Compliance, die im Alltag antwortet

Niemand schlägt mitten in der Arbeit ein Policy-Dokument auf. Man entscheidet aus dem Bauch, weil Nachschlagen länger dauert als die Entscheidung selbst, und die sauber geschriebene Regel bleibt im ISMS liegen, während genau ihr Fall gerade vorbeigeht.

Eine Regel, die im entscheidenden Moment nicht erreichbar ist, ist formal vorhanden und praktisch wirkungslos. Wo sie erreichbar sein müsste, ist heute zu großen Teilen der Chat mit einem Sprachmodell, und genau dort kann dieselbe Regelbasis antworten, statt im Ordner zu schweigen.

Warum der Ordner nicht antwortet

Ein Regelwerk im Ordner scheitert im Alltag an drei Stellen, und keine davon liegt am Inhalt der Regeln. Die erste ist die Auffindbarkeit. Wer eine konkrete Frage hat, müsste wissen, in welchem der Dokumente die Antwort steht, an welcher Stelle, und in welchem der oft verschachtelten Abschnitte. Dieser Weg ist im Zweifel länger als die Entscheidung selbst, also wird er nicht gegangen.

Die zweite Stelle ist die Aktualität. Ein Dokument gibt den Stand seiner letzten Bearbeitung wieder, nicht den von heute. Rechtslagen ändern sich, Fristen verschieben sich, interne Vorgaben werden angepasst, und die Kopie im Kopf eines Mitarbeiters ist meist noch älter als das Dokument. Eine Antwort aus dem Gedächtnis ist damit doppelt gefährlich, weil sie einen überholten Stand mit der Überzeugung von Aktualität vorträgt.

Die dritte Stelle ist die Interpretation. Selbst wer die richtige Passage findet, muss sie auf den konkreten Fall übertragen, und genau dort entstehen die Fehler. Eine allgemein gehaltene Vorgabe beantwortet die spezielle Frage nie wörtlich, sondern verlangt einen Übersetzungsschritt, den unter Zeitdruck kaum jemand sauber macht. Lebende Compliance setzt an allen drei Stellen an, indem sie die passende Regel auffindbar, aktuell und auf die konkrete Frage bezogen ausgibt.

Vor, während und nach dem Ereignis

Der eigentliche Wert lebender Compliance zeigt sich nicht in einem Ordner, sondern im Moment einer Frage. Dieselbe, stets aktuelle Regelbasis lässt sich zu drei Zeitpunkten anzapfen: bevor etwas gebaut wird, während man mittendrin arbeitet, und nachdem ein Vorfall eingetreten ist.

Vor einem Vorhaben ist die Regelbasis ein Ratgeber. Wer eine neue Funktion plant, die Nutzerdaten verarbeitet, will früh wissen, was dabei zu beachten ist, statt es nachträglich zu reparieren. Auf eine Frage wie „Wir wollen E-Mail-Adressen für ein neues Empfehlungs-Feature auswerten, was müssen wir beachten?" sollte eine konkrete Antwort aus den eigenen Datenschutz- und Sicherheitsregeln kommen, die auf die Zweckbindung, die nötige Rechtsgrundlage und die Aufbewahrungsdauer verweist. So wird die Regel zur Entwurfshilfe, bevor Aufwand in eine Richtung fließt, die später zurückgebaut werden muss.

Mitten in der Arbeit ist die Regelbasis ein Prüfstein. Ein Code-Review lässt sich nicht nur gegen technische Qualität führen, sondern auch gegen die eigenen Vorgaben, und das ist der Ort, an dem lebende Compliance am unauffälligsten wirkt. Wenn ein Pull Request einen neuen Datenfluss einführt, kann derselbe Review fragen, ob die Vorgabe zur Datensparsamkeit eingehalten ist, ob ein neues Zugriffsrecht zu weit gefasst wurde oder ob ein Log versehentlich personenbezogene Daten schreibt. Der Abgleich passiert dort, wo die Entscheidung fällt, und nicht Wochen später in einem Audit, in dem sich Versäumtes nur noch dokumentieren, aber nicht mehr verhindern lässt.

Nach einem Vorfall ist die Regelbasis ein Kompass. Wenn etwas passiert ist, ein möglicher Datenschutzfall oder ein Sicherheitsvorfall, zählt Geschwindigkeit, und die erste Frage lautet oft, welche Meldepflichten und Fristen jetzt greifen. Fällt ein Unternehmen unter NIS2, beginnt mit dem Vorfall eine enge Meldekette aus einer Frühwarnung binnen 24 Stunden, einer ausführlicheren Meldung binnen 72 Stunden und einem Abschlussbericht binnen eines Monats. Eine Regelbasis, die in diesem Moment belastbar antwortet, welche Frist gerade läuft und an wen zu melden ist, verkürzt die Zeit zwischen „etwas ist passiert" und „wir wissen, was zu tun ist", was bei so knappen Fristen den Unterschied macht.

Die harten Fristen und Pflichten aus NIS2 selbst vertiefen wir im Artikel NIS2 tritt in Kraft. Hier zählt nur der Mechanismus dahinter, nämlich dass dieselbe Regelbasis, die vor einem Vorhaben berät, nach einem Vorfall den Meldeweg vorgibt.

