Alles, was Sie über CompliantDesk wissen sollten.

CompliantDesk ist eine SaaS-Plattform aus Deutschland für IT-Sicherheit, Datenschutz und Compliance-Management in kleinen und mittleren Unternehmen. Assessments zu NIS2, DSGVO, ISO 27001, EU AI Act und weiteren Frameworks erzeugen automatisch Maßnahmen, Kontrollen und Review-Termine, dazu Vorschläge für Richtlinien und Risiken. Betreiber ist die Corelead GmbH aus München.

Unterstützt werden NIS2, ISO 27001, DSGVO, BSI IT-Grundschutz, TISAX, Cyber Resilience Act, Cyber Essentials und EU AI Act (KI-Governance). Zusätzlich gibt es den IT-Sicherheits-Check, einen Cyber-Versicherungs-Check und ein Microsoft 365 Security Assessment, alle mit Maßnahmenplan. Welche Checks und Module enthalten sind, hängt vom Tarif ab. Für jedes Framework gibt es einen Gap-Tracker, Kontrollen mit Framework-Mapping und vorbereitete Richtlinien-Vorlagen.

Zielgruppe sind IT-Leitung, IT-Sicherheit, Datenschutzverantwortliche und Geschäftsführung in KMU mit 10 bis 500 Mitarbeitenden sowie IT-Dienstleister und Berater, die Compliance für mehrere Kunden betreuen. Für Partner gibt es eine Multi-Client-Verwaltung im MSP-Portal.

Ja - im Tarif Enterprise hat CompliantDesk ein MSP-Portal für IT-Dienstleister. Sie verwalten alle Kunden-Mandanten in einer Oberfläche, wechseln per Klick zwischen Kunden und behalten den Überblick über Compliance-Scores, offene Maßnahmen und Fristen quer über alle Mandanten. Jeder Kunde hat seinen eigenen, per Zugriffsregeln getrennten Mandanten mit eigenen Daten, Frameworks und Dokumenten. Es gibt ein separates MSP-Partner-Programm mit gestaffelten Konditionen.

Server, Datenbank und Dateien liegen in Rechenzentren in Frankfurt: Serverfunktionen bei Vercel in Frankfurt, Datenbank und Anmeldung bei Supabase in Frankfurt, Dateien und Datenbanksicherungen bei Microsoft Azure in Frankfurt (Region Germany West Central). E-Mails versenden wir über Resend aus Rechenzentren in Irland. Einzelheiten stehen in der Datenschutzerklärung. Betreiber ist die Corelead GmbH mit Sitz in München.

Nach einem Assessment werden aus den Antworten automatisch vier Dinge abgeleitet: Maßnahmen im Gap-Tracker, passende Richtlinien-Vorschläge mit 1-Klick-Anlage, Kontroll-Vorschläge inklusive Review-Intervall und Risiko-Vorschläge für das Risk-Register. Fehlende Nachweise werden an den Kontrollen markiert, damit Kontrollen ohne Nachweis sichtbar bleiben. Verantwortliche und Fristen weisen Sie selbst zu.

Ja. CompliantDesk enthält alle Bausteine eines ISMS: Risikomanagement, Kontrollen mit Reviews, Richtlinien mit Freigabe, Nachweise, Statement of Applicability, Management Review und internes Audit. Sie können CompliantDesk als operatives ISMS für eine ISO 27001 Zertifizierung nutzen.

Nein. Sie starten mit einem Check, etwa zu NIS2, ISO 27001 oder DSGVO. Daraus entstehen Maßnahmen und Kontrollen, passende Richtlinien schlägt CompliantDesk aus über 50 Vorlagen vor, Risiken kommen als Vorschläge ins Register. Branchenvorlagen für 11 Branchen bringen typische Risiken und Richtlinien mit. Vorhandene Dokumente und Nachweise laden Sie dazu.

Die Preise richten sich nach Ihrem Bedarf. Buchen Sie eine Demo - wir finden den passenden Plan für Ihr Unternehmen.

