Compliance-Kalender implementieren: Tools + Workflow

Hauptartikel: Compliance-Jahresplan 2026 — acht Quartals-Aktivitäten über sechs Rechtsbereiche, je zwei pro Quartal, plus der quartalsübergreifende Arbeitstakt.

Was ein Compliance-Kalender leisten muss

Ein Compliance-Kalender muss drei Dinge leisten: wiederkehrende Pflichten mit planbarem Datum führen, ereignisgetriebene Fristen starten und die Einhaltung dokumentieren.

Die erste Gruppe lässt sich als Serientermin anlegen — die Aktualisierung des Verarbeitungsverzeichnisses (Art. 30 DSGVO), das TOM-Review (Art. 32 DSGVO), das Update der NIS2-Risikoanalyse (§ 30 Abs. 2 BSIG) oder die AI-Literacy-Schulung (Art. 4 EU AI Act).

Die zweite Gruppe hat kein Datum, sondern eine Uhr: Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, läuft die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO; bei einem erheblichen Sicherheitsvorfall beginnt nach § 32 Abs. 1 Nr. 1 BSIG eine 24-Stunden-Frist für die frühe Erstmeldung. Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG). Ein Kalender mit ausschließlich Jahresterminen deckt genau die Fälle nicht ab, in denen die Frist in Stunden gemessen wird.

Drittens ist der Kalender Nachweismittel. § 30 Abs. 1 BSIG verlangt, dass die Einhaltung der Risikomanagementmaßnahmen dokumentiert wird — abgehakte Termine mit hinterlegten Ergebnissen sind dafür die einfachste Quelle.

Einrichtung in fünf Schritten

Der Aufbau folgt fünf Schritten: Betroffenheit klären, Pflichten sammeln, Verantwortliche und Vorlauf festlegen, Reaktionsvorlagen anlegen, Quartals-Review terminieren.

1. Betroffenheit klären. Welche Regelwerke überhaupt greifen, hängt an Sektor und Größe; die maßgeblichen Schwellen listet der folgende Abschnitt.
2. Pflichten sammeln. Jede Zeile bekommt vier Felder: Aufgabe, Rechtsgrundlage, Rhythmus, Verantwortlicher. Ohne Fundstelle keine Zeile — und beim Rhythmus wird vermerkt, ob der Takt aus dem Gesetz stammt oder eine Praxisempfehlung ist.
3. Verantwortliche und Vorlauf festlegen. Compliance-Officer als Owner, Geschäftsführung als Eskalationsstufe. Praxisempfehlung: ein Vorlauf-Termin 30 Tage vor jeder Jahrespflicht für Zuarbeiten aus IT, HR und Einkauf.
4. Reaktionsvorlagen anlegen. Für jede Uhr eine Aufgabenkette mit Empfänger und Frist — Datenschutzverletzung, Sicherheitsvorfall, Hinweisgeber-Meldung und Betroffenenantrag. Die Kette für den Sicherheitsvorfall steht weiter unten ausformuliert.
5. Quartals-Review terminieren. Serientermin mit festen Standing Topics — Einzelheiten im Quartalsplan weiter unten.

Betroffenheit klären: welche Schwellen greifen

Ob NIS2, Hinweisgeberschutz, die Benennungspflicht für einen Datenschutzbeauftragten und die Entgelttransparenz greifen, entscheiden Sektor und Größe.

Für Unternehmen knüpft die NIS2-Betroffenheit in Deutschland an eine in Anlage 1 oder Anlage 2 des BSIG bestimmte Art an; Einrichtungen der Bundesverwaltung werden gesondert nach § 29 BSIG erfasst. Anlage 1 listet die hochkritischen Sektoren (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur einschließlich der Verwaltung von IKT-Diensten, Weltraum), Anlage 2 die sonstigen kritischen Sektoren (Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung). Innerhalb dieser Arten gilt als wichtige Einrichtung, wer mindestens 50 Mitarbeiter beschäftigt oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist; als besonders wichtige Einrichtung gelten sonstige Einrichtungen einer in Anlage 1 bestimmten Art mit mindestens 250 Mitarbeitern oder über 50 Mio. EUR Jahresumsatz und zudem über 43 Mio. EUR Jahresbilanzsumme (§ 28 Abs. 1 und 2 BSIG). Größenunabhängig erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Anbieter öffentlicher Telekommunikationsnetze und -dienste. Österreich verwendet dieselben Größenwerte und setzt die Zugehörigkeit zu einer Anlage-1- oder Anlage-2-Art ebenfalls voraus (§ 24, § 25 NISG 2026).

