementsysteme. Einen Zertifikatslehrgang für dieselbe Funktion bieten einzelne Industrie- und Handelskammern als Compliance Officer (IHK) an.

Was ist ein Compliance Officer?

Nach der Beschreibung der TÜV SÜD Akademie stellt ein Compliance Officer sicher, dass das Unternehmen im Einklang mit rechtlichen und ethischen Vorgaben handelt; dazu etabliert er ein Compliance-Management-System und überwacht dessen Umsetzung. Die Bezeichnung ist nicht geschützt und die Ausbildung ist staatlich nicht reglementiert. Für Organisationen, die ein Managementsystem nach ISO 37301 aufbauen, schreibt die Norm laut Leitfaden der TÜV NORD CERT in Kapitel 5.3.2 die Bestellung einer Compliance-Funktion verbindlich vor.

Anbieter und Inhalte

TÜV Rheinland Akademie und PersCert TÜV

Das Seminar „Compliance Officer (TÜV)“ (Seminarnummer 09351) umfasst 32 Unterrichtseinheiten. Behandelt werden unter anderem rechtliche Pflichten von Unternehmen und Geschäftsleitung, der Deutsche Corporate Governance Kodex, der Aufbau eines Compliance-Management-Systems nach ISO 37301, Risikobeurteilung (etwa Korruption, Kartellrecht, Lieferkettensorgfaltspflichten), Hinweisgebersystem, Umgang mit Vorfällen, Berichtswesen, Management-Review sowie Haftungsfragen.

TÜV SÜD Akademie

Die Ausbildung zum „Compliance Officer – TÜV“ dauert drei Tage mit anschließender Prüfung, in Präsenz oder live online. Im Mittelpunkt steht die DIN ISO 37301: Kontextanalyse, Compliance-Organisation mit Rollen und Verantwortlichkeiten, Ermittlung von Compliance-Verpflichtungen, Bewertung von Compliance-Risiken, Steuerung, Überwachung sowie die Etablierung eines Hinweisgebersystems. Teilnehmende erhalten das Buch „Compliance-Managementsystem nach DIN ISO 37301:2021“ mit dem Normtext.

TÜV NORD

Die TÜV NORD Akademie bietet die „Ausbildung: Compliance Officer (TÜV)“ an vier Tagen an. Inhalte sind Grundlagen des Compliance-Managements, Anforderungen, Aufgaben, Stellung und Haftung des Compliance Officers sowie die Anforderungen der ISO 37301. Das Personenzertifikat „Compliance Officer (TÜV)“ stellt die TÜV NORD CERT GmbH aus.

Für wen eignet sich der Abschluss?

Die Anbieter nennen als Zielgruppe vor allem bestellte oder künftige Compliance Officer, Compliance Manager und Compliance-Beauftragte. TÜV Rheinland ergänzt unter anderem Fach- und Führungskräfte aus Recht, Interner Revision sowie Qualitäts-, Risiko- und Prozessmanagement. TÜV SÜD nennt zusätzlich Führungskräfte mit Verantwortung für eine rechtssichere Ablauforganisation sowie Nachhaltigkeitsmanager und Managementsystembeauftragte. TÜV NORD richtet sich ergänzend an Beauftragte für Antikorruptions- und Geldwäscheprävention sowie an interne und externe Auditoren.

Voraussetzungen

• TÜV Rheinland: Zur Prüfung zugelassen wird, wer am von PersCert TÜV anerkannten Kurs „Compliance Officer (TÜV)“ der TÜV Rheinland Akademie teilgenommen hat.
• TÜV SÜD: Der Zugang zur Ausbildung ist nicht beschränkt.
• TÜV NORD: Für das Seminar gibt es keine Voraussetzungen, für die Prüfung ist der Seminarbesuch Pflicht. Für das Zertifikat verlangt der Leitfaden einen fachbezogenen Lehrgang mit mindestens 32 Unterrichtseinheiten. Empfohlen, aber nicht nachzuweisen sind ein abgeschlossenes Fachschul- oder Hochschulstudium beziehungsweise eine Berufsausbildung mit mindestens 2 Jahren Berufserfahrung sowie 5 Jahre zusätzliche Berufserfahrung.

