EU-Digitalregulierung im Überblick: AI Act, NIS2, DORA, CRA und DSGVO

Datenschutz, Cybersicherheit, KI, Produktsicherheit, Datenzugang, Plattformen: Die Europäische Union hat in wenigen Jahren eine Reihe von Rechtsakten verabschiedet, die digitale Systeme und Geschäftsmodelle betreffen. Dieser Beitrag bietet einen Überblick über die EU-Digitalregulierung mit Stand Oktober 2026: welche Rechtsakte es gibt, wen sie betreffen, ab wann sie gelten und wo sie sich überschneiden.

Wichtig vorab: Nicht jedes Unternehmen muss jede Verordnung erfüllen. Welche Vorgaben gelten, hängt von Branche, Größe, Produkten und der Rolle ab, die ein Unternehmen einnimmt. Der Beitrag ist eine Landkarte, keine Umsetzungsanleitung und keine Rechtsberatung. Stand der Angaben: 29. Oktober 2026.

Die wichtigsten Rechtsakte der EU-Digitalregulierung auf einen Blick

Rechtsakt	Zweck	Wen betrifft es (vereinfacht)	Gilt seit / ab
DSGVO (VO (EU) 2016/679)	Schutz personenbezogener Daten	alle, die personenbezogene Daten verarbeiten	25. Mai 2018
NIS2 (RL (EU) 2022/2555), in DE: BSIG	Cybersicherheit wichtiger und besonders wichtiger Einrichtungen	Unternehmen bestimmter Sektoren ab bestimmter Größe	in Deutschland seit 6. Dezember 2025
DORA (VO (EU) 2022/2554)	digitale operationale Resilienz im Finanzsektor	Finanzunternehmen und ihre IKT-Drittdienstleister	17. Januar 2025
AI Act (VO (EU) 2024/1689)	Regeln für KI-Systeme nach Risiko	Anbieter, Betreiber und weitere Akteure von KI	gestaffelt seit 2. Februar 2025, Hochrisiko ab 2. Dezember 2027 bzw. 2. August 2028
Cyber Resilience Act (VO (EU) 2024/2847)	Cybersicherheit von Produkten mit digitalen Elementen	Hersteller, Importeure, Händler solcher Produkte	Meldepflichten seit 11. September 2026, Hauptpflichten ab 11. Dezember 2027
Data Act (VO (EU) 2023/2854)	Zugang zu und Nutzung von Daten, Wechsel von Cloud-Diensten	Hersteller vernetzter Produkte, Dateninhaber, Cloud-Anbieter	anwendbar seit 12. September 2025
Digital Services Act (VO (EU) 2022/2065)	Pflichten von Vermittlungsdiensten und Plattformen	Hosting-Dienste, Online-Plattformen, sehr große Plattformen	vollständig seit 17. Februar 2024
Digital Markets Act (VO (EU) 2022/1925)	fairer Wettbewerb auf digitalen Märkten	als „Gatekeeper“ benannte große Plattformen	2. Mai 2023

Anwendungsbereiche: Wer muss was beachten?

DSGVO als Querschnitt

Die DSGVO gilt für nahezu jedes Unternehmen, das Kunden-, Beschäftigten- oder Interessentendaten verarbeitet. Sie ist deshalb der gemeinsame Nenner fast aller anderen Rechtsakte: Wo KI personenbezogene Daten verarbeitet oder ein Sicherheitsvorfall Kundendaten betrifft, gilt sie zusätzlich. Ein Teil des „Digital Omnibus“, der unter anderem die DSGVO ändern soll, ist mit Stand Oktober 2026 nicht beschlossen.

NIS2: Cybersicherheit nach Sektor und Größe

NIS2 verpflichtet Einrichtungen bestimmter Sektoren ab einer bestimmten Größe zu Risikomanagement, Registrierung und Meldungen. In Deutschland setzt das neu gefasste BSI-Gesetz die Richtlinie um. Nach Angaben des BSI sind rund 29.500 Unternehmen betroffen. Details zu Betroffenheit und Pflichten erläutert der Beitrag NIS2 für Unternehmen.

DORA: Spezialregel für den Finanzsektor

DORA gilt für Finanzunternehmen wie Banken, Versicherungen oder Wertpapierfirmen und schafft zusätzlich einen Aufsichtsrahmen für kritische IKT-Drittdienstleister. Für Finanzunternehmen, die unter DORA fallen, gelten unter anderem die NIS2-Pflichten nach §§ 30, 32 und 38 BSIG nicht (§ 28 Abs. 6 BSIG). Für IT-Dienstleister von Finanzunternehmen wirkt DORA vor allem über Vertragsanforderungen.

