Beauftragte fuer IT-Unternehmen 2026: DSB, ISB, SiFA - Pflichten & Kosten

Beauftragte fuer IT-Unternehmen 2026: DSB, ISB, SiFA - Pflichten & Kosten

Seit dem 6. Dezember 2025 hat sich die Compliance-Landschaft fuer IT-Unternehmen in Deutschland grundlegend veraendert. Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) weitet den Kreis der regulierten Unternehmen von rund 4.500 auf etwa 29.500 Einrichtungen aus. Gleichzeitig bleibt die DSGVO-Pflicht zum Datenschutzbeauftragten bestehen, und die Arbeitssicherheitspflicht nach ASiG gilt seit jeher ohne Ausnahme. Drei Regime, drei Beauftragte - und fuer die meisten IT-Firmen greift inzwischen mindestens eines davon.

1. Pflichtbeauftragte fuer IT-Unternehmen: Uebersicht

Die folgende Tabelle gibt einen schnellen Ueberblick. Entscheidend: Jeder Schwellenwert kann unabhaengig von den anderen greifen. Wichtig: Die 20-MA-Schwelle fuer den DSB gilt nur fuer die automatisierte Verarbeitung personenbezogener Daten - aber welches IT-Unternehmen verarbeitet keine? Wer zudem Daten im Auftrag verarbeitet (Auftragsverarbeiter), eine Datenschutz-Folgenabschaetzung durchfuehren muss oder Daten fuer Marktforschung nutzt, ist unabhaengig von der Mitarbeiterzahl zur DSB-Benennung verpflichtet (SS 38 Abs. 1 Satz 2 BDSG).

2. NIS2 und der ISB: Wann ist ein Informationssicherheitsbeauftragter Pflicht?

Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) trat am 6. Dezember 2025 in Kraft und ueberfuehrt die EU-Richtlinie 2022/2555 ins deutsche Recht. Fuer IT-Unternehmen ist die Frage "Bin ich betroffen?" haeufig mit Ja zu beantworten. Zwei Einrichtungskategorien, zwei Schwellenwerte:

• Besonders wichtige Einrichtungen (bwE): ab 250 Mitarbeitenden ODER mehr als 50 Mio. EUR Jahresumsatz und 43 Mio. EUR Bilanzsumme. Proaktive BSI-Aufsicht, Bussgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes.
• Wichtige Einrichtungen (wE): ab 50 Mitarbeitenden ODER mehr als 10 Mio. EUR Jahresumsatz. Reaktive BSI-Aufsicht, Bussgelder bis zu 7 Mio. EUR oder 1,4 % des Jahresumsatzes.

Im IT-Sektor sind die folgenden Branchen explizit in den NIS2-Anhaengen erfasst: IKT-Dienstemanagement (B2B) (Anhang I), digitale Infrastruktur (Rechenzentren, CDN, Cloud, DNS - Anhang I) sowie digitale Dienste (Online-Marktplaetze, Suchmaschinen, soziale Netzwerke - Anhang II). Managed Service Provider (MSP) und Cloud-Anbieter, die operativen Zugang zu Kundensystemen haben, sind besonders im Fokus.

Das Gesetz schreibt in SS 30 BSIG zehn Risikomanagementmassnahmen vor: Risikoanalyse, Incident Response, Business Continuity, Supply-Chain-Sicherheit, sichere Systembeschaffung, Kryptografie, Zugangskontrollen, Multi-Faktor-Authentifizierung und mehr. Zwar nennt das BSIG keinen Stellentitel "ISB" explizit, aber SS 32 BSIG weist der Geschaeftsfuehrung die Pflicht zu, diese Massnahmen zu genehmigen, zu ueberwachen und sich schulen zu lassen - was in der Praxis eine dedizierte verantwortliche Person erfordert.

Die Registrierungspflicht beim BSI bestand bis zum 6. Maerz 2026. Wer noch nicht registriert ist, riskiert Bussgelder. Meldepflichten bei erheblichen Sicherheitsvorfaellen gelten in drei Stufen: 24 Stunden (Fruehwarnung), 72 Stunden (Meldung), 30 Tage (Abschlussbericht). KRITIS-Betreiber (Anhang I NIS2, zuvor IT-SiG 2.0) gelten automatisch als besonders wichtige Einrichtungen. Fuer sie gilt bereits seit dem IT-Sicherheitsgesetz 2.0 die Pflicht, einen Ansprechpartner fuer IT-Sicherheit beim BSI zu benennen.

Mehr zu externen Datenschutzbeauftragten und deren Einsatz im Zusammenspiel mit dem ISB.

3. Datenschutzbeauftragter in IT-Unternehmen: Wann genau?

Fuer IT-Unternehmen ist die DSB-Pflicht oft schon beim ersten Entwickler oder Support-Mitarbeitenden gegeben - nicht erst ab 20. Der Grund: Wer im Auftrag Kundendaten verarbeitet, unterliegt unabhaengig von der Teamgroesse der Pflicht nach SS 38 Abs. 1 Satz 2 BDSG, wenn die Verarbeitung einer Datenschutz-Folgenabschaetzung bedarf. Die drei Ausloser im Ueberblick:

1. 20-Mitarbeitenden-Schwelle: Regelmaessig mindestens 20 Personen staendig mit automatisierter Verarbeitung beschaeftigt (SS 38 Abs. 1 Satz 1 BDSG). Fast jede IT-Firma ueberschreitet diese Schwelle sobald das Team aus Software-Entwicklern, DevOps und Support besteht.
2. Kerntatigkeit = sensible Datenverarbeitung: Umfangreiche, regelmaessige, systematische Ueberwachung natuerlicher Personen (Art. 37 Abs. 1 lit. b DSGVO) - relevant fuer SaaS-Anbieter mit Nutzertracking.
3. Auftragsverarbeitung: Wer als Dienstleister personenbezogene Daten fuer Dritte verarbeitet und dabei eine DSFA-pflichtige Verarbeitung durchfuehrt, braucht einen DSB.