Die übrigen Schwellen: Eine interne Meldestelle ist in Deutschland bei in der Regel mindestens 50 Beschäftigten einzurichten (§ 12 HinSchG), in Österreich bei 50 oder mehr Arbeitnehmern oder Bediensteten (§ 11 HSchG). Ein Datenschutzbeauftragter ist in Deutschland zu benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind — unabhängig von der Personenzahl zudem, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden (§ 38 Abs. 1 BDSG); daneben gelten die EU-Grundfälle des Art. 37 Abs. 1 DSGVO (Behörde, umfangreiche regelmäßige und systematische Überwachung, umfangreiche Verarbeitung besonderer Datenkategorien). Österreich kennt keine zusätzliche zahlenmäßige Schwelle. Der Auskunftsanspruch nach dem EntgTranspG besteht in Deutschland in Betrieben mit in der Regel mehr als 200 Beschäftigten.

Wiederkehrende Pflichten: der Jahres-Grundstock

Acht Pflichten sind nicht einmalig, sondern jährlich oder periodisch zu erbringen — sie bilden das Gerüst jedes Kalenders. Die Spalte „Grundlage des Rhythmus“ trennt, was das Gesetz vorgibt und was Praxisempfehlung ist: Wo „Praxisempfehlung“ steht, ist der Takt gelebte Praxis und kein im Kalender abbildbarer gesetzlicher Stichtag — bei § 30 Abs. 2 BSIG und § 12 Abs. 2 AGG etwa nennt der Normtext kein Intervall. Wer dort einen Termin verschiebt, verschiebt eine Empfehlung — bei den Pay-Gap-Berichten dagegen einen gesetzlichen Stichtag. Soweit nationales Recht betroffen ist (BSIG, HinSchG, AGG), nennt die Tabelle die deutschen Fundstellen; die österreichischen Entsprechungen stehen weiter unten. DSGVO und KI-Verordnung gelten als unmittelbar anwendbares EU-Recht in Deutschland und Österreich gleich.

Hinzu kommt ein Nachweistermin mit mehrjährigem Takt, hier gesetzlich vorgegeben: In Deutschland weisen Betreiber kritischer Anlagen die Umsetzung zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach (§ 39 Abs. 1 BSIG).

Ereignisgetriebene Fristen: die Uhren im Kalender

Diese Fristen starten nicht an einem Datum, sondern mit einem Ereignis — legen Sie je Zeile eine Aufgabenvorlage mit Startzeitpunkt an. Anders als beim Jahres-Grundstock sind die Angaben hier gesetzliche Fristen, keine Empfehlungen — mit Ausnahme der letzten Zeile, die ein Vorbereitungstermin ist.

Werkzeuge: Auswahl entlang von vier Anforderungen

Prüfen Sie ein Werkzeug an vier Anforderungen, bevor Sie den Preis vergleichen — ein Kalender ohne Vorlage für den 24-Stunden-Fall erfüllt den halben Zweck nicht. Die Anforderungen ergeben sich aus den Fristen oben, unabhängig vom Anbieter. Wir haben die vier unten genannten Werkzeuge nicht daraufhin getestet; nutzen Sie die Checkliste im Testkonto und tragen Sie das Ergebnis selbst ein.

Vier Werkzeuge stehen in der engeren Wahl. Preis-, Größen- und Eignungsangaben: Stand 05/2026, nicht neu erhoben — das gilt auch für die Einschätzungen in den Spalten „Zielgruppe“ und „Merkmale“; der Notion-Preis ist ohne Nutzerbezug angegeben, die drei übrigen je Mitarbeiter und Monat. Maßgeblich ist die aktuelle Preisliste des Anbieters.

Workflow: die Aufgabenkette hinter dem Termin

Der Workflow besteht aus drei festen Regeln und je einer Vorlage pro Uhr: Quartals-Termine laufen als wiederkehrende Tasks, der Compliance-Officer ist Owner, bei rotem Status wird an die Geschäftsführung eskaliert; die laufende Kommunikation läuft über die Slack/Teams-Integration, die Termine selbst über die Outlook-Anbindung. Für die Fristen, die in Stunden laufen, genügt das nicht — dort braucht jeder Schritt einen Zeitpunkt, einen Verantwortlichen und ein Ergebnis, das ablegbar ist.

