Regulierungswelle 2026: NIS2, DORA, AI Act und CRA im Überblick

Inhalt in Kürze

• Vier EU-Regulierungen treffen Unternehmen nahezu gleichzeitig: NIS2, DORA, AI Act und CRA.
• In Deutschland sind rund 20.850 Einrichtungen (BT-Drs. 20/13184) allein von NIS2 betroffen — viele wissen es noch nicht.
• Die Bußgelder reichen bis 35 Mio. Euro oder 7 % des Umsatzes (AI Act).
• Wer die Anforderungen integriert umsetzt, spart 30–40 % Aufwand gegenüber Einzelprojekten.

DSGVO kennen Sie. Aber wissen Sie auch, was NIS2, DORA, AI Act und CRA für Ihr Unternehmen bedeuten? Vier EU-Regulierungen, die zwischen 2025 und 2026 scharfgeschaltet werden — teilweise gleichzeitig. Und die meisten KMU haben davon noch nie gehört.

Das ist kein theoretisches Compliance-Problem. Das sind Bußgelder, Meldepflichten und Geschäftsführerhaftung. Hier der Überblick, den Sie brauchen.

Die vier Regulierungen auf einen Blick

NIS2: IT-Sicherheit wird Pflicht

Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025. Betroffen sind Unternehmen ab 50 Mitarbeitern oder bei jeweils über 10 Mio. Euro Umsatz und Bilanzsumme in 18 Sektoren — von Energie über Gesundheit bis IT-Dienstleistungen. Neu: Auch Zulieferer können betroffen sein.

Kernpflichten: Risikomanagement, Vorfallmeldung an das BSI innerhalb von 24 Stunden, Lieferkettensicherheit und persönliche Haftung der Geschäftsführung.

DORA: Finanzsektor unter der Lupe

DORA gilt seit Januar 2025 für Banken, Versicherungen, Zahlungsdienstleister und deren kritische IT-Dienstleister. Fünf Säulen: IKT-Risikomanagement, Vorfallmeldung, Resilienztests, Drittanbieter-Management, Informationsaustausch.

Details: Siehe unser DORA-Leitfaden für Finanzunternehmen.

AI Act: KI-Systeme reguliert

Der AI Act regelt den Einsatz von KI-Systemen nach Risikokategorien. Seit Februar 2025 gilt bereits die KI-Kompetenzpflicht nach Art. 4: Jedes Unternehmen, das KI-Systeme nutzt, muss sicherstellen, dass Mitarbeiter ausreichend geschult sind.

Seit dem 2. August 2026 greifen die Transparenzpflichten nach Art. 50; zuständig ist in Deutschland die Bundesnetzagentur, seit das KI-MIG am 29. Juli 2026 in Kraft trat. Die strengen Anforderungen an Hochrisiko-KI-Systeme (Personalauswahl, Kreditscoring, Gesundheits-KI) wurden dagegen durch den KI-Omnibus verschoben — auf den 2. Dezember 2027 für eigenständige Systeme und den 2. August 2028 für KI in regulierten Produkten. Die aktuelle Fristenübersicht finden Sie hier.

CRA: Produktsicherheit für Software

Der Cyber Resilience Act richtet sich an Hersteller von Produkten mit digitalen Elementen — von Routern über Smart-Home-Geräte bis zu ausgelieferter Software und Firmware. Reine SaaS-Plattformen gehören ausdrücklich nicht dazu: Für Cloud-Computing-Dienste und Dienstmodelle wie SaaS, PaaS und IaaS gilt nach Erwägungsgrund 12 die NIS2-Richtlinie, nicht der CRA. Wer neben dem Webdienst allerdings eine App, einen Client oder einen Agenten ausliefert, ist dafür Hersteller.

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — gleichzeitig an das zuständige CSIRT und an die ENISA. Die vollen Anforderungen (grundlegende Anforderungen nach Anhang I, technische Dokumentation, Konformitätsbewertung, CE) gelten ab dem 11. Dezember 2027 (Art. 71 Abs. 2). Für Bestandsprodukte greifen sie erst mit der nächsten wesentlichen Änderung (Art. 69 Abs. 2). Ausführlich: Die CRA-Pflichten für Hersteller.

