Compliance-Reifegrad-Modell: 5-Stufen-Self-Assessment

Hauptartikel: Compliance Tool-Stack 2026 — der übergeordnete Artikel zu den Werkzeugen hinter diesen Schritten.

Was das Modell leistet — und was es nicht ist

Das 5-Stufen-Modell ordnet den Zustand Ihrer Compliance-Organisation; es begründet keine Pflicht und ersetzt keine Betroffenheitsprüfung. Als Vorbild dienen CMMI, ISO 37301 und NIST CSF; die Stufenbezeichnungen und die Zuordnung der Pflichten in diesem Artikel sind unsere Praxis-Einteilung und keine Wiedergabe dieser Standards.

Ob eine Pflicht greift, entscheiden Schwelle und Tätigkeit, nicht die Stufe. Eine interne Meldestelle ist in Deutschland ab in der Regel 50 Beschäftigten einzurichten und zu betreiben (§ 12 Abs. 1 und 2 HinSchG), in Österreich ab 50 oder mehr Arbeitnehmer:innen bzw. Bediensteten (§ 3 Abs. 1, § 11 Abs. 1 HSchG). Ein Datenschutzbeauftragter ist in Deutschland ergänzend zu Art. 37 Abs. 1 lit. b und c DSGVO — Kerntätigkeit ist die umfangreiche regelmäßige und systematische Überwachung betroffener Personen oder die umfangreiche Verarbeitung besonderer Datenkategorien bzw. von Daten über strafrechtliche Verurteilungen (Art. 9, Art. 10 DSGVO) — zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG); Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor. Bei NIS2 entscheiden die Sektor-Art nach Anlage 1 oder 2 und die Größenklassen des § 28 BSIG bzw. § 25 NISG 2026 — bestimmte Arten wie DNS-Diensteanbieter, TLD-Namenregister, qualifizierte Vertrauensdiensteanbieter und Anbieter öffentlicher Telekommunikationsnetze und -dienste sind größenunabhängig erfasst; die Bundesverwaltung wird in Deutschland gesondert nach § 29 BSIG erfasst.

Deshalb kann ein Betrieb auf Stufe 2 pflichtkonform sein, während ein Betrieb auf Stufe 4 eine offene Pflicht mitschleppt.

Stufe 1: Initial

Stufe 1 erkennen Sie daran, dass Compliance reaktiv und ad hoc läuft: kein Compliance-Officer, keine Dokumentation, keine Schulung — und damit ein hohes Bußgeld-Risiko.

Rechtlich ändert die niedrige Stufe nichts. Jede Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn eine der sechs Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO erfüllt ist. Anträge betroffener Personen sind unverzüglich, spätestens binnen eines Monats zu beantworten; in komplexen Fällen ist eine Verlängerung um zwei Monate möglich, über die binnen eines Monats mit Gründen zu unterrichten ist (Art. 12 Abs. 3 DSGVO). Eine Datenpanne ist unverzüglich und möglichst binnen 72 Stunden zu melden — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Cookies und vergleichbare Zugriffe auf Endeinrichtungen setzen in Deutschland eine vorherige, informierte Einwilligung voraus, sofern der Zugriff nicht unbedingt erforderlich ist (§ 25 TDDDG).

Der Bußgeldrahmen ist gestaffelt: Verstöße gegen die Grundsätze der Verarbeitung, die Einwilligungsbedingungen und die Betroffenenrechte werden mit bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes geahndet, Verstöße gegen die Pflichten der Art. 25 bis 39 — darunter die Meldepflicht nach Art. 33 — mit bis zu 10 Mio. EUR oder 2 %, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 und 5 DSGVO).

Nächster Schritt (Praxisempfehlung): Verarbeitungsverzeichnis (Art. 30 DSGVO) und Inventar der Auftragsverarbeiter aufbauen — das ist die Datengrundlage für alles Weitere.

