.svg)
Das Wichtigste in Kürze
- KI übernimmt im Compliance-Management drei Arten von Aufgaben: Entwürfe erstellen (Richtlinien, Fragebögen, Dokumentation), Nachweise den Anforderungen zuordnen und Controls laufend überwachen. Freigaben, Risikoakzeptanz und der Anwendungsbereich bleiben bei Menschen.
- ISO 27001 weist zentrale Entscheidungen ausdrücklich Menschen zu: Die oberste Leitung legt nach Abschnitt 5.2 die Informationssicherheitspolitik fest, und nach Abschnitt 6.1.3 genehmigen die Risikoeigentümer den Risikobehandlungsplan und akzeptieren die Restrisiken.
- Seit dem 6. Dezember 2025 gilt in Deutschland das neu gefasste BSI-Gesetz. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die zehn Risikomanagementmaßnahmen aus § 30 BSIG umsetzen und ihre Umsetzung überwachen. Diese Pflicht lässt sich nicht an ein Tool delegieren.
- Eine Richtlinie ist noch kein Nachweis. Im Audit zählt, ob der beschriebene Prozess gelebt wird; geprüft wird das über Protokolle, Tickets, Stichproben und Interviews mit Mitarbeitern.
- KI verkürzt die Vorbereitung, nicht das Audit. Nach der Auditzeit-Tabelle der ISO/IEC 27006 sind für 46 bis 65 Personen im Anwendungsbereich 10 Audittage für die Erstzertifizierung vorgesehen, unabhängig davon, wie viel davor automatisiert wurde.
KI im Compliance-Management verändert vor allem, wer den ersten Entwurf schreibt. Wo früher eine Beraterin oder der IT-Leiter wochenlang Richtlinien, Risikoregister und Anwendbarkeitserklärung von Grund auf erstellt hat, liefert heute ein KI-Assistent in kurzer Zeit eine Vorlage, die auf Ihr Unternehmen zugeschnitten ist. Was sich nicht verändert hat: ISO 27001, NIS2 und DSGVO verlangen, dass benannte Menschen diese Vorlagen prüfen, freigeben und verantworten.
Dieser Beitrag zeigt, wo die Grenze verläuft, und zwar entlang der Normtexte statt entlang von Versprechen. Welche Compliance-Prozesse sich insgesamt automatisieren lassen, was eine Plattform kostet und wie Sie den Erfolg messen, behandeln wir ausführlich in unserem Leitfaden zur Compliance-Automatisierung.
Was KI im Compliance-Management heute übernimmt
KI übernimmt im Compliance-Management die Aufgaben, bei denen ein Ergebnis aus vorhandenen Informationen abgeleitet und anschließend geprüft werden kann. Das sind im Kern drei Aufgabentypen.
Entwürfe erstellen. Aus Angaben zu Unternehmensgröße, Branche, Systemlandschaft und Anwendungsbereich erzeugt ein KI-Assistent Richtlinien, Verfahrensanweisungen und Antworten auf Sicherheitsfragebögen von Kunden. Bei ISO 27001 reicht das von der Informationssicherheitsleitlinie bis zur Richtlinie für mobile Endgeräte.
Nachweise zuordnen. Ein Beleg, etwa eine Zugriffsliste aus dem Identitätsmanagement, erfüllt oft Anforderungen aus mehreren Rahmenwerken gleichzeitig. KI erkennt diese Überschneidungen zwischen den 93 Controls aus Annex A der ISO 27001, den zehn Maßnahmen aus § 30 BSIG und den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und ordnet den Beleg allen passenden Anforderungen zu.
Controls überwachen. Statt einmal im Jahr eine Stichprobe zu ziehen, prüft eine Plattform den Zustand Ihrer Systeme laufend und meldet Abweichungen: ein Konto ohne Multi-Faktor-Authentifizierung, ein fehlgeschlagenes Backup, eine Schulung, die ein neuer Mitarbeiter noch nicht abgeschlossen hat.
Kertos-Kunden beschreiben diesen Teil vor allem als Strukturgewinn:
"Kertos hilft uns mit einer organisierten und strukturierten Durchführung der ISO27001-Zertifizierung. Es definiert klare Aufgaben und bietet KI-gestützte Vorschläge, die auf unsere Unternehmensstruktur abgestimmt sind."
