Compliance Tool-Stack 2026 für KMU

Werkzeug- und Preisangaben zu den Fremdanbietern (Nummern 1 bis 4, 6, 7 und 9 sowie FAQ) sind Anbieterangaben aus der Erstfassung mit Stand 2. Mai 2026 und wurden für diese Überarbeitung nicht neu erhoben; nicht belegbare Markt- und Wirkungszusagen der Erstfassung sind entfallen. Ergänzt wurden die Rechtsgrundlagen, die hinter den Werkzeugen stehen, die Unterschiede zwischen Deutschland und Österreich sowie als solche gekennzeichnete Praxisempfehlungen der Redaktion. Die Nummern 5, 8 und 10 sind eigene Produkte; die Nummern 1 bis 4, 6, 7 und 9 sind Fremdanbieter. Für die eigenen Positionen nennt dieser Artikel keine Alternativen — die Anforderungen dahinter (Inventarfelder, Dokumentenstamm, Schulungsnachweis) lassen sich auch mit anderen Werkzeugen erfüllen.

Welche Pflicht deckt welches Werkzeug ab?

Kurzantwort: Werkzeuge decken vor allem Dokumentations-, Melde- und Nachweisarbeit ab — die Pflicht selbst entsteht aus der Norm, nicht aus dem Produkt. Die folgende Übersicht ordnet jeder Nummer aus diesem Artikel die Pflicht zu, auf die sie einzahlt. Spalte 2 nennt die Norm, aus der die Pflicht folgt, bei national unterschiedlichem Recht getrennt nach Deutschland und Österreich — soweit dieser Artikel für beide Länder eine Fundstelle nennt; wo das nicht der Fall ist, steht der Hinweis in der Zeile. Spalte 3 ist Praxiseinschätzung der Redaktion und keine Rechtsfolge.

Ein Vorbehalt zur Tabelle: Die NIS2-Zeilen greifen erst, wenn Ihr Unternehmen als besonders wichtige oder wichtige (Deutschland) beziehungsweise wesentliche oder wichtige Einrichtung (Österreich) gilt — Schwellen siehe „Gilt NIS2 überhaupt für Ihr Unternehmen?“.

1. DSGVO: Pirsch Analytics (cookieless)

30 EUR/Monat, Server in Deutschland. Der Anbieter gibt an, dass kein Cookie-Banner nötig ist — diese Angabe müssen Sie sich belegen lassen (siehe unten).

Warum das der erste Baustein ist: In Deutschland ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen nur nach vorheriger, informierter Einwilligung nach DSGVO-Maßstab zulässig. Ohne Einwilligung geht es, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist oder der Zugriff für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 1 und 2 TDDDG).

Was zu tun ist: Die Herstellerangabe „kein Banner nötig“ ist eine Anbieteraussage. Maßgeblich ist, ob das Werkzeug im Sinne des § 25 Abs. 1 TDDDG auf die Endeinrichtung zugreift; lassen Sie sich das vom Anbieter schriftlich belegen und legen Sie den Beleg zu Ihrer Dokumentation. Unabhängig davon brauchen Sie eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, einen Auftragsverarbeitungsvertrag mit dem Mindestinhalt aus Art. 28 Abs. 3 DSGVO und einen Eintrag im Verarbeitungsverzeichnis (Art. 30 DSGVO).

2. DSGVO: Userlike (statt Live-Chat US-Anbieter)

Der Anbieter gibt EU-Hosting und einen verfügbaren AVV an. Alternative zu LiveChat, Intercom (US).

Warum der Vertrag zählt, nicht der Serverstandort allein: Wer Daten im Auftrag verarbeiten lässt, darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten; die Zusammenarbeit braucht einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten, die Kategorien betroffener Personen sowie Rechte und Pflichten festlegt (Art. 28 Abs. 1 und 3 DSGVO).

Drei Punkte, die im Chat regelmäßig übersehen werden: Erstens können Chatprotokolle Gesundheits- oder andere besondere Kategorien enthalten — deren Verarbeitung ist grundsätzlich untersagt und nur über die Ausnahmen des Art. 9 Abs. 2 DSGVO zulässig. Zweitens gilt für Auskunftsanträge zu Chatverläufen die Frist des Art. 12 Abs. 3 DSGVO: unverzüglich, spätestens binnen eines Monats, in komplexen Fällen um zwei Monate verlängerbar. Drittens müssen Anbieter sicherstellen, dass ein zur direkten Interaktion mit natürlichen Personen bestimmtes KI-System die Person darüber informiert, dass sie mit einem KI-System interagiert (Art. 50 Abs. 1 KI-VO).