Was sich überschneidet — und wo nicht

Aus der Praxis

Es trifft auch die kleineren Unternehmen. Die denken, das sei alles nur für Konzerne. Aber NIS2 allein betrifft in Deutschland rund 20.850 Einrichtungen — viele davon mit unter 250 Beschäftigten. Und wer für einen NIS2-Betroffenen als Zulieferer arbeitet, wird mitgezogen.

Nils OehmichenDatenschutzberater bei frag.hugo

Ihre Checkliste: So bereiten Sie sich vor

• Betroffenheitscheck. Fallen Sie unter NIS2 (18 Sektoren, ≥50 MA)? Unter DORA (Finanzsektor)? Nutzen Sie KI (AI Act)? Bringen Sie Produkte mit digitalen Elementen in Verkehr (CRA)? Für die letzte Frage gibt es den kostenlosen CRA-Hersteller-Check.
• ISMS als Basis. Ein Informationssicherheits-Managementsystem nach ISO 27001 deckt 60–80 % der Anforderungen aus NIS2, DORA und CRA gleichzeitig ab.
• Meldeprozesse aufsetzen. NIS2 verlangt 24 Stunden an die gemeinsame Meldestelle von BSI und BBK, DORA hat eigene Fristen, der CRA seit September 2026 24 Stunden gleichzeitig an CSIRT und ENISA. Definieren Sie jetzt, wer was wohin meldet — die Adressaten sind unterschiedlich.
• KI-Inventar erstellen. Welche KI-Systeme setzen Sie ein? ChatGPT zählt. Copilot zählt. Jedes Tool mit KI-Komponente muss erfasst werden.
• Geschäftsführung einbinden. Bei NIS2 und DORA haftet die Geschäftsführung persönlich. Schulung und Freigabe der Sicherheitsstrategie sind Chefsache.
• Integriert umsetzen. Nicht vier Einzelprojekte starten, sondern ein Compliance-Programm. Das spart 30–40 % Aufwand.

Was bedeutet das für Hamburger Unternehmen?

Hamburg als Hafen-, Medien- und Finanzstandort ist von allen vier Regulierungen betroffen: Logistik und Hafen (NIS2), Banken und Versicherungen (DORA), Tech-Startups und Agenturen (AI Act + CRA). Als IT-Sicherheitsberatung in Hamburg helfen wir Ihnen, die Betroffenheit zu klären und einen integrierten Umsetzungsplan zu erstellen.

Häufige Fragen (FAQ)

Welche neuen EU-Regulierungen gelten 2025/2026?

Vier zentrale Gesetze: NIS2 (seit Dezember 2025), DORA (seit Januar 2025), AI Act (gestaffelt seit Februar 2025) und CRA (Meldepflicht seit September 2026).

Bin ich von mehreren Regulierungen gleichzeitig betroffen?

Sehr wahrscheinlich. Ein IT-Dienstleister, der für Banken arbeitet und KI einsetzt, fällt unter NIS2, DORA und AI Act gleichzeitig.

Welche Bußgelder drohen?

NIS2: bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen); Prozentsätze erst ab 500 Mio. € Gesamtumsatz und an Stelle des Festbetrags. DORA: Zwangsgelder. AI Act: bis 35 Mio. Euro / 7 % Umsatz. CRA: bis 15 Mio. Euro oder 2,5 % Umsatz, der höhere Betrag — gegen Kleinst- und Kleinunternehmen aber keine Bußgelder wegen Versäumens der 24-Stunden-Frist (Art. 64 Abs. 10 CRA).

Kann ich die Anforderungen zusammen umsetzen?

Ja — ein ISMS nach ISO 27001 deckt 60–80 % ab und spart 30–40 % Aufwand gegenüber Einzelprojekten.

Was muss ich als Erstes tun?

Betroffenheitscheck: NIS2 (18 Sektoren, ≥50 MA), DORA (Finanzsektor), AI Act (jeder KI-Nutzer), CRA (Hersteller von Produkten mit digitalen Elementen). Dann ISMS als Basis aufbauen.