AI Act: Pflichten nach Rolle und Risiko

Der AI Act unterscheidet nach Rollen (vor allem Anbieter und Betreiber) und nach Risikoklassen. Seit dem 2. Februar 2025 gelten die Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz nach Art. 4. Seit dem 2. August 2025 gelten Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, seit dem 2. August 2026 die Transparenzpflichten nach Art. 50, etwa für Chatbots und Deepfakes. Ab dem 2. Dezember 2026 kommt ein neues Verbot für KI zur Erzeugung nicht einvernehmlicher intimer Bilder und von Darstellungen sexuellen Kindesmissbrauchs hinzu.

Ein typisches Unternehmen, das KI-Assistenten nutzt, ist in der Regel Betreiber, aber nicht Betreiber eines Hochrisiko-Systems. Für dieses Unternehmen stehen Art. 4 und gegebenenfalls Art. 50 im Vordergrund. In Deutschland ist seit dem 29. Juli 2026 das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) in Kraft, zentrale Aufsicht ist die Bundesnetzagentur. Wer KI strukturiert einführen will, findet Unterstützung zur KI-Governance und zum EU AI Act.

Cyber Resilience Act: Sicherheit von Produkten

Der CRA richtet sich an Hersteller von Hard- und Software mit digitalen Elementen, die in der EU in Verkehr gebracht werden, sowie an Importeure und Händler. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, mit einer Frühwarnung innerhalb von 24 Stunden. Laut ENISA gilt das auch für Produkte, die bereits vor diesem Datum in Verkehr gebracht wurden. Die übrigen Pflichten, etwa Sicherheitsanforderungen und Konformitätsbewertung, gelten ab dem 11. Dezember 2027.

Data Act, DSA und DMA

Der Data Act regelt, wer Daten aus vernetzten Produkten nutzen darf, und erleichtert den Wechsel zwischen Cloud-Diensten. Der Digital Services Act verpflichtet Vermittlungsdienste wie Hosting-Anbieter und Plattformen, etwa zu Meldeverfahren für rechtswidrige Inhalte. Der Digital Markets Act betrifft nur wenige als Gatekeeper benannte Großplattformen; für andere Unternehmen wirkt er eher mittelbar.

Wo sich die Rechtsakte überschneiden

Die Rechtsakte stehen nicht nebeneinander, sondern greifen ineinander:

• NIS2 und DSGVO: Ein Cyberangriff kann eine Meldung an das BSI und zugleich an die Datenschutzaufsicht auslösen, mit unterschiedlichen Fristen und Inhalten.
• AI Act und DSGVO: Verarbeitet ein KI-System personenbezogene Daten, gelten beide. Der AI Act verweist für Betreiber von Hochrisiko-KI ausdrücklich auf die Datenschutz-Folgenabschätzung (Art. 26 Abs. 9).
• CRA und NIS2: Sichere Produkte nach dem CRA erleichtern das Lieferkettenmanagement, das NIS2-Einrichtungen nach § 30 BSIG betreiben müssen.
• DORA und NIS2: Für Finanzunternehmen im Sinne von DORA treten zentrale BSIG-Pflichten zurück (§ 28 Abs. 6 BSIG).

Diese Überschneidungen sind der Grund, warum ein gemeinsamer Steuerungsrahmen sinnvoll sein kann. Wie das gelingt, ohne die Unterschiede zu verwischen, beschreibt der Beitrag zur integrierten Governance.

Welche Pflichten je nach Rolle entstehen

Hilfreicher als die Frage „Welche Gesetze gibt es?“ ist die Frage „In welcher Rolle sind wir betroffen?“. Ein und dasselbe Unternehmen kann mehrere Rollen gleichzeitig haben:

• Als Verarbeiter personenbezogener Daten gilt die DSGVO, praktisch für jedes Unternehmen.
• Als Einrichtung in einem NIS2-Sektor ab der maßgeblichen Größe gelten Registrierung, Meldepflichten und Risikomanagement nach dem BSIG.
• Als Nutzer von KI ist ein Unternehmen in der Regel Betreiber im Sinne des AI Act, mit der Pflicht zur KI-Kompetenz und gegebenenfalls Transparenzpflichten.
• Als Anbieter von KI, etwa wer ein KI-System unter eigenem Namen anbietet, treffen weitergehende Pflichten.
• Als Hersteller von Software oder vernetzten Geräten gelten der CRA und gegebenenfalls der Data Act.
• Als Dienstleister von Finanzunternehmen oder NIS2-Einrichtungen wirken DORA und NIS2 mittelbar über Verträge und Lieferantenanforderungen.

