Die neue Sicherheitslage: Compliance als Risiko-Senker

Compliance-Abteilungen kennen den Ernstfall bislang als Einzelfall: ein Verdachtsmoment, eine interne Untersuchung, ein Vorfall mit klarem Anfang und Ende. Gesamtverteidigung folgt einer anderen Logik. Sie beginnt nicht mit einem Alarm, sondern mit einer Grauzone. Sabotage, Cyberangriffe, gestörte Lieferketten und Desinformation bewegen sich unterhalb der Schwelle des Krieges und lassen sich oft nicht sofort einem Urheber zuordnen. Der Übergang vom Frieden über die Krise bis zum Verteidigungsfall ist fließend.

Ein Szenario macht das greifbar. Ein Zulieferer meldet an einem Freitagnachmittag Störungen in der Produktionssteuerung. Die IT vermutet einen Defekt, der Einkauf erfährt von Lieferverzug, die Kommunikationsabteilung registriert Falschmeldungen über das Unternehmen. Jede Information für sich wirkt harmlos, erst zusammen ergeben sie eine Lage. Wer sie zusammenführt, einordnet und entscheidet, ist im Ernstfall eine Frage der Vorbereitung.

Für Unternehmen wirft das unbequeme Fragen auf. Welche Pflichten gelten schon heute, welche kämen im Ernstfall hinzu? Wer entscheidet, wenn der Krisenstab tagt, und wer hat bis dahin vorbereitet, was dieser braucht? Und welche Rolle spielt dabei jene Funktion, die ohnehin für Pflichten, Nachweise und Berichtswege zuständig ist: die Compliance?

Gesamtverteidigung: mehr als Bundeswehr

Das Konzept ist nicht neu, wurde aber 2024 unter Federführung des Bundesinnenministeriums gemeinsam mit dem Verteidigungsministerium in den Rahmenrichtlinien für die Gesamtverteidigung überarbeitet. Es umfasst die militärische Verteidigung ebenso wie die zivile: Zivilschutz, Versorgung, Verkehr, Telekommunikation, Cybersicherheit und die Einbindung der Wirtschaft.

Hinzu kommt der Operationsplan Deutschland der Bundeswehr. Sein Inhalt ist nicht öffentlich, die Grundidee aber bekannt: Deutschland fungiert im Bündnisfall als logistische Drehscheibe für die NATO. Das berührt Häfen, Schiene, Straße, Energie, Gesundheitsversorgung und Zulieferer, also weite Teile der Wirtschaft. Unternehmen sind damit keine Randakteure. Sie sind Teil der Verteidigungsfähigkeit und zugleich Ziel hybrider Angriffe, bis hin zur Sabotage an kritischer Infrastruktur.

Cyber und Physis: NIS2 und KRITIS-Dachgesetz

Ein Teil des Rechtsrahmens ist bereits in Kraft. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und erfasst Schätzungen zufolge rund 29.500 Unternehmen, „wichtige“ Einrichtungen schon ab 50 Beschäftigten oder zehn Millionen Euro Umsatz. Es verlangt Risikomanagementmaßnahmen einschließlich Lieferkettensicherheit, Betriebskontinuität und Krisenmanagement sowie gestufte Meldepflichten gegenüber dem BSI. Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen.

Das KRITIS-Dachgesetz ergänzt seit dem 17. März 2026 die physische Seite. Es setzt die europäische CER-Richtlinie um und verpflichtet Betreiber kritischer Anlagen zu Risikoanalysen, Resilienzmaßnahmen und Resilienzplänen, zum Schutz ihrer Liegenschaften und zur Meldung erheblicher Vorfälle an eine gemeinsame Meldestelle von BBK und BSI. Auch hier trägt die Geschäftsleitung eine eigene Pflicht: Sie muss die Maßnahmen billigen und deren Umsetzung überwachen.

Beide Gesetze regeln Gesamtverteidigung nicht im engeren Sinn. Sie schaffen aber das Fundament, auf dem sie im Unternehmen aufsetzt: Risikoanalyse, Betriebskontinuität, Krisenmanagement, Meldewege.

Der Ernstfall-Rechtsrahmen: Sicherstellungsgesetze

Anders liegt der Fall bei den Sicherstellungsgesetzen. Sie stammen überwiegend aus dem Kalten Krieg und erlauben dem Staat Eingriffe, damit lebenswichtige Leistungen erhalten bleiben. Sie gelten nur im Bündnis-, Spannungs- oder Verteidigungsfall. Für Unternehmen und Beschäftigte können daraus Kündigungsbeschränkungen, Verpflichtungen zur Arbeitsleistung, Meldepflichten oder veränderte Arbeitszeiten und -orte folgen.

