Ein Mandant, mehrere Regulierungen: So arbeitet der Compliance Manager für Sie

In unserer Compliance-Manager-Reihe haben wir bereits getrennte Assessments für die KI-Verordnung und NIS2 im Microsoft Purview Compliance Manager angelegt. Stellen Sie sich nun vor, beide Assessments liegen im selben Microsoft-365-Mandanten. Unterschiedliche Templates, dieselbe Umgebung, dieselben Kolleginnen und Kollegen, dieselben Nachweise. Genau hier wird es interessant.

Die meisten Organisationen haben es nicht mit einer Regulierung nach der anderen zu tun, sondern mit mehreren gleichzeitig, etwa NIS2, der KI-Verordnung, ISO 27001 und der DSGVO. Die eigentliche Frage ist einfach: Führen Sie jede davon als eigenes Compliance-Projekt, oder organisieren Sie die Arbeit einmal und nutzen sie dort wieder, wo es sinnvoll ist?

Es gibt zwei Sichtweisen. Sie können jede Regulierung als eigenes Projekt behandeln, mit eigenem Assessment, eigener verantwortlicher Person und eigenem Nachweisordner. Wir empfehlen, sie als einen Satz praktischer Kontrollen zu behandeln, der zufällig gegen mehrere Regelwerke geprüft wird.

Machen Sie es richtig, schreiben Sie Ihr Incident-Response-Verfahren nur ein einziges Mal. Machen Sie es falsch, schreiben Sie es für jedes Framework neu. Sehen wir uns an, wie Sie das aufsetzen, und ebenso wichtig, wo das Gesamtbild einen falschen Eindruck von Fortschritt vermitteln kann.

Warum die Struktur zählt

In Datensicherheitsprojekten sehen wir immer wieder dasselbe Muster. Ein Kunde beginnt mit Vertraulichkeitsbezeichnungen (Sensitivity Labels). Ein paar Monate später helfen genau diese Labels, Fragen in NIS2-, KI-Verordnungs-, ISO-27001- und DSGVO-Assessments zu beantworten. Die Labels haben sich nicht verändert, nur die Personen, die danach fragen. Hier einige Beispiele, die uns regelmäßig begegnen:

Wenn Sie jedes Framework für sich bewerten, dokumentieren Sie dieselbe Arbeit viermal und erzeugen vier Nachweissätze, die nach und nach auseinanderlaufen.

Prüfer stellen dieselben Fragen

Ein Nachweispaket für mehrere Frameworks lässt sich leichter pflegen als vier, die langsam auseinanderlaufen. Es ist auch überzeugender, weil es zeigt, wie Ihre Organisation Risiken tatsächlich steuert, statt nur Kästchen für ein Zertifikat abzuhaken.

Premium-Templates sind nicht kostenlos

Sie können im Compliance Manager nicht unbegrenzt Premium-Templates als Assessments hinzufügen. Je nach Lizenzvertrag steht Ihnen nur eine begrenzte Zahl an Premium-Templates für Regulierungen zur Verfügung. Sind sie aufgebraucht, wird es kostenpflichtig. Wählen Sie also die Templates, die am meisten zählen, nicht die, die einfach nur interessant aussehen.

Wie das Teilen funktioniert

Diesen Mechanismus haben wir im vorigen Compliance-Manager-Beitrag behandelt, hier die Kurzfassung.

Der Compliance Manager nutzt Improvement Actions, um die Arbeit zu organisieren. Manche Actions lassen sich automatisch prüfen, weil der Compliance Manager Signale aus Microsoft-Diensten und, sofern eingerichtet, aus unterstützten Multicloud-Umgebungen erkennt. Andere erfordern manuelle Arbeit, etwa das Hochladen von Nachweisen, das Ergänzen von Notizen oder das Festhalten, dass eine Richtlinie oder Schulung abgeschlossen ist. Dieser Unterschied ist wichtig, wenn Sie mit mehreren Assessment-Gruppen arbeiten. Eine mandantenweite technische Einstellung wird von Assessments in allen Gruppen erkannt, manuelle Nachweise bleiben dagegen in der Regel an die Gruppe gebunden, in der Sie sie hinterlegt haben. Die Tabelle zeigt den praktischen Unterschied.

Das widerspricht dem, was viele erwarten. Die Gruppierung verringert die technische Arbeit nicht wie von selbst, denn eine Einstellung wie Multifaktor-Authentifizierung oder Data Loss Prevention muss im Mandanten trotzdem sauber konfiguriert werden. Der eigentliche Nutzen liegt in der wiederverwendbaren Arbeit drumherum: Richtlinien, Verfahren, Schulungsnachweise, Verantwortlichkeiten und Belege. Genau dort tut doppelte Arbeit am meisten weh.