Martin S., Agentic AI Engineer, Kleinunternehmen (bis 50 Mitarbeitende), G2
Ein verbreiteter Irrtum: KI ersetze damit den Berater. Was die KI ersetzt, ist das leere Blatt. Ob eine vorgeschlagene Richtlinie zu Ihrem Geschäftsmodell passt, ob ein Control für Sie überhaupt anwendbar ist und welches Risiko Sie bewusst tragen wollen, kann sie vorschlagen, aber nicht entscheiden.
Wo die Verantwortung bei Menschen bleibt: was ISO 27001, NIS2 und DSGVO verlangen
Alle drei Regelwerke weisen die tragenden Entscheidungen namentlich bestimmten Rollen zu: der obersten Leitung, den Risikoeigentümern, der Geschäftsleitung oder dem Verantwortlichen. Ein KI-System kann keine dieser Rollen einnehmen. Die folgende Übersicht zeigt die Aufteilung für die Aufgaben, die in der Praxis am häufigsten an KI übergeben werden.
| Aufgabe | Was KI übernehmen kann | Was Menschen entscheiden | Normbezug |
|---|---|---|---|
| Informationssicherheitspolitik und Richtlinien | Entwurf auf Basis von Unternehmensprofil und Anwendungsbereich | Inhaltliche Prüfung und Freigabe durch die Leitung | ISO 27001 Abschnitt 5.2 und Annex A 5.1 |
| Risikobewertung | Vorschläge für Bedrohungen, Schwachstellen und Bewertung | Risikoakzeptanzkriterien, Bewertung, Freigabe des Behandlungsplans und Akzeptanz der Restrisiken | ISO 27001 Abschnitte 6.1.2 und 6.1.3 |
| Anwendbarkeitserklärung (SoA) | Vorbefüllung der 93 Annex-A-Controls mit Begründungsvorschlägen | Welche Controls ausgeschlossen werden und warum | ISO 27001 Abschnitt 6.1.3 d |
| Überwachung und Nachweise | Laufende Prüfung von Systemzuständen, Zuordnung von Belegen | Bewertung von Abweichungen und Korrekturmaßnahmen | ISO 27001 Abschnitte 9.1 und 10.2 |
| Internes Audit und Managementbewertung | Vorbereitung von Checklisten, Kennzahlen und Unterlagen | Durchführung durch unabhängige Auditoren, Bewertung durch die oberste Leitung | ISO 27001 Abschnitte 9.2 und 9.3 |
| NIS2-Risikomanagementmaßnahmen | Gap-Analyse gegen die zehn Maßnahmen, Dokumentation | Umsetzung und Überwachung durch die Geschäftsleitung | § 30 Abs. 2 und § 38 Abs. 1 BSIG |
| Datenschutz-Folgenabschätzung | Entwurf von Beschreibung, Risiken und Maßnahmen | Entscheidung des Verantwortlichen nach Rat des Datenschutzbeauftragten | Art. 35 Abs. 2 DSGVO |
ISO 27001: Die Leitung gibt frei, die Risikoeigentümer akzeptieren
ISO 27001 ist an diesen Stellen eindeutig. Die oberste Leitung legt die Informationssicherheitspolitik fest (Abschnitt 5.2), Annex A 5.1 verlangt, dass Richtlinien von der Leitung genehmigt werden, und die Managementbewertung nach Abschnitt 9.3 führt ebenfalls die oberste Leitung durch. Ein KI-Entwurf ist bis zu dieser Freigabe nur ein Entwurf. Wie die Zertifizierung insgesamt abläuft, von der Gap-Analyse bis zum Überwachungsaudit, beschreibt unser Leitfaden zur ISO 27001 Zertifizierung.
NIS2: Die Geschäftsleitung setzt um und überwacht
Für besonders wichtige und wichtige Einrichtungen gilt seit dem 6. Dezember 2025 das neu gefasste BSI-Gesetz. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen; § 38 Abs. 3 verlangt zusätzlich regelmäßige Schulungen der Leitungsebene. Viele Geschäftsführer gehen davon aus, dass sie diese Pflicht mit dem Kauf eines Tools erfüllt haben. Das Tool liefert die Grundlage, die Pflicht bleibt bei ihnen.
Wie Sie die Rollen zwischen IT, Qualitätsmanagement und Geschäftsführung intern aufteilen, behandeln wir im Beitrag zur NIS2-Zuständigkeit.
