Compliance-Reporting an GF + Vorstand: 5 KPIs + Dashboard

Hauptartikel: Compliance-Haftung Geschäftsführer 2026: 6 Risiken — der vollständige Artikel zum Thema.

Was am GF-Bericht Rechtspflicht ist — und was Praxisempfehlung

Rechtlich verankert ist nicht das Berichtsformat, sondern die Governance-Pflicht dahinter: In Deutschland müssen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG); in Österreich haben die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Einhaltung der Maßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026). KPI-Zuschnitt, Skalen, Zielwerte, Seitenzahl und Quartalstakt folgen daraus nicht — sie sind als Praxisempfehlung gekennzeichnet, wo sie im Text auftauchen.

Wen die Pflicht trifft, entscheidet die Einstufung. In Deutschland gilt eine sonstige Einrichtung einer in Anlage 1 bestimmten Art als besonders wichtige Einrichtung, wenn sie mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist; als wichtige Einrichtung gilt eine Einrichtung einer in Anlage 1 oder 2 bestimmten Art mit mindestens 50 Mitarbeitern oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR (§ 28 Abs. 1 und 2 BSIG). Österreich arbeitet mit denselben Größenkennzahlen für große und mittlere Unternehmen (§ 25 Abs. 2 und 3 NISG 2026) und ordnet daraus die wesentlichen und wichtigen Einrichtungen zu (§ 24 NISG 2026). Ohne Zuordnung zu einer Anlage-Art greift diese größenabhängige Einstufung nicht; unabhängig von diesen Größenschwellen gelten daneben bestimmte Einrichtungsarten als besonders wichtige Einrichtung — in Deutschland Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 BSIG); in Österreich gelten größenunabhängig u. a. qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter als wesentliche Einrichtung (§ 24 Abs. 1 NISG 2026).

Der Bericht ist kein Selbstzweck: § 38 Abs. 2 BSIG ordnet die Innenhaftung nach dem für die Rechtsform geltenden Gesellschaftsrecht an — für die GmbH § 43 GmbHG, der auf die Sorgfalt eines ordentlichen Geschäftsmannes verpflichtet und bei Verletzung zur Haftung gegenüber der Gesellschaft führt, für die Aktiengesellschaft § 93 AktG als Haftungsnorm. Die Einhaltung der Risikomanagementmaßnahmen ist in Deutschland zu dokumentieren (§ 30 Abs. 1 BSIG); ein turnusmäßiger Bericht ist der praxisübliche Weg, diese Dokumentation und die Überwachung nach § 38 Abs. 1 BSIG an einer Stelle zu bündeln (Praxisempfehlung). Die haftungsrelevante Wirkung liegt dabei nicht im Bericht als Dokument, sondern in seiner Dokumentationsfunktion: Er hält fest, wann diese Überwachung stattgefunden hat und was dabei entschieden wurde. Praxisempfehlung für die Beweisfähigkeit: je Bericht Datum, Adressatenkreis, Vorlage- bzw. Kenntnisnahmevermerk der Geschäftsleitung und die getroffenen Entscheidungen aus Kapitel 5 protokollieren — ohne dokumentierte Kenntnisnahme ist dem Bericht nicht zu entnehmen, ob die Geschäftsleitung ihn überhaupt erhalten hat. In Österreich folgt die Haftung dem allgemeinen Gesellschaftsrecht (siehe Governance-Tabelle); in der Praxis wird der Bericht dort als Dokumentation der nach § 25 öGmbHG bzw. § 84 öAktG geschuldeten Sorgfalt geführt (Praxisempfehlung). Die österreichischen NISG-2026-Fundstellen der folgenden Tabelle gelten ab dessen Anwendungsbeginn am 01.10.2026.

KPI 1: Compliance-Risiko-Score

Der Compliance-Risiko-Score aggregiert den Erfüllungsgrad aus DSGVO, NIS2, AI Act, HinSchG und AGG auf einer Skala von 0 bis 100, berechnet als erfüllte Pflichten geteilt durch die Gesamtzahl der einschlägigen Pflichten; Zielwert >75 — Skala, Rechenweg und Zielwert sind Praxisempfehlung.