Ihre Struktur entwerfen

Diese Punkte entscheiden, ob das in der Praxis funktioniert:

• Was Sie zusammenfassen
• Was Sie getrennt halten
• Wie Sie Ihre Templates einsetzen

Betrachten Sie es als Entwurf des Aktenschranks, bevor alle anfangen, Dokumente hineinzuwerfen.

Was Sie zusammenfassen

Ein guter Einstieg ist die Frage: „Welche Assessments brauchen dieselben Richtlinien, Verfahren, Schulungsnachweise oder Belege?“ Die Tabelle bietet einen einfachen Ausgangspunkt. Die erste Spalte schlägt einen Gruppennamen vor, die zweite zeigt, welche Frameworks in diese Gruppe passen könnten, und die dritte, welche Arbeit sie sich voraussichtlich teilen.

Die Gruppierung bestimmt, wie Assessments abgeschlossene Arbeit und gemeinsame Nachweise wiederverwenden. Die Struktur nachträglich zu ändern kann schwierig sein, einigen Sie sich deshalb auf das Gruppierungsmodell, bevor Sie Assessments im Portal anlegen.

Was Sie getrennt halten

Gruppieren ist nützlich, aber nicht immer die Antwort. Es gibt zwei häufige Gründe, Assessments getrennt zu halten.

Geltungsbereich. Wenn verschiedene Geschäftsbereiche, Tochtergesellschaften oder Umgebungen eine eigene Nachweiskette brauchen, geben Sie ihnen eigene Gruppen. Eine Gruppe kann ein Assessment pro Kombination aus Produkt und Regulierung enthalten, planen Sie das also, bevor Sie Assessments anlegen.

Verantwortung. Nach unserer Erfahrung ist das der wichtigste Punkt. KI-Governance, Security-Compliance und Datenschutz haben oft unterschiedliche Verantwortliche, Fristen und Nachweisanforderungen. Mit getrennten Gruppen können Sie den Zugriff pro Gruppe einschränken, sodass niemand durch die Improvement Actions eines anderen Teams scrollen muss, um die eigenen zu finden. Das legen Sie pro Assessment fest:

Abbildung 1: Zugriff auf ein einzelnes Assessment beschränkt. Eine Person kann immer nur eine Rolle gleichzeitig haben.

Achtung: Eine Person kann immer nur eine Compliance-Manager-Rolle haben. Wenn Sie jemanden von Reader zu Contributor ändern, ersetzt die neue Rolle die alte.

Wie Sie Ihre Templates einsetzen

Premium-Templates hängen an Ihrer Microsoft-365-Lizenzierung. Laut Microsoft ist die Microsoft Data Protection Baseline für alle Organisationen enthalten. Mit A5, E5 und G5 können Organisationen je nach Lizenzvertrag bis zu drei Premium-Regulierungen kostenlos auswählen.

Fragen Sie also nicht: „Welches Template sieht interessant aus?“ Fragen Sie: „Welche Frameworks sind für unsere Organisation am wichtigsten?“ Für eine europäische Organisation mit einem Security- und einem KI-Governance-Programm liegen NIS2 und die KI-Verordnung nahe. Die nächste Wahl hängt von Ihrer Realität ab: ISO 27001, eine Branchenregulierung, eine Kundenanforderung oder etwas ganz anderes. Den aktuellen Stand Ihrer Assessments sehen Sie auf der Seite Assessments im Compliance Manager:

Abbildung 2: Beispiel für die Nutzung von Premium-Templates im Compliance Manager. Wie viele Templates verfügbar sind, hängt von Ihrem Lizenzvertrag ab.

In diesem Beispiel ist ein Teil der Premium-Kapazität bereits genutzt, und mindestens ein Platz ist noch frei. Fällt Ihnen im Screenshot noch etwas auf? Alle Assessments liegen in der Default Group. Das passiert, wenn niemand über die Struktur entscheidet, und genau um diese Situation geht es in diesem Beitrag.

Bietet Ihr Mandant eine Testphase für Premium-Assessments an? Dann nutzen Sie sie, bevor Sie weitere Lizenzen kaufen. Microsoft beschreibt sie als einmalige Testphase für berechtigte kommerzielle Mandanten, in der Sie 25 Premium-Templates Ihrer Wahl für 90 Tage nutzen können. Nutzen Sie das, bevor Sie das Portemonnaie öffnen!

