Regulatorik und Motivation: Warum Compliance das Minimum ist – nicht das Ziel

Drei Teile lang ging es in dieser Serie um das Was und das Wie: die richtige Frage statt der falschen, die Landkarte der Prüfarten und die Reifegrad-Treppe. Zum Abschluss bleibt die Frage nach dem Warum – und da gibt es in der Praxis genau zwei Antworten: „Wir müssen" und „Wir wollen".

Beide sind legitim. Aber sie führen zu sehr unterschiedlichen Ergebnissen.

„Wir müssen": Die Regulatorik zieht an

Die dritte Frage aus Teil 1 – „Erfüllen wir Anforderungen?" – hat in den letzten Monaten deutlich an Gewicht gewonnen. Drei Regularien bestimmen gerade die Agenda:

NIS2 ist in Deutschland seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Rund 30.000 Unternehmen aus 18 Sektoren müssen seitdem Risikomanagement-Maßnahmen umsetzen, Vorfälle melden und sich beim BSI registrieren. Neu ist vor allem die persönliche Verantwortung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen – und haftet bei Verstößen.

Der Cyber Resilience Act (CRA) betrifft alle, die Produkte mit digitalen Elementen auf den EU-Markt bringen – von der Smart-Home-Kamera bis zur B2B-Software. Die erste Pflicht greift am 11. September 2026: Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen dann binnen 24 Stunden gemeldet werden, die vollständige Meldung folgt binnen 72 Stunden. Ab Dezember 2027 gilt die Verordnung vollständig – inklusive Security by Design und Schwachstellenmanagement über den gesamten Produktlebenszyklus.

DORA gilt für den Finanzsektor bereits seit Januar 2025 und verlangt digitale operationale Resilienz – inklusive regelmäßiger Tests, für bedeutende Institute bis hin zum Threat-Led Penetration Testing (TLPT).

Und das sind nur die drei, die gerade am lautesten sind. Je nach Branche und Geschäftsmodell kommen weitere dazu: die DSGVO mit ihrer oft vergessenen Pflicht aus Artikel 32, die Wirksamkeit der eigenen Maßnahmen regelmäßig zu überprüfen – seit 2018, für praktisch jedes Unternehmen. Standards wie ISO 27001, BSI IT-Grundschutz, TISAX oder IEC 62443, die kein Gesetz sind, aber über Kundenverträge und Lieferketten faktisch verpflichtend werden. Und Produktanforderungen wie die RED-Vorgaben für Funkgeräte oder ab 2027 die Maschinenverordnung. Die Liste ist lang – und sie wächst.

Wer hier den Überblick behalten muss, findet inzwischen spezialisierte Tools, die Anforderungen aus mehreren Regularien und Standards auf konkrete Maßnahmen mappen und den Nachweis erleichtern. Der Effekt: Eine Maßnahme, sauber umgesetzt und dokumentiert, zahlt auf mehrere Rahmenwerke gleichzeitig ein.

Was die Regulatorik wirklich verlangt

Wer die drei Texte auf Prüfungs-Ebene liest, stellt etwas Interessantes fest: Keiner davon verlangt „einen Pentest pro Jahr". Verlangt werden funktionierende Prozesse – und der Nachweis, dass sie wirken.

Das deckt sich fast eins zu eins mit der Treppe aus Teil 3: NIS2-Risikomanagement beginnt mit der Bestandsaufnahme der eigenen Systeme – das ist Stufe 1, Grundhygiene und Überblick. Der CRA verlangt gelebtes Schwachstellenmanagement über den Produktlebenszyklus – das ist Stufe 2, Lücken sichtbar machen, verankert im Entwicklungsprozess. Und DORA verlangt Tests, die zur Kritikalität passen, bis hinauf zum TLPT – das sind Stufe 3 und 4, die Tiefe prüfen und die Verteidigung testen.

Die Regulatorik ersetzt die Treppe also nicht. Sie stellt sie nicht mal infrage. Sie gibt ihr nur etwas, das viele Unternehmen bisher nicht hatten: Fristen.

Compliance ist das Minimum

Und trotzdem beginnt hier das Missverständnis, das mir in Projekten am häufigsten begegnet: Compliance wird mit Sicherheit verwechselt.

In Teil 2 stand es schon auf der Landkarte: Audit ≠ Sicherheit. Ein Audit prüft, ob definierte Anforderungen erfüllt sind – zu einem Stichtag, gegen einen Katalog. Das ist wertvoll, aber es beantwortet nicht die Frage, ob ein Angreifer durchkommt. Wer nur fürs Audit prüft, optimiert den Bericht statt die Verteidigung. Das Ergebnis ist Papier-Sicherheit: testiert, abgeheftet – und im Ernstfall wirkungslos.

Die Regulatorik selbst versteht sich übrigens genauso: Sie definiert Mindestanforderungen, eine Untergrenze. Wer sie erfüllt, ist nicht sicher – er ist konform. Den Unterschied kennt vor allem einer: der Angreifer. Den interessiert das Testat nicht.

„Wir wollen": Die bessere Motivation

Deshalb mein Plädoyer zum Abschluss der Serie: Nutzt die Regulatorik als Anlass – aber nicht als Ziel.

Der Unterschied zeigt sich in einer einfachen Frage: Prüft ihr, nur um zu bestehen – oder wollt ihr auch besser werden? Wer nur bestehen will, sucht die Prüfung, die möglichst wenig findet. Wer besser werden will, sucht die Prüfung, die auf der eigenen Stufe am meisten bewegt – und arbeitet die Ergebnisse ab.

Das Schöne daran: Wer die Treppe aus eigenem Antrieb steigt, erledigt die Compliance fast nebenbei. Wer die Systeme kennt, Schwachstellen systematisch schließt und seine Verteidigung testet, hat die Nachweise, die NIS2, CRA und DORA verlangen, ohnehin in der Schublade. Umgekehrt funktioniert es nicht: Ein Testat baut keine Resilienz.

Die Serie in vier Sätzen

Damit schließt sich der Kreis:

1. Die falsche erste Frage: Nicht mit der Prüfart starten, sondern mit dem Ziel – sonst kauft ihr die falsche Prüfung.
2. Die Landkarte: Jede Prüfart beantwortet eine andere Frage. Scan ≠ Pentest, Pentest ≠ Red Teaming, Audit ≠ Sicherheit.
3. Die Reifegrad-Treppe: Die richtige Prüfung hängt von eurem Stand ab – eine Stufe übersprungen heißt teuer bestätigen, was billiger sichtbar geworden wäre.
4. Regulatorik und Motivation: Compliance ist das Minimum. Resilienz ist das Ziel.

Genau diese Einordnung ist der Kern meiner Arbeit: herauszufinden, wo ihr steht, welche Prüfung euch wirklich weiterbringt und wie ihr Sicherheit in eure Prozesse bringt – ob im SSDLC, in der Vorbereitung auf NIS2, CRA und DORA oder in der Security-Beratung zur Erhöhung eurer Resilienz.