Sicherheit und Compliance bei Cloud-ERP ist in 2026 komplexer denn je — aber auch besser werkzeugmäßig unterstützt als je zuvor. Der Überblick:

  • DSGVO gilt seit 2018, wird aber strenger durchgesetzt
  • NIS2 gilt seit Oktober 2024 (DE: BSIG-Novelle), seit Herbst 2025 (AT/CH-Äquivalente)
  • EU KI-Gesetz gilt ab August 2026 vollständig
  • DORA gilt seit Januar 2025 für den Finanzsektor
  • ISO 27001:2022 ist der aktuelle Standard

DSGVO und Cloud-ERP: Praxisanforderungen

Auftragsverarbeitungsvertrag (AVV)

Wenn ein Cloud-ERP-Anbieter personenbezogene Daten im Auftrag des Unternehmens verarbeitet (also fast immer), ist ein AVV nach Art. 28 DSGVO Pflicht.

Der AVV muss regeln:

  • Gegenstand und Dauer der Verarbeitung
  • Art und Zweck der Verarbeitung
  • Kategorien der betroffenen Personen
  • Pflichten und Rechte des Verantwortlichen
  • Technische und organisatorische Maßnahmen (TOMs)

Modulario: AVV ist Standardbestandteil des Vertrags, enthält vollständige TOMs-Dokumentation.

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA nach Art. 35 DSGVO ist bei Hochrisikoverarbeitung Pflicht:

  • Systematische Überwachung von Personen im öffentlichen Bereich
  • Verarbeitung besonderer Kategorien (Gesundheit, Biometrie) in großem Umfang
  • Profilierung mit rechtlichen Auswirkungen

Im ERP-Kontext typischerweise erforderlich:

  • HR-Modul mit umfassender Mitarbeiteranalyse
  • KI-gestützte Personalentscheidungen
  • Kundenbewertungssysteme mit SCHUFA-ähnlicher Funktion

Details: DSFA für ERP und CRM.

Datenlöschkonzept

Das ERP muss Datenlöschung unterstützen:

  • Automatische Löschung personenbezogener Daten nach Ablauf der Aufbewahrungsfrist
  • Löschung auf Anfrage (Recht auf Vergessenwerden, Art. 17 DSGVO)
  • Protokollierung aller Löschvorgänge im Audit-Log

NIS2: Was DACH-Unternehmen wissen müssen

Wer ist betroffen?

NIS2 gilt für mittlere und große Unternehmen in 18 Sektoren:

Wesentliche Einrichtungen (strenger): Energie, Verkehr, Bankwesen, Finanzinfrastruktur, Gesundheit, Trinkwasser, digitale Infrastruktur

Wichtige Einrichtungen (etwas weniger streng): Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter

Schwellenwerte: Mittlere Unternehmen (50-250 Mitarbeiter, 10-50 Mio. € Umsatz) oder größer. Ausnahmen für kritische Infrastruktur auch für kleinere Unternehmen möglich.

NIS2-Pflichten in der Praxis

  1. Risikomanagement-Maßnahmen: Risikoanalyse und Informationssicherheitsrichtlinien
  2. Incident-Reporting: Early Warning an BSI/A-SIT/NCSC innerhalb 24 Stunden bei signifikanten Vorfällen; vollständiger Bericht in 72 Stunden
  3. Business Continuity: Backup-Management, Notfallwiederherstellung
  4. Lieferkettensicherheit: Sicherheitsanforderungen an Zulieferer und Cloud-Anbieter (also auch an den ERP-Anbieter)
  5. Schulung: Führungskräfte müssen Cybersicherheitsschulungen absolvieren

Details: NIS2-Richtlinie: Pflichten für Unternehmen.

ISO 27001: Der Goldstandard für Informationssicherheit

ISO 27001 ist kein Gesetz, aber ein marktüblicher Standard — besonders im B2B-Bereich und bei öffentlichen Ausschreibungen.