Stufe 2: Reaktiv

Auf Stufe 2 liegt die Pflicht-Dokumentation vor — Verarbeitungsverzeichnis und Auftragsverarbeitungsverträge —, sie ist aber statisch: kein Officer, Schulungen nur beim Onboarding.

Statisch heißt: Die Dokumente altern schneller als die Prozesse. Auftragsverarbeiter dürfen nur eingesetzt werden, wenn sie hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegen (Art. 28 Abs. 1 und 3 DSGVO). Ab der 50-Beschäftigten-Schwelle kommt die interne Meldestelle hinzu: Eingangsbestätigung spätestens nach sieben Tagen (§ 17 Abs. 1 Nr. 1 HinSchG; AT sieben Kalendertage bei schriftlichen Hinweisen, § 9 Abs. 1 HSchG), Rückmeldung zu Folgemaßnahmen binnen drei Monaten (§ 17 Abs. 2 HinSchG; AT § 13 Abs. 9 HSchG), Vertraulichkeit der Identität (§ 8 HinSchG, AT § 7 HSchG), Repressalienverbot (§ 36 HinSchG, AT § 20 HSchG).

Die Sanktionen sind je Rechtsraum unterschiedlich zugeschnitten — hier lohnt der genaue Blick. In Deutschland handelt ordnungswidrig, wer keine interne Meldestelle einrichtet und betreibt: Geldbuße bis zu 20.000 EUR (§ 40 Abs. 2 Nr. 2 HinSchG); Behinderung einer Meldung, Repressalie und vorsätzlicher oder leichtfertiger Vertraulichkeitsverstoß bis zu 50.000 EUR (§ 40 Abs. 2 Nr. 1 und 3, Abs. 3 HinSchG), fahrlässiger Vertraulichkeitsverstoß bis zu 10.000 EUR (§ 40 Abs. 4 HinSchG); für Behinderung, Repressalie und Vertraulichkeitsverstoß verzehnfacht sich das Höchstmaß gegenüber juristischen Personen — bei den 50.000-EUR-Fällen also auf bis zu 500.000 EUR (§ 40 Abs. 6 HinSchG i. V. m. § 30 Abs. 2 S. 3 OWiG). In Österreich sind Behinderung oder Unter-Druck-Setzen einer geschützten Person, Vergeltungsmaßnahmen, die Verletzung der Vertraulichkeit nach §§ 7 oder 17 Abs. 1 HSchG sowie wissentlich falsche Hinweise Verwaltungsübertretungen: Geldstrafe bis zu 20.000 EUR, im Wiederholungsfall bis zu 40.000 EUR (§ 24 HSchG).

Nächster Schritt (Praxisempfehlung): Schulung aus dem Onboarding lösen — im deutschen Diskriminierungsschutz gilt eine geeignete Schulung der Beschäftigten als Erfüllung der Präventionspflicht (§ 12 Abs. 2 AGG); Gesetz und zuständige Beschwerdestelle sind im Betrieb bekannt zu machen (§ 12 Abs. 5, § 13 AGG).

Stufe 3: Proaktiv

Stufe 3 ist erreicht, wenn die Zuständigkeit benannt ist: Compliance-Officer in Teilzeit, regelmäßige Schulungen, Audit-Vorbereitung, quartalsweise Reviews.

