Was sich für Unternehmen ändert
Der Jahreswechsel 2026 bringt zahlreiche gesetzliche Neuerungen mit sich. Besonders prägend sind die Weiterentwicklungen im europäischen Digital‑, Datenschutz‑ und Cybersicherheitsrecht. Der folgende Beitrag bietet einen kompakten, praxisnahen Überblick über die wichtigsten gesetzlichen Änderungen im Jahr 2026.
NIS2‑Richtlinie: Neue Pflichten für viele Unternehmen
Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 wurden die Anforderungen an die Cybersicherheit deutlich verschärft. Der Anwendungsbereich wurde erheblich ausgeweitet: Statt den bis dato kategorisierten kritischen Infrastrukturen, gibt es nun auch „wichtige“ und „besonders wichtige Einrichtungen“, wodurch nun auch zahlreiche mittelständische Unternehmen betroffen sind. Unternehmen müssen unter anderem:
- Risikomanagement‑ und Sicherheitsmaßnahmen etablieren,
- Meldepflichten bei Sicherheitsvorfällen einhalten,
- die Verantwortung der Geschäftsleitung für Cybersicherheit wahrnehmen.
Verstöße können zu empfindlichen Bußgeldern und persönlicher Haftung von Leitungsorganen führen.
Cyber Resilience Act (CRA): Sicherheit von Produkten mit digitalen Elementen
Der Cyber Resilience Act folgt auf NIS2 und adressiert die Cybersicherheit von Produkten mit digitalen Elementen – von Software bis zu vernetzten Geräten. Betroffene Unternehmen sollten ihre Prozesse anpassen, denn die ersten Pflichten greifen bereits ab dem 11. September 2026. Alle Akteure, die, vereinfacht gesagt, etwas mit einem Produkt mit digitalen Elementen zu tun haben, müssen den jeweiligen Pflichten nachkommen. Unter anderem müssen sie:
- Sicherheitsanforderungen über den gesamten Produktlebenszyklus erfüllen,
- Schwachstellen aktiv behandeln und melden,
- transparente Informationen zur Cybersicherheit bereitstellen.
Der CRA bringt einen komplett neuen Regulierungsansatz mit sich und verlagert die Verantwortung für Cybersicherheit konsequent über den gesamten Produktlebenszyklus hinweg – von der Entwicklung über das Inverkehrbringen bis hin zu Wartung und Updates.
EU AI Act: Regulierung von Künstlicher Intelligenz
Mit dem EU AI Act entsteht erstmals ein einheitlicher Rechtsrahmen für den Einsatz von Künstlicher Intelligenz. Das Regelwerk folgt einem risikobasierten Ansatz und unterscheidet zwischen verbotenen, hochriskanten und risikoarmen KI‑Systemen. Unternehmen, die KI einsetzen oder entwickeln, müssen sich unter anderem mit folgenden Fragen befassen:
- In welche Risikoklasse fällt das eingesetzte KI‑System?
- Welche Dokumentations‑, Transparenz‑ und Überwachungspflichten gelten?
- Wie werden Mitarbeitende im Umgang mit KI geschult?
Digitaler Omnibus: Vereinfachung mit Augenmaß
Das sogenannte Digital-Omnibus-Verfahren soll dazu beitragen, bestehende europäische Regelwerke zum Datenschutzrecht, Cybersicherheit und KI besser aufeinander abzustimmen und Bürokratie abzubauen. Für Unternehmen könnte dies Erleichterungen mit sich bringen, zugleich könnte jedoch Anpassungsbedarf entstehen. Nach dem derzeitigen Stand bewerten wir die bislang bekannten Entwicklungen – bei aller öffentlichen Aufmerksamkeit – noch als wenig substanziell. Aktuell entsteht eher der Eindruck von viel Wind um nichts bzw. einem regulatorischen „Naseverdrehen“ anstatt konkreten Vereinfachungen. Unabhängig davon verfolgen wir das Verfahren weiterhin aufmerksam und halten Sie über relevante Entwicklungen auf dem Laufenden.
Fazit
Die gesetzlichen Neuerungen im digitalen Rechtsrahmen markieren für Unternehmen einen klaren Wendepunkt. Mit NIS2, dem Cyber Resilience Act und dem EU AI Act verschärft der europäische Gesetzgeber die Anforderungen an Sicherheit, Transparenz und Verantwortlichkeit deutlich. Cybersicherheit, Datenschutz und der Einsatz von Künstlicher Intelligenz werden damit endgültig zu strategischen Managementthemen.
Unternehmen sind gut beraten, frühzeitig ihre Betroffenheit zu prüfen, interne Zuständigkeiten klar zu definieren und bestehende Prozesse sowie Produkte an die neuen regulatorischen Anforderungen anzupassen. Wer jetzt handelt, minimiert Risiken, sichert Compliance und stärkt nachhaltig das Vertrauen von Kunden, Partnern und Aufsichtsbehörden.
Jetzt ist der richtige Zeitpunkt, sich damit auseinanderzusetzen. Wir unterstützen Sie dabei praxisnah und zielgerichtet.
Autor: Markus Vatter, Head of Compliance, 16.01.2026