Was ISO 27001 umfasst

Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 beinhaltet:

  • Risikoanalyse und -behandlung
  • Richtlinien und Verfahren für alle relevanten Sicherheitsbereiche
  • Asset-Management (welche Informationen, wo, wie geschützt)
  • Zugangskontrolle und Benutzerrechtemanagement
  • Kryptografie und Verschlüsselung
  • Physische Sicherheit
  • Incident Management
  • Geschäftskontinuität
  • Compliance-Management
  • Regelmäßige interne Audits und Management-Review

ISO 27001 als DACH-KMU

Drei Strategien für KMU:

  1. Eigene Zertifizierung — sinnvoll, wenn B2B-Kunden oder Ausschreibungen dies erfordern. Kosten: 20.000-50.000 € im ersten Jahr.
  2. Zertifizierung des Cloud-Anbieters nutzen — wenn der ERP-Anbieter ISO 27001 zertifiziert ist, deckt das die Infrastrukturseite ab. Unternehmen müssen eigene Prozesse (Zugriffskontrolle, Schulung, Incident Response) noch dokumentieren.
  3. ISO 27001 als Rahmen ohne Zertifizierung — Implementierung der Kontrollen ohne externen Audit. Sinnvoll für kleinere Unternehmen.

Details: ISO 27001 für KMU: Was bedeutet das?.

DORA: Digitale Resilienz im Finanzsektor

Die Digital Operational Resilience Act (DORA) gilt seit Januar 2025 für:

  • Kreditinstitute, Zahlungsdienstleister, E-Geld-Institute
  • Versicherungsunternehmen
  • Investmentfirmen
  • Krypto-Asset-Anbieter

DORA-relevante ERP-Anforderungen:

  • ICT-Risikomanagement-Rahmen: Dokumentiertes Management aller IKT-Risiken
  • ICT-Incident-Reporting: Strenge Meldefristen für schwerwiegende Vorfälle (15/72/30 Tage)
  • Drittparteien-Management: Cloud-ERP-Anbieter ist ein kritischer ICT-Drittanbieter — Vertrag muss DORA-Anforderungen erfüllen
  • Resilienztests: Regelmäßige Tests der digitalen Resilienz

Details: DORA-Richtlinie: ERP im Finanzsektor.

EU KI-Gesetz: Compliance für ERP mit KI-Funktionen

Für Unternehmen, die KI-Funktionen im ERP nutzen (Stand: vollständig ab August 2026):

  • Risikoklassifizierung aller genutzten KI-Funktionen
  • Hochrisiko-KI (z. B. KI im Personalwesen): CE-Konformität vom Anbieter verlangen, menschliche Aufsicht, Mitarbeiterschulung, Protokollierung
  • Transparenzpflichten: KI-generierte Inhalte müssen gekennzeichnet sein
  • Verbotene KI-Praktiken: Prüfung, ob keine verbotenen Techniken genutzt werden

Details: EU KI-Gesetz: Pflichten für ERP-Nutzer.

Technische Sicherheitsanforderungen an Cloud-ERP

Verschlüsselung

  • Daten in Übertragung: TLS 1.3 minimum (kein TLS 1.0/1.1)
  • Daten im Ruhezustand: AES-256 für Datenbank, Backups, gespeicherte Dateien
  • Backup-Verschlüsselung: Backups getrennt verschlüsselt von primären Daten

Zugangskontrolle

  • MFA/2FA Pflicht für alle Nutzer, besonders Administratoren
  • Rollenbasierte Zugriffskontrolle (RBAC): Least-Privilege-Prinzip
  • SSO-Integration: SAML 2.0 / OIDC für zentrale Nutzerverwaltung
  • Session-Management: automatischer Logout, konfigurierbares Timeout

Audit-Log und Monitoring

  • Vollständiger, manipulationsgeschützter Audit-Log aller Datenzugriffe und Änderungen
  • Retention: mindestens 12 Monate, für DORA-regulierte: 5 Jahre
  • Real-time-Alerts für verdächtige Aktivitäten (anomale Anmeldeversuche, ungewöhnliche Datenexporte)

Backup und Business Continuity

  • 3-2-1-1-0-Regel: 3 Kopien, 2 Medien, 1 offsite, 1 unveränderlich/air-gapped, 0 Fehler im Recovery-Test
  • Recovery-Tests mindestens jährlich, dokumentiert
  • RTO/RPO definiert: Recovery Time Objective (wie schnell zurück?) und Recovery Point Objective (wie viel Datenverlust tolerierbar?)