DSGVO: Der Verantwortliche entscheidet
Nach Art. 24 DSGVO trägt der Verantwortliche die Verantwortung dafür, dass die Verarbeitung der Verordnung entspricht, und nach Art. 5 Abs. 2 muss er das nachweisen können. Für die Datenschutz-Folgenabschätzung schreibt Art. 35 Abs. 2 vor, dass der Verantwortliche den Rat des Datenschutzbeauftragten einholt. KI kann die Beschreibung der Verarbeitung und die Risikoanalyse vorbereiten; die Abwägung trifft ein Mensch. Einen Überblick über alle Pflichten gibt unser DSGVO-Leitfaden.
Warum eine KI-Richtlinie noch kein Nachweis ist
Eine von KI erstellte Richtlinie kann formal vollständig sein und trotzdem im Audit durchfallen, weil der Auditor nicht prüft, ob ein Dokument existiert, sondern ob der beschriebene Prozess stattfindet. Miriam Mindt, Information Security Expert bei Kertos, bereitet Unternehmen auf ISO-27001-Audits vor und benennt genau diesen Punkt als das häufigste Missverständnis:
"Ein verbreitetes Missverständnis bei vielen Kunden und vielen Auditierten ist, dass es reicht, eine Richtlinie zu haben, statt nachzuweisen, dass man den Prozess, den die Richtlinie beschreibt, tatsächlich lebt." (aus dem Englischen übersetzt)
Auditoren stützen sich dabei auf fünf Arten von Nachweisen: dokumentarische (Richtlinien, Aufzeichnungen, Verträge), bestätigende (ein Dienstleister bestätigt etwas), technische (Protokolle und Systemausgaben), analytische oder mündliche (Interviews mit Mitarbeitern) und physische (Prüfungen vor Ort). KI hilft bei den ersten drei. Die Interviews führen Ihre Mitarbeiter selbst, und sie müssen den Prozess kennen, den die Richtlinie beschreibt.
Ein typisches Szenario: Ein Softwareunternehmen mit 60 Mitarbeitern lässt seine ISO-27001-Richtlinien von einem KI-Assistenten entwerfen und hat schnell einen vollständigen Satz an Entwürfen. In der Anwendbarkeitserklärung schlägt die KI vor, einen Teil der physischen Controls auszuschließen, weil das Team remote arbeitet. Ob der Ausschluss trägt, hängt davon ab, wie das Unternehmen mit Laptops, Heimarbeitsplätzen und dem Büro seines Dienstleisters umgeht, und diese Begründung muss jemand formulieren, der das Unternehmen kennt. Im Audit selbst sind für 46 bis 65 Personen im Anwendungsbereich 10 Audittage für die Erstzertifizierung angesetzt; die Zertifizierungsstelle kann in der Praxis um bis zu 30 Prozent abweichen. Die Automatisierung hat die Vorbereitung verkürzt, die Prüfung nicht.
Der Fehler, den viele Teams hier machen: Sie lassen die Richtlinien generieren, legen sie ab und schulen niemanden darauf. Ein KI-Entwurf ist dann am wertvollsten, wenn er der Ausgangspunkt für ein Gespräch mit den Fachbereichen ist, die den Prozess später leben müssen.
Risikobewertung und Sicherheitsvorfälle: wo KI vorschlägt und Menschen entscheiden
Bei der Risikobewertung liefert KI Vorschläge, das Urteil bleibt beim Risikoeigentümer. ISO 27001 verlangt in Abschnitt 6.1.2, dass das Unternehmen Kriterien für die Risikoakzeptanz festlegt, und in Abschnitt 6.1.3, dass die Risikoeigentümer den Behandlungsplan genehmigen und die Restrisiken akzeptieren. Eine KI kann typische Bedrohungen für eine Cloud-Infrastruktur vorschlagen und eine Bewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe vorbefüllen. Ob ein Unternehmen ein Restrisiko trägt, ist eine Geschäftsentscheidung.
Ein zweiter Irrtum: Wer KI einsetzt, könne einen Teil der Verantwortung an den Anbieter weitergeben. Rechtlich ändert der Einsatz eines Tools nichts an den Pflichten der Geschäftsleitung nach § 38 BSIG oder des Verantwortlichen nach Art. 24 DSGVO. Was der Anbieter vertraglich zusagt, regelt der Vertrag; die gesetzliche Pflicht bleibt im Unternehmen. Wie KI die Methodik der Risikobewertung selbst verändert, vertiefen wir im Beitrag dazu, wie KI die Praxis des Risikomanagements verändert.