Die Struktur in die Praxis bringen

Sobald die Struktur für Ihre Organisation passt, sind die nächsten Schritte einfach:

1. Beginnen Sie mit den technischen Actions. Sie verbessern jedes Assessment automatisch, der schnellste Fortschritt entsteht also durch das Schließen von Konfigurationslücken.
2. Schreiben Sie jede Richtlinie nur einmal. Ein Incident-Response-Verfahren, eine KI-Richtlinie, ein Schulungsnachweis, angewendet auf jedes Assessment der Gruppe, das sie braucht.
3. Erledigen Sie zuerst die Actions mit den meisten Punkten. Punkte spiegeln den Beitrag wider, sodass die wertvollsten Actions in einer gemeinsamen Gruppe mehrere Scores gleichzeitig verbessern.
4. Exportieren Sie pro Assessment. Jede Prüferin, jeder Prüfer und jede Aufsichtsbehörde erhält eine eigene Sicht auf dieselbe zugrunde liegende Arbeit.

Sie können das selbst nachvollziehen. Öffnen Sie die Seite Improvement actions im Compliance Manager und sehen Sie sich die Spalte Regulations an:

Abbildung 3: Eine Action, mehrere Regulierungen. Die Zahl vor jeder Zeile zeigt, wie viel Arbeit Sie nicht wiederholen müssen.

Die Improvement Action „Manage contact information“ zählt für drei Regulierungen gleichzeitig, ebenso die Insider-Risk-Action darunter. Das ist die gemeinsame Arbeit aus der Tabelle weiter oben, und deshalb ist die gewählte Struktur wichtiger als die Zahl der Assessments, die Sie anlegen.

Aktualisierungen über Gruppen hinweg

Compliance bleibt in Bewegung. Regulierungen ändern sich, Microsoft-Produkte ändern sich, Zuordnungen von Kontrollen ändern sich. Microsoft stellt regelmäßig Aktualisierungen für Kontrollen oder Improvement Actions bereit, und der Compliance Manager zeigt diese ausstehenden Aktualisierungen an. Behandeln Sie sie als Governance-Entscheidungen: Prüfen Sie die Auswirkungen, bevor Sie sie annehmen!

Wenn Sie mehrere Frameworks betreiben, prüfen Sie Aktualisierungen im Kontext jeder Assessment-Gruppe. Das ist eher hilfreich als lästig, denn eine Gruppe ist vielleicht bereit für die Aktualisierung, während eine andere ihre aktuelle Nachweisrunde noch abschließen muss.

Rechnen Sie hier fest mit Bewegung. Die Umsetzung von NIS2 hängt von nationaler Umsetzung und Leitlinien ab, und die Pflichten der KI-Verordnung greifen schrittweise. Die Templates dahinter werden sich weiter verändern.

Wo das Gesamtbild in die Irre führt

Der bisher beschriebene Gruppierungsansatz spart echte Arbeit. Das Zusammenführen von Frameworks bringt aber auch ein bestimmtes Risiko mit sich, das einen genaueren Blick wert ist.

Mehr Grün heißt nicht mehr Abdeckung

Vier Assessments in einer Gruppe liefern vier Scores, vier Fortschrittsbalken und viel beruhigendes Grün. Schön anzusehen, aber das bedeutet nicht automatisch, dass Ihre Organisation compliant ist. Microsoft sagt das klar: Der Compliance Score misst den Fortschritt bei empfohlenen Maßnahmen. Er ist keine Garantie für Compliance.

Die Grenzen des Geltungsbereichs vervielfachen sich

Jedes Assessment ist auf die Dienste beschränkt, die Sie dafür ausgewählt haben. Deckt Ihr Assessment Microsoft 365 ab, erhalten Sie eine nützliche Sicht auf Microsoft 365. Den Rest Ihrer Organisation deckt es damit nicht plötzlich ab.

Für manche Frameworks wiegt das schwerer als für andere. Ihr Geltungsbereich für die KI-Verordnung kann KI-Systeme oder Agenten umfassen, die Kolleginnen und Kollegen außerhalb von Microsoft 365 gebaut haben. Ihr NIS2-Geltungsbereich kann Betriebstechnik (OT), Lieferantenportale oder andere geschäftskritische Systeme umfassen. Diese Systeme erscheinen in einem reinen Microsoft-365-Assessment nicht, egal wie viele Templates Sie hinzufügen.

Dieselbe Arbeit, unterschiedliche Regeln

Die Frameworks überschneiden sich, sind aber nicht austauschbar. NIS2, ISO 27001 und die KI-Verordnung haben jeweils eigene Anforderungen, Formulierungen und Geltungsbereiche. Ein ISO-27001-Zertifikat kann ein nützlicher Nachweis für einen Teil davon sein. Es ist nicht das ganze Bild.