Belastbar wird der Score erst über den Nenner: das Pflichtenregister. Aufnehmen lassen sich pro Regelwerk die Pflichten mit klarer Fundstelle — DSGVO: Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Auftragsverarbeitungsverträge mit dem Mindestinhalt des Art. 28 Abs. 3, Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 Abs. 1), Benennung eines Datenschutzbeauftragten (Art. 37 Abs. 1; in Deutschland zusätzlich ab in der Regel 20 Personen ständiger automatisierter Verarbeitung, § 38 Abs. 1 BDSG; Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor, § 5 DSG). NIS2: der Mindestkatalog des § 30 Abs. 2 Nr. 1 bis 10 BSIG bzw. § 32 Abs. 4 lit. a bis j NISG 2026. HinSchG: interne Meldestelle ab in der Regel 50 Beschäftigten (§ 12 Abs. 1, 2 HinSchG; AT: § 11 Abs. 1 HSchG ab 50 Arbeitnehmern). AGG: Schutz- und Vorbeugemaßnahmen des Arbeitgebers (§ 12 Abs. 1 bis 3 AGG; AT: Diskriminierungsverbote § 3 und § 17 GlBG).

Für die Gewichtung liefert der Bußgeldrahmen den härtesten Anhaltspunkt: KI-VO bis 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken nach Art. 5 (Art. 99 Abs. 3), DSGVO bis 20 Mio. EUR oder 4 % (Art. 83 Abs. 5), NIS2 bis 10 Mio. EUR für besonders wichtige und bis 7 Mio. EUR für wichtige Einrichtungen — bei KI-VO und DSGVO gilt jeweils der höhere der beiden Beträge; in Österreich sind es bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche und bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2, 3 NISG 2026); in Deutschland ist der Rahmen für Verstöße u. a. gegen die Risikomanagement- und Meldepflichten auf 10 bzw. 7 Mio. EUR festgelegt, bei einem Gesamtumsatz von mehr als 500 Mio. EUR abweichend bis 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes (§ 65 Abs. 5 Nr. 1, Abs. 6, 7 BSIG). Beim Hinweisgeberschutz reicht der Rahmen bis 50.000 EUR (Behinderung einer Meldung, Repressalie, Verletzung der Vertraulichkeit), bis 20.000 EUR (u. a. fehlende interne Meldestelle) und in den übrigen Fällen bis 10.000 EUR (§ 40 Abs. 2 bis 6 HinSchG); gegen juristische Personen verzehnfacht sich das Höchstmaß bei Behinderung, Repressalie und Verletzung der Vertraulichkeit, bei den 50.000-EUR-Fällen also auf bis zu 500.000 EUR (§ 40 Abs. 6 S. 2 HinSchG i. V. m. § 30 Abs. 2 S. 3 OWiG); in Österreich bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR (§ 24 HSchG). Für KMU einschließlich Start-ups gilt bei der KI-VO der jeweils niedrigere der beiden Beträge (Art. 99 Abs. 6); die 35-Mio.-Zahl ist für kleine Unternehmen also nicht der Maßstab. Die konkrete Gewichtungsformel bleibt eine Hausentscheidung. Praxisempfehlung für die Rechenweise: Basisvariante ist die ungewichtete Erfüllungsquote. Wer gewichtet, vergibt je Pflicht ein festes Gewicht nach dem Bußgeldrahmen der Norm — etwa 3 für verbotene Praktiken nach Art. 5 KI-VO (Art. 99 Abs. 3), 2 für Pflichten unter Art. 83 Abs. 5 DSGVO und § 65 Abs. 5 Nr. 1 BSIG, 1 für die übrigen — und bildet die Quote gewichtet. Entscheidend ist, dass Variante und Gewichte über die Quartale konstant bleiben; sonst ist der Vorquartalsvergleich in Kapitel 2 wertlos.

KPI 2: Sicherheits-Vorfälle (Trend)

Pro Quartal berichtet werden (Praxisempfehlung) Anzahl der Vorfälle, Schadensvolumen und Reaktionszeit, dargestellt als Trend-Ampel rot/gelb/grün — die Ampel ist Darstellungskonvention, die Reaktionszeit dagegen wird an echten Gesetzesfristen gemessen.

Gemessen wird die Reaktionszeit an den NIS2-Meldestufen und an Art. 33 Abs. 1 DSGVO; Auslöser, Fristen und Fundstellen für Deutschland und Österreich stehen vollständig in der Tabelle „Gesetzliche Fristen“.

Damit die Zahl im Dashboard trägt, gehört die Erheblichkeitsschwelle mitdokumentiert: erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste (AT: schwerwiegende finanzielle Verluste) verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG; AT: § 35 Abs. 1 NISG 2026). Praxisempfehlung: je Vorfall die vier Zeitstempel Kenntnis, 24-Stunden-Meldung, 72-Stunden-Meldung und Abschluss protokollieren — daraus entsteht die Reaktionszeit-Kennzahl ohne Nachrecherche.