Noch deutlicher wird die Grenze bei Sicherheitsvorfällen. Nach § 32 BSIG ist ein erheblicher Sicherheitsvorfall spätestens 24 Stunden nach Kenntniserlangung zu melden, innerhalb von 72 Stunden folgt eine Meldung mit erster Bewertung und spätestens einen Monat nach dieser Meldung die Abschlussmeldung. Eine Verletzung des Schutzes personenbezogener Daten geht nach Art. 33 DSGVO innerhalb von 72 Stunden an die Aufsichtsbehörde. KI kann die Meldung vorbereiten, Zeitstempel sichern und Fristen überwachen. Ob ein Vorfall erheblich ist und die Uhr damit läuft, entscheidet ein Mensch, der den Vorfall versteht.
Was sich 2026 regulatorisch geändert hat und was das für KI im Compliance-Management bedeutet
Seit Ende 2025 haben sich vier Rahmenbedingungen verschoben: NIS2 gilt in Deutschland, der EU AI Act hat seine Hochrisiko-Fristen verschoben, der Cyber Resilience Act hat seine ersten Meldepflichten aktiviert und die DSGVO ist in der Sache unverändert. Die Übersicht zeigt den Stand vom Oktober 2026.
| Regelwerk | Stand Oktober 2026 | Bedeutung für KI im Compliance-Management |
|---|---|---|
| NIS2 (BSIG) | Neu gefasstes BSI-Gesetz in Kraft seit 6. Dezember 2025, ohne Übergangsfrist. Registrierung nach § 33 innerhalb von drei Monaten; die Duldungsphase endete am 31. Juli 2026. | Mehr Unternehmen müssen die zehn Maßnahmen nach § 30 nachweisen. KI beschleunigt die Gap-Analyse, die Pflicht nach § 38 bleibt bei der Geschäftsleitung. |
| EU AI Act | Verbote seit 2. Februar 2025, Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit 2. August 2025, Transparenzpflichten nach Art. 50 seit 2. August 2026. Hochrisiko-Pflichten verschoben auf 2. Dezember 2027 (Anhang III) und 2. August 2028 (Anhang I). | Wer KI im Unternehmen einsetzt, muss seine Systeme einordnen. Compliance-Tools sind in Anhang III nicht als eigene Kategorie aufgeführt; die Einstufung hängt vom Einsatzzweck ab. |
| Cyber Resilience Act | Meldepflichten für Hersteller von Produkten mit digitalen Elementen gelten seit 11. September 2026, gemeldet wird über die Single Reporting Platform der ENISA. Die übrigen Pflichten gelten ab 11. Dezember 2027. | Eine weitere Meldefrist neben NIS2 und DSGVO, die mit einer Frühwarnung innerhalb von 24 Stunden beginnt. KI kann Fristen überwachen, die Einstufung bleibt menschlich. |
| DSGVO | Verfahrensverordnung (EU) 2025/2518 in Kraft seit 1. Januar 2026, anwendbar ab April 2027. Der Digital Omnibus zur DSGVO ist ein Vorschlag in erster Lesung; Parlament und Rat haben noch keinen Standpunkt. | Die materiellen Pflichten sind unverändert, auch Art. 24 und Art. 35 Abs. 2. |
| ISO 27001 und ISO 42001 | Die Übergangsfrist für ISO 27001:2013 endete am 31. Oktober 2025; gültige Zertifikate beruhen auf der Fassung 2022 mit 93 Annex-A-Controls. ISO/IEC 42001:2023 ist die zertifizierbare Norm für KI-Managementsysteme. | Wer KI für Compliance einsetzt, kann den Einsatz selbst nach ISO 42001 steuern und zertifizieren lassen. |
Ein dritter Irrtum, der sich 2026 hartnäckig hält: Der Digital Omnibus habe die DSGVO bereits gelockert. Verabschiedet wurde im Juli 2026 nur der Omnibus zum AI Act, die Verordnung (EU) 2026/1744, die die Hochrisiko-Fristen verschiebt. Der DSGVO-Teil steckt noch im Gesetzgebungsverfahren.
Welche KI-Systeme unter welche Risikoklasse fallen und wer die Einhaltung in Deutschland überwacht, erklärt unser Leitfaden zur KI-Verordnung.
KI und zertifizierte Experten bei Kertos
Kertos verbindet eine Compliance-Plattform mit dem KI-Assistenten KAIA und zertifizierten Experten und ist selbst nach ISO 42001 zertifiziert. Die Plattform erhebt Nachweise aus Ihren bestehenden Systemen, überwacht Controls laufend und bildet ISO 27001, DSGVO, NIS2, SOC 2, TISAX und C5 auf einen gemeinsamen Nachweisbestand ab. KAIA erstellt Richtlinienentwürfe, die auf Ihre Unternehmensstruktur zugeschnitten sind, und schlägt die nächsten Aufgaben vor. Die Richtlinien verwalten Sie anschließend im Dokumentenmanagement der Plattform.