3. NIS2: Microsoft Defender for Endpoint

EDR, integriert in M365 E3/E5. Threat-Protection, Schwachstellen-Management, Auto-Investigation.

Warum ein EDR nur ein Teilstück ist: In Deutschland müssen besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren (§ 30 Abs. 1 und 2 BSIG). In Österreich haben wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen (§ 32 Abs. 1 und 4 NISG 2026) — das NISG 2026 ist ab 1. Oktober 2026 anzuwenden. Der Mindestkatalog umfasst in beiden Ländern zehn Bereiche von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung (§ 30 Abs. 2 BSIG, § 32 Abs. 4 NISG 2026; vollständige Liste in der FAQ).

Praxiseinschätzung: Ein EDR-Produkt zahlt vor allem auf Vorfallserkennung und Schwachstellenmanagement ein. Lieferkettensicherheit, Krisenmanagement und die Bewertung der Wirksamkeit bleiben organisatorische Arbeit. Praxisempfehlung: Führen Sie eine Zuordnungsliste, die jedem der zehn Katalogpunkte eine Maßnahme und einen Verantwortlichen zuweist — die Dokumentationspflicht aus § 30 Abs. 1 BSIG verlangt ohnehin eine Dokumentation der Einhaltung.

4. NIS2: Veeam Backup & Replication

3-2-1-Backup mit Hardened Repository, also einem unveränderbaren („immutable“) Sicherungsspeicher. Ransomware-Protection.

Warum Backup im Pflichtenkatalog steht: Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement gehören zum Mindestkatalog der Risikomanagement-Maßnahmen (§ 30 Abs. 2 BSIG, § 32 Abs. 4 NISG 2026) — auf genau diesen Katalogpunkt zahlt ein unveränderbarer Sicherungsspeicher ein, weil er im Angriffsfall nicht überschrieben werden kann. Bei eingestuften Einrichtungen kommt die Meldekette hinzu: Bei einem erheblichen Sicherheitsvorfall sind eine frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden, eine Meldung mit Erstbewertung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung zu übermitteln; dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle (§ 32 Abs. 1 BSIG; in Österreich § 34 Abs. 2 NISG 2026 an das zuständige CSIRT).

Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste (in Österreich: schwerwiegende finanzielle Verluste) verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG, § 35 Abs. 1 NISG 2026). Praxisempfehlung: Testen Sie die Wiederherstellung so, dass Sie die Auswirkungen binnen 72 Stunden beziffern können.

5. EU AI Act: KI-Inventar im Compliance-Kit

Excel-Vorlage mit 12 Spalten (Kit-Feldliste als Praxisempfehlung, keine gesetzliche Vorgabe) + 12 KMU-Beispielen. Im EU-AI-Act-Kit enthalten.

Warum das Inventar am Anfang steht: Die KI-Verordnung staffelt Pflichten nach Risiko, und die Einstufung lässt sich praktisch nur anhand einer vollständigen Liste der eingesetzten Systeme treffen. Verboten sind unter anderem Social Scoring und Emotionserkennung am Arbeitsplatz (Art. 5 Abs. 1). Als hochriskant gelten die in Anhang III genannten Systeme, darunter Beschäftigung und Personalmanagement (Art. 6 Abs. 2). Für KI-Systeme mit besonderem Täuschungsrisiko greifen Kennzeichnungs- und Offenlegungspflichten (Art. 50).

Welche Felder ein solches Inventar je System mindestens führen sollte, orientiert sich an genau diesen Normen — Praxisempfehlung der Redaktion, neun Felder: Bezeichnung und Anbieter, eigene Rolle (Anbieter oder Betreiber), Zweck und Einsatzbereich, Ergebnis der Prüfung auf verbotene Praktiken (Art. 5 Abs. 1), Zuordnung zu Anhang III (Art. 6 Abs. 2), Kennzeichnungs- beziehungsweise Offenlegungsbedarf (Art. 50), betroffene Personengruppen, verantwortliche Person und Datum der letzten Bewertung. Die 12 Spalten der Excel-Vorlage sind eine Kit-Feldliste, keine gesetzliche Vorgabe; welche Felder Ihr Inventar mindestens braucht, benennt die Liste oben.