Achtung: Gemeinsame Improvement Actions verringern doppelte Arbeit. Sie ersetzen aber nicht die Erklärung, welche Kontrolle welche Pflicht stützt und warum. Diese Verbindung muss weiterhin klar sein.

Verantwortung und Akzeptanz

Mehrere Compliance-Manager-Assessments getrennt zu betreiben, ist ein sicherer Weg, Menschen zu verärgern. Recht, HR, Security und Fachbereiche erhalten scheinbar immer wieder dieselbe Anfrage, nur mit einem anderen Regulierungsnamen darüber. Glauben Sie uns, das ist keine gute Strategie für Akzeptanz. Ganz im Gegenteil.

Besser ist es, die Assessments einer Gruppe einmal gemeinsam durchzugehen und klar zu zeigen, wo eine Richtlinie, ein Verfahren oder ein Schulungsnachweis mehrere Frameworks stützt. So wird aus wiederholten Compliance-Fragen ein gemeinsames Arbeitspaket. Hilfreich ist außerdem, pro Gruppe eine klare verantwortliche Person zu benennen, statt die Verantwortung über jedes einzelne Assessment zu verstreuen.

Ein Hinweis von Rencore

Die Gruppierung löst das Problem doppelter Arbeit für die Nachweise, die Sie bereits kennen. Sie sagt Ihnen aber nicht, was im Mandanten überhaupt existiert. Artikel 21 der NIS2 beginnt mit einer Risikoanalyse, und die KI-Verordnung setzt ein Inventar der KI-Systeme voraus. Beide Fragen beginnen am selben Punkt: Welche Sites, Teams, Apps, Flows und Agenten haben wir, wer verantwortet jedes Objekt, und wird es noch genutzt?

Der Compliance Manager führt dieses Verzeichnis nicht, und das war auch nie seine Aufgabe. Hier steht Rencore neben Purview, nicht davor. Rencore baut das Inventar auf und hält es aktuell, über Microsoft 365 hinweg und einschließlich Copilot Studio und anderer KI-Agenten, mit benannter verantwortlicher Person und Lebenszyklusstatus für jedes Objekt. Freigabe- und Zugriffskonfigurationen werden gegen die Richtlinien geprüft, die Sie aktivieren, sodass Oversharing und verwaiste Workspaces auffallen, bevor ein Prüfer sie findet. Das vollständige Bild zeigt unser Vergleich von Rencore und Microsoft Purview.

Dieses Inventar hilft auch beim Thema Verantwortung von oben. Wenn jedes Objekt bereits eine verantwortliche Person hat, ist die Benennung einer klaren Verantwortung pro Assessment-Gruppe eine Frage des Nachschlagens, nicht des Hinterherlaufens über Abteilungen hinweg.

Fazit

Der Wert des Compliance Manager liegt nicht darin, mehrere Regulierungen in einem großartigen Score verschwinden zu lassen. Sein eigentlicher Wert ist, dass er Ihrer Organisation bei der Arbeit hinter diesen Regulierungen hilft. Wenn Sie Assessments um gemeinsame Kontrollen herum gruppieren, reduzieren Sie doppelte Nachweise, klären Verantwortlichkeiten und machen aus wiederholten Compliance-Anfragen ein überschaubares Programm.

Das funktioniert nur, wenn Sie die Struktur bewusst gestalten:

• Gruppieren Sie nach Art der Arbeit, nicht nach dem Namen der Aufsichtsbehörde.
• Halten Sie unterschiedliche Geltungsbereiche und Verantwortliche bei Bedarf getrennt.
• Setzen Sie Premium-Templates für die Frameworks ein, die für Ihre Organisation am wichtigsten sind.
• Schreiben Sie dann jede Richtlinie, jedes Verfahren und jeden Schulungsnachweis nur einmal und lassen Sie sie jedes Assessment stützen, für das sie wirklich gelten.

Diese Balance ist wichtig. Gemeinsame Improvement Actions sparen Zeit und machen die Arbeit leichter steuerbar, brauchen aber weiterhin eine klare Verbindung zu den Pflichten hinter jedem Framework. Ein grünes Assessment ist ein nützliches Signal, nicht die Ziellinie. Es bleibt noch etwas zu tun! Prüfen Sie weiterhin, ob die Arbeit in der Praxis umgesetzt ist, ob der Geltungsbereich klar ist und ob alles außerhalb von Microsoft 365 anderweitig abgedeckt wird.

Zuletzt aktualisiert am 10. September 2026