Wie viel Arbeit bei Ihrem Team bleibt, hängt vom Paket ab. Im Paket Essential arbeitet Ihr Team mit Plattform und KAIA; in Pro unterstützt KAIA als virtueller CISO, und in Premium begleitet ein benannter externer CISO das Unternehmen. Die Verantwortung nach § 38 BSIG bleibt in jedem Fall bei der Geschäftsleitung. Auf die Frage, was ihm an Kertos am besten gefällt, nennt ein Kunde auf G2 nicht die KI, sondern die Begleitung:
"Die persönliche Unterstützung während des Zertifizierungsprozesses."
Verifizierter Benutzer in Computersoftware, Kleinunternehmen (bis 50 Mitarbeitende), G2, aus dem Englischen übersetzt
In der Praxis reduziert das den manuellen Compliance-Aufwand um rund 80 Prozent, und die Audit-Erfolgsquote liegt bei 100 Prozent. AskUI hat so die ISO 27001 Zertifizierung in 8 bis 10 Wochen erreicht, ohne externe Beratung. Wenn Sie sehen möchten, wie die Aufteilung zwischen KI, Experten und Ihrem Team für Ihren Anwendungsbereich aussieht, buchen Sie eine Demo.
Häufig gestellte Fragen
Welche Compliance-Aufgaben kann KI übernehmen?
KI im Compliance-Management kann Richtlinien und Dokumentation entwerfen, Sicherheitsfragebögen vorbefüllen, Nachweise den Anforderungen mehrerer Rahmenwerke zuordnen und Controls laufend überwachen. Nicht übernehmen kann sie Freigaben, die Festlegung des Anwendungsbereichs, die Akzeptanz von Restrisiken und das Auditurteil. Diese Entscheidungen weisen ISO 27001, NIS2 und DSGVO bestimmten Personen zu.
Kann KI einen Compliance-Berater ersetzen?
KI ersetzt den Teil der Beratung, der aus dem Schreiben von Erstentwürfen und dem Sammeln von Belegen besteht. Die Bewertung, ob eine Richtlinie zum Unternehmen passt, ob ein Control ausgeschlossen werden darf und wie ein Auditor eine Begründung liest, erfordert weiterhin Erfahrung. Deshalb kombinieren die meisten Ansätze eine Plattform mit zertifizierten Experten.
Darf man ISO-27001-Richtlinien mit KI erstellen?
Ja, die Norm schreibt nicht vor, wie eine Richtlinie entsteht. Sie verlangt in Abschnitt 5.2, dass die oberste Leitung die Informationssicherheitspolitik festlegt, und in Annex A 5.1, dass Richtlinien von der Leitung genehmigt, veröffentlicht und kommuniziert werden. Ein KI-Entwurf ist zulässig, solange er geprüft, freigegeben und im Unternehmen tatsächlich umgesetzt wird.
Wer haftet, wenn ein KI-Tool in der Compliance einen Fehler macht?
Die gesetzlichen Pflichten bleiben beim Unternehmen: Nach § 38 Abs. 1 BSIG setzt die Geschäftsleitung die NIS2-Maßnahmen um und überwacht ihre Umsetzung, und nach Art. 24 DSGVO ist der Verantwortliche für die Einhaltung verantwortlich. Was der Anbieter für Fehler seines Tools übernimmt, regelt der Vertrag. Für die konkrete Haftungsfrage im Einzelfall ist eine rechtliche Beratung der richtige Weg.
Müssen KI-Ergebnisse in der Compliance von Menschen geprüft werden?
Ja, an allen Stellen, an denen ein Regelwerk eine Freigabe, Genehmigung oder Bewertung verlangt. Bei ISO 27001 sind das unter anderem die Politik nach Abschnitt 5.2, der Risikobehandlungsplan nach Abschnitt 6.1.3 und die Managementbewertung nach Abschnitt 9.3. Auch dort, wo keine Freigabe vorgeschrieben ist, lohnt die Prüfung, weil der Auditor im Interview fragt, ob Ihre Mitarbeiter den dokumentierten Prozess kennen.
Rechtsstand: 20. Oktober 2026
