Lost in Regulation: Fünf EU-Gesetze und was sie für Tech-Unternehmen bedeuten

Fünf Regelwerke, ein Unternehmen

Die SFSCON ist die Konferenz für freie Software in Südtirol. In der Spur „Digital Sovereignty“ ging es in 15 Minuten um die Frage, wie sich Tech-Unternehmen im EU-Regelwerk zurechtfinden. Der Ausgangspunkt: Fünf Regelwerke betreffen heute die meisten Technologieunternehmen, und das meiste davon gilt bereits. Der Überblick mit Stand November 2026:

• DSGVO: Datenschutz, seit 2018 in Anwendung;
• NIS2: Cyberresilienz, in Italien seit 16. Oktober 2024 über das D.Lgs. 138/2024 in Kraft;
• AI Act: Regeln für KI, Verbote und KI-Kompetenzpflicht seit 2. Februar 2025, Pflichten für Hochrisiko-KI nach dem AI-Omnibus ab 2. Dezember 2027 für eigenständige Systeme und ab 2. August 2028 für KI in regulierten Produkten;
• Data Act: Datenzugang und Anbieterwechsel, seit 12. September 2025 anwendbar, Wechselentgelte entfallen ab 12. Januar 2027;
• Cyber Resilience Act (CRA): Produktsicherheit, Meldepflichten seit 11. September 2026, volle Anwendung ab 11. Dezember 2027.

Jedes dieser Gesetze betrachtet Ihr Unternehmen durch eine andere Brille. Auf die meisten Detailfragen bleibt deshalb die ehrliche Antwort: Es kommt darauf an.

Betrifft mich das? Meistens ja

Ein häufiges Missverständnis: „Dafür sind wir zu klein.“ Ein Blick auf die Auslöser zeigt, warum das selten stimmt:

• DSGVO: Wer personenbezogene Daten verarbeitet, ist dabei. Eine Größenschwelle gibt es nicht.
• NIS2: Die Richtlinie hat Größenschwellen, viele kleine Unternehmen sind deshalb nicht direkt erfasst. Ihre Kunden aber oft schon, und sie müssen ihre Lieferkette absichern (Art. 21 Abs. 2 Buchst. d NIS2-Richtlinie). Bei Ihnen kommt NIS2 dann als Vertragsklausel oder als Sicherheitsfragebogen an.
• CRA: Wer Produkte mit digitalen Elementen auf dem EU-Markt anbietet, ist erfasst, unabhängig vom Firmensitz.
• AI Act: Wer KI-Systeme beruflich einsetzt, ist Betreiber (Art. 3 Nr. 4 AI Act), etwa bei Marketingtexten mit einem KI-Assistenten oder bei Code-Reviews mit KI. Art. 4 verlangt Maßnahmen, um die KI-Kompetenz der Mitarbeitenden zu fördern. Seit 27. Juli 2026 gilt die abgeschwächte Fassung: Ein bestimmtes Kompetenzniveau muss niemand garantieren, die Pflicht selbst bleibt.
• Data Act: Wer Cloud-Dienste oder vernetzte Produkte anbietet, muss Kunden den Wechsel und die Mitnahme ihrer Daten ermöglichen, ab 12. Januar 2027 ohne Wechselentgelte.

Ein Vorfall, drei Uhren

Die Gesetze sind einzeln gut zu verstehen. Schwierig wird es, wenn sie zusammentreffen. Ein Szenario: Am Freitagabend wird eine Schwachstelle in Ihrer SaaS-Lösung ausgenutzt, personenbezogene Daten fließen ab, und einer Ihrer Kunden ist eine NIS2-Einrichtung. Dann laufen drei Fristen parallel:

• NIS2 (Art. 23 NIS2-Richtlinie): Ihr Kunde muss binnen 24 Stunden eine Frühwarnung, binnen 72 Stunden eine Meldung und innerhalb eines Monats einen Abschlussbericht an das CSIRT senden. Dafür braucht er Ihre Informationen, und zwar schnell.
• DSGVO (Art. 33 und 34): 72 Stunden für die Meldung an die Aufsichtsbehörde, bei hohem Risiko müssen auch die Betroffenen informiert werden. Als Auftragsverarbeiter melden Sie unverzüglich an Ihren Verantwortlichen (Art. 33 Abs. 2 DSGVO), der dann seine Frist einhält.
• CRA (Art. 14): Bei einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt gilt als Hersteller eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme, jeweils an das koordinierende CSIRT und an ENISA über die Single Reporting Platform.

