Stand: 21. Oktober 2026

1. Ausgangslage: Kritische Sicherheitslücken in PHP

Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide wurden mit CVSS 4.0 mit 9,2 von 10 Punkten bewertet. Nach Angaben des PHP-Projekts können die Schwachstellen unter bestimmten Voraussetzungen eine unauthentifizierte Remote Code Execution ermöglichen, also die Ausführung von Schadcode ohne vorherige Anmeldung.

Betroffen sein können PHP-Installationen, die Webanfragen verarbeiten. Das PHP-Projekt nennt unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Als besonders hoch bewertet das Projekt das Risiko bei Apache mit mod_php, für das ein Exploit demonstriert wurde, der bereits vor der Ausführung des Anwendungscodes ansetzen kann.

Das PHP-Projekt hat folgende Sicherheitsversionen veröffentlicht:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Das Projekt empfiehlt dringend, betroffene Installationen unverzüglich zu aktualisieren. Es weist ausdrücklich darauf hin, dass keine vollständigen alternativen Schutzmaßnahmen zur Verfügung stehen.

Primärquelle: Offizielle PHP-Sicherheitsankündigung vom 21. Oktober 2026.

Für Unternehmen ergibt sich daraus unmittelbarer technischer Handlungsbedarf. Die Compliance-Frage geht jedoch über die Installation eines Updates hinaus: Es muss geprüft werden, welche Systeme betroffen sind, welche Risiken bestehen, ob ein Sicherheitsvorfall vorliegt und ob gesetzliche oder vertragliche Informations- und Meldepflichten ausgelöst werden.

2. Die zentrale Compliance-Frage: Schwachstelle oder Sicherheitsvorfall?

Eine kritische Schwachstelle ist nicht automatisch ein meldepflichtiger Sicherheitsvorfall.

Für eine sachgerechte Bewertung müssen drei Sachverhalte unterschieden werden:

Erstens: Eine Schwachstelle ist vorhanden. Eine betroffene PHP-Version wird eingesetzt, aber es liegen keine konkreten Hinweise auf einen Angriff vor. Das begründet dringenden Handlungsbedarf im Schwachstellenmanagement. Eine externe Meldung folgt daraus nicht automatisch.

Zweitens: Eine Ausnutzung wird vermutet oder untersucht. Es gibt beispielsweise auffällige Protokolleinträge, ungewöhnliche Prozesse oder Hinweise auf unberechtigte Zugriffe. Jetzt muss der Incident-Response-Prozess aktiviert und geprüft werden, ob bereits ein meldepflichtiger Vorfall vorliegt. Ein abschließender Nachweis sämtlicher Auswirkungen muss nicht in jedem Fall abgewartet werden, bevor gesetzliche Fristen zu laufen beginnen.

Drittens: Ein Sicherheitsvorfall ist eingetreten. Ein Angreifer hat beispielsweise Schadcode ausgeführt, Systeme kompromittiert oder Daten unbefugt abgerufen beziehungsweise verändert. In diesem Fall sind die Auswirkungen, die betroffenen Dienste und Daten sowie die einschlägigen gesetzlichen und vertraglichen Meldepflichten unverzüglich zu bewerten.

Entscheidend ist stets das jeweils anwendbare Regelwerk. Insbesondere NIS2 beziehungsweise das deutsche Umsetzungsgesetz, die DSGVO und der Cyber Resilience Act verfolgen unterschiedliche Zwecke und haben unterschiedliche Voraussetzungen für Meldepflichten.

3. NIS2 und das deutsche BSIG: Wann ist eine Meldung erforderlich?

Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die Anforderungen des neuen BSI-Gesetzes gelten für die jeweils erfassten Einrichtungen und Sachverhalte. Ob eine Organisation darunter fällt, muss anhand ihrer Tätigkeiten, ihres Status, ihrer Größe und der einschlägigen gesetzlichen Ausnahmen geprüft werden.

Für besonders wichtige und wichtige Einrichtungen enthält § 32 BSIG ein gestuftes Meldeverfahren für erhebliche Sicherheitsvorfälle.

Welche Fristen gelten?

Dauert der Sicherheitsvorfall zum Zeitpunkt der vorgesehenen Abschlussmeldung noch an, ist stattdessen eine Fortschrittsmeldung vorzulegen. Die Abschlussmeldung folgt nach der abschließenden Bearbeitung des Vorfalls.

Wichtig ist die gesetzliche Einschränkung in § 32 BSIG: Die dort geregelte Meldepflicht gilt frühestens ab Einrichtung des vorgesehenen Meldewegs. Für einen konkreten Fall ist deshalb auch das aktuell verfügbare offizielle Meldeverfahren zu prüfen.

Rechtsquelle: § 32 BSIG – Meldepflichten.

Was bedeutet das für die PHP-Schwachstellen?

Die Veröffentlichung einer kritischen PHP-Sicherheitswarnung löst für sich genommen nicht automatisch eine NIS2-Meldung aus. Es muss festgestellt werden, ob die Organisation betroffen ist und ob ein erheblicher Sicherheitsvorfall im Sinne der gesetzlichen Definition vorliegt.

Dabei dürfen die möglichen Auswirkungen nicht ausgeblendet werden: Die Bewertung muss auch die gesetzlich relevanten erheblichen Auswirkungen auf Dienste und andere Personen berücksichtigen. Ein Unternehmen sollte deshalb nicht allein deshalb von einer Meldepflicht absehen, weil noch kein bestätigter finanzieller Schaden oder vollständiger Produktionsausfall vorliegt.

Die technische Untersuchung und die rechtliche Bewertung sollten parallel erfolgen. Ist ein meldepflichtiger Vorfall bekannt geworden, darf die Fristprüfung nicht bis zum Abschluss einer umfassenden forensischen Untersuchung aufgeschoben werden.

Zusätzlich sind gegebenenfalls besondere Anforderungen für Betreiber kritischer Anlagen und branchenspezifische Regelungen zu prüfen.

4. DSGVO: Wann muss die Datenschutzaufsichtsbehörde informiert werden?

Eine PHP-Schwachstelle kann den unbefugten Zugriff auf personenbezogene Daten ermöglichen. Beispiele sind Kundenkonten, Kontaktdaten, Mitarbeiterinformationen oder andere personenbezogene Datensätze.

Allerdings ist zwischen einer Sicherheitslücke und einer Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO zu unterscheiden. Die Datenschutzpflichten hängen davon ab, ob tatsächlich eine Verletzung der Sicherheit personenbezogener Daten eingetreten ist und welche Risiken daraus entstehen.

Meldung nach Art. 33 DSGVO

Der Verantwortliche muss eine Datenschutzverletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden, sofern nicht voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.

Kann die Meldung nicht innerhalb von 72 Stunden erfolgen, müssen die Gründe für die Verzögerung angegeben werden.

Benachrichtigung betroffener Personen nach Art. 34 DSGVO

Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, müssen die betroffenen Personen grundsätzlich unverzüglich informiert werden. Dabei sind die gesetzlichen Ausnahmen und Voraussetzungen zu beachten.

Dokumentation nach Art. 33 Abs. 5 DSGVO

Der Verantwortliche muss Datenschutzverletzungen dokumentieren. Die Dokumentation umfasst die mit der Verletzung zusammenhängenden Fakten, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen. Sie muss der Aufsichtsbehörde ermöglichen, die Einhaltung der gesetzlichen Anforderungen zu überprüfen.

Pflichten von Auftragsverarbeitern

Auch die Rolle externer IT-Dienstleister ist zu berücksichtigen. Wird eine Datenschutzverletzung bei einem Auftragsverarbeiter bekannt, muss dieser den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich informieren.

Bei extern betriebenen PHP-Anwendungen sollten deshalb die Informationswege, vertraglich vereinbarten Fristen und Zuständigkeiten zwischen Kunde, Hosting-Anbieter und sonstigen Dienstleistern geklärt sein.

Primärquelle: DSGVO, insbesondere Art. 33 und 34.

5. Cyber Resilience Act: Zusätzliche Pflichten für bestimmte Hersteller

Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, enthält eigenständige Meldepflichten für Hersteller bestimmter Produkte mit digitalen Elementen.

Nach Art. 14 CRA müssen erfasste Hersteller aktiv ausgenutzte Schwachstellen in ihren Produkten, von denen sie Kenntnis erlangen, über die vorgesehene zentrale Meldeplattform sowohl dem zuständigen CSIRT als auch der ENISA melden.

Für die Meldung einer aktiv ausgenutzten Schwachstelle sieht Art. 14 unter anderem folgende Fristen vor:

• Innerhalb von 24 Stunden nach Kenntnis: Frühwarnung.
• Innerhalb von 72 Stunden nach Kenntnis: Schwachstellenmeldung mit den verfügbaren Informationen.
• Spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme:Abschlussbericht.

Diese Fristen beziehen sich auf die spezifischen CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen. Daneben enthält die Vorschrift gesonderte Anforderungen an die Meldung bestimmter Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit eines Produkts.

Die CRA-Meldepflicht darf nicht pauschal auf jedes Unternehmen übertragen werden, das PHP verwendet. Entscheidend ist unter anderem, ob das Unternehmen als Hersteller eines erfassten Produkts mit digitalen Elementen handelt und ob die gesetzlichen Voraussetzungen im konkreten Fall erfüllt sind.

Die CRA-Meldung ist außerdem von einer Meldung nach NIS2 oder einer Datenschutzmeldung nach der DSGVO zu unterscheiden. Ein Sachverhalt kann mehrere Regelwerke berühren; jede Pflicht muss gesondert geprüft werden.

Primärquelle: Verordnung (EU) 2024/2847 – Cyber Resilience Act, insbesondere Art. 14.

6. Weitere Pflichten: Verträge und branchenspezifische Regelungen

Neben den genannten Gesetzen können weitere Anforderungen gelten. Welche davon einschlägig sind, hängt vom konkreten Unternehmen und seiner Rolle ab.

Vertragliche Informationspflichten

Kundenverträge, Hosting-Verträge, Cloud-Vereinbarungen und Service-Level-Agreements können Meldefristen, Informationspflichten oder Anforderungen an die Behebung von Sicherheitsproblemen enthalten.

Diese Verpflichtungen sind unabhängig von gesetzlichen Meldepflichten zu prüfen. Ein Vorfall kann daher vertraglich relevant sein, auch wenn keine gesetzliche externe Meldung erforderlich ist.

Branchenspezifische Regelungen

Unternehmen in regulierten Branchen müssen gegebenenfalls zusätzliche aufsichtsrechtliche Anforderungen berücksichtigen. Für Finanzunternehmen ist beispielsweise zu prüfen, ob die Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) einschlägig ist.

Dabei darf nicht unterstellt werden, dass alle Branchen denselben Meldepflichten oder Fristen unterliegen. Maßgeblich sind die jeweilige Rechtsgrundlage, der Unternehmensstatus und die Art des Ereignisses.

Konsequenz für die Compliance-Organisation

Die Prüfung sollte in einem nachvollziehbaren Verfahren erfolgen. Für jede potenziell anwendbare Regelung sind die Voraussetzungen, die zuständigen Verantwortlichen, die relevanten Fristen und das Ergebnis der Einzelfallbewertung festzuhalten.

7. Was Unternehmen jetzt konkret tun sollten

Eine belastbare Reaktion auf die PHP-Schwachstellen verbindet technische Sofortmaßnahmen mit einer dokumentierten Compliance-Bewertung.

Schritt 1: Betroffene Systeme erfassen

Ermitteln Sie, welche PHP-Versionen und Laufzeitumgebungen tatsächlich betrieben werden. Berücksichtigen Sie produktive Systeme, Testumgebungen, Container-Images, CMS-Installationen und Anwendungen, die von externen Dienstleistern betrieben werden.

Priorisieren Sie Systeme, die öffentlich erreichbar sind oder kritische Geschäftsprozesse unterstützen.

Schritt 2: Sicherheitsupdates einspielen

Prüfen Sie die betroffenen Versionen und aktualisieren Sie auf eine geeignete korrigierte Version. Die offiziellen PHP-Sicherheitsmeldungen sind dabei maßgeblich.

PHP 8.2 erhält laut PHP-Projekt nur noch bis zum 31. Dezember 2026 Sicherheitskorrekturen. Unternehmen, die diese Version einsetzen, sollten deshalb neben dem unmittelbaren Patch auch die Migration auf eine weiterhin unterstützte PHP-Version planen.