Diese Regeln stehen vor einer Überarbeitung. Am 1. Juli 2026 beschloss das Bundeskabinett ein Eckpunktepapier von Innen- und Verteidigungsministerium, die Novellierung soll bis 2027 erfolgen.

Für Unternehmen bedeutet das eine doppelte Unschärfe: Was der Operationsplan von der Wirtschaft erwartet, ist nicht öffentlich, und die gesetzlichen Grundlagen ändern sich. Wer auf Klarheit wartet, wartet zu lange.

Was Good Practice ergänzt

Wo das Gesetz offenlässt, füllen Standards die Lücke. Der BSI-Standard 200-4 beschreibt Business Continuity Management einschließlich einer besonderen Aufbauorganisation mit Krisenstab. ISO 22301 liefert den internationalen Rahmen für Betriebskontinuität, ISO 22361 für Krisenmanagement.

Aus Standards und Verbandspraxis, etwa der DIHK, ergibt sich ein wiederkehrender Kanon. Dazu gehört ein benannter Krisenstab mit Vertretungen, klaren Entscheidungsbefugnissen und festem Lagerhythmus. Es gibt feste Ansprechpartner für Sicherheitsbehörden, Kommune, IHK und, wo relevant, die Landeskommandos der Bundeswehr.

Hinzu kommt die Personalplanung. Im Spannungs- oder Verteidigungsfall werden nicht nur Reservisten einberufen, sondern auch Beschäftigte, die sich in Hilfsorganisationen engagieren. Viele Betriebe wissen nicht, wen das betreffen würde. Entsprechende Abfragen berühren Personalplanung und Datenschutz zugleich, ein klassisches Compliance-Thema.

Lieferketten: Auch wer nicht reguliert ist, wird angefragt

Die Regulierung endet nicht an der Unternehmensgrenze. Wer als Betreiber oder regulierte Einrichtung Lieferkettensicherheit nachweisen muss, reicht die Anforderungen vertraglich an seine Zulieferer weiter: als Fragebogen, Vertragsklausel oder Audit. Das trifft auch Mittelständler, die selbst weder unter NIS2 noch unter das KRITIS-Dachgesetz fallen. Zugleich sind viele dieser Betriebe in Liefer- und System-Ketten gebunden, die im Spannungsfall staatlich priorisiert werden könnten.

Krisenbetrieb ist ein anderer Betrieb

Im Krisenbetrieb ändern sich Informationsfluss, Entscheidungswege, Rollen und Kommunikation. Was im Regelbetrieb sinnvoll ist, also Abstimmungsschleifen, Vier-Augen-Prinzip und lückenlose Dokumentation vor der Entscheidung, kann im Ernstfall lähmen. Diese Führungsaufgabe gehört in die operative Leitung, nicht in eine Kontrollfunktion.

Zugleich gilt: Ein Pflichtenregister ist noch keine Handlungsfähigkeit, ein nie geübtes Krisenhandbuch ebenfalls nicht. Papier ersetzt keine praktizierte Bereitschaft.

Compliance als Startpunkt

Daraus folgt: Compliance-Verantwortliche sind in vielen Unternehmen diejenigen, die mit dem Auf- und Ausbau des Sicherheitsniveaus starten können, bevor es von den operativ Verantwortlichen für die Krisenleitung übernommen wird. Drei Gründe sprechen dafür.

Erstens kennen sie die Pflichten. Rechtskataster, Regelwerke und Fristen laufen bei ihnen zusammen, von NIS2 über den Datenschutz bis zu Lieferkette, Sanktionen und Exportkontrolle. Zweitens haben sie Zugang zur Geschäftsleitung, die nach NIS2 und KRITIS-Dachgesetz selbst in der Pflicht steht. Drittens verfügen sie über Prozesse, die im Ernstfall gebraucht werden: Meldewege, Hinweisgebersysteme, Schulungen, Dokumentation und die Fähigkeit, Nachweise zu führen.

Konkret lässt sich die neue Aufgabe der Compliance in fünf Schritten übersetzen.

Betroffenheit klären: Fällt das Unternehmen unter NIS2 oder das KRITIS-Dachgesetz, oder hängt es als Zulieferer in den Ketten regulierter Kunden?

Pflichten bündeln: Fristen, Meldewege und Nachweise gehören in ein Register, ergänzt um die Frage, was im Spannungs- oder Verteidigungsfall hinzukommen könnte.