Damit wird Compliance planbar — und zwei Regelwerke machen jetzt eine eigene Prüfung erforderlich. NIS2: In Deutschland ist die BSI-Registrierungsfrist am 6. März 2026 abgelaufen; wer sie versäumt hat, sollte die Registrierung unverzüglich nachholen. Der Regelfall lautet: Registrierung spätestens drei Monate, nachdem eine Einrichtung erstmals als besonders wichtig oder wichtig gilt (§ 33 Abs. 1 BSIG). In Österreich hat das NISG 2026 seinen Anwendungsbeginn am 1. Oktober 2026; die Registrierung bei der Cybersicherheitsbehörde hat binnen drei Monaten zu erfolgen (§ 29 NISG 2026). Betroffene Einrichtungen setzen den gesetzlichen Mindestkatalog um — Risikoanalyse, Vorfallsbewältigung, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung (§ 30 BSIG; AT § 32 NISG 2026) — und melden erhebliche Sicherheitsvorfälle dreistufig: Frühwarnung binnen 24 Stunden, Bewertung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach (§ 32 BSIG; AT § 34 NISG 2026). In Deutschland muss die Geschäftsleitung die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG); in Österreich haben die Leitungsorgane ab dem 1. Oktober 2026 die Einhaltung sicherzustellen und zu beaufsichtigen und an spezifisch gestalteten Cybersicherheitsschulungen teilzunehmen (§ 31 NISG 2026).

KI-VO (EU AI Act): Erfassen Sie, welche KI-Systeme im Einsatz sind, und stufen Sie sie ein. Hochriskant sind nach Art. 6 Abs. 2 KI-VO die in Anhang III genannten Systeme, darunter Biometrie, Beschäftigung und Personalmanagement sowie die Kreditwürdigkeitsprüfung; ausnahmsweise gilt ein solches System nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — es sei denn, es führt ein Profiling natürlicher Personen durch (Art. 6 Abs. 3 KI-VO). Für Systeme mit direkter Interaktion, synthetische Inhalte und Deepfakes gelten die Offenlegungspflichten des Art. 50 KI-VO. Der allgemeine Geltungsbeginn (u. a. Art. 50) ist am 2. August 2026 eingetreten; mit der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit 27. Juli 2026, gelten die Hochrisiko-Pflichten der Kapitel III Abschnitte 1 bis 3 für Anhang-III-Systeme ab dem 2. Dezember 2027 und die Pflichten zu Art. 6 Abs. 1 KI-VO (KI in Produkten des Anhangs I) ab dem 2. August 2028 (Art. 113 KI-VO). Art. 4 KI-VO gilt seit dem 2. Februar 2025 und seit 27. Juli 2026 in neuer Fassung: Anbieter und Betreiber ergreifen Maßnahmen zur Unterstützung der Entwicklung der KI-Kompetenz; ein bestimmtes Kompetenzniveau wird nicht geschuldet.

Warum Stufe 3 für die meisten KMU der Zielzustand ist (Praxisempfehlung): Auf dieser Stufe sind Zuständigkeit, Schulungsrhythmus und Review-Takt benannt — die Pflichten werden damit laufend bearbeitet statt anlassbezogen. Der Zusatzaufwand für Stufe 4 und 5 zahlt sich dort aus, wo ein Nachweis nach außen verlangt wird: bei der Nachweispflicht für Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG), bei der österreichischen Selbstdeklaration und dem Nachweis durch eine unabhängige Stelle (§ 33 NISG 2026) oder wenn Kunden, Ausschreibungen oder ein Konzernverbund ein Zertifikat fordern. Fehlen diese Anlässe, bringt der Sprung auf Stufe 4 vor allem zusätzlichen Dokumentationsaufwand.

Nächster Schritt (Praxisempfehlung): NIS2-Betroffenheit prüfen und das Ergebnis dokumentieren, KI-Inventar mit Risikoeinstufung je System anlegen — beides schriftlich, damit die Prüfung später belegbar ist.

Stufe 4: Integriert

Stufe 4 unterscheidet sich von Stufe 3 durch Nachweisfähigkeit: Compliance ist in alle Prozesse integriert, ISMS und DSMS sind dokumentiert, die Geschäftsführung erhält ein Compliance-Reporting, eine ISO-Zertifizierung — für das ISMS die ISO/IEC 27001 — liegt vor oder ist im Aufbau.