Nach der Aktualisierung muss geprüft werden, ob die Korrektur tatsächlich auf allen betroffenen Systemen wirksam ist. Bei Container- und Deployment-Umgebungen umfasst dies auch die Aktualisierung der verwendeten Images und die Bereitstellung der korrigierten Laufzeitversion.

Schritt 3: Risiken bis zur Behebung reduzieren

Ist eine sofortige Aktualisierung technisch nicht möglich, sollten angemessene vorübergehende Schutzmaßnahmen geprüft werden. Dazu können die Einschränkung des Zugriffs und bei entsprechendem Risiko die Isolation exponierter Systeme gehören.

Solche Maßnahmen ersetzen den vom PHP-Projekt empfohlenen Sicherheitsfix nicht. Das Projekt weist ausdrücklich darauf hin, dass keine vollständigen alternativen Schutzmaßnahmen verfügbar sind.

Schritt 4: Auf mögliche Ausnutzung untersuchen

Prüfen Sie geeignete Sicherheitsdaten, insbesondere:

• Webserver- und PHP-Protokolle,
• Firewall- und WAF-Ereignisse,
• EDR- und Server-Telemetrie,
• ungewöhnliche Prozesse und ausgehende Netzwerkverbindungen,
• verdächtige Datei- oder Konfigurationsänderungen,
• auffällige Kontoaktivitäten und Zugriffe auf sensible Daten.

Sichern Sie relevante Beweise und dokumentieren Sie die Untersuchung. Bei Hinweisen auf eine Kompromittierung sollte der Incident-Response-Prozess aktiviert werden.

Schritt 5: Meldepflichten parallel prüfen

Bewerten Sie systematisch:

1. Fällt die Organisation unter das BSIG und die einschlägigen NIS2-Pflichten?
2. Liegt ein erheblicher Sicherheitsvorfall im Sinne des anwendbaren Rechts vor?
3. Ist eine Verletzung des Schutzes personenbezogener Daten eingetreten?
4. Bestehen besondere Pflichten aus Verträgen oder branchenspezifischen Regelungen?
5. Ist das Unternehmen Hersteller eines vom CRA erfassten Produkts und sind die besonderen Voraussetzungen der Herstellermeldung erfüllt?

Halten Sie die Ergebnisse und die Gründe für die jeweilige Entscheidung fest. Bestehen mehrere potenzielle Meldepflichten, sind die Fristen und Meldewege getrennt zu überwachen.

Schritt 6: Zuständigkeiten und Dokumentation sicherstellen

Binden Sie je nach Lage IT-Betrieb, Informationssicherheit, Datenschutzbeauftragte, Compliance, Rechtsabteilung und Management ein.

Die Dokumentation sollte insbesondere enthalten:

• Zeitpunkt der Kenntnisnahme und erste Risikobewertung,
• betroffene Systeme und Geschäftsprozesse,
• Ergebnisse der technischen Untersuchung,
• Patch- und Testnachweise,
• Bewertung gesetzlicher und vertraglicher Pflichten,
• Entscheidungen und ihre Begründung,
• gegebenenfalls Meldungen und Kommunikation mit Behörden, Kunden oder Dienstleistern,
• offene Maßnahmen, Verantwortliche und Fristen.

So lässt sich nachvollziehen, wie das Unternehmen die Schwachstelle bewertet, die Risiken begrenzt und seine Pflichten erfüllt hat.

8. Governance: Schwachstellenmanagement als überprüfbarer Prozess

Kritische Schwachstellen zeigen, ob die Prozesse für Informationssicherheit und Compliance tatsächlich funktionieren.

Ein belastbarer Prozess braucht definierte Zuständigkeiten, klare Eskalationskriterien und nachvollziehbare Entscheidungswege. Es muss feststehen, wer kritische Schwachstellen bewertet, wer Sofortmaßnahmen veranlassen darf und wer die rechtliche Bewertung möglicher Meldepflichten verantwortet.

Ebenso wichtig ist die Zusammenarbeit mit externen Dienstleistern. Wenn PHP-Systeme ausgelagert betrieben werden, müssen technische Informationen und mögliche Vorfallmeldungen rechtzeitig bei den zuständigen Stellen im Unternehmen ankommen.

Regelmäßige Übungen, verbindliche Reaktionszeiten und eine nachvollziehbare Dokumentation helfen, Verzögerungen und Zuständigkeitslücken zu vermeiden.

Unsere Empfehlung: Sofort beheben und Meldepflichten sachgerecht bewerten

Die kritischen PHP-Schwachstellen vom 21. Oktober 2026 erfordern eine unverzügliche technische Prüfung und priorisierte Behebung. Das PHP-Projekt empfiehlt ausdrücklich, betroffene Installationen zu aktualisieren, da keine vollständigen alternativen Schutzmaßnahmen verfügbar sind.

Aus Compliance-Sicht sind darüber hinaus vier Grundsätze entscheidend:

• Technische Sicherheit: Betroffene Systeme identifizieren, Updates einspielen und die Wirksamkeit der Korrektur nachweisen.
• Vorfallmanagement: Mögliche Ausnutzung untersuchen, Beweise sichern und erforderlichenfalls den Incident-Response-Prozess aktivieren.
• Rechtliche Bewertung: NIS2 beziehungsweise BSIG, DSGVO, CRA sowie gegebenenfalls vertragliche und branchenspezifische Pflichten anhand der tatsächlichen Umstände prüfen.
• Nachvollziehbarkeit: Entscheidungen, Fristen, Maßnahmen und Meldebewertungen dokumentieren.

Die entscheidende Compliance-Frage lautet daher nicht allein: „Ist der Patch installiert?“ Sie lautet ebenso: „Haben wir die tatsächlichen Risiken angemessen bewertet, mögliche Vorfall- und Meldepflichten geprüft und unsere Entscheidungen nachvollziehbar dokumentiert?“

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Einzelfallprüfung. Die Anwendbarkeit gesetzlicher Pflichten hängt insbesondere vom Status der Organisation, den betroffenen Systemen, den tatsächlichen Vorfallumständen und der jeweils geltenden Rechtslage ab.

Quellen

1. PHP-Projekt: Offizielle Website und Sicherheitsankündigungen
2. Bundesministerium der Justiz: § 32 BSIG – Meldepflichten
3. Bundesministerium der Justiz: BSI-Gesetz (BSIG)
4. Europäische Union: Datenschutz-Grundverordnung (EU) 2016/679
5. Europäische Union: Cyber Resilience Act (EU) 2024/2847

Der Beitrag Kritische PHP-Schwachstellen am 21. Oktober 2026: Was Unternehmen aus Compliance-Sicht jetzt beachten müssen erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

Die EU-Ökodesign-Verordnung für nachhaltige Produkte (ESPR) schafft den Rahmen für die schrittweise Einführung des Produktpasses. Welche Daten konkret erforderlich sind, hängt von der jeweiligen Produktgruppe und den geltenden Rechtsakten ab. Für bestimmte Batterien ist der Batteriepass ab dem 18. Februar 2027 vorgeschrieben.

Für Hersteller lohnt es sich, schon heute die eigenen Datenbestände zu prüfen. Denn häufig liegen relevante Informationen verteilt in ERP- und PLM-Systemen, Lieferantenerklärungen, technischen Dokumentationen und einzelnen Abteilungen.

Digitaler Produktpass: Wo entstehen die größten Datenlücken?

1. Produktstammdaten

Sind Artikelnummern, Produktvarianten und technische Dokumentationen eindeutig miteinander verknüpft? Unterschiedliche Kennungen und veraltete Produktstände erschweren die Zuordnung.

2. Materialinformationen

Sind die relevanten Material- und Stücklistendaten vollständig? Angaben zu Werkstoffen, Inhaltsstoffen oder Recyclinganteilen können über verschiedene Systeme und Dokumente verteilt sein. Welche davon benötigt werden, richtet sich nach den konkreten Produktanforderungen.

3. Lieferantendaten

Liegen die erforderlichen Informationen von Zulieferern vor? Sind sie aktuell, belastbar und dem richtigen Produkt zugeordnet? Fehlende oder widersprüchliche Angaben sollten systematisch erfasst und nachverfolgt werden.

4. Nachweise und Dokumentation

Sind Prüfberichte, Konformitätsunterlagen und weitere relevante Dokumente auffindbar und gültig? Entscheidend ist, dass Informationen und Nachweise zum jeweiligen Produkt und dessen aktuellem Stand passen.

5. Verantwortlichkeiten

Ist geregelt, wer Daten bereitstellt, prüft und aktualisiert? Ohne klare Zuständigkeiten entstehen Lücken zwischen Einkauf, Entwicklung, Qualitätssicherung, Compliance und IT.

6. Datenqualität und IT-Schnittstellen

Lassen sich Informationen konsistent aus den bestehenden Systemen zusammenführen? Unterschiedliche Datenformate, manuelle Übertragungen und fehlende Schnittstellen können die spätere Bereitstellung erschweren.

Praxischeck: Wie gut sind Ihre Produktdaten für den Digitalen Produktpass aufgestellt?

Unternehmen können die Ausgangslage mit einer einfachen Bestandsaufnahme prüfen:

• ☐ Die betroffenen Produkte und geltenden Anforderungen sind identifiziert.
• ☐ Relevante Datenquellen und Dokumente sind bekannt.
• ☐ Material- und Lieferanteninformationen sind nachvollziehbar zugeordnet.
• ☐ Erforderliche Nachweise sind aktuell und auffindbar.
• ☐ Für jeden relevanten Datenbereich gibt es einen Verantwortlichen.
• ☐ Fehlende Informationen werden dokumentiert und mit Maßnahmen hinterlegt.

Praxistipp: Starten Sie mit einer repräsentativen Produktfamilie. Erfassen Sie je Datenbereich die Quelle, den Verantwortlichen, den aktuellen Status und die noch offene Aufgabe. So entsteht eine erste Datenlandkarte, ohne dass sofort ein neues IT-System beschafft werden muss.

Was Unternehmen jetzt tun sollten

Nicht jede Information muss vorsorglich gesammelt werden. Sinnvoller ist es, zunächst die konkreten Anforderungen für die betroffenen Produkte zu ermitteln und diese mit den vorhandenen Daten abzugleichen. Priorität haben Lücken, die gesetzlich erforderliche Angaben betreffen, sowie fehlende Nachweise und unklare Zuständigkeiten. Erst auf dieser Grundlage lässt sich beurteilen, ob bestehende Systeme ausreichen oder zusätzliche technische Lösungen erforderlich sind.

Eine strukturierte Datenlandkarte schafft dabei einen doppelten Nutzen: Sie bereitet auf den digitalen Produktpass vor und verbessert zugleich die Datenqualität und Zusammenarbeit zwischen den beteiligten Abteilungen.

Quellen

• Europäische Kommission: Digital Product Passport
• Verordnung (EU) 2024/1781 – Ökodesign für nachhaltige Produkte
• Verordnung (EU) 2023/1542 – Batterien und Altbatterien

Hinweis: Die konkreten Anforderungen sind anhand der jeweils geltenden Vorschriften für die betreffende Produktgruppe zu prüfen.

Der Beitrag Digitaler Produktpass: 6 Datenlücken, die Hersteller jetzt schließen sollten erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

Im Arbeitsschutz gibt es zahlreiche unterschiedliche Regelwerke. Neben Gesetzen und Verordnungen gehören dazu auch die Schriften der Deutschen Gesetzlichen Unfallversicherung (DGUV). Dabei haben nicht alle Dokumente denselben rechtlichen Status.

DGUV Vorschriften sind Unfallverhütungsvorschriften und damit verbindliches autonomes Recht der Unfallversicherungsträger. Daneben gibt es insbesondere DGUV-Regeln, -Informationen und -Grundsätze, die einen anderen Charakter haben. Sie unterstützen Unternehmen dabei, Anforderungen an Sicherheit und Gesundheit bei der Arbeit praktisch umzusetzen.

Das führt zu einer wichtigen Unterscheidung: Eine DGUV Regel muss nicht zwangsläufig in jedem Fall wortgetreu umgesetzt werden. Sie ist aber auch keine beliebige Empfehlung, die man ohne weitere Prüfung ignorieren kann.

Was „heranziehen“ in der Praxis bedeutet

Paragraph 2 Abs. 2 DGUV Vorschrift 1 sieht vor, dass der Unternehmer bei den erforderlichen Maßnahmen unter anderem das staatliche Regelwerk und das Regelwerk der Unfallversicherungsträger heranziehen muss.