Beispiel-Aufgabenkette: erheblicher Sicherheitsvorfall

Die Rollenzuordnung ist ein Praxisvorschlag und in kleineren Häusern oft in einer Person gebündelt; die gesetzlichen Fristen und Fundstellen sind es nicht — Zeilen ohne Gesetzesfrist sind ausdrücklich als solche gekennzeichnet.

Eskalationspfade: wer wann informiert wird

Drei Stufen genügen (Praxisempfehlung): 14 Tage vor Fälligkeit ein Reminder an den Owner, 30 Tage nach Überschreitung eine Sammel-Mail an die Geschäftsführung, roter Status als Standing Topic im Quartals-Meeting. Priorisieren Sie dabei nach Bußgeldrahmen: EU AI Act bis 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3), DSGVO bis 20 Mio. EUR oder 4 % (Art. 83 Abs. 5), HinSchG bis 50.000 EUR, für eine fehlende interne Meldestelle bis 20.000 EUR (§ 40 Abs. 6 Satz 1 HinSchG; AT: bis 20.000 EUR, im Wiederholungsfall 40.000 EUR, § 24 HSchG).

Bei NIS2 unterscheiden sich die Rahmen: In Deutschland sieht § 65 Abs. 5 Nr. 1 in Verbindung mit Abs. 6 und 7 BSIG für Verstöße unter anderem gegen die Risikomanagement- und Meldepflichten Geldbußen bis 10 Mio. EUR für besonders wichtige und bis 7 Mio. EUR für wichtige Einrichtungen vor; erst bei einem Gesamtumsatz von mehr als 500 Mio. EUR treten abweichend 2 % beziehungsweise 1,4 % des weltweiten Gesamtumsatzes an deren Stelle. In Österreich gilt nach § 45 Abs. 2 und 3 NISG 2026 unmittelbar der höhere der beiden Werte: 10 Mio. EUR oder 2 % für wesentliche, 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen.

Dass die Geschäftsführung Eskalationsadressat ist, ist zunächst Praxisempfehlung; für NIS2-betroffene Einrichtungen folgt es aus dem Gesetz: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen; verletzen sie diese Pflicht, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 BSIG). In Österreich steht die entsprechende Governance-Pflicht in § 31 NISG 2026: Risikomanagementmaßnahmen sicherstellen und beaufsichtigen, dazu die Teilnahme an spezifisch gestalteten Cybersicherheitsschulungen.

Beispielhafter Quartalsplan 2026

Ein tragfähiger Jahresplan verteilt neun Aktivitäten über vier Quartale, damit sich Audit-Vorbereitung, Schulung und Reporting nicht im Dezember stapeln:

1. Q1 — Audit-Vorbereitung: VVT-Update, AVV-Reconciliation, Schulungs-Refresh, Quartals-Risiko-Review.
2. Q1 — Wirksamkeits-Selbstprüfung der internen Meldestelle (Best-Practice, keine gesetzliche Pflicht): Frist-Einhaltung (§ 17 HinSchG), Vertraulichkeit (§ 8 HinSchG), Bearbeitung anonymer Meldungen, Schulungsstand, Repressalienschutz (§ 36 HinSchG). Vorbild ISO 37301.
3. Q2 — Vorbereitung auf die EU-Entgelttransparenz: Job-Evaluation und Pay-Gap-Berechnung aufsetzen; die Berichtspflicht ab 250 Beschäftigten sieht die Richtlinie zum 07.06.2027 vor (Art. 9 Abs. 2 RL (EU) 2023/970), wirksam wird sie aber erst über nationales Umsetzungsrecht — die Umsetzungsfrist 07.06.2026 ist verstrichen, Deutschland und Österreich haben zum 17.08.2026 nicht umgesetzt.
4. Q2 — Durchsicht der DSK-Beschluss-Sammlung: Seit der letzten Durchsicht veröffentlichte Beschlüsse der DSK auf Anpassungsbedarf prüfen (Praxis-Rhythmus, keine gesetzliche Frist).
5. Q3 — NIS2-Lieferanten-Audit: Selbstauskünfte auswerten, kritische Lieferanten vor Ort prüfen.
6. Q3 — GPAI-Update: Die GPAI-Pflichten gelten seit dem 02.08.2025; nur davor in Verkehr gebrachte Bestandsmodelle haben bis zum 02.08.2027 Zeit. Anbieter-AVVs prüfen.
7. Q4 — Awareness-Schulung und Refresher zur KI-Kompetenz nach Art. 4 KI-VO in der seit 27. Juli 2026 geltenden Fassung — verlangt sind Maßnahmen zur Unterstützung der KI-Kompetenz, ein bestimmtes Kompetenzniveau wird nicht geschuldet; ein Zertifikat ist nach den Kommissions-FAQ nicht erforderlich, ein interner Schulungsnachweis genügt. Q4 ist wegen der Budget-Klärung günstig.
8. Q4 — Management-Review und Year-end-Audit: Geschäftsführung und Compliance-Officer prüfen den Jahres-Compliance-Bericht.
9. Ganzjährig — Quartals-Termin im Kalender: jeden 1. Mittwoch im Quartal Compliance-Officer-Meeting mit den Standing Topics VVT, AVV, Vorfälle, Schulungen, Aufsichts-News.