Ablauf und Prüfung

• TÜV Rheinland: Nach der Prüfungs- und Zertifizierungsordnung von PersCert TÜV (Revision 4, gültig seit 20.05.2026) ist die Prüfung schriftlich: 30 Multiple-Choice-Aufgaben in 60 Minuten, zugelassen sind Schulungsskript und ISO 37301. Bestanden ist sie ab 18 von 30 Punkten (60 %). Eine nicht bestandene Prüfung kann einmal innerhalb eines Jahres wiederholt werden. Das Verfahren ist nach eigener Angabe in Anlehnung an die ISO/IEC 17024 geregelt.
• TÜV SÜD: Auf die drei Seminartage folgt eine Prüfung. Neben einer Teilnahmebescheinigung gibt es bei bestandener Prüfung das Zertifikat „Compliance Officer – TÜV“.
• TÜV NORD: Nach dem Leitfaden der TÜV NORD CERT (Rev. 05, gültig ab 16.02.2026) ist die Prüfung eine schriftliche Ausarbeitung zu einer Aufgabe aus dem eigenen Arbeitsumfeld, etwa zur Ausrichtung des Compliance-Managements oder zu einem Konzept für die Behandlung von Meldungen. Die Bearbeitungszeit beträgt vier Wochen nach Seminarende, bestanden ist die Arbeit ab 60 von 100 Punkten. Bei Nichtbestehen ist eine Nachbesserung innerhalb einer Woche nach Einsicht in die Bewertung gegen Gebühr möglich.

Gültigkeit und Rezertifizierung

• TÜV Rheinland (PersCert TÜV): höchstens drei Jahre ab Zertifizierungsentscheidung. Die Rezertifizierung ist eine Dokumentenprüfung; nachzuweisen sind mindestens 8 Unterrichtseinheiten fachbezogene Weiterbildung und die fortgesetzte berufliche Tätigkeit im zertifizierten Bereich.
• TÜV NORD CERT: drei Jahre. Für die Rezertifizierung sind mindestens 2 Jahre praktische Tätigkeit im zertifizierten Bereich und Schulungen von mindestens 8 Unterrichtseinheiten nachzuweisen.

Kosten

Stand Oktober 2026 nennen die Anbieter folgende Nettopreise zuzüglich MwSt.: TÜV SÜD eine Teilnehmergebühr von 2.419,00 € und eine Prüfungsgebühr von 205,00 €. TÜV NORD nennt für das Seminar ab 2.670,00 € und für die separat zu buchende Prüfung 410,00 € laut Gebührenübersicht gültig ab 01.01.2026. Die TÜV Rheinland Akademie nennt für das Seminar einen Preis ab 3.290,00 €.

Häufige Fragen zu Compliance Officer (TÜV)

Was ist ein Geprüfter Compliance Officer (TÜV)?

Unter genau dieser Bezeichnung vergeben TÜV Rheinland, TÜV SÜD und TÜV NORD keinen Abschluss. Es gibt die Personenzertifikate „Compliance Officer (TÜV)“ von PersCert TÜV und TÜV NORD CERT sowie „Compliance Officer – TÜV“ der TÜV SÜD Akademie. Sie bescheinigen nach einem Lehrgang und einer bestandenen Prüfung Kenntnisse zum Compliance-Management nach ISO 37301.

Für wen ist die Weiterbildung zum Geprüften Compliance Officer (TÜV) besonders geeignet?

Die Anbieter richten ihre Lehrgänge an bestellte oder künftige Compliance Officer und Compliance-Beauftragte sowie an Führungskräfte, Geschäftsleitungen und Fachkräfte aus Recht, Revision, Risiko- und Qualitätsmanagement. TÜV SÜD beschränkt den Zugang nicht.