Das bedeutet nicht, dass jede Maßnahme aus einer DGUV-Schrift automatisch verbindlich wird. Unternehmen können grundsätzlich auch andere geeignete Lösungen wählen, wenn damit das erforderliche Sicherheits- und Gesundheitsschutzniveau erreicht wird. Dies wird auch in der DGUV Regel 100-001 erläutert.

Es bedeutet aber sehr wohl, dass einschlägige DGUV-Schriften bei der Auswahl von Schutzmaßnahmen berücksichtigt werden sollten. Wer von einer dort beschriebenen Vorgehensweise abweicht, sollte daher nachvollziehbar begründen können, warum die gewählte Alternative geeignet ist.

Entscheidend ist die Einschlägigkeit

Für Unternehmen sollte deshalb nicht die Frage im Vordergrund stehen: „Ist diese DGUV-Schrift verbindlich?“

Sondern: „Ist diese DGUV-Schrift für unsere Tätigkeit oder Gefährdung relevant?“

Das ist ein wesentlicher Unterschied: Nicht jede DGUV Information ist für jeden Betrieb von Bedeutung. Umgekehrt kann eine sehr konkrete DGUV Information für einen bestimmten Arbeitsplatz ausgesprochen wertvoll sein, weil sie genau die dort auftretenden Tätigkeiten oder Gefährdungen behandelt.

Ausgangspunkt sollte deshalb immer die Gefährdungsbeurteilung sein:

• Welche Tätigkeiten werden ausgeführt?
• Welche Arbeitsmittel und Verfahren kommen zum Einsatz?
• Welche Gefährdungen bestehen?
• Welche Vorschriften und DGUV-Schriften beziehen sich darauf?
• Welche Schutzmaßnahmen sind geeignet?

Auf diese Weise wird das Regelwerk nicht einfach gesammelt, sondern gezielt genutzt.

Regel, Information oder Grundsatz?

Auch die Bezeichnung allein sagt noch nicht, welche Schrift für einen konkreten Sachverhalt die größte Bedeutung hat. DGUV Regeln geben Orientierung für die sichere Gestaltung von Tätigkeiten und Arbeitsbedingungen. DGUV Informationen liefern häufig konkrete Hinweise für bestimmte Tätigkeiten, Branchen oder Zielgruppen. DGUV Grundsätze können beispielsweise Anforderungen an bestimmte Prüf- oder Auswahlverfahren beschreiben.

Deshalb ist eine pauschale Rangfolge wenig hilfreich. Die entscheidende Frage ist vielmehr, welche Schrift den konkreten Sachverhalt fachlich trifft.

Was bedeutet das für die betriebliche Praxis?

Eine sinnvolle Vorgehensweise lässt sich auf wenige Schritte reduzieren:

1. Tätigkeiten und Gefährdungen erfassen.
   Was wird tatsächlich gemacht und welche Risiken entstehen dabei?
2. Einschlägige Schriften identifizieren.
   Welche gesetzlichen Vorgaben, DGUV Vorschriften, Regeln und Informationen sind relevant?
3. Inhalte bewerten.
   Welche Maßnahmen werden empfohlen und wie passen sie zur konkreten betrieblichen Situation?
4. Entscheidungen nachvollziehbar machen.
   Wenn eine andere Lösung gewählt wird, sollte begründet werden können, warum sie das erforderliche Schutzniveau gewährleistet.

So entsteht eine nachvollziehbare Verbindung zwischen Gefährdungsbeurteilung, Regelwerk und Schutzmaßnahme.

Nicht verbindlich heißt nicht irrelevant.

DGUV Regeln und Informationen sind keine Gesetze und müssen nicht automatisch eins zu eins umgesetzt werden. Für einschlägige Schriften gilt aber: Sie sollten bei der Beurteilung der betrieblichen Situation und bei der Auswahl geeigneter Schutzmaßnahmen berücksichtigt werden.

Für Unternehmen kommt es deshalb weniger darauf an, möglichst viele DGUV-Schriften zu sammeln. Entscheidend ist eine systematische, tätigkeits- und gefährdungsbezogene Bewertung und Zuordnung.

Dadurch wird das Regelwerk zur praktischen Unterstützung für einen wirksamen und nachvollziehbaren Arbeitsschutz.

Der Beitrag Nicht verbindlich heißt nicht irrelevant: Die Bedeutung des DGUV Regelwerks erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

Leiser einkaufen statt später nachbessern

Bei der Anschaffung einer Maschine stehen meist Leistung, Preis, Qualität und Lieferzeit im Mittelpunkt. Der Lärmpegel sollte ebenfalls eine Rolle spielen. Denn wenn zwei technisch geeignete Maschinen zur Auswahl stehen und eine davon nachweislich weniger Lärm verursacht, ist das eine relevante Information für die Beschaffungsentscheidung.

Genau hier setzt ein neuer Prüfgrundsatz von DGUV Test an. Die BG BAU berichtet über Prüfzeichen, mit denen sich Maschinen mit geprüfter Lärmminderung leichter erkennen lassen. Unter anderem gibt es Kennzeichnungen für Maschinen, bei denen an bestimmten Arbeitsplätzen Werte unter 80 dB(A) beziehungsweise unter 75 dB(A) nachgewiesen wurden.

Das Prüfzeichen ersetzt dabei nicht die Gefährdungsbeurteilung. Es liefert aber eine zusätzliche, unabhängig geprüfte Information für die Auswahl eines Arbeitsmittels.

Was bedeutet das für die Compliance?

Für Unternehmen geht es um eine einfache Frage: Wie systematisch berücksichtigen wir Risiken für unsere Beschäftigten?

Beim Thema Lärm kann das beispielsweise bedeuten:

• Wird Lärm bei der Beschaffung neuer Maschinen berücksichtigt?
• Sind die verfügbaren Herstellerangaben nachvollziehbar?
• Werden lärmärmere Alternativen geprüft?
• Sind die erforderlichen Schutzmaßnahmen in der Gefährdungsbeurteilung berücksichtigt?
• Können wichtige Beschaffungsentscheidungen später nachvollzogen werden?

Gerade der letzte Punkt ist für ein funktionierendes Compliance-System wichtig. Es geht nicht nur darum, Regeln einzuhalten. Unternehmen sollten auch nachvollziehbar organisieren und dokumentieren, wie sie mit relevanten Risiken umgehen.

80 dB(A) sind kein Freifahrtschein

Die Lärm- und Vibrations-Arbeitsschutzverordnung nennt 80 dB(A) als unteren und 85 dB(A) als oberen Auslösewert für den Tages-Lärmexpositionspegel.

Ein Prüfzeichen „unter 80 dB(A)“ bedeutet deshalb nicht automatisch, dass am Arbeitsplatz keine weiteren Maßnahmen erforderlich sind. Entscheidend ist immer die konkrete Situation: Wie laut ist es tatsächlich am Arbeitsplatz, wie lange sind Beschäftigte dem Lärm ausgesetzt und welche weiteren Lärmquellen gibt es?

Das Prüfzeichen ist daher kein Ersatz für die Gefährdungsbeurteilung, sondern kann Unternehmen dabei helfen, bereits bei der Auswahl einer Maschine eine fundiertere Entscheidung zu treffen.

Unsere Empfehlung

Lärmschutz sollte nicht erst beginnen, wenn die Maschine bereits in der Produktion steht. Wer Lärm bereits bei der Beschaffung berücksichtigt, reduziert Risiken frühzeitig und schafft gleichzeitig eine bessere Grundlage für seine Arbeitsschutz-Compliance.

Das neue Prüfzeichen kann dabei ein praktisches Hilfsmittel sein. Denn eine gute Compliance-Frage lautet nicht nur: „Halten wir die Vorschriften ein?“

Sondern auch: „Berücksichtigen wir relevante Risiken dort, wo Entscheidungen getroffen werden?“ Beim Lärm ist das häufig schon beim Einkauf.

Der Beitrag Lärm ist auch eine Compliance-Frage erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

Schulungsquote: Viel hilft nicht automatisch viel

Kaum eine Kennzahl findet sich so regelmäßig in Compliance-Berichten wie die Schulungsquote. Auf den ersten Blick erscheint sie auch naheliegend: Wenn möglichst viele Beschäftigte an Compliance-Schulungen teilnehmen, sollte das Risiko von Regelverstößen sinken. So einfach ist es jedoch nicht.

Eine Schulung ist zunächst einmal eine Maßnahme – kein Nachweis ihrer Wirksamkeit. Sie dokumentiert, dass Wissen vermittelt wurde. Ob dieses Wissen im Arbeitsalltag tatsächlich angewendet wird, lässt sich daraus nicht ableiten.

Für die Geschäftsleitung ist deshalb weniger die absolute Zahl der durchgeführten Schulungen interessant als deren Qualität und Zielgenauigkeit. Ein Unternehmen, das jährlich alle Mitarbeitenden zu allgemeinen Compliance-Themen schult, erreicht damit unter Umständen weniger als ein Unternehmen, das Schulungen konsequent risikoorientiert plant und auf besonders exponierte Funktionen ausrichtet.

Dennoch bleibt die Schulungsquote eine wichtige Kennzahl. Sie zeigt, ob Pflichtschulungen zuverlässig durchgeführt werden und ob neue Mitarbeitende zeitnah in das Compliance-Management eingebunden werden. Kritisch wird es insbesondere dann, wenn verpflichtende Schulungen über längere Zeiträume ausbleiben oder einzelne Unternehmensbereiche regelmäßig hinter den definierten Zielwerten zurückbleiben.

Ein Dashboard sollte deshalb nicht nur die allgemeine Schulungsquote ausweisen, sondern beispielsweise auch unterscheiden zwischen:

• fristgerecht abgeschlossenen Pflichtschulungen,
• überfälligen Schulungen,
• Schulungen neuer Mitarbeitender sowie
• Schulungen in besonders risikobehafteten Bereichen.

Damit wird aus einer reinen Aktivitätskennzahl ein Instrument zur Steuerung.

Das Hinweisgebersystem: Nicht die Anzahl der Meldungen ist entscheidend

Seit Inkrafttreten des Hinweisgeberschutzgesetzes hat das interne Meldesystem in vielen Unternehmen deutlich an Bedeutung gewonnen. Gleichzeitig hält sich ein hartnäckiges Missverständnis: Je weniger Hinweise eingehen, desto besser funktioniere die Compliance.

Diese Schlussfolgerung greift zu kurz.

Eine geringe Zahl von Meldungen kann unterschiedliche Ursachen haben. Sie kann tatsächlich auf wenige Regelverstöße hindeuten. Ebenso gut kann sie aber darauf zurückzuführen sein, dass Beschäftigte das Meldesystem nicht kennen, ihm nicht vertrauen oder Nachteile befürchten. In einem solchen Fall wäre eine niedrige Meldequote gerade kein positives Signal.

Umgekehrt muss ein Anstieg der Meldungen ebenfalls nicht negativ sein. Häufig zeigt er, dass das Hinweisgebersystem akzeptiert wird und Beschäftigte bereit sind, mögliche Missstände anzusprechen. Aus Sicht der Unternehmensleitung ist das grundsätzlich positiv, denn Hinweise ermöglichen es, Risiken frühzeitig zu erkennen und geeignete Gegenmaßnahmen einzuleiten.

Die Aussagekraft des Hinweisgebersystems ergibt sich daher nicht aus der Zahl der eingegangenen Meldungen, sondern aus dem Umgang mit ihnen.

Ein Compliance-Dashboard sollte deshalb insbesondere folgende Fragen beantworten:

• Wie schnell werden Hinweise geprüft?
• Wie viele Verfahren konnten abgeschlossen werden?
• Werden aus bestätigten Verstößen geeignete Maßnahmen abgeleitet?
• Wiederholen sich bestimmte Sachverhalte oder Unternehmensbereiche?

Gerade die Bearbeitungsdauer besitzt eine hohe Aussagekraft. Bleiben Hinweise über Monate unbearbeitet, leidet nicht nur die Wirksamkeit des Compliance-Managements. Auch das Vertrauen der Beschäftigten in das Meldesystem kann nachhaltig beeinträchtigt werden.

Warum Trends wichtiger sind als Einzelwerte

Viele Unternehmen betrachten Compliance-Kennzahlen isoliert. Einmal im Monat wird der aktuelle Stand dokumentiert, anschließend verschwindet der Bericht in der Ablage. Für die Unternehmenssteuerung ist ein solcher Schnappschuss jedoch nur begrenzt hilfreich.

Entscheidend ist die Entwicklung über einen längeren Zeitraum.