Ein Beispiel zur Veranschaulichung: Ein kleiner Onlineshop mit zwölf Beschäftigten, der einen Chatbot einsetzt, hat vor allem mit DSGVO und dem AI Act als Betreiber zu tun. NIS2 betrifft ihn nach den Größenschwellen in der Regel nicht unmittelbar, der CRA dann, wenn er Produkte mit digitalen Elementen herstellt, importiert oder als Händler vertreibt, wobei Händler eigene, auf ihre Rolle zugeschnittene Pflichten haben. Ob das im Einzelfall zutrifft, sollte geprüft werden.

Regulatorische Entwicklung: Was sich 2026 geändert hat

Die Europäische Kommission hat im November 2025 Vereinfachungspakete („Digital Omnibus“) vorgeschlagen. Ihr Stand ist unterschiedlich:

• AI-Omnibus beschlossen: Die Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt unter anderem die Hochrisiko-Pflichten für Systeme nach Anhang III auf den 2. Dezember 2027 und für Systeme nach Anhang I auf den 2. August 2028. Die Transparenzpflichten nach Art. 50 gelten trotzdem seit dem 2. August 2026.
• Daten- und DSGVO-Omnibus nicht beschlossen: Der Teil, der unter anderem DSGVO und Datenregeln anpassen soll, befindet sich noch im Gesetzgebungsverfahren. Bis zu einem Beschluss gilt die DSGVO unverändert.
• Normung: Mit EN 18286 (Qualitätsmanagement für den AI Act) ist im Oktober 2026 die erste harmonisierte Norm zum AI Act im Amtsblatt gelistet worden. Weitere Normen sind in Arbeit. Wie sich Gesetz und Normen zueinander verhalten, erläutert der Beitrag zu ISO/IEC 42001 und dem EU AI Act.

Was Sie jetzt tun können

1. Relevanz prüfen: Für jeden Rechtsakt kurz festhalten, ob und in welcher Rolle er Ihr Unternehmen betrifft, mit Begründung.
2. Prioritäten setzen: Zuerst die Pflichten, die bereits gelten (DSGVO, gegebenenfalls NIS2, Art. 4 und 50 AI Act, CRA-Meldepflichten für Hersteller).
3. Fristen vormerken: 2. Dezember 2027 (Hochrisiko-KI nach Anhang III), 11. Dezember 2027 (CRA-Hauptpflichten), 2. August 2028 (Hochrisiko-KI nach Anhang I).
4. Zuständigkeiten klären: Wer beobachtet Rechtsänderungen und bewertet sie für das Unternehmen?
5. Gemeinsame Grundlagen nutzen: Risikoanalyse, Vorfallprozess und Dokumentation möglichst einmal aufbauen.

Für viele Unternehmen ist NIS2 der Rechtsakt mit dem unmittelbarsten Handlungsbedarf. Unterstützung bei der Umsetzung von NIS2 hilft, daraus eine Sicherheitsorganisation zu entwickeln, die auch für weitere Anforderungen trägt.

Fazit

Die EU-Digitalregulierung ist umfangreich, aber nicht für jedes Unternehmen gleich relevant. Wer die eigene Rolle je Rechtsakt kennt, kann Pflichten priorisieren und unnötigen Aufwand vermeiden. Der AI-Omnibus hat Fristen verschoben, aber keine Pflichten aufgehoben, die bereits gelten. Die Entwicklung bleibt in Bewegung, eine regelmäßige Überprüfung des eigenen Standes gehört deshalb dazu.

Quellen

• Regulatory framework for AI, Europäische Kommission
• Cyber Resilience Act, Europäische Kommission
• CRA Single Reporting Platform – Frequently Asked Questions, ENISA
• Data Act, Europäische Kommission
• Digital Services Act: Questions and Answers, Europäische Kommission
• About the Digital Markets Act, Europäische Kommission
• NIS2 Directive, Europäische Kommission
• Digital Operational Resilience Act (DORA), EIOPA
• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), EUR-Lex
• DSGVO – BDSG: Texte und Erläuterungen, BfDI
• NIS-2-regulierte Unternehmen, BSI
• § 28 BSIG, Bundesministerium der Justiz
• Gesetz zur Umsetzung der NIS-2-Richtlinie, BGBl. 2025 I Nr. 301, Bundesgesetzblatt
• Article 113 Entry into force and application, AI Act Service Desk, Europäische Kommission
• Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), Bundesministerium der Justiz
• EN 18286 becomes the first harmonised standard under the EU AI Act, CEN-CENELEC JTC 21