Was Hersteller vernetzter Maschinen jetzt prüfen sollten

Ab 20. Januar 2027 gilt die neue EU-Maschinenverordnung (EU) 2023/1230 verbindlich. Sie enthält erstmals ausdrücklich Anforderungen an die Cyber-Sicherheit von Softwaredaten und Sicherheitssteuerungen.

Für Hersteller vernetzter Maschinen entsteht damit eine wichtige neue Schnittstelle: Eine digitale Manipulation kann nicht nur ein IT-Sicherheitsproblem sein, sondern unter bestimmten Voraussetzungen auch ein Problem der Maschinensicherheit und damit der CE-Konformität.

Was verlangt die neue Maschinenverordnung?

Besonders relevant sind die Anforderungen in Anhang III: Sicherheitsrelevante Software und Daten müssen gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt werden. Außerdem müssen Eingriffe in die Software bzw. Veränderungen an installierter Software oder deren Konfiguration nachvollziehbar sein. Auch die Steuerungen einer Maschine müssen so ausgelegt sein, dass vernünftigerweise vorhersehbare böswillige Eingriffe Dritter nicht zu einer Gefährdungssituation führen können.

Das bedeutet beispielsweise: Eine vernetzte Maschine verfügt über einen Fernwartungszugang. Wird darüber eine sicherheitsrelevante Softwarefunktion manipuliert und könnte dadurch eine gefährliche Maschinenbewegung ausgelöst werden, ist die Frage nicht mehr ausschließlich: „Ist unser Netzwerk sicher?“

Es stellt sich auch die Frage: „Erfüllt die Maschine trotz eines vernünftigerweise vorhersehbaren böswilligen Eingriffs ihre Sicherheitsanforderungen?“

Genau hier treffen Cybersecurity, Produktsicherheit und Compliance aufeinander.

Was sollten Hersteller jetzt prüfen?

1. Sicherheitsrelevante Software identifizieren: Welche Software, Daten und Konfigurationen sind für die Sicherheit der Maschine entscheidend?
2. Digitale Zugänge erfassen: Sind Netzwerkverbindungen, Fernwartung, Updates, Schnittstellen und externe Zugriffe vollständig bekannt?
3. Manipulationsrisiken bewerten: Kann eine Veränderung von Software oder Konfiguration eine Gefährdungssituation verursachen? Wurden entsprechende Risiken in der Risikobeurteilung berücksichtigt?
4. Änderungen nachvollziehbar machen: Ist erkennbar, welche sicherheitsrelevante Software installiert ist und wer wann welche Änderungen vorgenommen hat?
5. Nachweise sichern: Sind Risikobeurteilung, Schutzmaßnahmen, Softwareinformationen und weitere erforderliche Nachweise Bestandteil der technischen Dokumentation?

Maschinenverordnung oder Cyber Resilience Act?

Beides kann relevant sein.

Der Cyber Resilience Act (CRA) enthält umfassende Cybersecurity-Anforderungen für Produkte mit digitalen Elementen. Die Maschinenverordnung konzentriert sich dagegen auf die Sicherheit von Maschinen und verwandten Produkten. Bei einer vernetzten Maschine sollte deshalb geprüft werden, welche Anforderungen aus beiden Regelwerken gelten und welche Nachweise gemeinsam genutzt werden können.

Die Europäische Kommission weist selbst darauf hin, dass die neue Maschinenverordnung ausdrücklich Bestimmungen zur Cyber-Sicherheit enthält.

Checkliste: Sind wir für den 20. Januar 2027 vorbereitet?

☐ Betroffene Maschinen und Produkte identifiziert

☐ Anwendungsbereich der Maschinenverordnung geprüft

☐ Weitere relevante EU-Vorschriften, insbesondere CRA, geprüft

☐ Sicherheitsrelevante Software und Daten identifiziert

☐ Netzwerk-, Fernwartungs- und Update-Schnittstellen erfasst

☐ Cyberbedingte Gefährdungsszenarien in der Risikobeurteilung berücksichtigt

☐ Schutz gegen unbefugte Manipulation umgesetzt

☐ Änderungen an sicherheitsrelevanter Software nachvollziehbar

☐ Verantwortlichkeiten für Softwareänderungen und Freigaben festgelegt

☐ Technische Dokumentation und Konformitätsnachweise aktualisiert

☐ Relevante harmonisierte Normen und deren aktueller Status geprüft

Unsere Einordnung

Die Maschinenverordnung macht nicht jede Cybersecurity-Frage zu einer Frage des Maschinenrechts. Relevant wird Cybersecurity dort, wo Manipulationen digitaler Funktionen die Sicherheit der Maschine beeinträchtigen können.

Für Hersteller vernetzter Maschinen bedeutet das: IT-Security, Engineering, Produktsicherheit und Compliance müssen spätestens jetzt zusammengedacht werden.