Die Termine sind eingetreten: Die Verbote nach Art. 5 gelten seit dem 2. Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit dem 2. August 2025 (für vor diesem Datum in Verkehr gebrachte Bestandsmodelle läuft eine Übergangsfrist bis zum 2. August 2027), die Verordnung im Übrigen seit dem 2. August 2026. Mit der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit 27. Juli 2026, gelten die Hochrisiko-Pflichten der Kapitel III Abschnitte 1 bis 3 für Anhang-III-Systeme ab dem 2. Dezember 2027 und für Anhang-I-Systeme — also Art. 6 Abs. 1 und die entsprechenden Pflichten — ab dem 2. August 2028 (Art. 113).

6. HinSchG: EQS Integrity Line

Ab 990 EUR/Jahr. Anonymer Rückkanal. Der Anbieter gibt Audit-Fähigkeit und GDPR-Konformität an.

Ab wann Sie überhaupt ein solches System brauchen: Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen mindestens eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 und 2 HinSchG); in Österreich gilt die Pflicht für Unternehmen mit 50 oder mehr Arbeitnehmern (§ 3 Abs. 1, § 11 Abs. 1 HSchG).

Was das System leisten muss: Eingangsbestätigung binnen sieben Tagen, Rückmeldung über Folgemaßnahmen binnen drei Monaten (§ 17 Abs. 1 Nr. 1 und Abs. 2 HinSchG) — Details und die abweichenden österreichischen Fristanker stehen in der FAQ. Dazu kommt die Vertraulichkeit der Identität hinweisgebender und betroffener Personen (§ 8 Abs. 1 HinSchG, § 7 HSchG). Wer keine interne Meldestelle einrichtet und betreibt, riskiert in Deutschland ein Bußgeld bis 20.000 Euro (§ 40 Abs. 2 bis 6 HinSchG). In Österreich sanktioniert § 24 HSchG andere Verstöße — Behinderung oder Unter-Druck-Setzen hinweisgebender Personen, Vergeltungsmaßnahmen, Verletzung der Vertraulichkeit und wissentlich falsche Hinweise — mit Geldstrafe bis zu 20.000 Euro, im Wiederholungsfall bis zu 40.000 Euro.

7. AGG: ATS mit anonymisierter Erst-Auswahl

Personio, HR Works, Workday — die Anbieter geben jeweils einen Anonymisierungs-Modus an. Ziel ist eine dokumentierte, merkmalsfreie Erst-Auswahl.

Warum die Erst-Auswahl der kritische Punkt ist: In Deutschland dürfen Beschäftigte nicht wegen eines geschützten Grundes benachteiligt werden, und ein Arbeitsplatz darf nicht unter Verstoß gegen dieses Verbot ausgeschrieben werden (§ 7 Abs. 1, § 11 AGG). Beweist eine abgelehnte Person Indizien, die eine Benachteiligung vermuten lassen, trägt der Arbeitgeber die Beweislast dafür, dass kein Verstoß vorlag (§ 22 AGG) — dokumentierte, nachvollziehbare Auswahlschritte sind deshalb der eigentliche Nutzen des Werkzeugs. Ansprüche sind binnen zwei Monaten ab Zugang der Ablehnung schriftlich geltend zu machen, soweit die Tarifvertragsparteien nichts anderes vereinbart haben (§ 15 Abs. 4 AGG).

In Österreich darf ein Arbeitsplatz nicht nur für Männer oder nur für Frauen ausgeschrieben werden, außer ein Geschlecht ist unverzichtbare Tätigkeitsvoraussetzung; Verstöße sind mit Geldstrafe bis 360 Euro bedroht (§§ 9, 10 GlBG). Beim Beweismaß genügt Glaubhaftmachung durch die betroffene Person, danach muss die beklagte Seite beweisen, dass bei Abwägung aller Umstände ein anderes Motiv wahrscheinlicher war oder ein Rechtfertigungsgrund vorliegt (§ 12 Abs. 12, § 26 Abs. 12 GlBG). Wichtig: Trifft eine KI-gestützte Vorauswahl die Entscheidung mit, kann das System in den Anhang-III-Bereich Beschäftigung und Personalmanagement fallen und damit als hochriskant gelten (Art. 6 Abs. 2 KI-VO); die Hochrisiko-Pflichten der Kapitel III Abschnitte 1 bis 3 gelten für Anhang-III-Systeme seit der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027.

