Compliance-Reifegrad-Modell: 5-Stufen-Self-Assessment
TL;DR
- 5-Stufen-Reifegrad: Initial → Reaktiv → Definiert → Gemessen → Optimiert
- Self-Assessment in 30 Min mit 25-Punkte-Fragebogen
- Pfad-Map zur nächsten Stufe mit konkreten Maßnahmen
- Vorbild: CMMI + ISO 37301 + NIST CSF
- KMU-Realität: Stufe 3 (Definiert) ist anstrebenswerter Zielzustand
Hauptartikel: Hauptartikel: Compliance Tool-Stack 2026 — der vollständige Pillar-Artikel zum Thema.
1. Stufe 1: Initial (50% aller KMU)
Reaktive Compliance, ad-hoc-Maßnahmen, kein Compliance-Officer. Charakteristika: keine Doku, keine Schulung, hohes Bußgeld-Risiko.
2. Stufe 2: Reaktiv (30% aller KMU)
Pflicht-Doku vorhanden (VVT, AVV), aber statisch. Kein Officer. Schulungen onboarding-only.
3. Stufe 3: Proaktiv (15% aller KMU)
Compliance-Officer Teilzeit, regelmäßige Schulungen, Audit-Vorbereitung. Quartalsweise Reviews.
4. Stufe 4: Integriert (4% aller KMU)
Compliance in alle Prozesse integriert. ISMS + DSMS dokumentiert. Compliance-Reporting an GF. ISO-Zertifizierung.
5. Stufe 5: Strategisch (1% aller KMU)
Compliance als Wettbewerbsvorteil. Compliance-as-Code, Predictive Compliance, ESG-Integration.
6. Self-Assessment in 10 Fragen
10-Fragen-Test: Doku-Status, Officer-Status, Schulungs-Frequenz, Audit-Vorbereitung, Reporting-Reife. Score → Stufe.
7. Roadmap-Empfehlung
Stufe 1→2: VVT + AVV-Inventar (3 Monate). 2→3: Compliance-Officer + Quartals-Reviews (6 Monate). 3→4: ISMS + ISO-Zertifizierung (12 Monate). 4→5: Predictive Compliance + ESG (18 Monate).
Zusammenfassung
Kernpunkte dieses Artikels:
- 80% aller KMU verharren auf Stufe 1 oder 2 — mit reaktiver, statischer Compliance ohne dediziertem Officer.
- Stufe 3 (Proaktiv) ist 2026 das realistische Ziel für KMU 50-250 MA: Officer in Teilzeit, regelmäßige Schulungen, Quartals-Reviews.
- Stufe 4 erfordert ISMS-/DSMS-Doku und ISO-27001-Zertifizierung — sinnvoll ab 150 MA oder bei NIS2-Pflicht.
- Stufe 5 (Strategisch) mit Predictive Compliance und ESG-Integration bleibt 2026 1% Vorbild-Status — kein Pflicht-Ziel für KMU.
Die Roadmap 3 → 18 Monate je Stufenwechsel ist machbar — wichtigster Schritt: ehrliches Self-Assessment durchführen, dann gezielt die nächste Stufe ansteuern.
Häufig gestellte Fragen
Wo stehe ich?
Zeit pro Stufe?
Quellen
- ISO 37301:2021 (Compliance Management Systems), iso.org/37301
- ISO/IEC 27001:2022 (ISMS), iso.org/27001
- NIST Cybersecurity Framework 2.0, nist.gov/cyberframework
- BSI IT-Grundschutz-Kompendium, bsi.bund.de/IT-Grundschutz
- BSI-Gesetz 2025 (BSIG), gesetze-im-internet.de/bsig_2025