Steigt die Zahl überfälliger Maßnahmen seit sechs Monaten kontinuierlich an? Gehen Schulungsquoten zurück? Bleiben Auditfeststellungen länger offen als noch im Vorjahr? Oder nimmt die durchschnittliche Bearbeitungsdauer von Hinweisen stetig zu?

Erst solche Trends ermöglichen belastbare Rückschlüsse auf die Leistungsfähigkeit des Compliance-Management-Systems. Einzelne Abweichungen sind im Unternehmensalltag normal. Wiederkehrende Entwicklungen weisen dagegen häufig auf strukturelle Ursachen hin, die genauer untersucht werden sollten.

Aus diesem Grund sollte ein Compliance-Dashboard nicht nur den aktuellen Status darstellen, sondern immer auch Vergleichswerte enthalten – etwa zum Vormonat, Vorquartal oder Vorjahr. Ergänzend kann eine Ampelbewertung helfen, kritische Entwicklungen schnell zu erkennen. Sie ersetzt zwar keine Detailanalyse, erleichtert der Geschäftsleitung aber die Priorisierung ihrer Entscheidungen.

Ein Dashboard ersetzt keine Führung – es unterstützt sie

Kennzahlen schaffen Transparenz. Entscheidungen treffen sie nicht.

Auch das beste Compliance-Dashboard kann die Bewertung durch die Geschäftsleitung nicht ersetzen. Es liefert Informationen, macht Entwicklungen sichtbar und zeigt Handlungsbedarf auf. Welche Maßnahmen daraus folgen, bleibt eine Führungsaufgabe.

Genau deshalb sollten Compliance-Kennzahlen niemals isoliert betrachtet werden. Erst im Zusammenspiel mit Risikoanalysen, internen Audits, Management-Reviews und dem kontinuierlichen Austausch mit den verantwortlichen Fachbereichen entsteht ein realistisches Bild über die Wirksamkeit des Compliance-Management-Systems.

Im letzten Abschnitt fassen wir die wichtigsten Erkenntnisse zusammen und zeigen, welche Grundsätze Unternehmen beim Aufbau eines Compliance-Dashboards beachten sollten.

Compliance-Kennzahlen schaffen Transparenz – ersetzen aber keine Führung

Ein wirksames Compliance-Management-System lässt sich nicht an der Anzahl von Richtlinien, Schulungen oder Audits messen. Entscheidend ist vielmehr, ob das Unternehmen Risiken frühzeitig erkennt, gesetzliche Anforderungen zuverlässig umsetzt und identifizierte Schwachstellen konsequent beseitigt.

Genau hier setzen Compliance-Kennzahlen an. Sie machen Entwicklungen sichtbar und schaffen eine objektive Grundlage für Entscheidungen der Geschäftsleitung.

Konzentrieren Sie sich auf wenige aussagekräftige KPIs

In der Praxis besteht häufig die Versuchung, möglichst viele Kennzahlen in ein Dashboard aufzunehmen. Das führt jedoch selten zu besseren Entscheidungen. Im Gegenteil: Umfangreiche Reportings erschweren den Blick auf das Wesentliche.

Bewährt hat sich ein schlankes Dashboard mit wenigen Kennzahlen, die regelmäßig aktualisiert und über einen längeren Zeitraum ausgewertet werden. Dazu gehören insbesondere:

• Umsetzungsgrad von Compliance-Maßnahmen,
• Bearbeitungsstand neuer Rechtsanforderungen,
• Entwicklung der Compliance-Risiken,
• Ergebnisse interner Audits,
• Schulungsquote,
• Bearbeitung von Hinweisen sowie
• Status des Management-Reviews.

Diese Kennzahlen liefern der Geschäftsleitung ein belastbares Bild über die Leistungsfähigkeit des Compliance-Management-Systems.

Trends sind wichtiger als Einzelwerte

Eine einzelne Kennzahl besitzt nur eine begrenzte Aussagekraft. Erst ihre Entwicklung über mehrere Monate zeigt, ob Prozesse wirksam sind oder sich organisatorische Schwächen entwickeln.

Ein Compliance-Dashboard sollte deshalb nicht nur den aktuellen Status darstellen, sondern Veränderungen sichtbar machen. Steigende Bearbeitungszeiten, zunehmende Auditfeststellungen oder wachsende Rückstände bei der Umsetzung gesetzlicher Anforderungen sind häufig die deutlich aussagekräftigeren Signale als ein einzelner Momentwert.

Das Dashboard ist ein Führungsinstrument

Ein Compliance-Dashboard ersetzt weder interne Audits noch Risikoanalysen oder Management-Reviews. Es verdichtet die Ergebnisse dieser Prozesse und unterstützt die Geschäftsleitung dabei, fundierte Entscheidungen zu treffen.

Die internationale Norm ISO 37301 schreibt zwar kein bestimmtes Dashboard vor, fordert aber eine regelmäßige Überwachung, Bewertung und kontinuierliche Verbesserung des Compliance-Management-Systems. Ohne geeignete Kennzahlen lässt sich diese Anforderung in der Praxis kaum erfüllen.

Unser Praxistipp

Beginnen Sie nicht mit möglichst vielen Kennzahlen. Definieren Sie zunächst die Fragen, die Ihre Geschäftsleitung regelmäßig beantworten können muss:

• Werden Risiken wirksam gesteuert?
• Werden Maßnahmen fristgerecht umgesetzt?
• Werden gesetzliche Änderungen zuverlässig berücksichtigt?
• Funktioniert das Compliance-Management-System wie vorgesehen?

Erst wenn diese Fragen beantwortet sind, sollten die passenden Kennzahlen festgelegt werden. Erfahrungsgemäß reichen sieben bis zehn aussagekräftige KPIs aus, um den Zustand eines Compliance-Management-Systems zuverlässig zu beurteilen.

Nicht die Menge der Kennzahlen entscheidet über die Qualität eines Compliance-Dashboards, sondern deren Aussagekraft. Gute Compliance-Kennzahlen schaffen Transparenz, unterstützen fundierte Entscheidungen und helfen dabei, die Wirksamkeit des Compliance-Management-Systems kontinuierlich zu verbessern.

Der Beitrag Compliance-Kennzahlen: Woran erkennt die Geschäftsleitung, ob das Compliance-Management wirklich funktioniert? (Teil 2) erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

Viel Aktivität bedeutet nicht automatisch wirksame Compliance

Stellen Sie sich folgendes Szenario vor:

Ein mittelständisches Unternehmen hat in den vergangenen Jahren viel in sein Compliance-Management investiert. Es gibt einen Verhaltenskodex, interne Richtlinien, regelmäßige Schulungen und ein Hinweisgebersystem. Neue Gesetze werden über ein Rechtskataster beobachtet und einmal jährlich findet ein Management-Review statt. Auf den ersten Blick scheint alles vorhanden zu sein, was ein modernes Compliance-Management-System ausmacht.

Doch bei einem internen Audit zeigt sich ein anderes Bild. Mehrere gesetzliche Änderungen wurden zwar identifiziert, ihre Auswirkungen jedoch nie bewertet. Maßnahmen aus dem letzten Audit sind seit Monaten überfällig. Pflichtschulungen wurden in einzelnen Bereichen nicht durchgeführt und Hinweise aus dem Meldesystem warten noch immer auf ihre abschließende Bearbeitung.

Die Frage lautet nun nicht, ob das Unternehmen ein Compliance-Management-System besitzt. Die entscheidende Frage lautet:

Hat das Compliance-Management-System seine Aufgabe erfüllt?

Genau hier liegt eine der größten Herausforderungen in der Unternehmenspraxis. Compliance wird häufig anhand ihrer Aktivitäten bewertet. Wie viele Schulungen wurden durchgeführt? Wie viele Audits fanden statt? Wie viele Richtlinien wurden überarbeitet?

Diese Informationen sind zwar wichtig, sie sagen jedoch nur wenig darüber aus, ob das System tatsächlich wirksam ist. Eine hohe Zahl durchgeführter Schulungen garantiert beispielsweise nicht, dass Mitarbeitende Regelverstöße erkennen oder vermeiden. Ebenso beweist ein umfangreiches Regelwerk noch nicht, dass gesetzliche Anforderungen im Unternehmensalltag eingehalten werden.

Ein wirksames Compliance-Management muss daher mehr leisten als die Dokumentation einzelner Aktivitäten. Es muss der Geschäftsleitung ermöglichen, Risiken frühzeitig zu erkennen, Entwicklungen zu bewerten und bei Bedarf gegenzusteuern. Genau deshalb fordern anerkannte Standards wie die ISO 37301 und der IDW PS 980 eine regelmäßige Überwachung und Bewertung des Compliance-Management-Systems. Die Unternehmensleitung soll nicht nur wissen, welche Maßnahmen durchgeführt wurden, sondern auch beurteilen können, ob diese Maßnahmen ihren Zweck erfüllen.

An dieser Stelle kommen Compliance-Kennzahlen ins Spiel.

Warum Compliance-Kennzahlen unverzichtbar sind

Jedes Unternehmen arbeitet mit Kennzahlen. Umsatzrendite, Eigenkapitalquote oder Liefertermintreue helfen dabei, den Erfolg des Unternehmens objektiv zu bewerten. Niemand käme auf die Idee, die wirtschaftliche Entwicklung ausschließlich nach Bauchgefühl zu beurteilen.

Für das Compliance-Management gilt derselbe Grundsatz.

Auch hier benötigt die Geschäftsleitung belastbare Informationen, um ihre Organisations- und Überwachungspflichten wahrnehmen zu können. Sie muss erkennen können, ob gesetzliche Anforderungen rechtzeitig umgesetzt werden, ob identifizierte Risiken beherrscht sind und ob das Compliance-Management-System kontinuierlich verbessert wird.

Ein gutes Compliance-Dashboard erfüllt dabei eine ähnliche Funktion wie das Cockpit eines Fahrzeugs. Es zeigt nicht jedes technische Detail an, sondern konzentriert sich auf die Informationen, die für eine sichere Steuerung erforderlich sind. Niemand erwartet von einer Geschäftsführerin oder einem Geschäftsführer, jede einzelne Richtlinie oder jede offene Maßnahme persönlich zu verfolgen. Erwartet wird jedoch, dass wesentliche Entwicklungen erkannt und notwendige Entscheidungen rechtzeitig getroffen werden.

Genau deshalb sollte ein Compliance-Dashboard nicht möglichst viele Zahlen enthalten. Entscheidend sind wenige Kennzahlen mit hoher Aussagekraft. Sie müssen verständlich sein, regelmäßig aktualisiert werden und Entwicklungen über einen längeren Zeitraum sichtbar machen. Erst dadurch entsteht ein realistisches Bild über den Zustand des Compliance-Management-Systems.

Was eine gute Compliance-Kennzahl auszeichnet

In vielen Unternehmen wächst ein Dashboard über Jahre hinweg. Mit jedem Audit, jeder Zertifizierung und jeder neuen gesetzlichen Anforderung kommen weitere Tabellen, Diagramme oder Ampeln hinzu. Irgendwann umfasst das monatliche Reporting mehrere Dutzend Kennzahlen – und verliert gerade dadurch seinen Nutzen.

Ein wirksames Compliance-Dashboard verfolgt einen anderen Ansatz. Es beginnt nicht mit der Frage, welche Daten verfügbar sind, sondern welche Entscheidungen die Geschäftsleitung treffen muss. Eine gute Compliance-Kennzahl beantwortet deshalb immer eine konkrete Managementfrage.

Zum Beispiel:

• Werden identifizierte Schwachstellen tatsächlich beseitigt?
• Entstehen neue regulatorische Risiken?
• Werden gesetzliche Änderungen rechtzeitig umgesetzt?
• Funktioniert das Hinweisgebersystem?
• Verbessert oder verschlechtert sich das Compliance-Management im Zeitverlauf?

Kann eine Kennzahl keine dieser Fragen beantworten, gehört sie in der Regel auch nicht in das Management-Dashboard.

Ebenso wichtig ist die Entwicklung über die Zeit. Eine einzelne Zahl besitzt häufig nur eine begrenzte Aussagekraft. Erst der Vergleich über mehrere Monate zeigt, ob Maßnahmen wirken oder ob sich strukturelle Probleme entwickeln. Ein Dashboard sollte daher nicht nur den aktuellen Status darstellen, sondern immer auch Trends sichtbar machen.

Die wichtigste Kennzahl: Werden Maßnahmen tatsächlich umgesetzt?

