IT-Regulatorik-Radar

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten gelten seither unmittelbar, unabhängig von einer Registrierung. Das Registrierungsportal des BSI ist seit Januar 2026 verfügbar, die reguläre Frist am 6. März 2026 abgelaufen, eine vom BSI gesetzte Nachfrist im Juli 2026 ebenfalls. Wer bisher nicht registriert ist und betroffen sein könnte, sollte das umgehend nachholen. Kern sind die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32 BSIG mit Erstmeldung binnen vierundzwanzig Stunden und die Registrierungspflicht nach § 33 BSIG. Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und selbst geschult sein.

Was jetzt zu tun ist: Betroffenheit dokumentiert prüfen, Lücken gegen § 30 BSIG ermitteln, Meldeweg einrichten und üben, Nachweise erzeugen, Lieferantenanforderungen in Verträge aufnehmen.

Die Verordnung (EU) 2024/1689 gilt seit dem 2. August 2026 grundsätzlich. Die Verbote bestimmter Praktiken gelten seit dem 2. Februar 2025, ebenso die Pflicht zur KI-Kompetenz nach Artikel 4. Für allgemeine KI-Modelle gelten Pflichten seit dem 2. August 2025. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben, für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, für in Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Marktüberwachungsbehörde in Deutschland ist die Bundesnetzagentur.

Was jetzt zu tun ist: KI-Inventur über alle Systeme, Rolle als Anbieter oder Betreiber klären, Risikoeinstufung je Anwendung dokumentieren, Transparenzpflichten umsetzen, Schulung der betroffenen Beschäftigten nachweisen.

Die Verordnung (EU) 2023/2854 ist seit dem 12. September 2025 anwendbar. Für Anwender am wichtigsten sind die Regeln zum Anbieterwechsel: Cloud-Anbieter müssen den Wechsel vertraglich und technisch ermöglichen, mit einer Kündigungsfrist von höchstens zwei Monaten und einer anschließenden Übergangsphase von in der Regel höchstens dreißig Tagen. Entgelte für den Wechsel entfallen vollständig ab dem 12. Januar 2027. Für Hersteller vernetzter Produkte kommen Pflichten zum Datenzugang hinzu.

Was jetzt zu tun ist: Cloud-Verträge auf Wechselklauseln, Exportformate und Fristen prüfen, den Datenexport testen statt ihn nur zu vereinbaren, bei Neuverträgen die neuen Anforderungen einfordern.

Seit dem 1. Januar 2025 müssen inländische Unternehmen E-Rechnungen empfangen können. Bis Ende 2026 sind andere Formate mit Zustimmung des Empfängers weiterhin zulässig. Ab dem 1. Januar 2027 gilt die Versandpflicht für Unternehmen mit mehr als 800.000 Euro Gesamtumsatz im Vorjahr, ab dem 1. Januar 2028 grundsätzlich für alle inländischen B2B-Umsätze. Als E-Rechnung gelten nur strukturierte Formate nach der Norm EN 16931, in Deutschland vor allem XRechnung und ZUGFeRD.

Was jetzt zu tun ist: prüfen, ob Ihr System strukturierte Rechnungen erzeugen, versenden und im Original archivieren kann, Umsatzschwelle für 2027 ermitteln, Eingangsverarbeitung automatisieren, Verfahrensdokumentation anpassen.

Die Verordnung (EU) 2024/2847 führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über den gesamten Lebenszyklus ein. Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit einer Frühwarnung binnen vierundzwanzig Stunden. Ab dem 11. Dezember 2027 gilt die Verordnung vollständig, betroffene Produkte müssen dann die grundlegenden Anforderungen erfüllen und ein Konformitätsbewertungsverfahren durchlaufen. Relevant ist das für Maschinenbau und Industrie überall dort, wo Produkte mit Software ausgeliefert werden.

Was jetzt zu tun ist: prüfen, ob Ihre Produkte erfasst sind, Schwachstellenmanagement und Meldeprozess aufbauen, Software-Stückliste einführen, Supportzeitraum festlegen und Anforderungen an Zulieferer weitergeben.

Das Gesetz gilt seit dem 28. Juni 2025 und verpflichtet unter anderem den elektronischen Geschäftsverkehr für Verbraucher zur Barrierefreiheit. Für Dienstleistungen gilt eine Ausnahme für Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz, für Produkte gilt sie nicht. Maßstab sind die Anforderungen der Norm EN 301 549. Verstöße können mit Bußgeldern geahndet werden, zusätzlich drohen Abmahnungen und Beschwerden bei der Marktüberwachung.

Was jetzt zu tun ist: Betroffenheit dokumentiert klären, Shop und Kundenportale prüfen lassen, die Wege zum Vertragsabschluss zuerst beheben, Barrierefreiheit in Anforderungen für neue Systeme aufnehmen und das Feedback-Verfahren einrichten.

Mit dem Bürokratieentlastungsgesetz IV wurde die Aufbewahrungsfrist für Buchungsbelege und Rechnungen von zehn auf acht Jahre verkürzt, anzuwenden auf Unterlagen, deren Frist am 1. Januar 2025 noch nicht abgelaufen war. Für Handelsbücher, Inventare, Jahresabschlüsse sowie Arbeitsanweisungen und Organisationsunterlagen bleibt es bei zehn Jahren, für sonstige Geschäftsbriefe bei sechs Jahren. Elektronische Unterlagen müssen während der gesamten Frist lesbar und maschinell auswertbar bleiben.

Was jetzt zu tun ist: Löschregeln im Archiv an die neuen Fristen anpassen, Verfahrensdokumentation erstellen oder aktualisieren, ersetzendes Scannen beschreiben, Zugriff auf abgelöste Altsysteme für die Restlaufzeit sichern.

Der Europäische Gerichtshof hat 2023 eine dem § 26 BDSG entsprechende Landesregelung für unionsrechtswidrig erklärt. Seitdem ist unklar, ob § 26 BDSG als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten trägt. Ein eigenes Beschäftigtendatenschutzgesetz wird seit Jahren diskutiert, ein Gesetzgebungsverfahren ist nicht abgeschlossen. Für die IT ist das besonders bei Protokolldaten, Geräteverwaltung, Zugriffsauswertungen und Sicherheitswerkzeugen relevant.

Was jetzt zu tun ist: Verarbeitungen im Beschäftigungskontext auf Artikel 6 und 88 DSGVO stützen und dokumentieren, Betriebsvereinbarungen als Rechtsgrundlage sauber ausgestalten, Löschfristen für Protokolldaten festlegen.

Technische Einrichtungen, die objektiv geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, unterliegen der Mitbestimmung nach § 87 Absatz 1 Nummer 6 BetrVG. Ob eine Überwachung beabsichtigt ist, spielt keine Rolle. Betroffen sind in der Praxis Geräteverwaltung, Ticketsysteme, Sicherheitswerkzeuge, Zeiterfassung, Zugriffsprotokolle und viele KI-Funktionen. Schon die Planung ist nach § 90 BetrVG mit dem Betriebsrat zu beraten.

Was jetzt zu tun ist: Rahmenvereinbarung zu IT-Systemen prüfen und um Cloud, mobile Geräte und KI-Funktionen ergänzen, Betriebsrat vor der Anbieterauswahl einbinden, Auswertungen und Löschfristen im Verfahren festlegen.