Wie die Regeln antworten lernen

Damit eine Regelbasis im Moment einer Frage antwortet, muss sie dort erreichbar sein, wo gearbeitet und gefragt wird, und das ist heute zu großen Teilen der Chat mit einem Sprachmodell. Der naheliegende, aber falsche Weg wäre, dem Modell einfach alle Policy-Dokumente vorzulegen und es raten zu lassen. Das führt zu plausibel klingenden, aber unverbindlichen Antworten, und bei Compliance ist eine Antwort, die nur ungefähr stimmt, gefährlicher als gar keine, weil sie mit derselben Überzeugung vorgetragen wird wie eine richtige.

Der tragfähige Weg ist derselbe, den wir für die Kostendaten im Artikel Mit den eigenen Zahlen reden beschreiben: nicht die Rohdaten ins Modell kippen, sondern über einen MCP-Server einen kontrollierten Zugang schaffen. Das Sprachmodell formuliert die Frage und den Kontext, während die eigentliche Auskunft aus einer gepflegten, versionierten Regelbasis kommt. Das Modell liefert die Sprache, die Regelbasis liefert die Verbindlichkeit.

Entscheidend ist, dass die Regelbasis eine einzige, gepflegte Quelle bleibt. Wer ein ISMS nach ISO 27001 betreibt, hat seine Vorgaben ohnehin strukturiert vorliegen, und regulatorische Anforderungen wie die aus NIS2 lassen sich in dieselbe Basis einordnen, statt sie in einem zweiten Dokument zu führen. Jede Regel bekommt dabei nicht nur einen Text, sondern auch ihre Herkunft und ihren Stand, damit die Auskunft später nachvollziehbar bleibt.

"aufbewahrung-nutzerdaten": {
  "quelle": "ISMS-Richtlinie A.8.10 / DSGVO Art. 5",
  "aussage": "Personenbezogene Daten nur so lange speichern, wie der Zweck es erfordert; danach löschen oder anonymisieren.",
  "gilt_fuer": ["produktion", "backup"],
  "stand": "2026-09-01",
  "review_faellig": "2027-09-01"
}

Damit man der Antwort trauen kann

Eine Regelauskunft ist nur so viel wert, wie man ihr trauen kann, und Vertrauen entsteht bei Compliance nicht aus einem flüssigen Satz, sondern aus einer nachprüfbaren Herkunft. Deshalb sollte jede Antwort dieselbe Herkunftsangabe mitführen, die wir auch den Kostenauskünften beilegen: aus welcher Regel sie stammt, auf welchem Stand diese Regel ist, und wann sie zuletzt geprüft wurde.

"herkunft": {
  "regel": "aufbewahrung-nutzerdaten",
  "quelle": "ISMS-Richtlinie A.8.10 / DSGVO Art. 5",
  "stand": "2026-09-01",
  "zuletzt_geprueft": "2026-09-01",
  "hinweise": ["Regel-Review in unter 12 Monaten fällig."]
}

Der Stand ist dabei kein Detail, sondern die Bedingung, denn eine Regelbasis, die einen überholten Stand ausgibt, ist schlimmer als eine, auf die niemand vertraut. Genau deshalb trägt jede Regel ein Prüfdatum, und die Herkunftsangabe warnt, wenn dieses Datum zu lange zurückliegt. Das ist dieselbe Haltung, mit der wir dieses Kompendium selbst pflegen, in dem jeder Artikel ein Prüfdatum trägt und turnusmäßig gegen die Realität abgeglichen wird. Eine Regel, die niemand mehr prüft, verliert ihren Wert genauso wie ein Artikel, der auf einem alten Stand stehen bleibt.

Die Kunst liegt damit nicht darin, mehr Regeln zu schreiben, sondern die vorhandenen so verfügbar zu machen, dass sie zum Zeitpunkt der Frage greifen, ihre Herkunft nennen und ihren Stand offenlegen. Erst diese drei Eigenschaften zusammen, Erreichbarkeit, Nachprüfbarkeit und Aktualität, machen aus einem Regelwerk eine Compliance, die im Alltag antwortet.

Was das für dich heißt

Compliance schützt nicht dadurch, dass sie dokumentiert ist, sondern dadurch, dass sie in der Entscheidung greift. Der Unterschied zwischen einem Ordner und einer lebenden Regelbasis ist nicht die Menge der Regeln, sondern ihre Erreichbarkeit im Moment einer Frage, vor einem Vorhaben, mitten in der Arbeit und nach einem Vorfall. Für ein Produktunternehmen bedeutet das, die vorhandenen Vorgaben aus dem Ordner zu holen und über einen kontrollierten Zugang dort verfügbar zu machen, wo gearbeitet wird, mit ihrer Herkunft und ihrem Stand als festem Bestandteil jeder Antwort.

Der erste Schritt ist dabei kleiner, als er wirkt, weil die Regeln meist schon existieren und nur anschlussfähig gemacht werden müssen. Ob es darum geht, ein bestehendes ISMS lebendig zu machen oder die ersten Regeln überhaupt abfragbar zu halten, wir ordnen das gerne gemeinsam mit dir ein.