Der entscheidende Termin ist der 20. Januar 2027. Die Europäische Kommission bestätigt, dass die Maschinenverordnung ab diesem Datum verbindlich anzuwenden ist. Wer bis dahin vorbereitet sein will, sollte nicht nur technische Schutzmaßnahmen prüfen, sondern vor allem sicherstellen, dass Risiken, Verantwortlichkeiten und Nachweise zusammenpassen.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle rechtliche oder technische Konformitätsbewertung.

Der Digitale Produktpass (DPP) wird konkret. Am 20. Juli 2026 ist das EU-weite DPP-Register der Europäischen Kommission in Betrieb gegangen. Gleichzeitig stehen weitere Standards und erste sektorspezifische Anforderungen unmittelbar bevor. Für Unternehmen bedeutet das: Der Digitale Produktpass ist längst kein Zukunftsprojekt mehr, sondern entwickelt sich zu einer neuen Compliance-Anforderung entlang der gesamten Produktkette.

Auch wenn nicht jedes Unternehmen bereits heute einen Produktpass erstellen muss, ist jetzt ein guter Zeitpunkt, die eigenen Produkte, Datenstrukturen und Verantwortlichkeiten zu überprüfen.

Der Digitale Produktpass wird Realität

Der Digitale Produktpass ist Teil der europäischen Ökodesign-Verordnung für nachhaltige Produkte (ESPR). Er soll relevante Informationen zu Produkten, Komponenten und Materialien digital verfügbar machen und damit unter anderem Transparenz, Rückverfolgbarkeit, Reparatur, Wiederverwendung und Recycling verbessern.

Welche Informationen ein Produktpass enthalten muss, hängt vom jeweiligen Produkt und den dafür geltenden EU-Vorgaben ab. Möglich sind beispielsweise Angaben zu Materialien und Bestandteilen, Herkunft, Reparierbarkeit, Haltbarkeit, Recyclingfähigkeit, Umweltwirkungen oder sicherheitsrelevanten Informationen.

Damit entsteht eine neue Form regulatorischer Produktinformation: Unternehmen müssen künftig nicht nur sicherstellen, dass ein Produkt die geltenden Anforderungen erfüllt. Sie müssen für bestimmte Produktgruppen auch die dafür vorgeschriebenen Informationen strukturiert erfassen, aktuell halten und zugänglich machen.

Seit Juli 2026 gibt es die zentrale Infrastruktur

Ein wichtiger Meilenstein wurde am 20. Juli 2026 erreicht: Die Europäische Kommission hat das DPP-Register in Betrieb genommen und gleichzeitig eine Testumgebung für Unternehmen bereitgestellt.

Das Register ist dabei nicht als zentrale Ablage sämtlicher Produktinformationen gedacht. Es speichert insbesondere eindeutige Produktkennungen, Registrierungsdaten und bestimmte Metadaten. Die vollständigen Produktinformationen verbleiben grundsätzlich beim jeweiligen Wirtschaftsakteur oder einem DPP-Dienstleister.

Für Unternehmen ist das relevant, weil der DPP damit eine konkrete technische und organisatorische Struktur erhält. Das System sieht unter anderem Regeln für Registrierung, Nutzer- und Zugriffsrechte, Datenmodelle und die technische Anbindung vor. Die Registrierung kann über eine Benutzeroberfläche oder über eine API erfolgen. Der DPP wird damit zu einer Schnittstelle zwischen Produktdaten, Lieferkette und regulatorischen Anforderungen.

2026 ist ein entscheidendes Vorbereitungsjahr

Der DPP wird nicht für alle Produkte gleichzeitig verpflichtend. Die Anforderungen werden schrittweise und produktgruppenspezifisch eingeführt.

Die Europäische Kommission führt für 2026 insbesondere Eisen und Stahl als prioritäre Produktgruppe, für die die produktspezifischen Regelungen vorbereitet bzw. 2026 verabschiedet werden sollen. Für weitere Produktgruppen ist die Ausarbeitung bzw. Verabschiedung produktspezifischer Regelungen in den kommenden Jahren vorgesehen, darunter Textilien, Reifen und Aluminium 2027, Möbel 2028 sowie Matratzen und IKT-Produkte 2029.

Besonders relevant ist außerdem der Batterie-Bereich: Für bestimmte Batterien wird der Digitale Batteriepass ab 18. Februar 2027 verpflichtend. Dazu gehören unter anderem Batterien für Elektrofahrzeuge, leichte Verkehrsmittel und bestimmte Industriebatterien. Das macht die zeitliche Einordnung wichtig: Zwischen „Der DPP kommt irgendwann“ und einer konkreten Verpflichtung liegen je nach Produktgruppe unterschiedliche Vorlaufzeiten.

Im Herbst 2026 kommen weitere Bausteine hinzu

Auch für Unternehmen, deren Produkte erst später unter konkrete DPP-Pflichten fallen, lohnt sich deshalb ein Blick auf die Entwicklungen im zweiten Halbjahr 2026.

Für September 2026 ist nach dem aktuellen Zeitplan der Kommission eine Durchführungsentscheidung zu den verbleibenden zwei der insgesamt acht vorgesehenen DPP-Standards vorgesehen. Sechs Standards wurden bereits im Juli 2026 veröffentlicht. Sie betreffen unter anderem eindeutige Identifikatoren, Interoperabilität, Datenträger, APIs, Datenaustausch und Datenspeicherung.