CompliantDesk nutzt einen KI-Assistenten für drei Aufgaben: Richtlinien-Entwürfe basierend auf Ihren Wizard-Antworten, Maßnahmen-Empfehlungen nach Assessments und die automatische Audit-Analyse. Dabei gilt: Ihre Daten werden NICHT zum Training von Modellen verwendet. Die Verarbeitung erfolgt über Microsoft Azure OpenAI. Vor jedem Aufruf entfernt ein Filter E-Mail-Adressen, Telefonnummern, IBANs, Kreditkartennummern und IP-Adressen aus dem Prompt. Alle Ergebnisse sind Entwürfe und Empfehlungen, die Sie prüfen und anpassen, bevor sie aktiv werden. Sie behalten jederzeit die volle Kontrolle und können die Assistenz-Features pro Organisation komplett deaktivieren.

CompliantDesk nutzt Zwei-Faktor-Authentifizierung (TOTP), ein rollenbasiertes Rechtesystem mit modulbasierten Feinberechtigungen, konfigurierbare Session-Timeouts und einen Audit-Log über alle relevanten Aktionen. Passwörter werden auf Stärke geprüft. Die Daten werden verschlüsselt gespeichert. Server, Datenbank und Dateien liegen in Rechenzentren in Frankfurt. DSGVO-konforme Löschung und vollständiger Datenexport sind eingebaut.

Nach der persönlichen Einrichtung gibt es eine geführte Onboarding-Tour durch die Kern-Module, eine Branchen-Vorlage mit passenden Risiken und Richtlinien für 11 Branchen sowie einen ersten Assessment-Vorschlag. Parallel läuft eine mehrstufige Onboarding-E-Mail-Serie mit konkreten nächsten Schritten. Für Teams gibt es einen Einladungsflow mit vorbereiteten Rollen (Admin, Editor, Viewer).

Ja. Jedes Modul bietet PDF-Export (Richtlinien, Risiko-Register, Gap-Tracker, Audit-Log, Lieferanten, Board-Report). Das Prüferpaket (ZIP) bündelt Berichte, freigegebene Richtlinien, Dokumentfassungen und freigegebene Nachweise für ein Audit, dazu gibt es den Audit-Bericht als PDF. Zusätzlich gibt es einen vollständigen Datenexport nach DSGVO-Vorgabe.

Betroffen sind Unternehmen in den Sektoren der Anlagen 1 und 2 zu § 28 BSIG, etwa Energie, Transport, Gesundheit, digitale Infrastruktur oder verarbeitendes Gewerbe, ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Bilanzsumme. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst. Zulieferer betroffener Unternehmen spüren die Anforderungen oft über ihre Verträge. Eine erste Einschätzung gibt der kostenlose NIS2-Check in rund fünf Minuten, auf Wunsch mit PDF-Dokumentation der Prüfung.

Bußgelder nach § 65 BSIG treffen die Einrichtung: bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen. Davon zu trennen ist die Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung gegenüber für den entstandenen Schaden (§ 38 Abs. 2 BSIG).

Die Frist zur Erstregistrierung im BSI-Portal (MUK) lief am 6. März 2026 ab. Eine Nachregistrierung ist aber weiterhin möglich und ausdrücklich empfohlen - das BSI bewertet sie positiv. Wichtig: Die fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand, unabhängig davon ob Sie technisch bereits Maßnahmen umgesetzt haben. Im MUK-Portal (muk.bsi.bund.de) können Sie sich mit einem ELSTER-Organisationszertifikat nachträglich registrieren. CompliantDesk unterstützt Sie dabei, die NIS2-Compliance strukturiert nachzuweisen und zu dokumentieren.

Ja - der AI Act betrifft nicht nur KI-Anbieter wie OpenAI oder Google, sondern auch alle Unternehmen, die KI einsetzen (sogenannte Betreiber). Die KI-Kompetenzpflicht nach Art. 4 gilt bereits seit Februar 2025: Mitarbeitende müssen angemessen über die eingesetzten KI-Systeme informiert und sensibilisiert sein. Verbotene KI-Praktiken (Art. 5) sind ebenfalls seit Februar 2025 untersagt. Für die meisten KMU ist der erste Schritt ein KI-Inventar: Welche Tools mit KI-Funktion sind im Einsatz? CompliantDesk bietet dafür ein KI-Governance-Modul mit strukturiertem AI-Act-Assessment.