Der DSB muss unabhaengig agieren und untersteht direkt der Geschaeftsleitung (Art. 38 Abs. 3 DSGVO). ISB und DSB koennen dieselbe Person sein, aber nur wenn die Interessenkonflikte schriftlich dokumentiert und die Aufgabentrennung klar definiert ist.

Ausfuehrliche Informationen zur Datenschutzbeauftragter-Pflicht fuer KMU ab 2026.

Bussgelder bei Verstoss gegen die Benennungspflicht: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).

4. Fachkraft fuer Arbeitssicherheit (SiFA): IT-spezifische Anforderungen

Die SiFA-Pflicht ist die aelteste der drei Pflichten und wird am haeufigsten vergessen - gerade in IT-Unternehmen, die sich als "reine Buerobetriebe" verstehen. Das Arbeitssicherheitsgesetz (ASiG) von 1973 verpflichtet jeden Arbeitgeber ab dem ersten Beschaeftigten zur sicherheitstechnischen Betreuung.

Die konkrete Ausgestaltung regelt die DGUV Vorschrift 2: Je nach Gefaehrdungsprofil des Betriebs (Gruppen I-IV) werden Mindestbetreuungszeiten festgelegt. IT-Unternehmen fallen typischerweise in Gruppe III oder IV (geringes Risiko, vorwiegend Buerotatigkeit). IT-spezifische Gefaehrdungen, die SiFA-relevant sind:

• Bildschirmarbeitsplaetze und ergonomische Risiken (Haltungsschaeden, Sehvermoegen)
• Elektrische Gefaehrdungen durch Serverraeume und Verkabelung
• Brandschutz in Rechenzentren und Bueros
• Psychische Belastung durch Rufbereitschaft und Projektdruck
• Homeoffice: Auch Telearbeit unterliegt der Gefaehrdungsbeurteilung

Mehr zur Fachkraft fuer Arbeitssicherheit und zur Abgrenzung gegenueber dem Betriebsarzt.

5. Kosten und Outsourcing: Externe Beauftragte fuer IT-Firmen

Die meisten kleinen und mittelgrossen IT-Unternehmen arbeiten mit externen Beauftragten. Was kostet das konkret? Datenschutzbeauftragter (DSB) extern:

• KMU (bis 50 MA): 300-600 EUR/Monat
• Mittelstand (50-250 MA): 500-1.500 EUR/Monat
• Vollkosten interner DSB: 65.000-100.000 EUR/Jahr

Informationssicherheitsbeauftragter (ISB) extern:

• Einstieg: ab ca. 125-200 EUR/Monat (minimale Betreuung)
• Realistische Betreuung Mittelstand: 1.400-5.000 EUR/Monat
• Vollkosten interner ISB: 70.000-105.000 EUR/Jahr

Fachkraft fuer Arbeitssicherheit (SiFA) extern:

• Buerobetrieb 30 MA (Gruppe III): ca. 1.275 EUR/Jahr
• Buerobetrieb 50 MA: ca. 1.500-2.500 EUR/Jahr
• Interne SiFA: 43.000-70.000 EUR Bruttojahresgehalt

Ein ISO-27001-konformes ISMS deckt bereits 70-80 % der NIS2-Anforderungen nach SS 30 BSIG ab. Das reduziert den Aufwand fuer den ISB erheblich.

Mehr Informationen zum externen Datenschutzbeauftragten und zum Compliance Beauftragten.

6. Schritt-fuer-Schritt: Compliance-Check fuer IT-Unternehmen

Welche Pflichten gelten fuer Ihre IT-Firma konkret? Dieser Check fuehrt Sie in sieben Schritten durch die Pruefung:

1. Mitarbeiterzahl ermitteln: Wie viele Personen beschaeftigen Sie regelmaessig? Ab 20 MA mit automatisierter Datenverarbeitung: DSB-Pflicht pruefen (SS 38 BDSG).
2. Kerntatigkeit analysieren: Verarbeiten Sie im Auftrag Kundendaten oder fuehren Sie eine DSFA-pflichtige Verarbeitung durch? Wenn ja: DSB-Pflicht unabhaengig von der Groesse.
3. NIS2-Betroffenheit pruefen: Sind Sie in einem der 18 NIS2-Sektoren taetig (IKT, Cloud, digitale Infrastruktur, MSP)? Ueberschreiten Sie 50 MA oder 10 Mio. EUR Umsatz? Registrierungspflicht beim BSI und ISB faktisch erforderlich.
4. KRITIS-Status klaeren: Betreiben Sie kritische Infrastrukturen? Automatisch besonders wichtige Einrichtung, ISB-Ansprechpartner beim BSI melden.
5. Arbeitssicherheit sicherstellen: Ab dem ersten Beschaeftigten SiFA und Betriebsarzt beauftragen (ASiG, DGUV Vorschrift 2).
6. Beauftragte bestellen und dokumentieren: Schriftliche Bestellungsurkunden; Weisungsfreiheit des DSB dokumentieren (Art. 38 DSGVO).
7. Rollenkonflikte pruefen: DSB und ISB nur kombinierbar, wenn schriftliche Interessenkonflikt-Analyse vorliegt.