Compliance-Budget KMU 2026: realistische Kalkulation

Hauptartikel: Compliance-Tool-Stack 2026 — zehn Werkzeug-Bausteine mit Pflichten-Mapping und Beschaffungsreihenfolge.

Kurzantwort vorab: Ein belastbares Compliance-Budget entsteht nicht aus einer Pauschale pro Kopf, sondern aus der Frage, welche Pflicht bei welcher Unternehmensgröße überhaupt ausgelöst wird. Die Größenklassen unten nennen deshalb zu jedem gesetzlich ausgelösten Kostenblock die auslösende Vorschrift; freiwillige Posten wie Versicherungen und Tooling haben keinen gesetzlichen Auslöser und stehen deshalb nicht in der Pflicht-Anker-Tabelle.

Zu den Zahlen: Dieser Artikel nennt keine EUR-Spannen für Compliance-Budgets, sondern den Rechenweg: welche Pflicht bei welcher Größe ausgelöst wird und welche Kostenposten daran hängen. Gesetzliche Beträge (Bußgeldrahmen, Schwellenwerte, Mindestentschädigungen) sind jeweils mit Fundstelle ausgewiesen. Aufwandsangaben in Personentagen sind Erfahrungswerte (Stand 2. Mai 2026), keine gesetzlichen Vorgaben; der Erfahrungswert zur laufenden Arbeitszeit stammt aus unserem Compliance-Jahresplan 2026.

Klein-KMU (10-49 MA)

Schwerpunkte: DSGVO + ggf. AGG. NIS2 nur, wenn Sektor erfasst. Kostentreiber: Benennung einer oder eines Datenschutzbeauftragten (ab der Schwelle des § 38 Abs. 1 BDSG), Bearbeitungszeit für Anträge betroffener Personen, Meldeweg und Auftragsverarbeitungsverträge.

Die erste größenabhängige Pflicht in dieser Klasse ist die Benennung eines Datenschutzbeauftragten: in Deutschland ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, und unabhängig von dieser Zahl bei DSFA-pflichtigen Verarbeitungen (§ 38 Abs. 1 BDSG; die vollständigen Tatbestandsmerkmale stehen in der Pflicht-Anker-Tabelle). Österreich kennt keine zusätzliche zahlenmäßige Schwelle; die Benennungspflicht folgt dort unmittelbar aus Art. 37 Abs. 1 DSGVO, ergänzt um die Geheimhaltungsregel des § 5 DSG. Wer knapp unter der deutschen Schwelle liegt, sollte den Posten trotzdem einplanen: Eine einzige DSFA-pflichtige Verarbeitung löst die Pflicht unabhängig von der Personenzahl aus.

Laufend binden vier Prozesse Zeit, und alle vier haben eine feste Reaktionsfrist oder einen festen Mindestinhalt: Anträge betroffener Personen sind unverzüglich, spätestens binnen eines Monats zu beantworten, in komplexen Fällen um zwei Monate verlängerbar (Art. 12 Abs. 3 DSGVO); Datenschutzverletzungen sind unverzüglich und möglichst binnen 72 Stunden zu melden (Art. 33 Abs. 1 DSGVO); jeder Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, braucht einen Auftragsverarbeitungsvertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO; und der Zugriff auf Endeinrichtungen ist in Deutschland ohne Einwilligung nur zulässig, wenn er allein der Nachrichtenübertragung dient oder für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 1 und 2 TDDDG). NIS2 kostet in dieser Klasse nur dann Geld, wenn die Einrichtung einer Art nach Anlage 1 oder 2 BSIG angehört oder unter eine der größenunabhängigen Kategorien des § 28 BSIG fällt.

Prüfschritt zur Anlagen-Zuordnung: Zuerst die eigene Tätigkeit gegen die Sektorenlisten abgleichen. Anlage 1 BSIG umfasst Energie, Transport und Verkehr, Finanzwesen (Bankwesen und Finanzmarktinfrastrukturen), Gesundheit, Wasser (Trinkwasser und Abwasser), Digitale Infrastruktur einschließlich der Verwaltung von IKT-Diensten sowie Weltraum; Anlage 2 umfasst Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. In Österreich stehen die entsprechenden Listen in den Anlagen 1 und 2 zum NISG 2026. Erst danach greifen die Schwellenwerte des § 28 BSIG: Ohne Anlagen-Art lösen auch 500 Mitarbeiter keine Pflicht aus — es sei denn, die Einrichtung fällt unter eine der größenunabhängigen Kategorien des § 28 BSIG (u. a. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte TK-Anbieter); Einrichtungen der Bundesverwaltung erfasst gesondert § 29 BSIG. Praxisempfehlung, keine gesetzliche Vorgabe: das Prüfergebnis samt Datum dokumentieren — es ist die Grundlage für die Registrierungsfrist von drei Monaten nach § 33 Abs. 1 BSIG.