Nach § 30 Abs. 1 BSIG ist die Einhaltung der Risikomanagementmaßnahmen zu dokumentieren. Die regelmäßige Nachweispflicht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen — frühestens drei Jahre nach erstmaliger Einstufung, danach alle drei Jahre — trifft in Deutschland Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG). In Österreich gilt ab dem Anwendungsbeginn des NISG 2026 am 1. Oktober 2026 für alle wesentlichen und wichtigen Einrichtungen eine Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht; auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen, wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 NISG 2026).

Im Datenschutz gehört hierher die Datenschutz-Folgenabschätzung vor Verarbeitungen mit voraussichtlich hohem Risiko, etwa bei Profiling mit Rechtswirkung oder umfangreicher Verarbeitung besonderer Datenkategorien (Art. 35 DSGVO) — in Deutschland löst eine DSFA-pflichtige Verarbeitung die Benennung eines Datenschutzbeauftragten unabhängig von der Personenzahl aus (§ 38 Abs. 1 BDSG). Wirksame Verschlüsselung kann die Benachrichtigung Betroffener nach einer Datenpanne entbehrlich machen (Art. 34 Abs. 3 DSGVO).

Nächster Schritt (Praxisempfehlung): Nachweisführung aufsetzen — je Pflicht festlegen, welches Dokument sie belegt, wer es pflegt und wann es geprüft wird.

Stufe 5: Strategisch

Stufe 5 nutzt Compliance als Wettbewerbsvorteil: Compliance-as-Code, Predictive Compliance und ESG-Integration prägen die Arbeitsweise.

Compliance-as-Code heißt in diesem Modell, wiederkehrende Nachweise maschinell zu erzeugen statt manuell — etwa die nach § 30 Abs. 1 BSIG zu dokumentierende Einhaltung der Risikomanagementmaßnahmen oder den Abgleich von Verarbeitungsverzeichnis und technischen Maßnahmen (Art. 30, Art. 32 DSGVO). Predictive Compliance heißt, Pflichten vorzubereiten, bevor sie greifen: die ersten Pay-Gap-Berichte zum 7. Juni 2027 — ab 250 Arbeitnehmern danach jährlich, bei 150 bis 249 Arbeitnehmern alle drei Jahre, bei 100 bis 149 Arbeitnehmern erstmals zum 7. Juni 2031 (Art. 9 Abs. 2–4 RL (EU) 2023/970, maßgeblich ist das nationale Umsetzungsrecht; die Umsetzungsfrist 7. Juni 2026 ist verstrichen, ein deutsches Umsetzungsgesetz lag zum Stand 17.08.2026 noch nicht einmal als Referentenentwurf vor — BT-Drs. 21/7026 —, und auch Österreich hatte bis dahin weder Ministerialentwurf noch Regierungsvorlage vorgelegt) —, das Ende der GPAI-Übergangsfrist am 2. August 2027 und die mit der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit 27. Juli 2026, verschobenen Hochrisiko-Termine: Die Pflichten der Kapitel III Abschnitte 1 bis 3 gelten für Anhang-III-Systeme ab dem 2. Dezember 2027 und für Anhang-I-Systeme ab dem 2. August 2028. ESG-Integration heißt in diesem Modell, Nachhaltigkeitsanforderungen in denselben Nachweis- und Review-Prozess zu hängen wie die Pflichten der vorigen Stufen — eine Praxis-Einteilung dieses Modells, keine Rechtspflicht.

Messbarkeit ist dabei kein Selbstzweck: Die Bewertung der Wirksamkeit der Risikomanagementmaßnahmen ist Teil des gesetzlichen Mindestkatalogs (Art. 21 Abs. 2 NIS-2-RL; § 30 Abs. 2 BSIG; § 32 Abs. 4 NISG 2026). Anders bei der internen Meldestelle: Die jährliche Wirksamkeits-Selbstprüfung ist Best-Practice; eine gesetzliche Audit-Pflicht besteht dafür nicht (§§ 12–18 HinSchG). Vorlauf verschafft auch die Entgelttransparenz: In Deutschland besteht der individuelle Auskunftsanspruch schon heute in Betrieben mit in der Regel mehr als 200 Beschäftigten (§§ 10–12 EntgTranspG); Art. 7 der Richtlinie (EU) 2023/970 sieht das Auskunftsrecht demgegenüber größenunabhängig und mit einer Antwortfrist von höchstens zwei Monaten vor — die Umsetzungsfrist (7. Juni 2026) ist verstrichen, ein deutsches Umsetzungsgesetz lag zum Stand 17.08.2026 nicht vor (BT-Drs. 21/7026).