8. Cross-Compliance: Compliance-Kit (alle 5 Bereiche)

990 EUR netto je Kit, in der Fassung Deutschland oder Österreich; 12 Monate Rechtsstand-Updates inklusive. 5 Kits decken DSGVO + NIS2 + AI Act + HinSchG + AGG ab.

Warum sich der gemeinsame Unterbau lohnt: Ein einziger Vorfall kann zwei Meldeketten gleichzeitig auslösen. Werden bei einem Ransomware-Angriff personenbezogene Daten verletzt, läuft die Meldung an die Datenschutz-Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden (Art. 33 Abs. 1 DSGVO), parallel dazu die Kette 24 Stunden / 72 Stunden / ein Monat an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG) beziehungsweise an das zuständige CSIRT in Österreich (§ 34 Abs. 2 NISG 2026). Beide Meldungen greifen auf dieselben Sachverhaltsdaten zu.

Dasselbe gilt für Schulungen, die in drei Regimen auftauchen (Art. 4 KI-VO, § 38 Abs. 3 BSIG bzw. § 31 Abs. 2 NISG 2026, § 12 Abs. 2 AGG), und für die Registrierung nach § 33 BSIG bzw. § 29 NISG 2026, die nach Praxiseinschätzung der Redaktion auf denselben Unternehmens-Stammdaten aufsetzt wie Ihre übrige Datenschutz-Dokumentation. Praxisempfehlung: ein Dokumentenstamm, fünf Sichten — nicht fünf getrennte Ablagen.

9. Software für Datenschutzbeauftragte: PRIVA Datenschutz-Cockpit

VVT, AVV-Inventar, DSFA, Dokumenten-Management. Ab 49 EUR/Monat.

Wann Sie überhaupt einen Datenschutzbeauftragten benennen müssen: nach Art. 37 Abs. 1 DSGVO bei Behörden, bei Kerntätigkeiten mit umfangreicher regelmäßiger und systematischer Überwachung oder mit umfangreicher Verarbeitung besonderer Datenkategorien. In Deutschland kommt hinzu: mindestens 20 Personen, die in der Regel ständig mit automatisierter Verarbeitung beschäftigt sind — und unabhängig von dieser Zahl bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, sowie bei geschäftsmäßiger Übermittlung oder Markt- und Meinungsforschung (§ 38 Abs. 1 BDSG). Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Benennungsschwelle vor (§ 5 DSG).

Was die Software abbildet: die Auftragsverarbeitung nach Art. 28 DSGVO, die Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko — insbesondere bei Profiling mit Rechtswirkung, umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 1 und 3 DSGVO) — sowie die Fristenüberwachung für Betroffenenanträge nach Art. 12 Abs. 3 DSGVO. Die Entscheidung, ob eine DSFA erforderlich ist, nimmt Ihnen kein Werkzeug ab.

10. Schulung: Compliance-Kit E-Learnings

5 E-Learnings (DSGVO, NIS2, AI Act, HinSchG, AGG) mit DE- und EN-Fassung, Quizzes und Fortschritts-Tracking.

Warum Schulung ein eigener Stack-Baustein ist: Im AGG ist sie ausdrücklich als Erfüllungsweg vorgesehen — der Arbeitgeber muss vorbeugende Maßnahmen zum Schutz vor Benachteiligungen treffen, und eine geeignete Schulung der Beschäftigten gilt als Erfüllung dieser Pflicht (§ 12 Abs. 1 und 2 AGG). Im NIS2-Regime müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG); in Österreich müssen die Leitungsorgane an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen, und die Einrichtungen haben ihren Mitarbeitern regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 2 NISG 2026).

Dazu kommt die KI-Kompetenz nach Art. 4 KI-VO, die bereits am 2. Februar 2025 fällig war. Für die Intervalle gilt: Sie sind Praxisempfehlungen — die konkreten Takte stehen unten unter „Reihenfolge, Kosten und Praxis-Rhythmen“.

Gilt NIS2 überhaupt für Ihr Unternehmen?