Für das vierte Quartal 2026 plant die Kommission außerdem konkrete DPP-Vorgaben für Eisen und Stahl. Gleichzeitig sollen die Zugriffsrechte auf Batterie-Produktpässe genauer geregelt werden.

Das ist für Unternehmen ein wichtiger Punkt: Die technischen und rechtlichen Rahmenbedingungen werden gerade konkretisiert. Wer erst auf die endgültige Verpflichtung wartet, muss möglicherweise innerhalb vergleichsweise kurzer Zeit Daten, Prozesse und IT-Strukturen anpassen.

Der eigentliche Aufwand liegt nicht beim QR-Code

Beim Thema Digitaler Produktpass wird häufig zuerst an einen QR-Code auf dem Produkt gedacht. Dieser ist tatsächlich ein möglicher Datenträger, über den auf den Produktpass zugegriffen werden kann. Der QR-Code ist aber nur die sichtbare Oberfläche eines wesentlich größeren Systems.

Die EU-Verordnung stellt unter anderem Anforderungen an die Datenstruktur. Die im Produktpass enthaltenen Daten müssen auf offenen Standards beruhen und interoperabel, gegebenenfalls maschinenlesbar, strukturiert und durchsuchbar sein. Außerdem muss der Produktpass über eine dauerhafte eindeutige Produktkennung mit dem Datenträger verbunden sein.

Die eigentliche Herausforderung liegt deshalb häufig in Fragen wie:

• Welche Produktdaten müssen wir überhaupt erfassen?
• Wo liegen diese Daten heute?
• Sind die Daten vollständig und konsistent?
• Wer ist für ihre Richtigkeit verantwortlich?
• Wie werden Änderungen über den Produktlebenszyklus dokumentiert?
• Welche Informationen dürfen welche Nutzergruppen sehen?
• Wie werden Daten von Lieferanten und anderen Geschäftspartnern übernommen?
• Wie lässt sich die erforderliche Information in bestehende ERP-, PLM- oder andere Systeme integrieren?

Die Europäische Kommission weist ausdrücklich darauf hin, dass die Verantwortung für die Erstellung und Richtigkeit des DPP grundsätzlich bei den Wirtschaftsakteuren liegt, die das betreffende Produkt auf den EU-Markt bringen. Dazu gehören je nach Produkt und Rechtsgrundlage unter anderem Hersteller, Importeure, Bevollmächtigte und weitere Wirtschaftsakteure. Die Informationen müssen zudem während des Produktlebenszyklus aktuell gehalten werden.

Damit wird der DPP auch zu einer Compliance-Frage

Genau hier liegt die Bedeutung des Digitalen Produktpasses für das Compliance Management. Der DPP ist nicht nur ein IT-Projekt und auch nicht ausschließlich eine Frage der Nachhaltigkeit. Er verbindet gesetzliche Anforderungen mit Produktdaten, Lieferketten, Verantwortlichkeiten und internen Prozessen. Für Unternehmen entstehen dadurch neue Compliance-Fragen:

1. Welche Produkte sind betroffen?
   Zunächst muss geklärt werden, welche eigenen Produkte bereits unter bestehende Regelungen fallen oder künftig durch sektorspezifische Rechtsakte erfasst werden.
2. Welche Anforderungen gelten für diese Produkte?
   Die konkreten Informationspflichten unterscheiden sich je nach Produktgruppe und Rechtsgrundlage. Neben der ESPR können auch andere EU-Rechtsakte DPP-Anforderungen vorsehen, beispielsweise die Batterieverordnung oder künftig weitere sektorspezifische Regelungen.
3. Wer trägt intern die Verantwortung?
   Produktentwicklung, Einkauf, Qualitätsmanagement, IT, Nachhaltigkeit, Legal und Compliance können gleichermaßen betroffen sein. Ohne klare Verantwortlichkeiten besteht das Risiko, dass Daten zwar vorhanden sind, aber niemand ihre regulatorische Vollständigkeit und Aktualität gewährleistet.
4. Wie werden Anforderungen überwacht?
   Da sich der DPP schrittweise über verschiedene Produktgruppen und Rechtsakte entwickelt, reicht eine einmalige Prüfung nicht aus. Unternehmen müssen die regulatorische Entwicklung beobachten und ihre betroffenen Produkte und Prozesse regelmäßig neu bewerten.
5. Sind die bestehenden Datenprozesse geeignet?
   Der DPP macht Datenqualität zu einem regulatorisch relevanten Thema. Falsche, unvollständige oder nicht mehr aktuelle Produktinformationen können künftig nicht nur ein internes Qualitätsproblem darstellen.

Was Unternehmen jetzt prüfen sollten

Eine umfassende DPP-Implementierung ist nicht für jedes Unternehmen im September 2026 erforderlich. Eine erste Bestandsaufnahme kann aber bereits heute sinnvoll sein. Ein pragmatischer DPP-Check kann mit fünf Fragen beginnen:

1. Welche unserer Produkte könnten betroffen sein?

Erstellen Sie eine Übersicht der Produktgruppen und gleichen Sie diese mit den aktuellen EU-Zeitplänen ab. Besonders relevant sind derzeit unter anderem Batterien sowie die für 2026 priorisierten Produktgruppen.

