EU IT Compliance wird zur Managementdisziplin.

„Ist das ein erheblicher Sicherheitsvorfall?" — Diese Frage stellt sich nach §32 BSIG innerhalb von Minuten. Nicht Stunden. Wer sie nicht beantworten kann, hat ein 24-Stunden-Zeitfenster für die BSI-Erstmeldung bereits zur Hälfte verbraucht, während intern noch abgestimmt wird.

Das wird das praxisnächste Thema der nächsten 18 Monate. Nicht weil es neu ist — sondern weil die ersten Enforcement-Fälle zeigen werden, dass genau hier die meisten Unternehmen scheitern. Nicht technisch. Organisatorisch.

Die Entwicklung: Incident Decision Intelligence wird zur eigenen Kompetenz. Wer einen vorbereiteten Entscheidungspfad hat — Owner, Trigger, Meldeweg, Dokumentation — handelt in Minuten. Wer das nicht hat, handelt im Panic-Modus.

Die DSGVO hat es gelehrt: Das Problem war nie die Datenschutzerklärung. Das Problem war die fehlende Dokumentation dahinter. Wer das verstanden hat, versteht auch NIS2.

Die zentrale Verschiebung: Compliance wird nicht mehr behauptet — sie wird bewiesen. GF-Schulungsnachweis, Registrierungsbeleg, Incident-Dokumentation, Supplier-Assessment, Risikoregister. Das sind keine Verwaltungsakte. Das ist die neue Währung in Prüfsituationen, M&A-Prozessen, Bankgesprächen und Lieferkettenqualifizierungen.

Unternehmen die jetzt eine strukturierte Evidenzlinie aufbauen, haben in drei Jahren einen messbaren Vorteil — in Due-Diligence-Prozessen, in Versicherungsverhandlungen, in Kundengesprächen. Unternehmen die warten, bauen im Zeitdruck.

M&A-Prozesse, Unternehmensverkäufe, Bankfinanzierungen, Beteiligungen: In allen diesen Kontexten wird NIS2-Konformität zunehmend Teil der Due-Diligence-Agenda. Nicht weil Investoren Compliance lieben — sondern weil fehlende Dokumentation Haftungsrisiken ist, die ein Käufer bepreist oder ausschließt.

Das betrifft besonders den Mittelstand: Unternehmensübergaben, Familienbetriebe die institutionellen Käufern oder Private-Equity-Häusern ausgesetzt werden, und Wachstumsunternehmen die Bankgespräche führen. Ein fehlender GF-Nachweis oder eine nicht abgeschlossene Registrierung wird im Dataroom sichtbar — und bewertet.

Dies ist Premium-Territory. Der Markt ist klein, die Transaktion ist groß, und die Marge entsteht durch Präzision statt Volumen.

Die Lieferkette wird zum stärksten Compliance-Treiber für den Mittelstand. Nicht weil das BSI es verlangt — sondern weil große betroffene Kunden es verlangen werden. „Wir brauchen Nachweise" ist die Aussage die KMU in den nächsten 24 Monaten zunehmend hören werden — von Einkaufsabteilungen, nicht von Behörden.

Das erzeugt eine Dynamik die in der DSGVO-Einführung bereits beobachtbar war: Großunternehmen drücken Anforderungen in die Lieferkette. Wer einen Nachweis vorlegen kann, bleibt Lieferant. Wer keinen hat, wird qualifiziert — oder ausgetauscht.

Supplier-Assurance-Dokumente werden eine eigene Kategorie. Statuspass, Betroffenheitserklärung, Maßnahmenübersicht — als kompakte, prüfbare Lieferanten-Auskunft.

Der AI Act ist in Kraft. Die meisten KMU haben es noch nicht gemerkt — genauso wie es bei NIS2 war. Die Umsetzungsfristen beginnen zu laufen. Die Anforderungen folgen einer bekannten Logik: Verantwortlichkeit, Dokumentation, Risikobewertung, Governance, Nachweis.

Wer NIS2 strukturiert gelöst hat, versteht AI Governance bereits in 80 Prozent. Die konzeptuelle Übertragung ist nicht schwer. Die operative Infrastruktur — Evidenzlinie, GF-Einbindung, Dokumentationsprozess — ist dieselbe.

Die Empfehlung: Jetzt nicht vollständig aufbauen. Aber konzeptuell vorbereiten. Wer in 2027 AI Governance aufbaut, will nicht bei null anfangen. Wer die Muster kennt, baut schneller.