Mittel-KMU (50-99 MA)

Schwerpunkte: DSGVO + HinSchG + AGG. NIS2 prüfen. Kostentreiber: zusätzlich der Betrieb der internen Meldestelle mit benannten Rollen und Vertretung, damit die Fristen des § 17 HinSchG eingehalten werden.

Ab in der Regel 50 Beschäftigten kommt die interne Meldestelle als Dauerposten hinzu (§ 12 Abs. 1 Satz 1 und Abs. 2 HinSchG; in Österreich ab 50 oder mehr Arbeitnehmern nach § 3 Abs. 1 und § 11 Abs. 1 HSchG). Budgetrelevant ist weniger der Meldekanal als sein Betrieb: Eingangsbestätigung spätestens nach sieben Tagen (§ 17 Abs. 1 Nr. 1 HinSchG), Rückmeldung über geplante und ergriffene Folgemaßnahmen binnen drei Monaten nach der Eingangsbestätigung (§ 17 Abs. 2 HinSchG) und ein Vertraulichkeitsregime, das die Identität nur den zuständigen und den sie unterstützenden Personen zugänglich macht (§ 8 Abs. 1 HinSchG). Das erzwingt benannte Rollen samt Vertretung — sonst reißen die Fristen im Urlaubsfall.

Die Sanktionsseite erklärt, warum der Posten nicht optional ist: In Deutschland kann das Fehlen der internen Meldestelle mit einer Geldbuße bis zu 20.000 Euro geahndet werden, Behinderung einer Meldung, Repressalien und Vertraulichkeitsverstöße mit bis zu 50.000 Euro (§ 40 Abs. 2 bis 6 HinSchG). Praxisempfehlung, keine gesetzliche Pflicht: eine jährliche Wirksamkeits-Selbstprüfung der Meldestelle dokumentieren — eine gesetzliche Audit-Pflicht besteht dafür nicht. Ob NIS2 greift, hängt weiterhin an der Anlagen-Zuordnung: Eine Einrichtung einer Anlage-1- oder Anlage-2-Art gilt ab 50 Mitarbeitern — oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR — als wichtige Einrichtung (§ 28 Abs. 2 BSIG).

Groß-KMU (100-249 MA)

Schwerpunkte: alle 5 Bereiche; NIS2, sobald eine Art nach Anlage 1 oder 2 BSIG vorliegt. Kostentreiber: bei NIS2-Pflicht der Maßnahmenkatalog des § 30 BSIG samt Dokumentation, Registrierung und Meldebereitschaft sowie Leitungszeit und Schulung der Geschäftsleitung.

Sobald eine Art nach Anlage 1 oder 2 BSIG vorliegt, kommt in dieser Klasse der vollständige NIS2-Pflichtenkatalog als eigener Kostenblock hinzu. Der Katalog des § 30 Abs. 1 und 2 BSIG verlangt mindestens zehn Maßnahmenbereiche — darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung — und die Dokumentation ihrer Einhaltung. Dazu kommen die Registrierung spätestens drei Monate nach erstmaligem Vorliegen der Eigenschaft (§ 33 Abs. 1 BSIG) und die dreistufige Meldekette: frühe Erstmeldung binnen 24 Stunden, Meldung mit Erstbewertung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (§ 32 Abs. 1 BSIG); diese Pflicht gilt nach § 32 Abs. 1 letzter Satz BSIG frühestens ab Einrichtung des Meldewegs, Meldungen erfolgen über das BSI-Portal. Auslöser der Meldekette ist ein erheblicher Sicherheitsvorfall, also einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG).