Nächster Schritt (Praxisempfehlung): Kommende Termine rückwärts planen — für den Pay-Gap-Bericht Job-Evaluation und Entgeltdaten jetzt aufbereiten.

Pflichten hinter den Stufen: Fundstellen für Deutschland und Österreich

Diese Pflichten entscheiden über den Stufen-Fortschritt — prüfen Sie zuerst den Auslöser, dann die Fundstelle. Die EU-Verordnungen selbst (DSGVO, KI-VO) gelten in Deutschland und Österreich identisch; ihre nationalen Ergänzungen (BDSG und TDDDG gegenüber DSG) sowie Hinweisgeberschutz, NIS2 und Gleichbehandlung unterscheiden sich in Gesetz, Paragraf und zuständiger Stelle. Bei der KI-VO gelten die Pflichten identisch, die Aufsicht nicht: Marktüberwachungsbehörde ist in Deutschland seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden — etwa die BaFin — zuständig sind; Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt, die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis. Zeitlicher Hinweis für Österreich: Das NISG 2026 hat seinen Anwendungsbeginn am 1. Oktober 2026 — die fünf NIS2-Zeilen mit AT-Fundstelle sind ab diesem Datum einschlägig.

Self-Assessment

Der Self-Test ordnet Sie über fünf Dimensionen einer Stufe zu: Doku-Status, Officer-Status, Schulungs-Frequenz, Audit-Vorbereitung und Reporting-Reife — der Score ergibt die Stufe.

Der folgende Fragebogen deckt diese fünf Dimensionen mit je zwei Fragen ab; jeder Block trägt seine Dimension als Überschrift, damit Sie an einer Stufengrenze die schwächste Dimension benennen können. Vergeben Sie je Frage 0 Punkte (nicht vorhanden), 1 Punkt (teilweise oder nicht dokumentiert) oder 2 Punkte (vollständig und belegbar). Die Fundstellen in den Fragen nennen überwiegend das deutsche Recht; die österreichischen Entsprechungen stehen in der Pflichtenmatrix oben.

Doku-Status

1. Ist das Verarbeitungsverzeichnis vollständig und in den letzten zwölf Monaten aktualisiert?
2. Liegt für jeden Dienstleister ein Vertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO vor?

Officer-Status (benannte Zuständigkeiten)

3. Ist geklärt und dokumentiert, ob ein Datenschutzbeauftragter zu benennen ist — und ist er benannt (Art. 37 DSGVO, § 38 Abs. 1 BDSG)?
4. Existiert ab der 50-Beschäftigten-Schwelle eine interne Meldestelle mit namentlich zuständigen Personen (§ 12 HinSchG, AT § 11 HSchG)?

Schulungs-Frequenz

5. Sind die Beschäftigten zum Diskriminierungsschutz geschult (§ 12 Abs. 2 AGG)?
6. Sind für die Anwender von KI-Systemen Maßnahmen zur Entwicklung der KI-Kompetenz ergriffen und intern dokumentiert (Art. 4 KI-VO in der seit 27.07.2026 geltenden Fassung — ein bestimmtes Kompetenzniveau ist nicht geschuldet, ein Zertifikat nicht erforderlich)?

Audit-Vorbereitung (Nachweis gegenüber der Aufsicht)

7. Können Sie Ihre technischen und organisatorischen Maßnahmen belegen (Art. 32 DSGVO, bei NIS2 § 30 Abs. 1 BSIG)?
8. Ist geprüft und dokumentiert, ob NIS2 Sie erfasst — und ist die Registrierung erfolgt (§ 33 BSIG)?