2. Welche Produktdaten haben wir bereits?

Prüfen Sie, welche Informationen heute in ERP-, PLM-, Qualitätsmanagement-, Einkaufs- oder anderen Systemen vorhanden sind – und ob sie konsistent miteinander verknüpft sind.

3. Wo entstehen Datenlücken?

Gerade Informationen aus der Lieferkette können eine Herausforderung darstellen. Unternehmen sollten deshalb frühzeitig prüfen, welche Daten von Lieferanten benötigt werden und ob diese in der erforderlichen Qualität und Struktur verfügbar sind.

4. Wer ist für die Daten verantwortlich?

Legen Sie fest, wer Daten erhebt, wer sie fachlich prüft, wer Änderungen freigibt und wer die regulatorische Entwicklung beobachtet.

5. Wie wird der DPP in das Compliance Management eingebunden?

Der DPP sollte nicht isoliert betrachtet werden. Die relevanten Anforderungen gehören in die bestehende Compliance-Struktur – beispielsweise in das Rechtskataster, die Compliance-Risikoanalyse und die internen Kontrollprozesse.

Jetzt vorbereiten heißt nicht: sofort alles umsetzen

Der aktuelle Stand der EU-Regulierung erlaubt einen wichtigen Schluss: Unternehmen müssen im September 2026 nicht pauschal für jedes Produkt einen Digitalen Produktpass erstellen. Aber die Voraussetzungen dafür entstehen jetzt.

Das DPP-Register ist seit Juli 2026 verfügbar, sechs der acht vorgesehenen DPP-Standards wurden bereits veröffentlicht. Für September 2026 ist die Annahme der verbleibenden zwei Standards vorgesehen. Für das vierte Quartal 2026 plant die Kommission unter anderem die Annahme des delegierten Rechtsakts für Eisen und Stahl sowie eines Durchführungsrechtsakts zu den Zugriffsrechten bei Batterien. Wer jetzt beginnt, die Betroffenheit, Datenlage und Verantwortlichkeiten zu prüfen, kann die kommenden Anforderungen deutlich strukturierter angehen.

Der Digitale Produktpass ist deshalb weniger ein einzelnes neues IT-Projekt als eine neue Schnittstelle zwischen Produktentwicklung, Datenmanagement und Compliance. Unternehmen, die diese Schnittstelle frühzeitig in ihre Compliance-Organisation integrieren, schaffen sich einen entscheidenden Vorteil: Sie reagieren nicht erst auf eine konkrete Verpflichtung, sondern bauen die notwendigen Strukturen schrittweise auf.

Nachhaltigkeitsrisiken sind kein neues Phänomen – wohl aber ihre rechtliche Bedeutung. Während ESG-Themen (Environmental, Social, Governance) lange Zeit vor allem im Nachhaltigkeitsbericht oder der Unternehmenskommunikation verortet wurden, verändern die europäischen Regulierungen die Perspektive grundlegend. Mit der Corporate Sustainability Reporting Directive (CSRD) und der Corporate Sustainability Due Diligence Directive (CSDDD) entstehen neue Pflichten, Nachhaltigkeitsaspekte systematisch zu analysieren, zu dokumentieren und in unternehmerische Entscheidungsprozesse einzubinden.

Für Unternehmen bedeutet das vor allem eines: Nachhaltigkeit und Risikomanagement dürfen nicht länger getrennt betrachtet werden.

Die eigentliche Herausforderung liegt nicht im Reporting

Viele Diskussionen rund um die CSRD konzentrieren sich auf die Nachhaltigkeitsberichterstattung. Tatsächlich ist die Berichterstattung jedoch lediglich das sichtbare Ergebnis eines deutlich umfassenderen Prozesses.

Die European Sustainability Reporting Standards (ESRS) verlangen, dass Unternehmen nachvollziehbar erläutern, wie wesentliche Nachhaltigkeitsthemen identifiziert wurden, welche Risiken und Chancen daraus entstehen und wie diese gesteuert werden. Ohne belastbare Prozesse im Risiko- und Compliance-Management ist eine prüfbare Berichterstattung kaum möglich.

Die regulatorische Herausforderung besteht daher weniger darin, einen Bericht zu erstellen, sondern darin, die zugrunde liegenden Governance- und Risikostrukturen entsprechend weiterzuentwickeln.

CSRD und CSDDD verfolgen unterschiedliche Ziele – greifen aber ineinander

In der Praxis werden beide Regelwerke häufig gleichgesetzt. Tatsächlich verfolgen sie unterschiedliche Zwecke.

Die CSRD verpflichtet Unternehmen zur transparenten Berichterstattung über wesentliche Nachhaltigkeitsthemen nach den ESRS. Im Mittelpunkt stehen Transparenz, Vergleichbarkeit und die sogenannte doppelte Wesentlichkeit.