Gleicher Vorfall, gleiche Fakten, drei Fristen und drei Empfänger. Die EU-Kommission hat das erkannt: Der Digital Omnibus vom 19. November 2025 schlägt eine zentrale Meldestelle vor, über die ein Vorfall nur einmal gemeldet wird. Außerdem soll die DSGVO-Frist von 72 auf 96 Stunden steigen. Der Rat hat am 21. Oktober 2026 sein Verhandlungsmandat beschlossen, es sieht 96 Stunden und die Meldeschwelle „hohes Risiko“ vor, setzt aber auf nationale statt einer EU-weiten Meldestelle. Beschlossen ist nichts, das Parlament hat noch keine Position. Bis dahin gelten die drei Uhren.

Open Source als Weg zur Nachweisbarkeit

Open Source macht ein Unternehmen nicht automatisch konform. Es macht Konformität aber leichter nachweisbar. Wer Systeme selbst betreibt, hat weniger Auftragsverarbeiter und weniger Datenübermittlungen und damit weniger Papier. Offene Sicherheitswerkzeuge kann ein Prüfer nachvollziehen, ohne in eine Blackbox zu blicken. Offener Quellcode wird von einer Community geprüft, und offene Schnittstellen und Formate machen den Anbieterwechsel zu einem Teil der Architektur statt zu einem Nachrüstprojekt.

Darin liegt auch ein Gedanke zur digitalen Souveränität: Sie bedeutet nicht, alles in Europa zu bauen, sondern die Entscheidungsfähigkeit zu behalten, nämlich was man betreibt, wo die Daten liegen und ob man wechseln kann. Die Regulierung gibt das Recht zu gehen, Open Source gibt die Fähigkeit dazu.

Was Geschäftsführer und Technikverantwortliche jetzt tun sollten

• Betroffenheit klären: festhalten, was Sie entwickeln, welche Daten Sie berühren und wer Ihre Kunden sind, und daraus ableiten, welche der fünf Gesetze gelten.
• Mit dem Aktiven beginnen: risikobasiert vorgehen und zuerst die Systeme und Produkte angehen, die im Ernstfall das größte Risiko tragen.
• Meldeprozess üben: eine gemeinsame Vorfallsvorlage mit den Fristen und Empfängern aus DSGVO, NIS2 und CRA anlegen, Rollen benennen und einmal im Trockenlauf durchspielen.
• Offen und prüfbar bauen: wo möglich Open-Source-Komponenten, offene Schnittstellen und exportierbare Datenformate wählen, damit eine Architekturentscheidung mehrere Pflichten bedient.
• Alles dokumentieren: eine unperfekte, aufgeschriebene Richtlinie ist besser als eine perfekte, die nur im Kopf einer Person existiert.
• Compliance sichtbar machen: in einem Trust Center auf der Website zeigen, was Sie tun, damit der nächste Sicherheitsfragebogen kein Aufwand mehr ist.

Wie sich das Schritt für Schritt umsetzen lässt, begleiten wir bei Nuviax im Zusammenspiel von IT-Security und Datenschutz pragmatisch und passend zu Ihrer tatsächlichen Betroffenheit.

Fazit

Die fünf Gesetze teilen dieselben Grundgedanken: Transparenz, Verantwortlichkeit, Sicherheit von Anfang an und Datensouveränität. Wer sie einmal als Ganzes betrachtet und nicht Gesetz für Gesetz, braucht keine Rechtsabteilung, sondern eine Karte. Das Ergebnis ist mehr als Pflichterfüllung: Wer seine Compliance belegen kann, beantwortet Kundenanfragen gelassen und gewinnt Vertrauen.

Der Weg ist gangbar, man muss nur anfangen.