Lieferantenauswahl: Sicherheitsfragen für Cloud-ERP-Anbieter

Checkliste für die Anbieterauswahl:

  • ISO 27001 Zertifikat vorhanden und aktuell?
  • Rechenzentrum in EU/EWR (kein US CLOUD Act Risiko)?
  • AVV nach Art. 28 DSGVO erhältlich?
  • SLA mit definierten Verfügbarkeitsgarantien (min. 99,9 %)?
  • 2FA/MFA für alle Nutzer verfügbar und erzwingbar?
  • Vollständiger Audit-Log mit Exportfunktion?
  • Datenlöschung bei Vertragsende garantiert?
  • Sub-Auftragsverarbeiter offengelegt?
  • Penetrationstests regelmäßig durchgeführt?
  • Incident-Response-Prozess dokumentiert?

Modulario: Sicherheits- und Compliance-Überblick

Modulario ist ein EU-Cloud-ERP mit folgenden Sicherheitszertifikaten und -maßnahmen:

  • ISO 27001 zertifiziert
  • EU-Rechenzentrum (Frankfurt, optional SK) — kein US CLOUD Act
  • DSGVO-first: AVV Standardbestandteil, vollständige TOMs, Datenlöschkonzept
  • TLS 1.3 + AES-256-Verschlüsselung
  • 2FA/Passkey erzwingbar für alle Nutzer
  • RBAC mit Least-Privilege-Prinzip
  • Vollständiger Audit-Log, kryptografisch gesichert
  • 3-2-1-1-0-Backup mit wöchentlichem Recovery-Test
  • MCP-Server für KI-Integrationen mit granularen Zugriffskontrollen
  • AI-Act-konform: KI-Kennzeichnung, keine verbotenen Praktiken, Audit-Log

Details zur Sicherheitsdokumentation.

Compliance-Roadmap für DACH-KMU 2026

Sofortmaßnahmen (Monat 1-2):

  • AVV mit ERP-Anbieter unterzeichnen
  • MFA für alle Nutzer aktivieren
  • Audit-Log-Retention prüfen (min. 12 Monate)
  • Zugriffsrechte nach Least-Privilege überprüfen

Kurzfristig (Monat 2-6):

  • NIS2-Betroffenheit prüfen und ggf. Risikobewertung erstellen
  • Incident-Response-Prozess dokumentieren
  • Mitarbeiterschulung Cybersicherheit (min. 2h/Jahr)
  • Backup-Test durchführen und dokumentieren

Mittelfristig (Monat 6-12):

  • ISO 27001-Implementierung beginnen (oder Anbieter-Zertifikat nutzen)
  • DSFA für Hochrisikoverarbeitung durchführen
  • KI-Funktionen nach EU KI-Gesetz klassifizieren

Häufige Fragen

Welche Compliance-Anforderungen gelten für ein Cloud-ERP in DACH/EU 2026? Vier Hauptrahmenwerke: DSGVO (alle Unternehmen), NIS2 (mittlere/große Unternehmen in 18 Sektoren), ISO 27001 (Marktstandard, kein Gesetz), KI-Gesetz (bei KI-Nutzung ab August 2026).

Was bedeutet EU-Datenhaltung bei Cloud-ERP und warum ist es wichtig? Alle Daten bleiben in EU/EWR-Rechenzentren ohne Transfer in Drittländer. Nach Schrems II und US CLOUD Act ist dies für EU-Unternehmen regulatorisch und vertraglich wichtig — US-Cloud-Anbieter unterliegen US-Behördenzugriff auch bei EU-Hosting.

Was kostet ISO 27001 Zertifizierung für ein KMU? 20.000-50.000 € im ersten Jahr, dann 5.000-15.000 € jährlich für Überwachungsaudits. Viele KMU nutzen die Zertifizierung ihres Cloud-ERP-Anbieters als Ausgangspunkt.