Die CSDDD hingegen verpflichtet betroffene Unternehmen dazu, menschenrechtliche und umweltbezogene Risiken innerhalb ihrer Geschäftstätigkeit, ihrer Tochtergesellschaften und – in definiertem Umfang – ihrer Aktivitätskette risikobasiert zu identifizieren, zu verhindern, zu mindern und zu überwachen.

Gerade diese Unterscheidung ist für das Risikomananagement entscheidend: Während die CSRD vor allem Transparenz über bestehende Prozesse verlangt, begründet die CSDDD konkrete unternehmerische Sorgfaltspflichten.

Nachhaltigkeitsrisiken unterscheiden sich von klassischen Unternehmensrisiken

Traditionelle Risikomanagementsysteme bewerten Risiken überwiegend danach, welche Auswirkungen sie auf das Unternehmen haben. Die ESRS erweitern diesen Blickwinkel erheblich.

Unternehmen müssen künftig zwei Perspektiven berücksichtigen:

• Financial Materiality (Outside-In): Welche Nachhaltigkeitsentwicklungen beeinflussen die wirtschaftliche Lage des Unternehmens? Beispiele sind Klimarisiken, regulatorische Änderungen oder steigende Energiekosten.
• Impact Materiality (Inside-Out): Welche wesentlichen Auswirkungen hat das Unternehmen selbst auf Umwelt und Gesellschaft? Dazu gehören unter anderem Treibhausgasemissionen, Menschenrechte, Arbeitsbedingungen oder Auswirkungen auf Biodiversität.

Erst die Kombination beider Perspektiven bildet die Grundlage der doppelten Wesentlichkeitsanalyse nach den ESRS.

Die doppelte Wesentlichkeit verändert den Blick auf Risiken grundlegend. Unternehmen müssen künftig zwei Fragestellungen parallel beantworten: Welche Nachhaltigkeitsentwicklungen können den Unternehmenserfolg beeinflussen – und welche Auswirkungen hat das Unternehmen selbst auf Umwelt und Gesellschaft? Erst das Zusammenspiel beider Perspektiven schafft die Grundlage für fundierte Entscheidungen, ein wirksames Risikomanagement und eine nachvollziehbare Nachhaltigkeitsberichterstattung.

Die größte Lücke liegt häufig nicht im System, sondern in der Vernetzung

Viele Unternehmen verfügen bereits über etablierte Managementsysteme:

• Compliance Management
• Enterprise Risk Management
• Internes Kontrollsystem (IKS)
• Qualitätsmanagement
• Datenschutz
• Informationssicherheit
• Hinweisgebersysteme
• Lieferantenmanagement

In der Praxis arbeiten diese Systeme jedoch häufig weitgehend unabhängig voneinander. Genau hier entstehen Doppelarbeiten, Informationsverluste und Inkonsistenzen.

Ein Beispiel:

Stellt das Lieferantenmanagement Hinweise auf mögliche Menschenrechtsverletzungen fest, müssen diese Informationen gegebenenfalls gleichzeitig

• im Compliance-Management bewertet,
• in die Risikoanalyse aufgenommen,
• im Rahmen der CSDDD berücksichtigt,
• in der Wesentlichkeitsanalyse bewertet und
• gegebenenfalls in der CSRD-Berichterstattung erläutert werden.

Werden diese Informationen nicht zentral zusammengeführt, entstehen unnötige Medienbrüche und ein erheblicher Dokumentationsaufwand.

ESG-Risiken sind zunehmend Governance-Risiken

Die eigentliche Veränderung liegt daher weniger in neuen Risikoarten als in deren unternehmerischer Steuerung.

Aufsichtsgremien und Geschäftsleitungen müssen künftig stärker nachweisen können,

• welche ESG-Risiken bekannt sind,
• wie diese bewertet wurden,
• welche Maßnahmen beschlossen wurden,
• wie deren Wirksamkeit überwacht wird und
• auf welcher Informationsgrundlage Entscheidungen getroffen wurden.

Damit rückt die Qualität der Governance zunehmend in den Mittelpunkt. Eine lückenhafte Dokumentation oder inkonsistente Prozesse können nicht nur die Nachhaltigkeitsberichterstattung erschweren, sondern auch Fragen nach der Angemessenheit der Unternehmensorganisation aufwerfen.

Digitalisierung wird zum Enabler – nicht zum Selbstzweck

Mit zunehmender regulatorischer Komplexität steigen auch die Anforderungen an Dokumentation, Nachvollziehbarkeit und Aktualität. Viele Unternehmen verwalten Risiken, Maßnahmen, Kontrollen und ESG-Daten noch in voneinander getrennten Tabellen oder Fachanwendungen. Das funktioniert häufig so lange, wie einzelne Anforderungen isoliert betrachtet werden.

Sobald jedoch Informationen aus verschiedenen Managementsystemen zusammengeführt, Verantwortlichkeiten nachvollzogen oder Prüfpfade dokumentiert werden müssen, stoßen dezentrale Lösungen organisatorisch an Grenzen.