Welche Inhalte werden in der Ausbildung zum Geprüften Compliance Officer (TÜV) typischerweise behandelt?

Alle drei Anbieter behandeln die Anforderungen der ISO 37301. Dazu kommen je nach Lehrgang rechtliche Pflichten und Haftung, Rolle und Stellung des Compliance Officers, Risikobeurteilung, Compliance-Organisation, Hinweisgebersystem, Umgang mit Vorfällen, Berichtswesen und Management-Review.

Wie lange dauert die Ausbildung und was kostet sie?

TÜV SÜD schult drei Tage, TÜV NORD vier Tage, TÜV Rheinland 32 Unterrichtseinheiten. Stand Oktober 2026 kostet die TÜV-SÜD-Ausbildung 2.419,00 € zuzüglich 205,00 € Prüfungsgebühr, das TÜV-NORD-Seminar ab 2.670,00 € zuzüglich 410,00 € Prüfungsgebühr und das Seminar der TÜV Rheinland Akademie ab 3.290,00 €, jeweils netto zuzüglich MwSt.

„Den TÜV“ als einheitlichen Anbieter gibt es nicht. TÜV Rheinland (Akademie und PersCert TÜV), TÜV SÜD (TÜV SÜD Akademie) und TÜV NORD (TÜV NORD Akademie und TÜV NORD CERT) führen eigene Lehrgänge mit eigenen Prüfungs- und Gültigkeitsregeln. Für die Steuerung des ISMS insgesamt gibt es den Informationssicherheitsmanager (TÜV), für Audits nach ISO/IEC 27001 eigene Auditor-Zertifikate, siehe ISO 27001 Auditor (TÜV). Führungskräfte der Unternehmenssicherheit adressiert der Certified Protection Professional (CPP).

Was macht ein Informationssicherheitsbeauftragter?

Die TÜV SÜD Akademie beschreibt den Information Security Officer, auch Informationssicherheitsbeauftragter oder ISB genannt, als Person, die ein Informationssicherheitsmanagementsystem (ISMS) plant, implementiert und optimiert und die Einhaltung der Vorgaben und Strategien überwacht. Vom Chief Information Security Officer (CISO) grenzt sie die Rolle über die Verantwortung ab: Der ISB setzt Maßnahmen im ISMS um und überwacht sie, der CISO ist unter anderem für die strategische Weiterentwicklung zuständig.

Anbieter und Abschlüsse

TÜV Rheinland und PersCert TÜV

• „Informationssicherheitsbeauftragte:r (TÜV)“: Zugelassen wird, wer am von PersCert TÜV anerkannten Kurs „Informationssicherheitsbeauftragter (TÜV)“ der isits AG teilgenommen hat. Die schriftliche Prüfung umfasst 30 Multiple-Choice-Aufgaben in 60 Minuten ohne Hilfsmittel; bestanden ist sie ab 18 von 30 Punkten.
• „IT-Security-Beauftragter (TÜV)“: Seminar der TÜV Rheinland Akademie mit 32 Unterrichtseinheiten an vier Tagen, unter anderem zu ISO/IEC 27001:2022, BSI-IT-Grundschutz, Vorfallmanagement und Notfallmanagement nach BSI-Standard 200-4. Die PersCert-Prüfung am letzten Seminartag besteht aus 30 Multiple-Choice-Aufgaben in 60 Minuten; das Zertifikat heißt „IT-Security-Beauftragte:r (TÜV)“.
• „Informationssicherheitsbeauftragter für TISAX® (TÜV)“: Seminar mit 32 Unterrichtseinheiten für ISMS-Anforderungen der Automobilindustrie (VDA-ISA, TISAX-Prüfungen nach ENX); Zertifikat „Informationssicherheitsbeauftragte:r für TISAX® (TÜV)“.