Rollen klären: Krisenstab, Vertretungen, Entscheidungsbefugnisse und Eskalationswege werden festgelegt, bevor sie gebraucht werden.

Schnittstellen aufbauen: Ansprechpartner in Behörden, IHK und Bundeswehr werden benannt, der Zugang zu Lagebildern wird hergestellt.

Üben und nachweisen: Übungen werden geplant, Ergebnisse dokumentiert und der Geschäftsleitung berichtet.

Für die Geschäftsleitung ergibt sich daraus ein einfaches Berichtsformat: Welche Pflichten gelten, wie weit ist die Umsetzung, welche Lücken sind offen, wann wurde zuletzt geübt? Vier Fragen, die sich quartalsweise beantworten lassen und im Zweifel belegen, dass die Geschäftsleitung ihre Sorgfaltspflicht wahrgenommen hat.

Die Übergabe entscheidet

Wichtig ist das Wort „starten“. Compliance soll nicht dauerhaft den Krisenstab führen. Das wäre organisatorisch riskant: Die Funktion ist auf Kontrolle, Unabhängigkeit und Beratung angelegt. Wer im Ernstfall operative Entscheidungen verantwortet, gerät in Rollenkonflikte und verliert die Distanz, die ein Compliance-System braucht. Sobald die operative Krisenleitung benannt ist, übernimmt sie Verantwortung für Lage, Entscheidung und Umsetzung. Compliance bleibt im Hintergrund: als Beraterin in Rechtsfragen, als Wächterin über Meldepflichten und als Instanz, die Entscheidungen nachvollziehbar dokumentiert.

Damit die Übergabe gelingt, muss das Paket vollständig sein: eine aktuelle Pflichten- und Fristenübersicht, benannte Rollen, Kontaktdaten, Meldewege und Entscheidungsbefugnisse, dazu die Ergebnisse der letzten Übungen. Entscheidend ist nicht, was in der Schublade liegt, sondern was in der ersten Stunde nutzbar ist.

Die Übergabe sollte dabei an definierte Auslöser geknüpft sein: ein meldepflichtiger Vorfall, eine behördliche Warnung, die Feststellung eines Spannungsfalls.

Kein Solo: die Klammer, nicht der Experte

Compliance kann all das nicht allein leisten. Die technische Umsetzung von NIS2 gehört zur IT-Sicherheit, der physische Schutz zur Unternehmenssicherheit, Personalfragen zu HR. Die Stärke der Compliance liegt woanders: Sie holt diese Bereiche an einen Tisch, macht gemeinsame Pflichten und Fristen sichtbar und beschreibt gegenüber der Geschäftsleitung, wo Lücken bestehen. Sie sorgt dafür, dass niemand eine Aufgabe für erledigt hält, die zwischen zwei Abteilungen liegt.

Wenn es keine Compliance-Funktion gibt

Diese Rolle hat eine Grenze: Nur größere Unternehmen leisten sich überhaupt Compliance-Verantwortliche. Im Mittelstand fehlt die Funktion häufig ganz, und wo sie besteht, ist sie oft nur eine von mehreren Aufgaben. Die Pflichten reichen dagegen weiter als die Funktion, denn NIS2 kann schon Unternehmen mit 50 Beschäftigten treffen.

Für Compliance-Verantwortliche mit mehreren Funktionen heißt das: priorisieren statt perfektionieren. Jedes Unternehmen sollte wissen, ob es betroffen ist, wer im Ernstfall entscheidet und wen es anruft. Dafür reicht zunächst ein schlankes Paket: eine Betroffenheitsprüfung, eine benannte Krisenleitung mit Vertretung, eine Kontaktliste und eine Übung im Jahr.

Wo die Funktion fehlt, muss die Geschäftsleitung die Rolle bewusst besetzen, intern oder mit externer Unterstützung.

Fazit: Wer vorbereitet, muss weniger improvisieren

Gesamtverteidigung verändert, was Unternehmen von sich verlangen müssen. Es geht nicht darum, den Krieg in die Compliance-Abteilung zu holen. Es geht darum, dass Pflichten, Rollen und Nachweise stehen, wenn eine Lage eskaliert. Compliance führt nicht den Krisenstab. Aber sie kann entscheiden, ob dieser auf ein tragfähiges Fundament trifft oder bei null beginnt.

Die entscheidende Frage lautet deshalb nicht, ob Compliance-Verantwortliche zuständig sind. Sie lautet: Wenn der Krisenstab morgen zum ersten Mal tagt, wie hat ihn das Unternehmen bis dahin ausgestattet?