Digitale GRC-Plattformen können hierbei unterstützen, indem sie Risiken, Maßnahmen, Kontrollen und Nachweise in einer gemeinsamen Datenbasis zusammenführen. Entscheidend ist jedoch nicht die Software selbst, sondern ein konsistentes Governance-Modell mit klar definierten Verantwortlichkeiten und Prozessen.

Handlungsempfehlungen für Unternehmen

Unternehmen sollten ihre bestehenden Risiko- und Compliance-Strukturen daraufhin überprüfen, ob Nachhaltigkeitsaspekte bereits systematisch integriert sind. Dabei helfen insbesondere folgende Fragestellungen:

1. Sind ESG-Risiken Bestandteil des bestehenden Risikomanagementprozesses oder werden sie separat betrachtet?
2. Lassen sich Ergebnisse der Wesentlichkeitsanalyse mit bestehenden Risiko- und Compliance-Prozessen verknüpfen?
3. Sind Verantwortlichkeiten zwischen Nachhaltigkeit, Compliance, Risikomanagement und Revision eindeutig geregelt?
4. Werden Entscheidungen und Maßnahmen revisionssicher dokumentiert?
5. Können Risiken, Maßnahmen und Berichtsanforderungen konsistent miteinander verknüpft werden?

Je früher diese Fragen beantwortet werden, desto geringer wird der spätere Umsetzungsaufwand.

Die bundesweiten Durchsuchungen im Zusammenhang mit der Fußball-Europameisterschaft 2024 zeigen einmal mehr: Compliance-Risiken entstehen häufig nicht durch spektakuläre Bestechungszahlungen, sondern durch scheinbar alltägliche Vorteile. Im Mittelpunkt der aktuellen Ermittlungen stehen unter anderem exklusive Eintrittskarten und Einladungen, die im Zusammenhang mit öffentlichen Funktionen gewährt worden sein sollen. Die Ermittlungen richten sich wegen des Verdachts der Vorteilsannahme und Vorteilsgewährung gegen mehrere Beteiligte. Bis zum Abschluss der Verfahren gilt die Unschuldsvermutung.

Für Unternehmen ist der Fall dennoch ein wichtiger Anlass, die eigenen Regelungen zu Geschenken, Einladungen und Sponsoring kritisch zu hinterfragen.

Compliance beginnt lange vor einer Straftat

Die strafrechtliche Bewertung ist Aufgabe der Ermittlungsbehörden und Gerichte. Für Unternehmen beginnt Compliance jedoch deutlich früher. Bereits der Eindruck einer unangemessenen Einflussnahme kann erhebliche Folgen haben:

• Reputationsschäden
• Vertrauensverlust bei Kunden und Geschäftspartnern
• interne Untersuchungen
• arbeitsrechtliche Konsequenzen
• behördliche Ermittlungen

Gerade hochwertige Einladungen zu Sport-, Kultur- oder VIP-Veranstaltungen gehören deshalb seit Jahren zu den klassischen Compliance-Risikofeldern.

Warum gerade Einladungen so problematisch sind

Einladungen erfüllen häufig einen legitimen geschäftlichen Zweck. Kundenveranstaltungen oder gemeinsame Events können wichtige Bestandteile der Beziehungspflege sein.

Die entscheidenden Fragen lauten jedoch:

• Ist die Einladung angemessen?
• Besteht ein nachvollziehbarer geschäftlicher Anlass?
• Ist sie nach internen Richtlinien zulässig?
• Muss sie genehmigt oder dokumentiert werden?
• Handelt es sich um einen öffentlichen Amtsträger oder Beschäftigten eines öffentlichen Unternehmens?

Gerade bei Behörden, kommunalen Unternehmen oder öffentlichen Auftraggebern gelten häufig besonders strenge Vorgaben. Was im privaten Wirtschaftsverkehr möglicherweise zulässig ist, kann gegenüber Amtsträgern bereits erhebliche Risiken begründen.

Der eigentliche Fehler liegt häufig im fehlenden Compliance-System

Die aktuelle Berichterstattung macht deutlich, dass Ermittlungen oft erst Jahre nach einem Ereignis beginnen.

Dann stellt sich regelmäßig die Frage: Gab es überhaupt klare Regeln?

Ein wirksames Compliance Management System beantwortet diese Frage bereits im Vorfeld. Es schafft Transparenz durch:

• verbindliche Richtlinien zu Geschenken und Einladungen
• Genehmigungsprozesse
• Dokumentationspflichten
• regelmäßige Schulungen
• Risikoanalysen
• funktionierende Hinweisgebersysteme

Damit werden Mitarbeiter Sicherheit für ihre täglichen Entscheidungen.

Compliance muss im Alltag funktionieren

Viele Regelwerke scheitern nicht an ihrem Inhalt, sondern daran, dass Mitarbeiter sie im entscheidenden Moment nicht zur Hand haben. Genau hier setzt ein digitaler Compliance-Ansatz an: Wer vor einer Einladung oder Veranstaltung einfach nachsehen kann, welche Regeln gelten und welche Genehmigungen erforderlich sind, trifft deutlich sicherere Entscheidungen als jemand, der sich auf Erinnerungen an eine Schulung vor zwei Jahren verlassen muss.