TÜV SÜD Akademie

Die TÜV SÜD Akademie vergibt nach bestandener Prüfung das Zertifikat „Information Security Officer – TÜV“. Die Schulung ist der zweite Baustein der modularen Ausbildung nach ISO/IEC 27001 und setzt das Zertifikat Information Security Foundation oder eine vergleichbare Qualifikation voraus. Termine 2026 dauern fünf Tage einschließlich Prüfung; ab 2027 besteht der Kurs aus einer Selbstlernphase von etwa 4 Unterrichtseinheiten, vier Schulungstagen und einer Online-Prüfung. Inhalte sind unter anderem ISMS-Governance, Risikomanagement nach ISO/IEC 27005, interne ISMS-Audits und die Controls nach ISO/IEC 27001 und ISO/IEC 27002.

TÜV NORD

Die TÜV NORD Akademie bietet das viertägige Seminar „Information Security Officer – ISO (TÜV)“ zu ISO/IEC 27001:2022 und BSI-IT-Grundschutz an. Das Personenzertifikat „Information Security Officer (TÜV)“ stellt die TÜV NORD CERT GmbH aus. Es richtet sich an Personen, die als Beauftragte für Informationssicherheit bestellt sind oder werden sollen.

Voraussetzungen

• PersCert TÜV: Für „Informationssicherheitsbeauftragte:r (TÜV)“ und „IT-Security-Beauftragte:r (TÜV)“ jeweils die Teilnahme am anerkannten Kurs.
• TÜV SÜD: Zertifikat Information Security Foundation oder vergleichbare Qualifikation.
• TÜV NORD: Für das Zertifikat ist ein fachbezogener Lehrgang mit mindestens 32 Unterrichtseinheiten und bestandener Prüfung nötig. Der Leitfaden der TÜV NORD CERT empfiehlt eine abgeschlossene Berufsausbildung und drei Jahre Berufserfahrung, davon ein Jahr in der Informationssicherheit; nachgewiesen werden muss das nicht.

Ablauf und Prüfung

Bei TÜV NORD ist die Prüfung „Information Security Officer (TÜV)“ schriftlich: 30 Multiple-Choice-Aufgaben und 2 offene Aufgaben in 75 Minuten, bestanden ab 24 von 40 Punkten (60 %). Unterlagen sind als Hilfsmittel nicht zugelassen. Die Prüfungen von PersCert TÜV zu „Informationssicherheitsbeauftragte:r (TÜV)“ und „IT-Security-Beauftragte:r (TÜV)“ sind ebenfalls schriftlich (siehe oben). Nach den Prüfungsordnungen von PersCert TÜV ist das Verfahren in Anlehnung an die ISO/IEC 17024 geregelt.

Gültigkeit und Rezertifizierung

• PersCert TÜV, „Informationssicherheitsbeauftragte:r (TÜV)“: höchstens drei Jahre ab Zertifizierungsentscheidung; für die Verlängerung sind mindestens 16 Unterrichtseinheiten fachbezogene Weiterbildung und der Nachweis fortgesetzter Tätigkeit im zertifizierten Bereich nötig (Prüfungs- und Zertifizierungsordnung, Revision 0, gültig seit 01.11.2024).
• PersCert TÜV, „IT-Security-Beauftragte:r (TÜV)“: höchstens drei Jahre; Verlängerung mit mindestens 8 Unterrichtseinheiten Weiterbildung und Tätigkeitsnachweis (Prüfungs- und Zertifizierungsordnung, Revision 1).
• TÜV NORD CERT: drei Jahre; für die Rezertifizierung sind mindestens 8 Unterrichtseinheiten Schulung, Erfahrungsaustausch oder Symposium zu Neuerungen im Zertifizierungsgebiet nachzuweisen.
• TÜV SÜD: Das Zertifikat „Information Security Officer – TÜV“ ist nach Angabe der Akademie unbegrenzt gültig. Im Rahmen einer ISO/IEC 27001-Zertifizierung muss die Organisation jedoch nachweisen, dass sich die ISMS-Beteiligten auf dem neuesten Stand halten.