Jedes Compliance-Management-System produziert Maßnahmen. Sie entstehen nach internen Audits, aus Risikoanalysen, aufgrund neuer gesetzlicher Anforderungen oder nach Hinweisen aus dem Hinweisgebersystem. Solange diese Maßnahmen dokumentiert und terminiert werden, entsteht leicht der Eindruck, dass das Unternehmen seine Compliance aktiv steuert. Tatsächlich beginnt die eigentliche Arbeit jedoch erst nach der Entscheidung.

Eine Maßnahme, die seit Monaten im Status „in Bearbeitung“ geführt wird, reduziert kein Risiko. Gleiches gilt für Empfehlungen aus einem Audit, die zwar beschlossen, aber nie umgesetzt wurden. Aus Sicht der Geschäftsleitung ist deshalb nicht die Anzahl der Maßnahmen entscheidend, sondern deren Umsetzung.

Ein Compliance-Dashboard sollte daher auf einen Blick erkennen lassen,

• wie viele Maßnahmen aktuell offen sind,
• wie viele fristgerecht abgeschlossen wurden,
• welche Maßnahmen überfällig sind und
• ob besonders kritische Maßnahmen rechtzeitig umgesetzt werden.

Dabei lohnt sich auch ein Blick auf die Ursachen. Häufen sich überfällige Maßnahmen, liegt das Problem häufig nicht im Compliance-Management selbst. Oft fehlen klare Verantwortlichkeiten, notwendige Ressourcen oder verbindliche Fristen. Das Dashboard macht diese Entwicklung sichtbar und schafft damit die Grundlage für organisatorische Verbesserungen.

Praxis-Tipp: Konzentrieren Sie sich nicht auf die absolute Anzahl offener Maßnahmen. Aussagekräftiger ist der Anteil überfälliger Maßnahmen sowie deren Entwicklung über mehrere Monate.

Werden gesetzliche Änderungen rechtzeitig umgesetzt?

Gesetze ändern sich kontinuierlich. Für Unternehmen bedeutet das, neue Anforderungen zu identifizieren, ihre Auswirkungen zu bewerten und – falls erforderlich – Prozesse, Richtlinien oder technische Maßnahmen anzupassen.

In der Praxis funktioniert dieser Prozess jedoch nicht immer reibungslos. Während die Rechtsbeobachtung häufig etabliert ist, gerät die Umsetzung neuer Anforderungen leicht ins Stocken. Verantwortlichkeiten sind unklar, Fachbereiche priorisieren andere Projekte oder notwendige Entscheidungen werden vertagt. Gerade deshalb gehört der Umgang mit Rechtsänderungen zu den wichtigsten Kennzahlen eines Compliance-Dashboards.

Die Geschäftsleitung sollte jederzeit erkennen können,

• wie viele neue Rechtsänderungen identifiziert wurden,
• welche bereits bewertet sind,
• für welche Änderungen Maßnahmen beschlossen wurden und
• bei welchen Anforderungen die Umsetzung noch aussteht.

Besonders wertvoll wird diese Kennzahl, wenn sie nicht nur den aktuellen Bestand zeigt, sondern auch die Bearbeitungsdauer. Bleiben Rechtsänderungen über Monate unbehandelt, steigt das Risiko, dass gesetzliche Pflichten nicht rechtzeitig umgesetzt werden.

Unternehmen mit einem digitalen Rechtskataster verfügen hier über einen klaren Vorteil. Die notwendigen Informationen liegen bereits strukturiert vor und lassen sich ohne zusätzlichen Dokumentationsaufwand in das Dashboard übernehmen.

Wie entwickeln sich die Compliance-Risiken?

Compliance bedeutet nicht, jedes Risiko vollständig auszuschließen. Ziel ist vielmehr, Risiken systematisch zu erkennen, zu bewerten und auf ein vertretbares Maß zu reduzieren. Ein Dashboard sollte deshalb nicht nur dokumentieren, welche Risiken aktuell bestehen, sondern vor allem deren Entwicklung sichtbar machen.

Nehmen Risiken in bestimmten Unternehmensbereichen zu? Entstehen neue regulatorische Themen? Oder zeigen bereits umgesetzte Maßnahmen die gewünschte Wirkung? Für die Geschäftsleitung ist diese Entwicklung deutlich wichtiger als eine statische Risikoliste.

Bewährt hat sich eine Darstellung nach Risikoklassen – beispielsweise niedrig, mittel und hoch – ergänzt um einen Vergleich zum Vormonat oder Vorquartal. Dadurch wird sofort sichtbar, ob sich das Gesamtrisikoprofil verbessert oder verschlechtert.

Noch aussagekräftiger wird die Analyse, wenn Risiken einzelnen Themenfeldern zugeordnet werden, etwa Datenschutz, Umweltrecht, Arbeitsschutz oder Lieferkettensorgfalt. So lassen sich Schwerpunkte erkennen und Ressourcen gezielt einsetzen.

Was verraten interne Audits über die Wirksamkeit des Systems?

Interne Audits gehören zu den wichtigsten Instrumenten eines Compliance-Management-Systems. Sie zeigen, ob definierte Prozesse im Unternehmensalltag tatsächlich funktionieren oder lediglich auf dem Papier bestehen. Für die Geschäftsleitung ist jedoch weniger entscheidend, wie viele Audits durchgeführt wurden. Aussagekräftiger ist die Frage, welche Erkenntnisse daraus gewonnen wurden.

Treten dieselben Feststellungen in mehreren Audits immer wieder auf, deutet das häufig auf strukturelle Schwächen hin. Werden Auditmaßnahmen dagegen konsequent umgesetzt und verschwinden identifizierte Mängel dauerhaft, spricht dies für ein lernendes und wirksames Compliance-Management.

Ein Compliance-Dashboard sollte daher insbesondere folgende Entwicklungen sichtbar machen:

• wiederkehrende Feststellungen,
• offene Auditmaßnahmen,
• durchschnittliche Zeit bis zur Umsetzung sowie
• besonders kritische Abweichungen.

Gerade wiederkehrende Feststellungen verdienen besondere Aufmerksamkeit. Sie zeigen, dass Probleme zwar erkannt, ihre Ursachen jedoch nicht nachhaltig beseitigt wurden.

Compliance beginnt beim Menschen

Selbst das beste Regelwerk bleibt wirkungslos, wenn Mitarbeitende ihre Pflichten nicht kennen oder Unsicherheiten im Arbeitsalltag nicht ansprechen. Deshalb gehören auch Schulungen und das Hinweisgebersystem zu einem aussagekräftigen Compliance-Dashboard.

Allerdings sollten diese Bereiche nicht isoliert betrachtet werden. Eine hohe Schulungsquote allein belegt noch keine wirksame Compliance-Kultur. Ebenso ist eine steigende Zahl eingehender Hinweise nicht automatisch ein Zeichen für mehr Regelverstöße.

Im nächsten Abschnitt betrachten wir deshalb zwei Kennzahlen, die häufig missverstanden werden – die Schulungsquote und das Hinweisgebersystem – und zeigen, welche Rückschlüsse die Geschäftsleitung daraus tatsächlich ziehen kann.

Fortsetzung folgt…

Der Beitrag Compliance-Kennzahlen: Woran erkennt die Geschäftsleitung, ob das Compliance-Management wirklich funktioniert? (Teil 1) erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

Stand: 17. August 2026 | Hinweis: Der Gesetzentwurf wurde am 11. Juni 2026 erstmals im Bundestag beraten und anschließend an die Ausschüsse überwiesen. Das Gesetzgebungsverfahren ist noch nicht abgeschlossen. Die nachfolgenden Änderungen beziehen sich auf den Regierungsentwurf (BT-Drs. 21/6133).

Das Wichtigste zum OWiG auf einen Blick

Der Regierungsentwurf zur Umsetzung der europäischen Umweltstrafrechtsrichtlinie sieht unter anderem Änderungen des § 30 OWiG vor. Diese wären allerdings nicht auf Umweltverstöße beschränkt.

Vorgesehen ist insbesondere:

• Das Höchstmaß der Verbandsgeldbuße soll bei einer vorsätzlichen Straftat von 10 Mio. auf 40 Mio. Euro steigen.
• Bei einer fahrlässigen Straftat soll es von 5 Mio. auf 20 Mio. Euro steigen.
• Für die Bemessung der Geldbuße sollen gesetzlich konkretere Kriterien festgelegt werden.
• Dabei sollen ausdrücklich auch Vorkehrungen zur Vermeidung und Aufdeckung von Straftaten und Ordnungswidrigkeiten berücksichtigt werden.
• Der Bundesrat hat darüber hinaus vorgeschlagen, wesentliche Elemente geeigneter Compliance-Maßnahmen stärker in § 130 OWiG zu verankern.

Für Unternehmen ist deshalb weniger die Zahl „40 Millionen“ die entscheidende Nachricht als die dahinterstehende Entwicklung: Die Qualität der Unternehmensorganisation und des Compliance-Systems soll für die Sanktionierung stärker ins Gewicht fallen.

Was sich beim § 30 OWiG ändern soll

30 OWiG ermöglicht bereits heute eine Geldbuße gegen eine juristische Person oder Personenvereinigung, wenn eine Leitungsperson eine Straftat oder Ordnungswidrigkeit begeht und dadurch Unternehmenspflichten verletzt werden oder das Unternehmen bereichert wurde beziehungsweise werden sollte. Nach geltendem Recht liegt das Höchstmaß bei einer vorsätzlichen Straftat grundsätzlich bei 10 Mio. Euro, bei einer fahrlässigen Straftat bei 5 Mio. Euro.

Der Regierungsentwurf sieht eine Vervierfachung dieser beiden Beträge vor:

Dabei handelt es sich um das vorgesehene gesetzliche Höchstmaß nach § 30 Absatz 2 Satz 1 OWiG-E, nicht um ein regelmäßig festzusetzendes Bußgeld. Die konkrete Sanktion muss weiterhin anhand der Umstände des jeweiligen Falles bestimmt werden. Genau hier setzt eine weitere geplante Änderung an.

Compliance wird ausdrücklich zum Bemessungsfaktor

Der Regierungsentwurf sieht eine Neufassung des § 30 Abs. 2a OWiG vor. Danach sollen unter anderem die Bedeutung der Tat, der gegen das Unternehmen gerichtete Vorwurf und dessen wirtschaftliche Verhältnisse berücksichtigt werden.

Besonders relevant für Compliance ist ein weiteres Kriterium: Bei der Bemessung sollen auch die Vorkehrungen des Unternehmens zur Vermeidung und Aufdeckung von Straftaten und Ordnungswidrigkeiten eine Rolle spielen. Damit wird eine für die Compliance-Praxis zentrale Frage ausdrücklich mit der Sanktionshöhe verknüpft:

Wie gut hat sich das Unternehmen organisatorisch gegen Rechtsverstöße aufgestellt?

Das bedeutet nicht, dass ein Unternehmen jeden Verstoß verhindern muss. Ein wirksames Compliance-System ist keine Garantie dafür, dass einzelne Mitarbeiter niemals gegen Regeln verstoßen.

Entscheidend ist vielmehr, ob das Unternehmen:

• seine wesentlichen Risiken kennt,
• angemessene Präventionsmaßnahmen eingerichtet hat,
• Verantwortlichkeiten klar geregelt hat,
• Kontrollen tatsächlich durchführt,
• Hinweise und Verdachtsfälle ernst nimmt,
• Verstöße untersucht und
• erkannte Schwachstellen anschließend beseitigt.

Für Compliance-Verantwortliche verschiebt sich damit der Schwerpunkt von der Existenz eines CMS zur nachweisbaren Wirksamkeit des CMS.

Was Unternehmen jetzt konkret prüfen sollten

Die Reform ist noch nicht abgeschlossen. Die folgenden Prüffelder sind praktische Ableitungen aus den allgemein formulierten Bemessungskriterien; sie werden im Regierungsentwurf nicht als verbindlicher Maßnahmenkatalog vorgeschrieben. Sie bieten aber einen guten Anlass, die bestehende Compliance-Organisation einem Belastbarkeitstest zu unterziehen.

1. Risikoanalyse

Welche Rechtsverstöße sind für unser konkretes Geschäftsmodell besonders relevant? Eine belastbare Risikoanalyse sollte nicht nur Rechtsgebiete aufzählen, sondern tatsächliche Geschäftsprozesse berücksichtigen – etwa Vertrieb, Einkauf, Drittparteien, Genehmigungen, Produktion, Export, Finanzen oder Umweltmanagement. Entscheidend ist außerdem, dass die Analyse aktuell gehalten wird.