Termingerüst 2026: Umsetzungsfrist der Mitgliedstaaten für die Entgelttransparenz (07.06.2026), österreichische EntgleichV (prognostizierter Anwendungsbeginn 01.07.2026, keine gesetzlich festgelegte Frist; das Prognosedatum ist verstrichen), allgemeiner Geltungsbeginn der KI-Verordnung (02.08.2026, Art. 113), Anwendungsbeginn NISG 2026 (01.10.2026). Für den Beginn der deutschen BSI-Aufsichtspraxis gibt es kein amtliches Datum.

Eine Pflicht ist bereits fällig geworden: Die BSI-Registrierung ist nach § 33 Abs. 1 BSIG spätestens drei Monate nach Eintritt der Einrichtungseigenschaft vorzunehmen, und das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Wer sie versäumt hat, holt sie unverzüglich über die gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit nach (§ 33 Abs. 1 BSIG) und meldet Änderungen der übermittelten Stammdaten danach binnen zwei Wochen (§ 33 Abs. 5 BSIG). Mit der Registrierung übermittelt die Einrichtung ihre Stammdaten — unter anderem Name, Anschrift und Kontaktdaten, Sektor und zuständige Aufsichtsbehörden (§ 33 Abs. 1 BSIG); die Risikomanagement- und Meldepflichten der §§ 30 und 32 BSIG gelten unabhängig davon.

Österreich: gleicher Takt, andere Fundstellen

Der Kalender-Rhythmus ist in Österreich identisch, die Rechtsgrundlagen sind es nicht. NIS2 folgt dem NISG 2026 statt dem BSIG: Registrierung (§ 29), Risikomanagementmaßnahmen (§ 32), Meldungen an das zuständige CSIRT (§ 34); zuständig ist das Bundesamt für Cybersicherheit statt des BSI. Der Drei-Jahres-Nachweis nach § 39 BSIG betrifft nur deutsche Betreiber kritischer Anlagen; in Österreich gilt § 33 NISG 2026 — Selbstdeklaration binnen zwölf Monaten ab Eintritt der Registrierungspflicht, auf Aufforderung Nachweis durch eine unabhängige Stelle binnen zwei Jahren, bei wesentlichen Einrichtungen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung.

Der Hinweisgeberschutz folgt dem HSchG: interne Stelle ab 50 Arbeitnehmerinnen und Arbeitnehmern (§ 11), Schutz vor Vergeltungsmaßnahmen (§ 20); externe Stelle ist das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung, in Deutschland die externe Meldestelle des Bundes beim Bundesamt für Justiz. Im Datenschutz gilt das DSG neben der DSGVO, Aufsicht ist die Datenschutzbehörde; die DSK ist ein rein deutsches Gremium. Beim Gleichbehandlungsteil steht das GlBG an der Stelle des AGG: Diskriminierungsverbot § 3 (Geschlecht) und § 17 (ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter, sexuelle Orientierung), geschlechtsneutrale Stellenausschreibung § 9 (Verstöße bis 360 Euro Geldstrafe, § 10), diskriminierungsfreie Entlohnungskriterien § 11; Beratung und Aufsicht übernehmen Gleichbehandlungsanwaltschaft und Gleichbehandlungskommission statt der Antidiskriminierungsstelle des Bundes. Reines EU-Recht — KI-Verordnung und Richtlinie (EU) 2023/970 — gilt in beiden Ländern gleich.