Der Digital Omnibus zum AI Act ist beschlossen: Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft seit 27. Juli 2026. Er verschiebt den Geltungsbeginn der Hochrisiko-Pflichten nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Verschoben werden ausschließlich die Hochrisiko-Termine. KI-Kompetenzpflicht (Art. 4) und Verbote (Art. 5) gelten seit Februar 2025, die Transparenzpflichten (Art. 50) seit 2. August 2026. Der Aufschub verschafft Luft für die Hochrisiko-Umsetzung - kein Grund, mit dem KI-Inventar zu warten.

Das Lieferanten-Modul deckt die Supply-Chain-Anforderungen aus NIS2, ISO 27001 und DSGVO ab. Sie pflegen alle Dienstleister zentral, vergeben Risikobewertungen, versenden strukturierte Sicherheitsfragebögen direkt aus der Plattform und dokumentieren Auftragsverarbeitungsverträge (AVV). Lieferanten mit hohem Risiko oder fehlendem AVV erscheinen automatisch als Handlungsbedarf. Das spart doppelte Arbeit: Eine gepflegte Lieferantenliste deckt gleichzeitig NIS2-Lieferkettenpflichten, DSGVO-AVV-Nachweise und AI-Act-Transparenz über zugekaufte KI-Dienste ab.

Der IT-Sicherheits-Check dauert 15-20 Minuten, der NIS2-Check 25-35 und der ISO-27001-Check 30-45 Minuten. Danach sind Maßnahmen, Kontrollen, erste Richtlinienvorschläge und ein Compliance-Score vorhanden. Verantwortliche und Fristen weisen Sie anschließend zu.

In den meisten Fällen reichen drei Dokumente: ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, eine Übersicht Ihrer technischen und organisatorischen Maßnahmen (TOMs) und eine aktuelle Datenschutzerklärung. In CompliantDesk gibt es eine Vorlage für den AVV, die TOM-Übersicht exportieren Sie nach Art. 32 DSGVO aus Ihren aktiven Kontrollen. Die Datenschutzerklärung Ihrer Website bleibt eine eigene Aufgabe.

Bei einem Cyberangriff mit personenbezogenen Daten müssen Sie die Datenschutzbehörde innerhalb von 72 Stunden informieren. CompliantDesk hilft Ihnen, einen Incident-Response-Plan vorzubereiten - damit Sie im Ernstfall wissen, was zu tun ist und wer wen informiert.

DSGVO gilt ab dem ersten Mitarbeiter und dem ersten Kundenkontakt. Cyberangriffe treffen KMU häufiger als Konzerne, weil sie weniger gut geschützt sind. Und immer mehr Auftraggeber verlangen Datenschutznachweise auch von kleinen Lieferanten. CompliantDesk ist speziell für Unternehmen ohne eigenes IT-Security-Team gebaut.

CompliantDesk führt die wesentlichen Unterlagen, die bei einem Datenschutz- oder IT-Sicherheits-Audit geprüft werden, an einer Stelle: Richtlinien mit digitalem Freigabestempel, Risiko-Register, Maßnahmenplan, Nachweise und Audit-Log. Das Audit-Readiness-Cockpit zeigt Ihnen vorher genau, was noch fehlt.

Ja, über Exporte. Das Prüferpaket bündelt Ihre Unterlagen und führt jede Datei mit SHA-256-Prüfsumme, dazu kommen der TOM-Export nach Art. 32 DSGVO und PDF-Berichte aus den Modulen. Diese Unterlagen schicken Sie statt eines 40-seitigen Fragebogens an Ihren Auftraggeber.

Ja - CompliantDesk versendet personalisierte Bestätigungs-Links per E-Mail. Kein Login nötig. Mitarbeiter lesen die Richtlinie und bestätigen mit einem Klick. Für jede Bestätigung entsteht ein Bestätigungszertifikat mit SHA-256-Prüfsumme des bestätigten Textes, als Nachweis für ISO 27001, NIS2 und DSGVO.

Ja - das Awareness-Modul bildet beides ab. Sie erstellen Schulungsmodule und Lernpfade, versenden Einladungen per Magic-Link (kein Login für Mitarbeitende nötig) und verfolgen den Abschluss zentral. Phishing-Simulationen (Beta) starten Sie mit vorgefertigten Vorlagen, inklusive Aufklärungsseite nach dem Klick. NIS2 und ISO 27001 fordern nachweisbare Security-Awareness-Schulungen; CompliantDesk dokumentiert jede Teilnahme.