Praxisempfehlung für die Ampel: grün, wenn alle Meldestufen des Quartals innerhalb der Fristen nach § 32 Abs. 1 BSIG bzw. § 34 Abs. 2 NISG 2026 bedient wurden; gelb, wenn eine Frist gerissen und die Meldung nachgeholt wurde; rot, wenn eine Meldung unterblieben ist oder die Erheblichkeitsprüfung nach § 2 Nr. 11 BSIG bzw. § 35 Abs. 1 NISG 2026 nicht dokumentiert ist. Als Schadensvolumen wird der je Vorfall im Vorfall-Register geschätzte Schaden in EUR ausgewiesen; Schätzgrundlage und Stichtag gehören in dieselbe Zeile.

KPI 3: Offene Maßnahmen + Fristen

Dieser KPI zieht offene Punkte aus Audit, DSFA und Risiko-Bewertung zusammen und führt sie in den Stufen Offen / In Bearbeitung / Erledigt mit Verspätungs-Alarm — Stufenmodell und Alarmlogik sind Praxisempfehlung; der Alarm ist nur so gut wie die hinterlegten Fristen. Praxisempfehlung für den Verspätungs-Alarm: Auslösung, sobald die hinterlegte Fälligkeit überschritten ist, Vorwarnung bei laufenden Rechtsfristen 5 Arbeitstage vorher — bei der Monatsfrist des Art. 12 Abs. 3 DSGVO fällt die Vorwarnung mit der Entscheidung über die Verlängerung um zwei Monate zusammen.

Die Antwort-, Rückmelde- und Registrierungsfristen mit Rechtsgrundlage — Art. 12 Abs. 3 DSGVO, § 17 HinSchG bzw. § 9 Abs. 1 und § 13 Abs. 9 HSchG, § 33 BSIG bzw. § 29 NISG 2026 — stehen mit Auslöser und Fundstelle vollständig in der Tabelle „Gesetzliche Fristen“; in den Tracker gehört je Eintrag die dort genannte Norm als Feld. Nur im Fließtext geführt wird die AGG-Frist: Ansprüche nach § 15 Abs. 1 oder 2 AGG müssen binnen zwei Monaten schriftlich geltend gemacht werden, sofern die Tarifvertragsparteien nichts anderes vereinbart haben (§ 15 Abs. 4 AGG — Deutschland; in Österreich gelten abweichende Fristen nach § 15 bzw. § 29 GlBG, u. a. sechs Monate ab Ablehnung bei Nichtbegründung des Arbeitsverhältnisses).

Dazu kommen die Nachweistermine: In Deutschland weisen Betreiber kritischer Anlagen die Umsetzung zu einem vom BSI festgelegten Zeitpunkt und anschließend alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach (§ 39 Abs. 1 BSIG); in Österreich gilt für alle wesentlichen und wichtigen Einrichtungen die Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht und auf Aufforderung der Nachweis durch eine unabhängige Stelle binnen zwei Jahren, für wesentliche Einrichtungen die operative und organisatorische Umsetzung binnen zwei Monaten nach Aufforderung (§ 33 Abs. 1, 2 NISG 2026). Die Registrierung ist nach § 33 Abs. 1 BSIG spätestens drei Monate nach Eintritt der Einrichtungseigenschaft vorzunehmen; das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Ein amtliches Datum für den Beginn der Aufsichts- und Bußgeldpraxis liegt nicht vor.

KPI 4: Schulungs-Status

Berichtet wird der Prozentsatz der Mitarbeitenden mit aktueller Schulung in DSGVO, AI Literacy und Cybersecurity; Zielwert >95 % — der Zielwert ist Praxisempfehlung. Rechtlich angeordnet sind die Schulung der Leitungsebene (§ 38 Abs. 3 BSIG; AT: § 31 Abs. 2 NISG 2026, dort zusätzlich das Schulungsangebot an die Mitarbeiter), Maßnahmen zur Unterstützung der KI-Kompetenz des Personals nach Art. 4 KI-VO (als AI-Literacy-Schulung umgesetzt — Praxisempfehlung) sowie — als Punkt des Mindestkatalogs „Cyberhygiene und Schulungen“ — die Cybersecurity-Spur (§ 30 Abs. 2 BSIG bzw. § 32 Abs. 4 NISG 2026); die DSGVO-Spur wird als Praxisempfehlung mitgeführt. Eine vierte Spur Code of Conduct wird in der Praxis mitgeführt; sie beruht auf keiner der hier genannten Schulungspflichten und wird deshalb getrennt ausgewiesen, damit die Pflicht-Coverage nicht verwässert wird.