Compliance muss dort verfügbar sein, wo Entscheidungen getroffen werden.

Die eigentliche Lehre aus den aktuellen Ermittlungen

Unabhängig vom Ausgang der Verfahren zeigt der Fall vor allem eines: Korruptionsprävention beginnt nicht bei Strafverfahren, sondern bei klaren organisatorischen Strukturen.

Unternehmen, die Risiken frühzeitig analysieren, eindeutige Regeln schaffen und ihre Mitarbeitenden im Alltag unterstützen, reduzieren nicht nur ihr Haftungsrisiko. Sie schützen auch ihre Reputation und stärken das Vertrauen von Kunden, Geschäftspartnern und Behörden.

Compliance ist deshalb weit mehr als die Einhaltung gesetzlicher Vorgaben – sie ist ein wesentlicher Bestandteil guter Unternehmensführung.

Die geplante Reform des Arbeitszeitgesetzes gehört zu den wichtigsten aktuellen arbeitsrechtlichen Themen für Unternehmen. Mehr Flexibilität bei der Gestaltung der Arbeitszeiten soll moderne Arbeitsmodelle erleichtern. Gleichzeitig bleiben Arbeitsschutz, Dokumentationspflichten und die Einhaltung gesetzlicher Vorgaben zentrale Anforderungen.

Für Geschäftsführungen, HR-Verantwortliche und Compliance-Beauftragte stellt sich deshalb schon jetzt die Frage: Sind die bestehenden Arbeitszeitprozesse auf mögliche neue Anforderungen vorbereitet?

Das Wichtigste in Kürze zum Arbeitszeitgesetz

Die Reform des Arbeitszeitgesetzes könnte Unternehmen künftig mehr Möglichkeiten geben, Arbeitszeiten flexibler zu organisieren. Im Mittelpunkt der Diskussion steht insbesondere die Frage, ob die derzeitige tägliche Höchstarbeitszeit künftig durch ein stärker wochenbezogenes Modell ergänzt oder ersetzt werden sollte.

Parallel bleibt die Arbeitszeiterfassung ein zentrales Compliance-Thema. Unternehmen müssen sicherstellen können, dass Arbeitszeiten nachvollziehbar dokumentiert und gesetzliche Vorgaben eingehalten werden. Arbeitgeber sollten deshalb ihre bestehenden Prozesse, Verantwortlichkeiten und technischen Lösungen frühzeitig überprüfen.

Welche Änderungen am Arbeitszeitgesetz sind geplant?

Die Arbeitswelt hat sich in den vergangenen Jahren deutlich verändert. Homeoffice, mobile Arbeit, internationale Zusammenarbeit und flexible Arbeitszeitmodelle gehören für viele Unternehmen inzwischen zum Alltag. Das geltende Arbeitszeitgesetz knüpft bei der Höchstarbeitszeit weiterhin grundsätzlich an den einzelnen Werktag an. Deshalb wird diskutiert, wie das Arbeitszeitgesetz weiterentwickelt werden kann, ohne den Schutz der Beschäftigten zu reduzieren.

Ein wesentlicher Reformansatz betrifft die Verteilung der Arbeitszeit. Statt den Fokus hauptsächlich auf die Arbeitszeit eines einzelnen Tages zu legen, könnte künftig stärker die gesamte Arbeitszeit innerhalb einer Woche betrachtet werden. Dadurch könnten Unternehmen mehr Spielraum erhalten, Arbeitszeiten an tatsächliche Anforderungen anzupassen – beispielsweise bei Projektphasen mit höherem Arbeitsaufkommen oder bei individuellen Arbeitszeitmodellen.

Wichtig: Eine Reform bedeutet nicht, dass Arbeitszeiten unbegrenzt ausgeweitet werden können. Vorgaben zu Ruhezeiten, Gesundheitsschutz und maximal zulässiger Belastung bleiben weiterhin wesentliche Grenzen.

Welche Auswirkungen hätte eine wöchentliche Arbeitszeit auf Unternehmen?

Mehr Flexibilität kann organisatorische Vorteile bringen. Gleichzeitig steigen die Anforderungen an eine funktionierende Steuerung.

Wenn Arbeitszeiten unterschiedlich über die Woche verteilt werden können, benötigen Unternehmen transparente Prozesse. Es muss jederzeit nachvollziehbar sein, ob gesetzliche Vorgaben eingehalten werden und ob Arbeitsbelastungen dauerhaft angemessen bleiben. Damit wird Arbeitszeitmanagement stärker zu einer Compliance-Aufgabe. Unternehmen müssen nicht nur ermöglichen, dass flexibel gearbeitet wird. Sie müssen auch nachweisen können, dass diese Flexibilität rechtskonform umgesetzt wird.

Welche Rolle spielt die Arbeitszeiterfassung beim neuen Arbeitszeitgesetz?