Kurzantwort: NIS2-Werkzeuge sind erst dann Pflichtprogramm, wenn Ihr Unternehmen einer Einrichtungsart aus den Sektor-Anlagen angehört — die Mitarbeiter- und Umsatzschwellen allein genügen nicht. In Deutschland gilt ein sonstiges Unternehmen als besonders wichtige Einrichtung, wenn es einer in Anlage 1 bestimmten Art angehört und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist. Als wichtige Einrichtung gelten Einrichtungen einer in Anlage 1 oder Anlage 2 bestimmten Art mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR (§ 28 Abs. 1 und 2 BSIG). Unabhängig von den Mitarbeiter- und Umsatzschwellen erfasst § 28 Abs. 1 BSIG zudem Betreiber kritischer Anlagen; größenunabhängig erfasst sind qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter.

In Österreich arbeitet das NISG 2026 mit denselben Größenklassen (§ 25 Abs. 2 und 3) und ordnet die Einstufung als wesentliche oder wichtige Einrichtung nach § 24 Abs. 1 und 2 zu; größenunabhängig erfasst sind dort unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter. Anlage 1 umfasst in beiden Ländern die hochkritischen Sektoren, Anlage 2 die sonstigen kritischen Sektoren.

Die Registrierung folgt der Einstufung: In Deutschland spätestens drei Monate, nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt, mit Nachmeldung von Änderungen binnen zwei Wochen (§ 33 Abs. 1 und 5 BSIG). Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist; ein amtliches Datum für den Beginn der Aufsichts- und Bußgeldpraxis liegt nicht vor. Wer die Registrierung versäumt hat, sollte sie unverzüglich nachholen. In Österreich gilt ebenfalls eine Frist von drei Monaten; sie läuft ab Inkrafttreten des NISG 2026 beziehungsweise ab Erfüllung der Voraussetzungen (§ 29 Abs. 2 bis 4 NISG 2026). Anwendungsbeginn des NISG 2026 ist der 1. Oktober 2026.

Deutschland und Österreich: gleicher Stack, andere Fundstellen

Kurzantwort: Die Werkzeuge bleiben dieselben, die Rechtsgrundlagen und Behörden nicht. Reines EU-Recht — DSGVO und KI-Verordnung — gilt in beiden Ländern identisch; alles national Umgesetzte weicht ab.

• NIS2: NISG 2026 statt BSIG — Registrierung § 29, Risikomanagement-Maßnahmen § 32, Meldung an das zuständige CSIRT § 34. Zuständig ist das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde), in Deutschland das BSI. Anwendungsbeginn des NISG 2026 ist der 1. Oktober 2026.
• Nachweis der Umsetzung: In Deutschland trifft die regelmäßige Nachweispflicht durch Audits, Prüfungen oder Zertifizierungen alle drei Jahre die Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG). In Österreich übermitteln alle wesentlichen und wichtigen Einrichtungen binnen zwölf Monaten nach Eintritt der Registrierungspflicht eine strukturierte Selbstdeklaration und weisen die Umsetzung auf Aufforderung binnen zwei Jahren durch eine unabhängige Stelle nach — wesentliche Einrichtungen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung (§ 33 Abs. 1 und 2 NISG 2026).
• Hinweisgeberschutz: HSchG statt HinSchG. Der sachliche Anwendungsbereich ist enger als in Deutschland: Österreich erfasst im Wesentlichen die EU-Bereiche zuzüglich der Korruptionsdelikte nach §§ 302 bis 309 StGB (§ 3 Abs. 3 HSchG), Deutschland dagegen sämtliche strafbewehrten Verstöße (§ 2 Abs. 1 HinSchG). Externe Meldestelle ist in Deutschland die Stelle beim Bundesamt für Justiz (§ 19 HinSchG), in Österreich das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (§ 15 Abs. 1 HSchG).
• Gleichbehandlung: GlBG statt AGG; Beratung und Unterstützung durch die Gleichbehandlungsanwaltschaft statt durch die Antidiskriminierungsstelle des Bundes. Die Fristen unterscheiden sich deutlich: zwei Monate schriftlich in Deutschland (§ 15 Abs. 4 AGG), in Österreich sechs Monate für die gerichtliche Geltendmachung bei Nichtbegründung des Arbeitsverhältnisses und 14 Tage für die Anfechtung einer Kündigung (§ 15 GlBG).
• Datenschutzaufsicht: in Deutschland die nach Landesrecht zuständigen Behörden für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Reihenfolge, Kosten und Praxis-Rhythmen