Auf Leitungsebene ist die Schulung ausdrücklich angeordnet: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG); in Österreich müssen die Leitungsorgane an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen, und die Einrichtungen haben ihren Mitarbeitern regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 2 NISG 2026). Das deutsche Gesetz sagt „regelmäßig“; ein konkreter Takt von ein- bis zweimal jährlich ist Praxis-Rhythmus, keine gesetzliche Frist. Im AGG gilt eine geeignete Schulung der Beschäftigten als Erfüllung der Pflicht des Arbeitgebers, erforderliche und vorbeugende Maßnahmen zum Schutz vor Benachteiligungen zu treffen (§ 12 Abs. 1 bis 3 AGG) — das macht die Schulungsquote zu einer haftungsnahen Kennzahl. Für KI-Kompetenz ist Art. 4 KI-VO die Grundlage: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Kompetenzniveau ist nicht geschuldet. Art. 4 gilt seit dem 02.02.2025, Absatz 1 seit dem 27.07.2026 in der Fassung der Verordnung (EU) 2026/1744.

Praxisempfehlung für die Darstellung: Coverage getrennt nach Pflichtenkreis ausweisen (Leitungsebene, Beschäftigte gesamt, Rollen mit Datenzugriff) und den Nachweis pro Person mit Datum ablegen — der Schulungsnachweis der Geschäftsleitung dient im Streitfall als Nachweis der Teilnahme nach § 38 Abs. 3 BSIG bzw. § 31 Abs. 2 NISG 2026.

KPI 5: Audit-Vorbereitung

Dieser KPI misst VVT-Aktualität, AVV-Vollständigkeit, DSFA-Status und Doku-Lücken. Kennzahl ist der Anteil der vier Prüfpunkte mit Status „vollständig und aktuell“ in Prozent, erhoben im Fenster von unter 30 Tagen vor dem Termin; Zielwert 100 % — Kennzahl, Erhebungsfenster und Zielwert sind Praxisempfehlung. Offene Audit-Findings selbst laufen in KPI 3 (Offene Maßnahmen + Fristen); KPI 5 misst die Nachweislage vor dem Termin.

Die vier Prüfpunkte hängen an konkreten Pflichten. Das Verzeichnis der Verarbeitungstätigkeiten folgt Art. 30 DSGVO; die Aktualisierung jährlich und bei Änderungen ist der etablierte Praxis-Rhythmus. Auftragsverarbeitungsverträge müssen den Mindestinhalt nach Art. 28 Abs. 3 DSGVO abbilden — Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen —, und es darf nur mit Auftragsverarbeitern gearbeitet werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Die Datenschutz-Folgenabschätzung ist vorab durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat, insbesondere bei systematischer umfassender Bewertung persönlicher Aspekte mit Rechtswirkung, umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 oder systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 1, 3 DSGVO). Für die Doku-Lücken gilt in Deutschland: Die Einhaltung der Risikomanagementmaßnahmen ist zu dokumentieren (§ 30 Abs. 1 BSIG). Praxisempfehlung für die Zählweise: Als Doku-Lücke gilt jede Maßnahmenkategorie des Mindestkatalogs nach § 30 Abs. 2 Nr. 1 bis 10 BSIG bzw. § 32 Abs. 4 lit. a bis j NISG 2026, zu der kein datierter Nachweis (Konzept, Protokoll, Testbericht) vorliegt. Kennzahl: Kategorien mit Nachweis von zehn — dieselbe Systematik wie im Pflichtenregister von KPI 1, damit beide Kennzahlen aus einer Quelle laufen.

Wer prüft, unterscheidet sich nach Regelwerk und Land: Datenschutz in Deutschland die Landesdatenschutzbehörden bzw. die BfDI, in Österreich die Datenschutzbehörde (Details im DE/AT-Hinweis oben); Cybersicherheit in Deutschland das BSI als zentrale Stelle für Informationssicherheit (§ 1 BSIG), in Österreich das Bundesamt für Cybersicherheit als Cybersicherheitsbehörde (§ 3a Abs. 1, 2 NISG 2026). Für die KI-Verordnung benennt jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde, eine davon als zentrale Anlaufstelle (Art. 70 Abs. 1, 2 KI-VO): In Deutschland ist das seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden — etwa die BaFin — zuständig sind; Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt, die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis.