Zwei Punkte haben in Deutschland bereits Budget gebunden: Die Registrierung ist nach § 33 Abs. 1 BSIG spätestens drei Monate nach Eintritt der Einrichtungseigenschaft vorzunehmen; da das BSIG am 6. Dezember 2025 in Kraft getreten ist, ist diese Frist für Einrichtungen, die die Eigenschaft seit diesem Tag haben, bereits abgelaufen. Wer die Registrierung versäumt hat, sollte sie unverzüglich nachholen — sie ist die Voraussetzung für alle weiteren Schritte. Ebenfalls eingetreten ist der allgemeine Geltungsbeginn der KI-Verordnung am 2. August 2026 (Art. 113 KI-VO); mit der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit 27. Juli 2026, gelten die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 für Anhang-III-Systeme ab dem 2. Dezember 2027 und für Anhang-I-Systeme ab dem 2. August 2028. Die Transparenzpflichten der KI-Verordnung knüpfen nicht an die Unternehmensgröße an, sondern an den Systemtyp: Wer KI-Systeme zur direkten Interaktion mit Menschen bereitstellt, synthetische Inhalte erzeugt oder Deepfakes veröffentlicht, muss dies kennzeichnen beziehungsweise offenlegen (Art. 50 Abs. 1 bis 4 KI-VO). Und die Geschäftsleitung ist selbst Kostenstelle: Sie muss die Maßnahmen nach § 30 BSIG umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 Abs. 1 bis 3 BSIG). Budgetrelevant wird in dieser Klasse außerdem der Pay-Gap-Bericht: bei 150 bis 249 Arbeitnehmern erstmals zum 7. Juni 2027 und danach alle drei Jahre (Art. 9 Abs. 3 RL (EU) 2023/970), bei 100 bis 149 Arbeitnehmern erst zum 7. Juni 2031 und danach ebenfalls alle drei Jahre (Art. 9 Abs. 4) — jeweils nach Maßgabe des nationalen Umsetzungsrechts. Die Einordnung der Umsetzungsfrist steht im Abschnitt Mid-Cap.

Mid-Cap (250-999 MA)

Schwerpunkte: alle 5 + Pay Transparency. Kostentreiber: eine mögliche Einstufung als besonders wichtige Einrichtung nach NIS2 sowie Entgeltanalyse und Berichtserstellung für den Pay-Gap-Bericht.

Ab 250 Mitarbeitern kann die NIS2-Einstufung von „wichtig" auf „besonders wichtig" wechseln, und das ist bezifferbar. Eine sonstige Einrichtung einer Anlage-1-Art gilt als besonders wichtige Einrichtung, wenn sie mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist (§ 28 Abs. 1 BSIG). Für Verstöße gegen die Risikomanagement- und Meldepflichten steigt der Bußgeldrahmen damit von bis zu 7 Mio. EUR auf bis zu 10 Mio. EUR (§ 65 Abs. 5 Nr. 1 BSIG); § 65 Abs. 5 BSIG enthält weitere Stufen mit eigenen Tatbeständen. Auch die Aufsichtsintensität unterscheidet sich zwischen den beiden Klassen, die Art. 3 RL (EU) 2022/2555 definiert: proaktive Aufsicht bei wesentlichen beziehungsweise besonders wichtigen, Ex-post-Aufsicht bei wichtigen Einrichtungen.

Der zweite neue Block ist die Entgelttransparenz — und hier wird häufig zu früh Budget gebunden. Der 7. Juni 2026 war die Umsetzungsfrist der Mitgliedstaaten nach Art. 34 Abs. 1 RL (EU) 2023/970, kein Datum, ab dem private Arbeitgeber unmittelbar aus der Richtlinie verpflichtet sind; die Arbeitgeberpflichten greifen mit der nationalen Umsetzung (in Deutschland über eine Reform des EntgTranspG, für die zum Stand 17. August 2026 noch nicht einmal ein Referentenentwurf vorlag — BT-Drs. 21/7026 vom 8. Juli 2026; in Österreich über ein Umsetzungsgesetz, das zum selben Stand im Bund weder als Ministerialentwurf noch als Regierungsvorlage vorlag — der GlBG-Begutachtungsentwurf 2026 betrifft die Gleichbehandlung bei Gütern und Dienstleistungen, nicht die Entgelttransparenz; der aktuelle Umsetzungsstand ist vor der Budgetierung zu prüfen). Planbar ist dagegen der Berichtszyklus: Arbeitgeber mit 250 oder mehr Arbeitnehmern berichten erstmals zum 7. Juni 2027 und danach jährlich (Art. 9 Abs. 2), Arbeitgeber mit 150 bis 249 Arbeitnehmern ebenfalls erstmals zum 7. Juni 2027, danach alle drei Jahre (Art. 9 Abs. 3) — jeweils nach Maßgabe des nationalen Umsetzungsrechts. Inhalt sind unter anderem das geschlechtsspezifische Entgeltgefälle einschließlich variabler Bestandteile, Median-Werte, der Anteil der Beschäftigten je Entgeltquartil und das Gefälle je Arbeitnehmergruppe (Art. 9 Abs. 1). Unabhängig davon besteht in Deutschland bereits der individuelle Auskunftsanspruch nach §§ 10 bis 12 EntgTranspG in Betrieben mit in der Regel mehr als 200 Beschäftigten. Praxisempfehlung, keine gesetzliche Frist: Job-Evaluation und Pay-Gap-Berechnung vier bis sechs Monate vor dem Berichtstermin starten.