Die Erfassung der Arbeitszeit bleibt ein zentraler Bestandteil der aktuellen Entwicklung. Bereits heute sind Arbeitgeber verpflichtet, ein System einzuführen, mit dem die Arbeitszeit der Beschäftigten erfasst werden kann. Eine gesetzliche Neuregelung könnte die konkrete Umsetzung weiter ausgestalten. Dabei geht es nicht allein um die Einführung einer digitalen Zeiterfassung. Entscheidend ist der gesamte Prozess dahinter.

Unternehmen müssen festlegen, wie Arbeitszeiten dokumentiert werden, wer für die Überprüfung verantwortlich ist und wie mit möglichen Überschreitungen umgegangen wird. Eine reine Datensammlung reicht für wirksame Compliance nicht aus. Erst klare Zuständigkeiten und verbindliche Abläufe machen Arbeitszeiterfassung zu einem funktionierenden Kontrollinstrument.

Bleibt Vertrauensarbeitszeit nach der Reform des Arbeitszeitgesetzes möglich?

Flexible Arbeitsmodelle und Vertrauensarbeitszeit werden auch künftig eine wichtige Rolle spielen. Allerdings verändert sich das Verständnis von Vertrauensarbeitszeit.

Vertrauen bedeutet nicht, dass Unternehmen vollständig auf Transparenz verzichten können. Vielmehr müssen Eigenverantwortung und gesetzliche Dokumentationspflichten miteinander verbunden werden.

Beschäftigte können weiterhin Freiräume bei der Organisation ihrer Arbeit erhalten. Gleichzeitig benötigen Arbeitgeber geeignete Strukturen, um Arbeitszeiten nachvollziehbar zu erfassen und gesetzliche Grenzen einzuhalten.

Warum wird Arbeitszeit-Compliance wichtiger?

Eine Änderung des Arbeitszeitgesetzes betrifft nicht nur die Personalabteilung. Sie hat Auswirkungen auf die gesamte Unternehmensorganisation. Unternehmen müssen sicherstellen, dass gesetzliche Anforderungen nicht nur theoretisch erfüllt werden. Entscheidend ist die tatsächliche Umsetzung im Arbeitsalltag.

Compliance-Risiken entstehen insbesondere dann, wenn Unternehmen zwar Arbeitszeiten erfassen, aber erkennbare Probleme nicht bearbeiten – etwa dauerhaft hohe Arbeitsbelastungen, regelmäßige Überschreitungen oder fehlende Ruhezeiten. Damit wird das Thema auch für Führungskräfte wichtiger. Sie müssen flexible Arbeitsmodelle ermöglichen und gleichzeitig darauf achten, dass gesetzliche Rahmenbedingungen eingehalten werden.

Welche Bedeutung haben Datenschutz und digitale Systeme?

Viele Unternehmen setzen bereits digitale Lösungen zur Arbeitszeiterfassung ein oder prüfen deren Einführung. Diese Systeme können Prozesse vereinfachen und Transparenz schaffen. Gleichzeitig entstehen neue Anforderungen an den Umgang mit personenbezogenen Daten. Arbeitszeitinformationen geben Einblick in Arbeitsabläufe und Verhalten von Beschäftigten.

Unternehmen sollten deshalb klare Regeln schaffen, wer Zugriff auf diese Daten hat, für welche Zwecke sie genutzt werden und wie lange sie gespeichert bleiben. Arbeitszeit-Compliance, Datenschutz und Informationssicherheit sollten gemeinsam betrachtet werden.

Wie sollten sich Unternehmen auf das neue Arbeitszeitgesetz vorbereiten?

Auch wenn die endgültige Ausgestaltung der Reform (Stand Anfang Juni 2026) noch offen ist, können Unternehmen bereits jetzt wichtige Grundlagen schaffen.

Der erste Schritt ist eine Analyse der bestehenden Arbeitszeitorganisation. Stimmen die vorhandenen Regelungen noch mit der tatsächlichen Arbeitsweise überein? Funktionieren Prozesse auch im Homeoffice und bei mobilen Arbeitsformen? Werden Auffälligkeiten erkannt und konsequent bearbeitet?

Ebenso wichtig ist die Einbindung der Führungskräfte: Arbeitszeit-Compliance entsteht nicht allein durch Systeme oder Richtlinien, sondern durch tägliche Entscheidungen im Unternehmen. Wer seine Strukturen frühzeitig überprüft, kann spätere gesetzliche Änderungen schneller und sicherer umsetzen.

Das neue Arbeitszeitgesetz macht Compliance zum Erfolgsfaktor

Die geplante Reform des Arbeitszeitgesetzes soll Unternehmen und Beschäftigten mehr Flexibilität ermöglichen. Gleichzeitig wächst die Bedeutung klarer und überprüfbarer Prozesse. Für Unternehmen entsteht damit die Chance, Arbeitszeit moderner zu gestalten. Voraussetzung ist jedoch, dass Flexibilität, Dokumentation und Verantwortung zusammen gedacht werden.

Eine wirksame Arbeitszeit-Compliance schafft nicht nur Rechtssicherheit – sie bildet auch die Grundlage für moderne und nachhaltige Arbeitsmodelle.