2. Verantwortlichkeiten

Für wesentliche Compliance-Risiken sollte eindeutig feststehen:

• Wer trägt die operative Verantwortung?
• Wer kontrolliert?
• Wer berichtet an die Geschäftsleitung?
• Wer entscheidet bei Verstößen oder Eskalationen?

Gerade an Schnittstellen zwischen Fachbereich, Compliance, Legal, Internal Audit und Geschäftsleitung entstehen häufig organisatorische Lücken.

3. Kontrollen

Unternehmen sollten ihre wesentlichen Compliance-Kontrollen erfassen und nicht nur deren Existenz dokumentieren. Für eine relevante Kontrolle sollte nachvollziehbar sein: Was wird kontrolliert? Wer kontrolliert? Wie häufig? Mit welchem Ergebnis? Was passiert bei einer Abweichung? Damit lässt sich im Ernstfall wesentlich besser zeigen, dass Compliance nicht nur auf dem Papier existiert.

4. Schulungen

Eine hohe Schulungsquote ist nicht automatisch ein Zeichen guter Compliance. Die entscheidende Frage lautet: Passt die Schulung zum konkreten Risiko und zur Tätigkeit des Mitarbeiters?

Ein Mitarbeiter im Vertrieb benötigt beispielsweise andere Compliance-Inhalte als ein Mitarbeiter im Einkauf oder in der Produktion. Risikoorientierung ist wichtiger als möglichst viele Schulungsstunden.

5. Hinweisgebersystem

Ein Hinweisgebersystem sollte nicht nur technisch vorhanden sein. Unternehmen sollten prüfen:

• Ist es bekannt und leicht erreichbar?
• Sind Vertraulichkeit und Schutz der Hinweisgeber gewährleistet?
• Wer bearbeitet Meldungen?
• Wie werden Interessenkonflikte vermieden?
• Wie wird entschieden, ob eine Untersuchung eingeleitet wird?
• Wie werden Ergebnisse und Folgemaßnahmen dokumentiert?

Ein funktionierender Prozess zur Aufdeckung und Untersuchung von Verstößen ist ein wesentlicher Bestandteil einer belastbaren Compliance-Organisation.

§30 OWiG: Aufsicht bleibt ein Schlüsselthema

Neben § 30 OWiG ist § 130 OWiG für Unternehmen besonders relevant. Die Vorschrift betrifft die Verletzung der Aufsichtspflicht in Betrieben und Unternehmen. Nach geltendem Recht müssen die erforderlichen Aufsichtsmaßnahmen getroffen werden, um bestimmte Pflichtverletzungen zu verhindern oder wesentlich zu erschweren.

Der Bundesrat hat im aktuellen Gesetzgebungsverfahren vorgeschlagen, § 130 OWiG stärker zu konkretisieren. Genannt werden unter anderem:

• sorgfältige Auswahl, Unterweisung und Überwachung von Mitarbeitern,
• regelmäßige Ermittlung und Bewertung von Compliance-Risiken,
• Richtlinien und Schulungen,
• ein vertrauliches Hinweisgebersystem,
• die Aufklärung von Verdachtsfällen und der Umgang mit Fehlverhalten.

Die Bundesregierung hat den Vorschlag ausdrücklich abgelehnt (BT-Drs. 21/6668, S. 24). Nach ihrer Auffassung hängen die erforderlichen Maßnahmen vom jeweiligen Einzelfall ab, insbesondere von Branche, Größe, Struktur und Risikoprofil des Unternehmens. Zudem bezweifelt sie, dass § 130 OWiG als Bußgeldvorschrift der richtige Ort für allgemeine Anforderungen an die Unternehmens-Compliance ist.

Die vom Bundesrat vorgeschlagenen Konkretisierungen sind damit zwar weder geltendes Recht noch Bestandteil des Regierungsentwurfs. Gleichwohl benennen sie zentrale Bereiche der Unternehmensorganisation, die für die Vermeidung und Aufdeckung von Rechtsverstößen praktisch relevant sein können. Für Unternehmen kann es sich daher lohnen, diese Bereiche risikoorientiert zu überprüfen – nicht als verbindlichen gesetzlichen Maßnahmenkatalog, sondern als Orientierung für die Beurteilung der eigenen Compliance-Organisation.

Nach dem Verstoß ist vor der Korrektur

Ein Compliance-Vorfall sollte nicht mit der Feststellung des Fehlverhaltens enden. Unternehmen sollten vielmehr dokumentieren:

1. Wie wurde der Verstoß entdeckt?
2. Wie schnell wurde reagiert?
3. Welche Sofortmaßnahmen wurden ergriffen?
4. Wie wurde der Sachverhalt untersucht?
5. Welche organisatorischen Ursachen wurden festgestellt?
6. Welche Kontrolllücken bestanden?
7. Welche Verbesserungsmaßnahmen wurden umgesetzt?
8. Wurde später geprüft, ob diese Maßnahmen tatsächlich funktionieren?

Gerade der letzte Punkt wird häufig unterschätzt. Eine erfolgreiche Korrektur beseitigt nicht nur den konkreten Fehler. Sie soll verhindern, dass er sich wiederholt.

Der Regierungsentwurf sieht ausdrücklich vor, bestimmte Maßnahmen des Unternehmens bei der Bemessung der Verbandsgeldbuße zu berücksichtigen. Dazu können auch Reaktionen auf einen bereits eingetretenen Verstoß gehören.

Compliance Evidence: Nachweisbarkeit wird wichtiger

Unternehmen sollten nicht nur ein Compliance-System betreiben, sondern auch die wesentlichen Nachweise über dessen Funktionsweise strukturiert verfügbar halten.

Dazu können gehören:

• aktuelle Risikoanalysen,
• Verantwortungsmatrizen,
• Schulungsnachweise,
• Kontroll- und Monitoringberichte,
• Auditfeststellungen,
• Compliance-Berichte an die Geschäftsleitung,
• Dokumentation von Hinweisen und Untersuchungen,
• Remediation-Maßnahmen,
• Follow-up-Prüfungen.

Dabei gilt: Dokumentation ersetzt keine wirksame Compliance. Sie kann aber entscheidend dafür sein, die Funktionsweise eines Systems später nachvollziehbar darzustellen. Die praktische Frage lautet daher: Könnte die Geschäftsleitung in zwei oder drei Jahren noch nachvollziehbar erklären, warum bestimmte Compliance-Maßnahmen eingeführt wurden, wie ihre Wirksamkeit überprüft wurde und was nach einem festgestellten Defizit geschah? Wenn die Antwort nein lautet, besteht zumindest Anlass für eine nähere Prüfung.

Was die Reform für den Mittelstand bedeutet

Die geplante Reform ist keineswegs nur ein Thema für internationale Konzerne. Auch mittelständische Unternehmen können erhebliche Compliance-Risiken haben – etwa durch internationale Lieferketten, Vertriebspartner, Umweltpflichten, Exportgeschäfte oder weitreichende Delegation von Verantwortung.

Ein System aber muss zum Unternehmen und seinen Risiken passen. Für viele mittelständische Unternehmen sind deshalb fünf Fragen besonders hilfreich:

1. Welche drei bis fünf Compliance-Risiken sind für uns besonders relevant?
2. Wer trägt dafür Verantwortung?
3. Welche konkreten Kontrollen verhindern oder erkennen Verstöße?
4. Was passiert bei einem Hinweis oder Verdacht?
5. Wie weisen wir nach, dass unser System funktioniert?

Wer diese Fragen belastbar beantworten kann, hat bereits eine gute Grundlage.

Jetzt ist der richtige Zeitpunkt für den Compliance-Check

Die geplante OWiG-Reform unterstreicht eine Entwicklung, die für Unternehmen ohnehin immer wichtiger wird: Nicht nur das Fehlverhalten einzelner Personen zählt. Auch die Qualität der Unternehmensorganisation rückt in den Fokus.

Die wichtigste Frage lautet daher nicht: „Haben wir ein Compliance-Management-System?“, sondern: „Können wir nachweisen, dass unser Compliance-System für unsere Risiken geeignet ist und tatsächlich funktioniert?“

Genau diesen Test sollten Unternehmen jetzt durchführen – unabhängig davon, in welcher endgültigen Fassung die OWiG-Reform verabschiedet wird.

Der kompakte Compliance-Readiness-Check

• Wesentliche Compliance-Risiken aktuell bewertet?
• Verantwortlichkeiten und Aufsicht eindeutig geregelt?
• Wesentliche Kontrollen identifiziert und auf Wirksamkeit geprüft?
• Mitarbeiter risikoorientiert geschult?
• Hinweisgebersystem praktisch funktionsfähig?
• Prozess für interne Untersuchungen definiert?
• Remediation nach Verstößen strukturiert?
• Wirksamkeit von Verbesserungsmaßnahmen überprüft?
• Compliance-Berichte an die Geschäftsleitung dokumentiert?
• Nachweise über die Funktionsfähigkeit des CMS verfügbar?

Wer diese zehn Fragen belastbar beantworten kann, ist für die weitere Entwicklung des Unternehmenssanktionsrechts deutlich besser aufgestellt.

Der Beitrag OWiG Reform: Was Unternehmen jetzt über Sanktionen und Compliance wissen müssen erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

EU-Verordnungen gelten unmittelbar in allen Mitgliedstaaten. Anders als Richtlinien müssen sie nicht erst in nationales Recht umgesetzt werden. Weshalb erlässt der deutsche Gesetzgeber also ausgerechnet zum Anwendungsbeginn der PPWR ein neues Verpackungsgesetz? Die Antwort liegt im Zusammenspiel von europäischem und nationalem Recht.

Die PPWR schafft den materiellen Rechtsrahmen

Mit der PPWR verfolgt der europäische Gesetzgeber das Ziel, das Verpackungsrecht innerhalb der Europäischen Union stärker zu harmonisieren. Künftig sollen zentrale Anforderungen an Verpackungen nicht mehr in erster Linie durch nationale Umsetzungsgesetze geprägt werden, sondern unmittelbar durch eine europaweit geltende Verordnung.

Für Unternehmen bedeutet das einen grundlegenden Systemwechsel. Die wesentlichen materiellen Anforderungen – etwa an das Inverkehrbringen von Verpackungen, ihre Gestaltung oder weitere produktspezifische Vorgaben – ergeben sich künftig unmittelbar aus der PPWR. Sie gelten in allen Mitgliedstaaten nach denselben europäischen Regeln. Damit entsteht jedoch noch kein vollständig funktionsfähiges Rechtssystem.

Unmittelbare Geltung bedeutet nicht, dass nationales Recht überflüssig wird

Hier liegt ein häufiges Missverständnis. Die unmittelbare Geltung einer EU-Verordnung bedeutet nicht, dass der nationale Gesetzgeber künftig keine Aufgaben mehr hätte. Auch eine Verordnung beantwortet nicht jede Frage, die sich im Verwaltungsvollzug stellt. Es muss beispielsweise festgelegt werden, welche Behörden für die Überwachung zuständig sind, welche Befugnisse ihnen zustehen oder welche Rechtsfolgen Verstöße gegen die europäischen Vorgaben haben. Die PPWR überlässt diese Bereiche ausdrücklich den Mitgliedstaaten. Deshalb bedarf es ergänzender nationaler Regelungen.

Genau diese Funktion übernimmt das VerpackDG. Es schafft keinen zweiten materiellen Rechtsrahmen neben der PPWR, sondern regelt deren Durchführung in Deutschland. Dazu gehören insbesondere Zuständigkeiten der Behörden, Marktüberwachung, Verfahrensregelungen sowie Bußgeldvorschriften.

Zwei Regelwerke – unterschiedliche Aufgaben

Das zeitgleiche Inkrafttreten beider Regelwerke kann den Eindruck erwecken, künftig bestünden zwei gleichrangige Verpackungsgesetze. Tatsächlich greifen sie ineinander.

Die PPWR beantwortet in erster Linie die Frage, welche Anforderungen an Verpackungen und die beteiligten Wirtschaftsakteure gestellt werden. Das VerpackDG regelt dagegen, wie diese Anforderungen in Deutschland durchgesetzt werden.

Wer sich ausschließlich auf das nationale Durchführungsgesetz konzentriert, wird deshalb zahlreiche unmittelbar geltende Verpflichtungen der PPWR nicht erfassen. Umgekehrt lässt sich die PPWR ohne die nationalen Zuständigkeits- und Sanktionsregelungen des VerpackDG in der Praxis nicht vollständig anwenden. Erst beide Regelwerke zusammen ergeben den künftig geltenden Rechtsrahmen.