Enterprise (1.000+ MA)

Schwerpunkte: alle + ISO-Zertifizierungen + Cluster-Compliance. Kostentreiber: die Zahl paralleler Nachweisstränge und eigenständiger Einrichtungen; eine ISO-Zertifizierung ist selbst keine gesetzliche Pflicht (Einordnung unten).

Der Nachweis gegenüber der Aufsicht ist in dieser Klasse praktisch immer ein eigener Budgetposten — er hängt allerdings nicht an der Mitarbeiterzahl, sondern in Deutschland an der Eigenschaft als Betreiber einer kritischen Anlage und in Österreich an der Einstufung als wesentliche oder wichtige Einrichtung. In Deutschland trifft die wiederkehrende Nachweispflicht die Betreiber kritischer Anlagen: Sie weisen die Umsetzung der Maßnahmen nach § 30 Abs. 1 in Verbindung mit § 31 BSIG zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach und übermitteln die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel (§ 39 Abs. 1 BSIG). In Österreich gilt der Nachweis dagegen für alle wesentlichen und wichtigen Einrichtungen: strukturierte Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht, auf Aufforderung Nachweis durch eine unabhängige Stelle binnen zwei Jahren, bei wesentlichen Einrichtungen für die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung (§ 33 Abs. 1 und 2 NISG 2026) — Anwendungsbeginn des NISG 2026 ist der 1. Oktober 2026.

Auf der Sanktionsseite wird ab dieser Größe der Umsatz-Prozentsatz maßgeblich: Bei einem Gesamtumsatz von mehr als 500 Mio. EUR können gegen besonders wichtige Einrichtungen bis zu 2 % und gegen wichtige Einrichtungen bis zu 1,4 % des weltweiten Gesamtumsatzes verhängt werden (§ 65 Abs. 6 und 7 BSIG). Bei der KI-Verordnung liegt der obere Rahmen bei 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes für Verstöße gegen die verbotenen Praktiken des Art. 5, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3 KI-VO); für Anbieter-, Betreiber- und Transparenzpflichten bei bis zu 15 Mio. EUR oder 3 % (Art. 99 Abs. 4). Die Erleichterung des Art. 99 Abs. 6 KI-VO, nach der für KMU einschließlich Start-ups jeweils der niedrigere der beiden Beträge gilt, entlastet nur Unternehmen, die als KMU gelten.

Was in dieser Klasse den Wechsel von der Tabellen- zur Plattformlösung auslöst, ist die Zahl paralleler Nachweisstränge mit eigenen Fristen: der Drei-Jahres-Nachweis für Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG), die österreichische Selbstdeklaration binnen zwölf Monaten samt Nachweis durch eine unabhängige Stelle binnen zwei Jahren nach Aufforderung (§ 33 Abs. 1 und 2 NISG 2026), der Pay-Gap-Bericht ab 250 Arbeitnehmern jährlich (Art. 9 Abs. 2 RL (EU) 2023/970 über das nationale Umsetzungsrecht) sowie die laufende Verzeichnis- und TOM-Pflege nach Art. 30 und Art. 32 DSGVO. Mit „Cluster-Compliance" ist dabei der Fall mehrerer eigenständiger Einrichtungen — etwa mehrerer Gesellschaften einer Gruppe — gemeint, von denen jede ihre Registrierung (§ 33 Abs. 1 BSIG) und ihre Meldekette (§ 32 Abs. 1 BSIG) selbst erfüllen muss: Der Nachweisaufwand vervielfacht sich mit der Zahl der Einrichtungen, nicht mit der Zahl der Beschäftigten. Eine ISO-Zertifizierung ist dabei selbst keine gesetzliche Pflicht: § 39 Abs. 1 BSIG lässt für den Nachweis Sicherheitsaudits, Prüfungen oder Zertifizierungen zu — deshalb steht der Posten bewusst nicht in der Pflicht-Anker-Tabelle, und wer den Nachweis über ein Audit führt, spart den Zertifizierungsposten.

Aufteilung pro Bereich: was die Gewichtung bestimmt

Eine feste Prozentaufteilung auf die fünf Bereiche nennt dieser Artikel nicht: Die Gewichtung hängt davon ab, welche Pflichten für Ihr Unternehmen überhaupt greifen — ohne Anlagen-Art entfällt etwa der NIS2-Block, unter in der Regel 50 Beschäftigten die interne Meldestelle nach dem HinSchG.