Dashboard-Aufbau: Datenquellen je KPI

Das Dashboard braucht pro KPI genau eine führende Datenquelle — sonst weichen Bericht und Nachweis voneinander ab. Die folgende Zuordnung ist Praxisempfehlung; die Spalte „Pflichten-Anker“ nennt jeweils eine Fundstelle, aus der die zugrunde liegende Pflicht selbst folgt.

Praxisempfehlung zur Bedienung: eine Ansicht für die Geschäftsleitung mit den fünf Kennzahlen und der Ampel, eine zweite Detailansicht mit Einzelpflicht und Fundstelle für die Fachebene. Kennzahlen ohne benannte Quelle gehören nicht ins Board — bei einer Aufsichtsanfrage ist die Quelle das, was zählt.

Quartals-Bericht-Struktur

Die Vorlage umfasst fünf Kapitel: 1) Executive Summary auf einer Seite, 2) KPI-Dashboard, 3) Top-Risiken + Maßnahmen, 4) Aufsichtsbehörden-Kommunikation, 5) Empfehlungen — Aufbau und der typische Gesamtumfang von 8–12 Seiten sind Erfahrungswerte, keine Vorgabe.

Kapitel 1 beantwortet in fünf Sätzen, was sich gegenüber dem Vorquartal verändert hat und welche Entscheidung die Geschäftsleitung treffen soll. Praxisempfehlung für die Verzahnung: Jede Zielwert-Unterschreitung aus KPI 1, 4 und 5 erzeugt genau einen Eintrag im Maßnahmen-Tracker von KPI 3 mit Verantwortlichem und Zieltermin. In Kapitel 1 erscheinen nur die Unterschreitungen, über die die Geschäftsleitung selbst entscheiden muss — Budget, Personal oder die bewusste Verschiebung eines internen Zieltermins; alles andere bleibt in Kapitel 5. Kapitel 2 zeigt die fünf KPIs mit Vorquartalsvergleich. Kapitel 3 trägt die Risiko-Heatmap: Top-Risiken je Regelwerk, bewertet nach Eintrittswahrscheinlichkeit und Bußgeldrahmen — hier gehört die Zuordnung zur Norm hinein, weil sich Priorität und Sanktionshöhe unterscheiden (etwa § 65 Abs. 5 Nr. 1 BSIG gegenüber Art. 83 Abs. 5 DSGVO). Praxisempfehlung für den Zuschnitt: höchstens zehn Risiken, Achse 1 die geschätzte Eintrittswahrscheinlichkeit in fünf Stufen, Achse 2 der Bußgeldrahmen der einschlägigen Norm — Art. 99 Abs. 3 KI-VO, Art. 83 Abs. 5 DSGVO, § 65 Abs. 5 Nr. 1 BSIG bzw. § 45 Abs. 1 bis 3 NISG 2026, für KMU bei der KI-VO der niedrigere der beiden Beträge nach Art. 99 Abs. 6. Wie beim Score in KPI 1 gilt: Skala und Zuordnung über die Quartale konstant halten.

Kapitel 4 dokumentiert jeden Kontakt mit einer Aufsichtsbehörde nach Datum, Anlass und Frist; zuständig sind je nach Land und Regelwerk unterschiedliche Stellen — für Hinweisgeberschutz etwa die externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 19 Abs. 1, 4 HinSchG) bzw. in Österreich das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (§ 15 Abs. 1 HSchG). Kapitel 5 führt die Roadmap: offene Maßnahmen mit Verantwortlichem, Zieltermin und Budgetbedarf. Praxisempfehlung zur Adressatenfassung: Vorstand und Geschäftsführung erhalten die vollständige Vorlage; für Aufsichtsrat oder Beirat genügt im Jahresturnus ein Auszug aus Kapitel 1, 2 und 3 (Executive Summary, KPI-Dashboard, Top-Risiken) ohne die Einzelmaßnahmen aus Kapitel 5. Taktung und Zuschnitt sind Praxisempfehlung; die gesetzliche Anknüpfung steht in der Governance-Tabelle oben.