Was bedeutet das für Unternehmen?

Unternehmen, die Verpackungen herstellen, befüllen, importieren oder erstmals in Verkehr bringen, werden ihre bestehenden Compliance-Prozesse darauf überprüfen müssen, welche Anforderungen künftig unmittelbar aus der PPWR folgen und welche ergänzenden Regelungen das VerpackDG vorsieht.

Dabei sollte nicht übersehen werden, dass die PPWR zahlreiche Übergangsfristen enthält. Nicht jede Verpflichtung gilt bereits ab dem 12. August 2026. Gleichwohl bildet die Verordnung ab diesem Zeitpunkt den maßgeblichen europäischen Rechtsrahmen, auf dessen Grundlage sich die künftigen Anforderungen schrittweise entfalten.

Konsequenzen für das Rechtskataster

Für die Aufnahme in ein Rechtskataster gilt letztlich nichts anderes als für jede andere Rechtsvorschrift: Entscheidend ist ihre Relevanz für die Tätigkeiten des Unternehmens. Soweit Unternehmen den Anwendungsbereich der PPWR eröffnen, wird regelmäßig zu prüfen sein, welche unmittelbar geltenden Verpflichtungen sich aus der Verordnung ergeben. Ebenso können die nationalen Durchführungsvorschriften des VerpackDG für die Compliance-Bewertung von Bedeutung sein.

Die Entscheidung lautet daher nicht „PPWR oder VerpackDG“. Beide Regelwerke erfüllen unterschiedliche Funktionen und können – abhängig vom Tätigkeitsprofil – gleichermaßen rechtsrelevant sein.

Praktische Auswirkungen für deutsche Unternehmen

Für Hersteller von Verpackungen, Produzenten verpackter Waren, Importeure, Onlinehändler, Handelsunternehmen mit Eigenmarken und Unternehmen mit komplexen internationalen Lieferketten entwickelt sich Verpackungs-Compliance von einer überwiegend abfallrechtlichen Fragestellung zu einem integralen Bestandteil des Produkt- und Lieferketten-Compliance-Managements.

1. Verpackungen werden zum eigenständigen Compliance-Objekt
   Unternehmen müssen künftig nachweisen, dass ihre Verpackungen sämtliche Anforderungen der PPWR erfüllen. Compliance betrifft damit nicht mehr nur Entsorgungs- und Registrierungspflichten (z. B. nach dem Verpackungsgesetz), sondern bereits die Entwicklung und das Inverkehrbringen der Verpackung.
2. Erweiterte Dokumentations- und Nachweispflichten
   Unternehmen müssen technische Unterlagen erstellen und aktuell halten. Dazu gehören unter anderem:

• Nachweise zur Konformität der Verpackung,
• Informationen zur Materialzusammensetzung,
• Dokumentation der Recyclingfähigkeit,
• Nachweise über Rezyklatanteile (soweit einschlägig),
• Lieferanteninformationen und Prüfunterlagen.

Dadurch steigt die Bedeutung eines strukturierten Compliance-Management-Systems erheblich.

3. Höhere Anforderungen an das Verpackungsdesign
   Die PPWR verankert das Prinzip „Design for Recycling“. Unternehmen müssen Verpackungen so entwickeln, dass sie recyclingfähig sind. Spätere Anforderungen betreffen außerdem Mindestanteile an Rezyklaten sowie Vorgaben zur Vermeidung unnötiger Verpackungen. Dies erfordert eine enge Zusammenarbeit zwischen Produktentwicklung, Einkauf und Compliance.
4. Intensivere Lieferkettenkontrolle
   Unternehmen müssen Informationen ihrer Lieferanten systematisch überprüfen, beispielsweise hinsichtlich:

• eingesetzter Materialien,
• verbotener Stoffe (z. B. PFAS in bestimmten Lebensmittelkontaktverpackungen),
• Recyclingfähigkeit,
• Rezyklatgehalt.

Damit gewinnt das Lieferantenmanagement als Bestandteil der Compliance deutlich an Bedeutung.

5. Neue Kennzeichnungs- und Informationspflichten
   Die PPWR sieht harmonisierte Kennzeichnungen für Verpackungen vor. Viele Detailregelungen werden zwar erst durch Durchführungsrechtsakte konkretisiert und teilweise erst später anwendbar, Unternehmen sollten ihre Kennzeichnungsprozesse jedoch frühzeitig darauf vorbereiten.
6. Anpassung interner Compliance-Prozesse
   Viele Unternehmen müssen ihre internen Prozesse erweitern, etwa durch:

• regelmäßige Compliance-Audits,
• Verpackungsfreigaben,
• Schulungen für Einkauf und Produktentwicklung,
• Risikobewertungen,
• Aktualisierung interner Richtlinien und Verantwortlichkeiten.

Wenn Sie zur PPWR Fragen haben, wenden Sie sich gerne an unsere Fachleute im SAT-Team.

Der Beitrag Warum Deutschland trotz PPWR ein neues Verpackungsgesetz bekommt erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

Für viele Unternehmen ist das eine neue Realität. Ein langjähriger Lieferant kann plötzlich nicht mehr liefern, weil sich die politischen Rahmenbedingungen geändert haben. Ein wichtiger Rohstoff wird knapp, weil ein Staat seine Ausfuhr einschränkt. Oder neue europäische Vorgaben verlangen, Risiken in der Lieferkette besser zu dokumentieren.

Unternehmen sollten mehr denn je wesentliche Risiken kennen und nachvollziehbar bewerten können. Genau hier setzt modernes Compliance Management an.

Warum geopolitische Risiken für Unternehmen zu einem Compliance-Thema werden

Internationale Lieferketten sind heute enger miteinander verknüpft als je zuvor. Gleichzeitig verfolgen viele Staaten eine aktivere Industrie- und Handelspolitik. Rohstoffe werden zunehmend als strategische Ressource betrachtet, Exportkontrollen ausgeweitet und wirtschaftliche Abhängigkeiten bewusst reduziert.

Diese Entwicklung betrifft längst nicht mehr nur Großkonzerne. Auch mittelständische Unternehmen spüren die Auswirkungen. Wer elektronische Bauteile, Metalle, Batterietechnik oder Spezialkomponenten einkauft, ist häufig von Lieferketten abhängig, die sich über mehrere Kontinente erstrecken.

Fällt an einer Stelle dieser Lieferkette ein wichtiger Lieferant aus oder werden Ausfuhren eingeschränkt, kann das die eigene Produktion unmittelbar beeinträchtigen. Compliance bedeutet deshalb heute mehr, als Gesetze einzuhalten. Sie bedeutet auch, Risiken frühzeitig zu erkennen und fundierte Entscheidungen treffen zu können.

Lieferketten unter Druck: Wie Exportbeschränkungen und Sanktionen die Beschaffung verändern

Ein Blick auf die internationale Entwicklung zeigt, warum dieses Thema an Bedeutung gewinnt. Nach Angaben der OECD hat sich die Zahl staatlicher Exportbeschränkungen für kritische Rohstoffe seit 2009 verfünffacht und im Jahr 2024 einen historischen Höchststand erreicht. Betroffen sind unter anderem Lithium, Kobalt, Nickel, Graphit und Seltene Erden – Rohstoffe, die für den Maschinenbau, die Automobilindustrie, die Medizintechnik und zahlreiche weitere Branchen unverzichtbar sind.

Die Gründe dafür sind unterschiedlich. Manche Staaten möchten ihre eigene Industrie stärken, andere verfolgen sicherheits- oder wirtschaftspolitische Ziele. Für Unternehmen spielt die Motivation jedoch eine untergeordnete Rolle. Entscheidend ist, dass sich die Versorgung mit wichtigen Materialien kurzfristig verändern kann.

Auch die Europäische Union reagiert auf diese Entwicklung. Mit dem Critical Raw Materials Act wie sie die Versorgung Europas mit strategisch wichtigen Rohstoffen langfristig sichern und die Abhängigkeit von einzelnen Herkunftsländern verringern.

Für Unternehmen heißt das nicht, dass bestehende Lieferanten ersetzt werden müssen. Die politische Entwicklung macht jedoch deutlich, dass Lieferketten künftig stärker unter dem Aspekt ihrer Widerstandsfähigkeit betrachtet werden.

Compliance in der Beschaffung: Warum die Prüfung von Sanktionslisten nicht mehr reicht

Viele Unternehmen haben in den vergangenen Jahren ihre Compliance-Prozesse deutlich verbessert. Geschäftspartner werden gegen Sanktionslisten geprüft, Exportvorschriften eingehalten und Lieferanten sorgfältig ausgewählt. Diese Maßnahmen bleiben unverzichtbar. Sie beantworten jedoch nur einen Teil der eigentlichen Fragestellung.

Stellen wir uns einen mittelständischen Maschinenbauer vor. Für ein zentrales Produkt benötigt er einen speziellen Elektromotor. Dieser wird von einem langjährigen Lieferanten zuverlässig geliefert. Auf den ersten Blick besteht kein erkennbares Risiko.

Erst bei genauerem Hinsehen zeigt sich, dass der Lieferant einen entscheidenden Rohstoff ausschließlich aus einem einzigen Staat bezieht. Kommt es dort zu Exportbeschränkungen oder politischen Konflikten, kann die gesamte Lieferkette innerhalb weniger Wochen unterbrochen werden.

Formal hat das Unternehmen zunächst nichts falsch gemacht. Dennoch entsteht ein erhebliches wirtschaftliches Risiko. Deshalb genügt es heute nicht mehr, lediglich zu prüfen, ob ein Lieferant auf einer Sanktionsliste steht. Ebenso wichtig ist die Frage, wie stabil die gesamte Lieferkette tatsächlich ist.

Risikomanagement in der Lieferkette: Welche Fragen sich Geschäftsführer jetzt stellen sollten

Für viele Geschäftsführer stellt sich die berechtigte Frage, wie weit diese Risikoanalyse gehen muss. Die Antwort ist erfreulich pragmatisch: Niemand erwartet, dass Unternehmen sämtliche politischen Entwicklungen weltweit beobachten oder zukünftige Krisen vorhersagen können. Entscheidend ist vielmehr, dass wesentliche Abhängigkeiten bekannt sind.

• Woher stammen besonders wichtige Rohstoffe?
• Welche Lieferanten sind für die eigene Produktion unverzichtbar?
• Gibt es alternative Bezugsquellen?
• Und welche Auswirkungen hätte der Ausfall eines einzelnen Lieferanten?

Bereits die strukturierte Beantwortung dieser Fragen schafft eine deutlich bessere Entscheidungsgrundlage. Unternehmen gewinnen dadurch nicht nur mehr Transparenz. Sie können auch schneller reagieren, wenn sich politische oder wirtschaftliche Rahmenbedingungen verändern.

Braucht jetzt jedes Unternehmen eine geopolitische Risikoanalyse?

An dieser Stelle lohnt sich ein kritischer Blick. Natürlich lässt sich argumentieren, dass geopolitische Entwicklungen kaum vorhersehbar sind und zusätzliche Risikoanalysen nur Zeit und Geld kosten. Gerade mittelständische Unternehmen verfügen oft nicht über eigene Spezialisten für internationale Politik oder Außenwirtschaftsrecht. Dieses Argument ist nachvollziehbar und berechtigt.

Tatsächlich verlangt keine gesetzliche Vorschrift, jede denkbare Entwicklung vorherzusehen oder sämtliche Lieferketten bis ins letzte Detail zu analysieren. Genau darin liegt jedoch häufig ein Missverständnis: Compliance bedeutet nicht, jedes Risiko auszuschließen. Compliance bedeutet, wesentliche Risiken zu erkennen, angemessen zu bewerten und Entscheidungen nachvollziehbar zu dokumentieren.

Kann ein Unternehmen erklären, warum ein bestimmter Lieferant ausgewählt wurde, welche Risiken bekannt waren und welche Alternativen geprüft wurden, entsteht eine belastbare Grundlage für unternehmerische Entscheidungen.

Es geht also nicht um hundertprozentige Vorhersagen, sondern um nachvollziehbares Risikomanagement.

Warum der Einkauf heute Teil des Compliance-Managements ist

Diese Entwicklung verändert auch die Rolle des Einkaufs. Während früher vor allem wirtschaftliche Kriterien im Mittelpunkt standen, wird der Einkauf zunehmend Teil des unternehmensweiten Compliance- und Risikomanagements. Natürlich bleiben Preis, Qualität und Lieferfähigkeit wichtige Auswahlkriterien. Dazu kommen aber Fragen nach der Stabilität der Lieferkette, der Abhängigkeit von einzelnen Regionen und der langfristigen Versorgungssicherheit.

