Rechtsmonitoring: Gesetzesänderungen systematisch bewerten

Die vergangenen drei Jahre lesen sich aus Sicht eines mittelständischen Unternehmens wie ein Dauerregen neuer Pflichten: Hinweisgeberschutzgesetz, Lieferkettenregulierung, DORA für den Finanzsektor, das NIS2-Umsetzungsgesetz, die gestaffelten Anwendungstermine der KI-Verordnung, demnächst die Meldepflichten des Cyber Resilience Act. Jede dieser Änderungen wirft dieselben drei Fragen auf: Betrifft uns das? Was müssen wir tun? Und bis wann?

Die Antwort darauf zufällig zu organisieren – über Newsletter im Postfach einzelner Mitarbeiter, Verbandsrundschreiben und Flurfunk – funktioniert genau so lange, wie nichts schiefgeht. Die Organisationspflicht der Geschäftsleitung verlangt mehr: einen nachvollziehbaren Prozess, mit dem relevante Rechtsänderungen erkannt, bewertet und umgesetzt werden. Prüfer fragen zunehmend danach, und für NIS2-regulierte Einrichtungen gehört der Blick auf regulatorische Entwicklungen ohnehin zum Risikomanagement.

Drei Schritte statt Nachrichtenflut

Ein funktionierendes Rechtsmonitoring besteht aus Erfassung, Bewertung und Überleitung. Die Erfassung bündelt relevante Quellen – Gesetzgebungsverfahren, Verkündungen, behördliche Hinweise – an einer Stelle, statt sie über persönliche Postfächer zu verteilen. Die Bewertung ist der eigentliche Kern: Für jede Änderung wird dokumentiert entschieden, ob und wie das eigene Unternehmen betroffen ist. Diese Gap-Analyse darf kurz sein; entscheidend ist, dass sie stattfindet und festgehalten wird – auch das Ergebnis „nicht relevant“ ist ein Nachweis. Die Überleitung schließlich macht aus jeder relevanten Änderung eine Maßnahme mit Verantwortlichem und Frist, die im normalen Maßnahmenmanagement mitläuft.

So entsteht nebenbei ein Rechtskataster: eine gepflegte Übersicht, welche Vorschriften für das Unternehmen gelten und wie mit ihnen umgegangen wurde. Spätestens beim nächsten Audit oder bei der Übergabe an eine neue Geschäftsführung zahlt sich diese Dokumentation aus.

SPECTOR liefert das Rechtsmonitoring als zentral gepflegten Dienst innerhalb des Moduls Compliance: Relevante Änderungen erscheinen im System, die Betroffenheit wird per Gap-Analyse bewertet, und bei Bedarf entsteht direkt eine verknüpfte Maßnahme.