Kurzantwort: Beginnen Sie mit DSGVO-Werkzeugen und Schulungen, dann folgt das NIS2-Tooling, zuletzt das AI-Act-Werkzeug; die Kosten hängen von Mitarbeiterzahl, NIS2-Einstufung und Werkzeugwahl ab (Rechenweg im nächsten Absatz), und die Wiederholungstakte in der Tabelle unten sind Praxisempfehlungen, keine gesetzlichen Fristen. Diese Reihenfolge stammt aus der Erstfassung und trägt weiterhin: Die DSGVO-Pflichten treffen jedes Unternehmen mit Verarbeitung personenbezogener Daten, die NIS2-Pflichten nur eingestufte Einrichtungen, und für das KI-Inventar brauchen Sie zuerst eine belastbare Bestandsaufnahme aus dem laufenden Betrieb. Diese Reihenfolge betrifft die Werkzeug-Beschaffung, nicht die Geltung der Pflichten: Art. 4 und Art. 5 KI-VO sind seit dem 2. Februar 2025 anwendbar, die Verordnung im Übrigen grundsätzlich seit dem 2. August 2026 (abweichende Termine einzelner Kapitel unter Nr. 5). Praxisempfehlung: Die Bestandsaufnahme der eingesetzten KI-Systeme parallel ab Tag 1 beginnen; nachgelagert ist nur die Beschaffung eines eigenen Inventar-Werkzeugs. Wer bereits als NIS2-Einrichtung eingestuft ist, zieht die Registrierung vor — die gesetzliche Drei-Monats-Frist steht oben unter „Gilt NIS2 überhaupt für Ihr Unternehmen?“.

Zum Kostenrahmen: Als KMU-Empfehlung nennt die Erstfassung den kombinierten Stack aus DSGVO-Tool, GRC-Light und Schulungs-LMS und als Alternative Open Source (Eramba, OpenKM, DocuWare). „GRC-Light“ meint in dieser Empfehlung die Nachweis- und Dokumentationsschicht — hier abgedeckt durch Nr. 8 (Kit-Unterbau) und Nr. 9 (VVT, AVV, DSFA); ein eigenes GRC-Produkt behandelt dieser Artikel nicht — siehe dazu den verlinkten Artikel „GRC-Tooling-Vergleich 2026“. Welche Stack-Position die genannten Alternativen jeweils ersetzen und ob die Einsparung den Eigenaufwand aufwiegt, ist in dieser Überarbeitung nicht neu geprüft worden. Rechenweg für das eigene Budget: einmalig die benötigten Kits (990 EUR netto je Kit, Nr. 8) und die E-Learnings (Nr. 10), dazu die Summe der laufenden Lizenzen der gewählten Werkzeuge (Anbieterangaben der Erstfassung unter den Nummern 1, 6 und 9) und — wenn ein Datenschutzbeauftragter zu benennen ist und extern besetzt wird — dessen Honorar, das von Größe, Branche und Betreuungsumfang abhängt und über Angebote zu klären ist.

Die folgenden Intervalle sind Praxisempfehlungen der Redaktion und keine gesetzlichen Fristen. Die Spalte „Bezug“ nennt die Norm, auf die die jeweilige Aktivität einzahlt; das Intervall daneben ist Praxiseinschätzung der Redaktion. Ein Strich bedeutet, dass dieser Artikel der Aktivität keine Norm zuordnet.

Was die Werkzeuge nicht abnehmen

Kurzantwort: alle Bewertungsentscheidungen — und die Verantwortung der Geschäftsleitung. Ob eine Datenschutzverletzung meldepflichtig ist, hängt davon ab, ob sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO); ob eine Datenschutz-Folgenabschätzung nötig ist, entscheidet die Risikoprognose nach Art. 35 Abs. 1 DSGVO; ob ein KI-System hochriskant ist, folgt aus Art. 6 KI-VO (zur Ausnahme des Art. 6 Abs. 3 KI-VO die Details in der FAQ).

Hinzu kommt die Governance-Ebene: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagement-Maßnahmen umsetzen und ihre Umsetzung überwachen; verletzen sie diese Pflicht, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 1 und 2 BSIG). In Österreich haben die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Einhaltung sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026). Ein Werkzeug kann diese Aufgabe dokumentieren, nicht übernehmen.