Damit entwickelt sich der Einkauf immer stärker zu einer strategischen Funktion. Die Auswahl eines Lieferanten beeinflusst heute nicht nur die Produktionskosten, sondern auch die Widerstandsfähigkeit des gesamten Unternehmens.

Was Unternehmen jetzt konkret tun können

Unternehmen müssen ihre Lieferantenstruktur nicht vollständig neu organisieren. Sinnvoll ist jedoch eine regelmäßige Bewertung der Lieferketten, die für den Geschäftsbetrieb besonders wichtig sind.

Dazu gehört zunächst die Identifikation kritischer Materialien und Komponenten. Anschließend sollte geprüft werden, aus welchen Regionen sie stammen und ob starke Abhängigkeiten von einzelnen Lieferanten oder Ländern bestehen.

Ebenso wichtig ist eine nachvollziehbare Dokumentation der getroffenen Entscheidungen. Sie hilft nicht nur gegenüber Behörden oder Geschäftspartnern. Vor allem schafft sie Transparenz innerhalb des Unternehmens und erleichtert künftige Entscheidungen.

SAT-Einschätzung: Gute Compliance schafft Handlungsspielräume statt Bürokratie

Aus unserer Beratungspraxis wissen wir, dass geopolitische Risiken häufig nicht deshalb unterschätzt werden, weil Informationen fehlen. Die eigentliche Herausforderung besteht darin, diese Informationen systematisch zu bewerten und in unternehmerische Entscheidungen einzubeziehen.

Viele Unternehmen verfügen bereits über zahlreiche Einzelinformationen. Der Einkauf kennt seine Lieferanten, das Qualitätsmanagement bewertet deren Leistungsfähigkeit und die Geschäftsführung verfolgt wirtschaftliche Entwicklungen.

Erst wenn diese Informationen zusammengeführt werden, entsteht jedoch ein vollständiges Bild der tatsächlichen Risiken.

Genau hier entfaltet ein wirksames Compliance Management seinen Nutzen. Es schafft Transparenz, definiert Verantwortlichkeiten und unterstützt fundierte Entscheidungen – ohne unnötige Bürokratie aufzubauen. Compliance ist deshalb kein Selbstzweck. Sie ist ein Instrument, um Unternehmen auch unter schwierigen wirtschaftlichen und politischen Rahmenbedingungen handlungsfähig zu halten.

Resiliente Lieferketten beginnen mit einer fundierten Risikoanalyse

Geopolitische Risiken werden die internationale Beschaffung auch in den kommenden Jahren prägen. Handelskonflikte, Exportbeschränkungen und strategische Rohstoffe sind längst keine Ausnahmeerscheinungen mehr, sondern Teil des wirtschaftlichen Umfelds. Unternehmen können diese Entwicklungen nicht beeinflussen. Sie können und müssen sich jedoch darauf vorbereiten.

Wer seine Lieferketten kennt, wesentliche Abhängigkeiten erkennt und Risiken frühzeitig bewertet, verbessert nicht nur seine Compliance. Er stärkt zugleich die Stabilität seiner Produktion, erhöht seine Reaktionsfähigkeit und schafft eine belastbare Grundlage für unternehmerische Entscheidungen.

Gerade für mittelständische Unternehmen liegt darin ein entscheidender Wettbewerbsvorteil: nicht, weil sich jede Krise vermeiden lässt, sondern weil gut vorbereitete Unternehmen schneller und sicherer handeln können, wenn sich die Rahmenbedingungen ändern.

Der Beitrag Geopolitische Risiken in der Beschaffung: Warum Einkauf heute mehr leisten muss erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.

„Für Compliance sind wir zu klein.“ Kaum ein Satz beschreibt das Verhältnis vieler mittelständischer Unternehmen zum Thema Compliance besser. Auf den ersten Blick scheint die Einschätzung nachvollziehbar. Mittelständler arbeiten häufig mit kurzen Entscheidungswegen, direkter Kommunikation und persönlichem Vertrauen. Viele Risiken werden durch Erfahrung, Nähe und Verantwortungsbewusstsein gesteuert.

Doch genau darin liegt eine Herausforderung: Solange ein Unternehmen überschaubar bleibt und Schlüsselpersonen verfügbar sind, funktionieren gewachsene Strukturen oft hervorragend. Kritisch wird es, wenn Anforderungen steigen, Mitarbeitende wechseln, Kunden Nachweise verlangen oder neue regulatorische Pflichten entstehen.

Die entscheidende Frage lautet deshalb nicht:

Ist unser Unternehmen groß genug für Compliance?

Die bessere Frage lautet:

Ist unser Unternehmen so organisiert, dass wir unsere wichtigsten Verpflichtungen zuverlässig kennen und erfüllen?

Genau an diesem Punkt setzt die internationale Norm ISO 37301 für Compliance Management Systeme (CMS) an.

Was ist ISO 37301?

Die ISO 37301:2021 Compliance Management Systems – Requirements with Guidance for Use ist ein internationaler Standard für Aufbau, Umsetzung, Bewertung und kontinuierliche Verbesserung eines Compliance Management Systems. Die Norm wurde bewusst so entwickelt, dass sie auf unterschiedliche Organisationen angewendet werden kann – unabhängig von Größe, Branche oder Organisationsform.

Das bedeutet: Ein mittelständisches Unternehmen muss keine Konzernstrukturen aufbauen, um ISO 37301 umzusetzen. Entscheidend ist ein angemessenes System, das zu den tatsächlichen Risiken, Verpflichtungen und Ressourcen des Unternehmens passt.

Oder besser gesagt: ISO 37301 verlangt nicht mehr Compliance. Sie verlangt besser organisierte Compliance.

Warum Compliance im Mittelstand immer wichtiger wird

Viele Unternehmen verbinden Compliance noch immer vor allem mit Großkonzernen, Finanzunternehmen oder internationalen Organisationen. Die Realität sieht anders aus.

Auch kleine und mittlere Unternehmen bewegen sich heute in einem Umfeld wachsender Anforderungen. Datenschutz, Arbeitsschutz, Informationssicherheit, Nachhaltigkeit, Lieferkettenanforderungen, Korruptionsprävention oder der verantwortungsvolle Einsatz künstlicher Intelligenz betreffen längst nicht mehr ausschließlich große Unternehmen.

Gleichzeitig steigen die Erwartungen von Geschäftspartnern. Immer häufiger fragen Kunden nicht nur: „Was können Sie liefern?“, sondern auch: „Wie stellen Sie sicher, dass Anforderungen eingehalten werden?“ Ein strukturiertes Compliance Management System wird damit zunehmend Teil professioneller Unternehmensführung.

Bedeutet ISO 37301 mehr Bürokratie?

Diese Sorge ist einer der häufigsten Einwände. Und sie ist nicht unbegründet. Ein schlecht eingeführtes Compliance-System kann tatsächlich zusätzlichen Aufwand erzeugen. Wenn Richtlinien geschrieben werden, die niemand nutzt, Formulare entstehen, die keinen Mehrwert bringen, oder Prozesse geschaffen werden, die nicht zur Realität passen, verfehlt Compliance ihren Zweck.

Aber genau das entspricht nicht dem Grundgedanken der ISO 37301. Ein wirksames Compliance Management System fragt nicht:

Welche Dokumente brauchen wir für die Norm?

Es fragt:

Welche Strukturen brauchen wir, damit unser Unternehmen sicher und nachvollziehbar gesteuert wird?

Der Unterschied ist entscheidend. Dokumentation ist nicht das Ziel. Sie ist nur ein Werkzeug.

ISO 37301 macht vorhandene Verantwortung sichtbar

In vielen mittelständischen Unternehmen existiert bereits viel gelebte Compliance. Der Unterschied: Sie ist häufig nicht systematisch organisiert. Ein langjähriger Mitarbeiter kennt die Anforderungen eines wichtigen Kunden. Eine Führungskraft verfolgt neue gesetzliche Entwicklungen. Eine andere Person kümmert sich um Schulungen oder interne Regeln. Das funktioniert – solange alle Beteiligten verfügbar sind.

Doch was passiert bei Wachstum, Personalwechsel oder neuen Anforderungen? Ein Compliance Management System nach ISO 37301 hilft dabei, Wissen aus einzelnen Köpfen in stabile Unternehmensprozesse zu übertragen. Es schafft Klarheit darüber, wer welche Verantwortung trägt, welche Anforderungen relevant sind und wie deren Umsetzung überprüft wird.

Compliance-Risiken erkennen, bevor Probleme entstehen

Moderne Compliance bedeutet nicht, erst auf Verstöße zu reagieren. Der Kern eines wirksamen CMS ist ein präventiver Ansatz. Unternehmen sollen ihre Compliance-Verpflichtungen verstehen, Risiken bewerten und geeignete Maßnahmen festlegen.

Dabei geht es nicht darum, jedes theoretische Risiko gleich intensiv zu behandeln. Entscheidend ist eine risikobasierte Betrachtung. Ein produzierendes Unternehmen hat andere Compliance-Schwerpunkte als ein IT-Dienstleister. Ein international tätiger Zulieferer andere Anforderungen als ein regionaler Betrieb. ISO 37301 liefert hierfür einen strukturierten Rahmen.

Neue Herausforderung 2026: KI als Compliance-Thema

Ein aktuelles Beispiel zeigt, warum strukturierte Compliance-Prozesse wichtiger werden: künstliche Intelligenz. Mit dem europäischen AI Act entstehen neue Anforderungen rund um den Einsatz bestimmter KI-Systeme. Unternehmen müssen verstehen, welche Technologien genutzt werden, welche Verantwortlichkeiten bestehen und welche Anforderungen daraus entstehen.

KI-Compliance ist dabei kein isoliertes IT-Thema. Es geht um typische Fragen eines Managementsystems:

• Wer entscheidet über den Einsatz?
• Welche Risiken bestehen?
• Welche Regeln gelten?
• Wie werden Mitarbeitende informiert?
• Wie wird die Einhaltung überprüft?

Genau für solche neuen Anforderungen bietet ISO 37301 eine organisatorische Grundlage.

Für wen lohnt sich ISO 37301 nicht?

Ein realistischer Blick gehört dazu. ISO 37301 ist nicht die richtige Lösung, wenn ein Unternehmen lediglich ein Zertifikat anstrebt oder fertige Standarddokumente übernehmen möchte. Ein Compliance Management System funktioniert nur, wenn Führung und Organisation dahinterstehen. Compliance lässt sich nicht vollständig auslagern und nicht durch einen Ordner voller Richtlinien ersetzen.

Der Wert entsteht durch Anwendung.

Wie gelingt der Einstieg in ISO 37301?

Der erfolgreiche Einstieg beginnt meistens nicht mit einem großen Projekt. Sinnvoller ist eine Standortbestimmung, zum Beispiel mit dem Quick-Check von SAT.

• Welche Compliance-Anforderungen betreffen unser Unternehmen bereits heute?
• Welche Risiken sind wesentlich?
• Wo bestehen klare Verantwortlichkeiten – und wo hängt Wissen nur an einzelnen Personen?
• Welche Nachweise erwarten Kunden, Behörden oder Geschäftspartner?

Aus diesen Antworten entsteht Schritt für Schritt ein angemessenes Compliance Management System.

ISO 37301 macht Compliance im Mittelstand beherrschbar

Mittelständische Unternehmen brauchen keine komplizierte Konzern-Compliance. Sie brauchen ein System, das zu ihrer Realität passt. Die ISO 37301 hilft dabei, vorhandene Verantwortung sichtbar zu machen, Risiken strukturiert zu steuern und Vertrauen gegenüber Kunden, Mitarbeitenden und Geschäftspartnern aufzubauen.

Am Ende geht es um drei einfache Fragen:

• Wissen wir, welche Regeln für uns gelten?
• Ist klar, wer Verantwortung übernimmt?
• Können wir zeigen, dass unser System funktioniert?

Wenn die Antwort darauf unsicher ist, ist ein Unternehmen nicht zu klein für Compliance.

FAQ: ISO 37301 im Mittelstand

Der Beitrag ISO 37301 für den Mittelstand: Warum kein Unternehmen zu klein für Compliance ist erschien zuerst auf SAT Rechtskataster und Compliance Management Systeme.