Die Gewichtung folgt der Zahl der wiederkehrenden Pflichten je Bereich. Der DSGVO-Anteil trägt Verzeichnis- und TOM-Pflege (Art. 30 und Art. 32 DSGVO), Auskunfts- und Löschanträge nach Art. 15 bis 22 mit der Monatsfrist des Art. 12 Abs. 3, Auftragsverarbeitungsverträge (Art. 28) und den 72-Stunden-Meldeweg (Art. 33). Der NIS2-Anteil bündelt die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG samt Dokumentation, die Registrierung (§ 33 BSIG) und die Meldebereitschaft (§ 32 BSIG). Der KI-VO-Anteil deckt Kennzeichnung und Offenlegung nach Art. 50 KI-VO sowie — bei einer Hochrisiko-Einstufung nach Art. 6 KI-VO — Risikomanagement, Dokumentation und Konformitätsbewertung; die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 binden allerdings erst ab dem 2. Dezember 2027 (Anhang III) beziehungsweise dem 2. August 2028 (Anhang I) Budget (Art. 113 Abs. 3 lit. c KI-VO i. d. F. der Verordnung (EU) 2026/1744). HinSchG und AGG sind in der Regel die kleineren Blöcke, weil sie überwiegend Betriebs- und Schulungsaufwand sind: interne Meldestelle mit Fristenkette (§§ 12 und 17 HinSchG) sowie Schutzmaßnahmen, Schulung und Beschwerdestelle des Arbeitgebers (§ 12 Abs. 1 bis 3 und § 13 Abs. 1 AGG). Praxisempfehlung, keine gesetzliche Vorgabe: AGG-Schulungen alle zwei bis drei Jahre auffrischen, NIS2-Leitungsschulungen ein- bis zweimal jährlich.

So rechnen Sie Ihr Budget

Kurzantwort: In fünf Schritten. 1. Größenklasse bestimmen und die Pflichten ablesen, die sie auslöst (Abschnitte oben). 2. Anlagen-Zuordnung nach Anlage 1 oder 2 BSIG prüfen — greift weder eine Anlagen-Art noch eine der größenunabhängigen Kategorien des § 28 BSIG, entfällt der NIS2-Block (Prüfschritt oben). 3. Die Zeilen der Pflicht-Anker-Tabelle abhaken, die für Sie greifen; nicht greifende Zeilen streichen Sie aus dem Budget. 4. Je verbleibendem Posten Einmal- und laufenden Aufwand getrennt ansetzen: interne Arbeitszeit in Personentagen mal internem Tagessatz, externe Leistungen nach Angebot, Tooling nach Angebot. 5. Branchenbesonderheiten ergänzen: Betreiber kritischer Anlagen tragen zusätzlich den Drei-Jahres-Nachweis nach § 39 Abs. 1 BSIG; gelten für Ihre Branche weitere sektorale Vorgaben, erfassen Sie diese als eigene Zeile. Die Spar-Hebel in den FAQ wirken erst danach.

Pflicht-Anker: welche Vorschrift welchen Budgetposten auslöst

Kurzantwort: Jeder gesetzlich ausgelöste Budgetposten in diesem Artikel hat einen klar benennbaren gesetzlichen Auslöser — teils mit Alternativen, teils zweistufig; wer ihn kennt, kann Posten streichen, die für sein Unternehmen gar nicht greifen. Freiwillige Posten (Versicherungen, Tooling, Schulungsumfang über den Pflichtinhalt hinaus) stehen bewusst nicht in der Tabelle und sind unternehmerische Entscheidungen. Die Spalte „Auslöser" nennt für jede Zeile den gesetzlichen Tatbestand, ab dem die Pflicht besteht; die Spalte „Budgetposten" ist die redaktionelle Zuordnung zum Kostenblock und keine Rechtsaussage. Die Fundstellen aus BDSG, TDDDG, AGG, HinSchG, BSIG und EntgTranspG gelten in Deutschland; DSGVO und KI-Verordnung gelten als EU-Verordnungen in Deutschland und Österreich unmittelbar.

Österreich: gleiche Kostenblöcke, andere Fundstellen

Kurzantwort: Die Kostenblöcke sind in Österreich dieselben, die Rechtsgrundlagen und teilweise die Nachweislogik unterscheiden sich. Die folgende Tabelle nennt die österreichischen Fundstellen zu den national geregelten Kostenblöcken sowie AT-spezifische Risikobeträge; DSGVO und KI-Verordnung gelten in beiden Ländern unverändert. Der Anwendungsbeginn des NISG 2026 ist der 1. Oktober 2026.