Für die Terminplanung 2026/2027 gilt: Mit der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit 27. Juli 2026, gelten die Hochrisiko-Pflichten der Kapitel III Abschnitte 1 bis 3 für Anhang-III-Systeme ab dem 02.12.2027 und für Anhang-I-Systeme ab dem 02.08.2028; der allgemeine Geltungsbeginn der KI-VO am 02.08.2026 (u. a. Art. 50) bleibt. Der 02.08.2026 liegt zum Aktualisierungsstand dieses Artikels bereits in der Vergangenheit; die Termine sind vor jedem Berichtszyklus gegen die konsolidierte Fassung des Art. 113 KI-VO abzugleichen. Fest terminiert sind der Anwendungsbeginn des NISG 2026 am 01.10.2026 sowie die ersten Pay-Gap-Berichte zum 07.06.2027 (ab 250 Arbeitnehmern danach jährlich, Art. 9 Abs. 2 RL (EU) 2023/970; 150 bis 249 Arbeitnehmer danach alle drei Jahre, Art. 9 Abs. 3) — maßgeblich ist jeweils das nationale Umsetzungsrecht.

Berichts-Takte: Gesetzesfristen und Praxis-Rhythmen getrennt

Mit einer konkreten Frist getaktet sind die Melde-, Antwort- und Registrierungspflichten; Berichtsturnus, Schulungsintervall und Review-Zyklen legt das Unternehmen selbst fest — § 38 Abs. 3 BSIG nennt für die Schulung der Geschäftsleitungen in Deutschland den Maßstab „regelmäßig“. Die erste Tabelle enthält deshalb nur Fristen mit Fundstelle, die zweite nur Praxis-Rhythmen samt der Pflicht, die sie bedienen.

Praxisempfehlung für die halbjährliche Re-Evaluation: geprüft wird, ob sich die Einstufung nach § 28 Abs. 1, 2 BSIG bzw. § 24 und § 25 Abs. 2, 3 NISG 2026 durch Mitarbeiterzahl, Umsatz oder Bilanzsumme geändert hat, ob Pflichten neu ins Pflichtenregister von KPI 1 aufzunehmen sind (etwa nach Anwendungsbeginn des NISG 2026) und ob die Vorfälle des Halbjahres eine zusätzliche Kennzahl rechtfertigen. Ergebnis ist entweder „KPI-Set unverändert“ oder eine dokumentierte Änderung samt Stichtag.

Gesetzliche Fristen — jede Zeile nennt Auslöser und Frist nach der jeweils angegebenen Norm; die österreichischen NISG-2026-Fundstellen gelten ab dessen Anwendungsbeginn am 01.10.2026:

Praxis-Rhythmen — keine dieser Zeilen ist eine gesetzliche Frist; genannt ist jeweils die Pflicht, die der Rhythmus bedient:

Die beiden mit (DE) gekennzeichneten Zeilen bilden deutsches Recht ab; in Österreich treten GlBG bzw. HSchG an die Stelle von AGG und HinSchG.

Österreich: gleicher Bericht, andere Fundstellen

Für österreichische Gesellschaften bleiben KPI-Zuschnitt, Dashboard und Quartalstakt identisch — ausgetauscht werden die Rechtsgrundlagen und die Adressaten der Kommunikation. An die Stelle des BSIG tritt durchgängig das NISG 2026; die Fundstellen je Pflicht stehen in den Tabellen oben. Adressat der Vorfallsmeldungen ist dort das zuständige CSIRT (§ 34), Aufsichts- und Registrierungsbehörde das Bundesamt für Cybersicherheit (§ 3a, § 29).

Beim Haftungskapitel greift die Unterscheidung aus der Governance-Tabelle: Die Haftung folgt in Österreich dem allgemeinen Gesellschaftsrecht (§ 25 öGmbHG, § 84 öAktG). Dafür kann die Cybersicherheitsbehörde den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen, mit Eintragung im Firmenbuch (§ 39 Abs. 4 Z 2 NISG 2026); Verwaltungsstrafen verhängen die Bezirksverwaltungsbehörden, und eine Bestrafung des Verantwortlichen nach § 9 VStG entfällt nur, wenn für denselben Verstoß bereits die juristische Person bestraft wird (§ 44 Abs. 5 NISG 2026). Beim Hinweisgeberschutz tritt das HSchG an die Stelle des HinSchG (interne Stelle ab 50 Arbeitnehmern nach § 11), beim Gleichbehandlungsteil das GlBG mit Gleichbehandlungsanwaltschaft und Gleichbehandlungskommission. Reines EU-Recht — DSGVO und KI-VO — gilt in beiden Ländern identisch; die nationalen Ergänzungen (BDSG bzw. DSG, etwa die Benennungsschwelle für den Datenschutzbeauftragten) unterscheiden sich.