Reporting-Reife (Meldeweg nach außen, Bericht nach oben)

9. Gibt es einen benannten Meldeweg, der die 72-Stunden-Frist und, falls einschlägig, die 24-Stunden-Frühwarnung einhält?
10. Berichtet die Compliance-Funktion regelmäßig an die Geschäftsleitung — und nimmt die Geschäftsleitung, falls NIS2 greift, an den Cybersicherheitsschulungen teil?

Auswertung: 0–4 Punkte Stufe 1, 5–9 Stufe 2, 10–14 Stufe 3, 15–17 Stufe 4, 18–20 Stufe 5. Nicht einschlägige Fragen entfallen — wer unter der 50-Beschäftigten-Schwelle liegt, überspringt Frage 4, wer keine KI-Systeme einsetzt, Frage 6; rechnen Sie den Score dann anteilig hoch (erreichte Punkte geteilt durch mögliche Punkte, mal 20). Die Fragen 4 und 8 sind Ausschlussfragen: Wer die Schwelle erfüllt und dort 0 Punkte vergibt, hat eine offene Rechtspflicht — unabhängig vom Gesamt-Score. Von den beiden in Frage 10 genannten Punkten ist nur die Schulungsteilnahme der Geschäftsleitung gesetzlich vorgeschrieben (§ 38 Abs. 3 BSIG; AT § 31 NISG 2026); der Berichtsrhythmus an die Geschäftsleitung ist Praxisempfehlung.

Roadmap-Empfehlung

Die folgenden Zeitangaben sind Praxis-Erfahrungswerte für die organisatorische Umstellung, keine gesetzlichen Fristen: Stufe 1→2 Verarbeitungsverzeichnis und AVV-Inventar in 3 Monaten, 2→3 Compliance-Officer und Quartals-Reviews in 6 Monaten, 3→4 ISMS und ISO-Zertifizierung in 12 Monaten, 4→5 Predictive Compliance und ESG in 18 Monaten.

Die Reihenfolge ist nicht beliebig, weil jede Etappe die nächste trägt. Ohne Verarbeitungsverzeichnis lässt sich weder das Dienstleister-Inventar vollständig führen noch abgrenzen, welche Verarbeitung eine Datenschutz-Folgenabschätzung auslöst. Ohne benannte Zuständigkeit gibt es niemanden, der die Betroffenheitsprüfungen für NIS2 und KI-VO verantwortet und die Fristen bewacht. Und ohne diese Prüfungen fehlt der Nachweisführung auf Stufe 4 der Gegenstand — dokumentieren lässt sich nur, was zuvor entschieden wurde. Wer Etappen überspringt, baut Nachweise für Pflichten, deren Einschlägigkeit er nie geprüft hat.

Unabhängig davon laufen die gesetzlichen Fristen ab dem ersten Tag, auch auf Stufe 1; die Übersicht steht in der letzten FAQ-Antwort. Wiederkehrende Rhythmen wie „Verarbeitungsverzeichnis jährlich aktualisieren", „Geschäftsleitungs-Schulung ein- bis zweimal jährlich" oder „AGG-Schulung alle zwei bis drei Jahre" stammen dagegen aus unserer Fristen- und Jahresplanung und sind Praxisempfehlungen; die dort genannten Rechtsgrundlagen sind deutsches Recht — in Österreich treten das GlBG an die Stelle des AGG und das NISG 2026 an die Stelle des BSIG. In Deutschland verlangt § 38 Abs. 3 BSIG regelmäßige Schulungsteilnahme der Geschäftsleitung, in Österreich § 31 NISG 2026 die Teilnahme an spezifisch gestalteten Cybersicherheitsschulungen; welchen Takt „regelmäßig" bedeutet, legen Sie selbst fest und dokumentieren es.