GRC as a Service: Compliance als Betriebsmodell

Klassisch wird ein ISMS als Projekt aufgebaut und endet organisatorisch mit dem Zertifikat – dabei beginnt die eigentliche Arbeit erst danach. ISO/IEC 27001:2022 fordert ausdrücklich, das Managementsystem aufrechtzuerhalten und fortlaufend zu verbessern; das Zertifikat gilt in einem Drei-Jahres-Zyklus mit mindestens jährlichen Überwachungsaudits (ISO/IEC 17021-1). Auch NIS2 ist als Dauerpflicht angelegt: Risikomanagementmaßnahmen müssen umgesetzt, überwacht und auf Wirksamkeit geprüft werden – in Deutschland verbindlich seit Inkrafttreten des NIS-2-Umsetzungsgesetzes im Dezember 2025. Managed GRC bedeutet, diese wiederkehrenden Aufgaben nicht punktuell zu beauftragen, sondern als laufenden Service mit definiertem Leistungsumfang, Turnus und Berichtswesen zu betreiben.

Kern ist der ISMS-Betrieb: Dokumentenlenkung, Maßnahmenverfolgung, Vorbereitung der Managementbewertung und Pflege der Nachweise. Dazu kommen das laufende Risikomanagement (Risikoregister, turnusmäßige Neubewertungen, Risikobehandlungspläne), ein internes Auditprogramm nach Kapitel 9.2 der ISO/IEC 27001 sowie Kennzahlen und Reporting an die Leitungsebene. Häufig übernimmt der Dienstleister zusätzlich den Betrieb der GRC-Plattform samt Datenpflege und Framework-Updates; ergänzend werden externe Beauftragtenrollen (etwa Informationssicherheits- oder Datenschutzbeauftragter) und Audit-Begleitung angeboten. Der konkrete Zuschnitt variiert stark – Leistungsumfang, Turnus und Mitwirkungspflichten des Auftraggebers sollten vertraglich präzise geregelt sein.

Nach der Bitkom-Studie zum IT-Arbeitsmarkt waren 2025 rund 109.000 IT-Stellen in Deutschland unbesetzt; 85 Prozent der befragten Unternehmen beklagen einen Mangel an IT-Fachkräften, 79 Prozent erwarten eine weitere Verschärfung. Für kleinere und mittlere Unternehmen ist eine eigene GRC-Vollzeitrolle oft weder wirtschaftlich darstellbar noch am Markt besetzbar – zumal das benötigte Wissen mehrere Spezialgebiete umfasst, von Normeninterpretation und Regulatorik bis zu Audit-Praxis und Tool-Kompetenz. Ein Managed Service bündelt diese Kompetenzen in geteilter Kapazität, bringt Vertretungsregelungen und Erfahrung aus vielen Audit-Zyklen mit und reduziert den internen Aufwand auf eine definierte Schnittstellenrolle. Entscheidungen, Ressourcenfreigaben und die Mitwirkung der Fachbereiche bleiben allerdings intern – ganz ohne eigene Kapazität funktioniert kein Modell.

Klassische Beratung ist zeitlich befristet und liefert Empfehlungen, Konzepte und Dokumente – Umsetzung und Pflege verbleiben beim Auftraggeber. Im Managed-Modell übernimmt der Dienstleister dagegen Ergebnisverantwortung für definierte Betriebsprozesse: Audits finden statt, Risikobewertungen sind aktuell, Berichte werden geliefert. Zwei Grenzen sind wesentlich: Erstens ist die Gesamtverantwortung nicht delegierbar – nach Art. 20 der NIS2-Richtlinie müssen die Leitungsorgane die Risikomanagementmaßnahmen „billigen, ihre Umsetzung überwachen“ und können für Verstöße verantwortlich gemacht werden; auch ein ISO-27001-Zertifikat läuft auf die Organisation, nicht auf den Dienstleister. Zweitens verlangt ISO/IEC 27001 objektive und unparteiische interne Audits – betreibt derselbe Dienstleister das ISMS, braucht es dafür eine personelle oder organisatorische Trennung.

Die Pflicht zur Messung ist normativ verankert: ISO/IEC 27001 fordert in Kapitel 9.1 die Überwachung und Bewertung von Sicherheitsleistung und ISMS-Wirksamkeit, NIS2 verlangt in Art. 21 Abs. 2 Buchst. f Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Bewährte Betriebskennzahlen sind etwa der Umsetzungsgrad der Maßnahmen aus dem Risikobehandlungsplan, überfällige Maßnahmen und Audit-Feststellungen samt Behebungsdauer, das Alter der Risikobewertungen, die Aktualität gelenkter Dokumente, Schulungs- und Awareness-Quoten sowie Erkennungs- und Behebungszeiten bei Sicherheitsvorfällen. Methodische Leitplanken liefern ISO/IEC 27004:2016 (eine Revision liegt derzeit nur als Entwurf vor) und NIST SP 800-55 (2024). Entscheidend ist Auswahl statt Masse: wenige entscheidungsrelevante Kennzahlen mit definierter Datenquelle, Zielwert und Berichtsempfänger.

Grob lassen sich drei Kategorien unterscheiden: integrierte GRC-Plattformen, die mehrere Disziplinen wie Risiko, Compliance, internes Audit und Policy-Management in einem Datenmodell verbinden; spezialisierte ISMS-Werkzeuge mit vorgefertigten Framework-Katalogen und Maßnahmenverfolgung; sowie Compliance-Automation-Lösungen, die Nachweise über Schnittstellen zu Cloud-, Identitäts- und Endpoint-Systemen automatisiert einsammeln. Daneben sind Office-basierte Eigenlösungen weiterhin verbreitet, stoßen aber bei Versionierung, Nachvollziehbarkeit und Mehrbenutzerbetrieb an Grenzen. Im Managed-Modell gehört der Tool-Betrieb zum Leistungsumfang – etwa Katalog-Updates bei neuen Normversionen, das Mapping mehrerer Frameworks aufeinander und die laufende Datenpflege. Ein Werkzeug ersetzt jedoch kein Betriebsmodell: Ohne definierte Prozesse und Verantwortliche bildet es den Stillstand nur übersichtlicher ab; zudem sollte die Exportierbarkeit der Daten für einen späteren Anbieterwechsel vertraglich gesichert sein.