Kosten

Stand Oktober 2026 nennen die Anbieter folgende Nettopreise zuzüglich MwSt.: TÜV SÜD für Termine 2026 eine Teilnehmergebühr von 2.919,00 € und eine Prüfungsgebühr von 339,00 €, für Termine 2027 eine Teilnehmergebühr von 2.851,00 € zuzüglich derselben Prüfungsgebühr. TÜV NORD nennt für das Seminar ab 2.970,00 € (Termine 2026) und 3.060,00 € (ab Januar 2027) ohne Prüfung; die Prüfungsgebühr beträgt laut Gebührenübersicht gültig ab 01.01.2026 340,00 €. Die TÜV Rheinland Akademie nennt für „IT-Security-Beauftragter (TÜV)“ ab 3.105,00 € und für „Informationssicherheitsbeauftragter für TISAX® (TÜV)“ ab 2.360,00 €.

Häufige Fragen zu Informationssicherheitsbeauftragter (TÜV)

Was sind die Voraussetzungen, um ein geprüfter Informationssicherheitsbeauftragter (TÜV) zu werden?

Das hängt vom Anbieter ab. PersCert TÜV verlangt die Teilnahme am anerkannten Kurs, TÜV SÜD das Zertifikat Information Security Foundation oder eine vergleichbare Qualifikation, TÜV NORD einen fachbezogenen Lehrgang mit mindestens 32 Unterrichtseinheiten. In allen Fällen ist eine bestandene Prüfung Voraussetzung für das Zertifikat.

Worin besteht die Hauptaufgabe eines geprüften Informationssicherheitsbeauftragten (TÜV)?

Nach der Beschreibung der TÜV SÜD Akademie plant, implementiert und optimiert ein Informationssicherheitsbeauftragter ein ISMS und überwacht die Einhaltung der Vorgaben und Strategien. In der Schulung lernen die Teilnehmenden dafür, Sicherheitsrichtlinien zu entwickeln, Risiken zu managen, bei Audits mitzuwirken und Information Security Controls umzusetzen.

Wie lange ist die Zertifizierung als geprüfter Informationssicherheitsbeauftragter (TÜV) gültig?

Die Zertifikate von PersCert TÜV gelten höchstens drei Jahre, das Zertifikat der TÜV NORD CERT drei Jahre. Das Zertifikat „Information Security Officer – TÜV“ der TÜV SÜD Akademie ist nach Angabe des Anbieters unbegrenzt gültig.

Welche Karrierechancen bietet die Zertifizierung als geprüfter Informationssicherheitsbeauftragter (TÜV)?

Die Anbieter nennen aufbauende Abschlüsse: Bei TÜV SÜD sind das „Chief Information Security Officer – CISO-TÜV“ und „ISO/IEC 27001 Lead Auditor – TÜV“. Bei TÜV NORD setzt der „Chief Information Security Officer (TÜV)“ die bestandene Prüfung „Information Security Officer (TÜV)“ voraus. Bei TÜV Rheinland ist die Zertifizierung als „IT-Security-Beauftragte:r (TÜV)“ Voraussetzung für die Prüfung zum „IT-Security-Manager:in (TÜV)“.

Inwiefern unterscheidet sich die TÜV-Zertifizierung von anderen Zertifizierungen im Bereich Informationssicherheit?

Die TÜV-Abschlüsse sind Personenzertifikate der jeweiligen Zertifizierungsstelle, die nach einem Lehrgang und einer Prüfung erteilt werden. Inhaltlich behandeln sie die internationale Norm ISO/IEC 27001; die Lehrgänge von TÜV Rheinland und TÜV NORD behandeln zusätzlich den BSI-IT-Grundschutz.