Kurzdefinition: Compliance-Schulden sind aufgeschobene oder übersehene Pflichten, die sich wie finanzielle Schulden anhäufen. Im NIS-2-Kontext sind das nicht erfüllte BSIG-Pflichten, die im Ernstfall samt „Zinsen“ aus Haftung, Bußgeld und Zeitdruck fällig werden. Der Begriff ist kein Gesetzesbegriff, sondern ein Steuerungsbild. [N-BSIG-30]
Der Normwortlaut
§ 30 Abs. 1 BSIG verpflichtet die Einrichtungen, „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ zu ergreifen; § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung, diese „umzusetzen und ihre Umsetzung zu überwachen“. Jede dieser Pflichten, die offen bleibt, bildet eine Compliance-Schuld. [N-BSIG-30] [N-BSIG-38]
Was sind Compliance-Schulden?
Ein Steuerungsbild. Jede NIS-2-Pflicht, die nicht oder zu spät erfüllt wird — Einordnung, Registrierung, Risikomanagement nach § 30 BSIG, Meldewege, Schulung —, bleibt als „Schuld“ im Unternehmen stehen und wächst, bis sie fällig wird. [N-BSIG-30]
Wie entstehen Compliance-Schulden im NIS-2-Kontext?
Durch Aufschub und Fehlannahmen. Typische Quellen sind eine zu niedrige Betroffenheits-Einordnung, ein Betroffenheitsvermerk ohne Maßnahmenplan, der Trugschluss „DORA statt BSIG ist erledigt“, ungeklärte Tochtergesellschaften sowie verpasste Registrierungs- und Meldefristen. [N-BSIG-30]
Warum sind Compliance-Schulden gefährlich?
Sie wirken still. Pflichten werden nicht eingeplant, die Geschäftsleitung kann ihre Überwachungspflicht nicht belastbar erfüllen, und das Haftungs- und Sanktionsrisiko wächst unsichtbar — bis ein Vorfall, eine Meldung oder eine Aufsichtsmaßnahme die Schuld unter Zeitdruck offenlegt. [N-BSIG-38]
Wie vermeidet die Geschäftsleitung Compliance-Schulden?
Durch dokumentierte Einordnung und Maßnahmenplan. Eine saubere Betroffenheits-Einordnung — ausdrücklich auch eine begründete Negativentscheidung — verbunden mit einem Maßnahmenplan senkt das Risiko und schafft zugleich Verteidigungsdokumentation. [N-BSIG-38]
Häufige Fehlannahmen
- „Compliance-Schulden sind ein Gesetzesbegriff.“ Nein. Es ist ein Steuerungsbild, kein Rechtsbegriff. [N-BSIG-30]
- „Was nicht gemeldet ist, ist keine Schuld.“ Nein. Die Pflicht besteht unabhängig von der Sichtbarkeit weiter. [N-BSIG-30]
- „Eine Negativentscheidung ist wertlos.“ Nein. Eine begründete, dokumentierte Negativentscheidung senkt das Risiko. [N-BSIG-38]
- „DORA ersetzt die BSIG-Pflichten vollständig.“ Nicht pauschal. Ungeprüfte Annahmen erzeugen Compliance-Schulden. [N-BSIG-30]
- „Aufgeschobene Pflichten verjähren einfach.“ Nein. Sie werden im Ernstfall samt Haftung und Bußgeld fällig. [N-BSIG-38]
- „Nur die Fachabteilung ist betroffen.“ Nein. Die Überwachungspflicht trifft die Geschäftsleitung. [N-BSIG-38]
Was die Geschäftsleitung tun sollte
- Einordnen. Betroffenheit sauber und dokumentiert klären.
- Budgetieren. Offene Pflichten wie Rechnungen mit Fälligkeit behandeln.
- Maßnahmenplan. Auch bei Negativentscheidung einen begründeten Vermerk anlegen.
- Überwachen. Fristen für Registrierung und Meldung nachhalten.
Für die Geschäftsleitung
Behandeln Sie jede offene NIS-2-Pflicht wie eine Rechnung mit Fälligkeitsdatum: einordnen, budgetieren, dokumentieren. Schon eine begründete Negativentscheidung ist bares Geld wert — sie verhindert, dass Pflichten unsichtbar auflaufen und im Ernstfall unter Zeitdruck fällig werden.
Quellen
- [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen), Abs. 1. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
- [N-BSIG-38] § 38 BSIG (Pflichten der Geschäftsleitungen), Abs. 1. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__38.html
