Die Durchsetzung der NIS2-Richtlinie beschleunigt sich in den EU-Mitgliedstaaten, erste Strafen wurden verhängt. Die DORA-Compliance-Frist naht — nur noch 9 Monate. Die GDPR-Durchsetzung erreicht Rekordniveau mit 2,1 Mrd. € Strafen für 2025. Der EU-AI-Act tritt in die Anwendungsphase, die Registrierung für Hochrisikosysteme öffnet. Kritische Compliance-Updates für Security- und Risk-Teams.
Die Umsetzungsfrist der NIS2-Richtlinie verstrich im Oktober 2024. Die EU-Mitgliedstaaten setzen die Cybersicherheitsanforderungen nun aktiv durch, die ersten Bußgelder wurden im 1. Quartal 2026 verhängt. Als nicht konform befundenen Organisationen drohen Bußgelder bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Die Network-and-Information-Security-Richtlinie 2 (NIS2) erweitert die Cybersicherheitspflichten in der Europäischen Union erheblich:
Deutschland verhängte im Februar 2026 seine erste NIS2-Strafe gegen einen mittelgroßen Cloud-Dienstleister wegen fehlender Umsetzung von Risikomanagementmaßnahmen und Incident-Response-Verfahren. Bußgeld: 850.000 €.
Frankreich eröffnete Untersuchungen gegen 14 Einrichtungen in den Sektoren Gesundheit und digitale Infrastruktur wegen unzureichender Cybersicherheits-Governance und fehlender Vorfallmeldemechanismen.
Die Niederlande veröffentlichten Compliance-Leitlinien, die alle wesentlichen und wichtigen Einrichtungen verpflichten, bis Juni 2026 eine Selbstbewertung abzuschließen.
Handlungsbedarf: Erfasste Organisationen müssen NIS2-Cybersicherheitsmaßnahmen sofort umsetzen, darunter Risikomanagement, Incident Response, Geschäftskontinuität, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Schwachstellenbehandlung.
Der Digital Operational Resilience Act (DORA) tritt am 17. Januar 2025 in Kraft. Finanzunternehmen bleiben weniger als 9 Monate, um vollständige Compliance zu erreichen.
| Säule | Zentrale Anforderungen |
|---|---|
| IKT-Risikomanagement | Umfassender Rahmen für Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung und Lernfähigkeiten |
| Vorfallmeldung | Schwere IKT-Vorfälle werden den Aufsichtsbehörden innerhalb strikter Fristen gemeldet |
| Test der operativen Resilienz | Regelmäßige Tests inklusive bedrohungsgeführtem Penetrationstest (TLPT) für bedeutende Einrichtungen |
| Drittanbieter-Risiko | Steuerung von IKT-Drittanbietern mit vertraglichen Regelungen, die Aufsicht sicherstellen |
| Informationsaustausch | Teilnahme an Vereinbarungen zum Austausch von Cyber-Bedrohungsinformationen |
DORA führt einen neuen Aufsichtsrahmen für kritische IKT-Drittdienstleister ein. Cloud-Anbieter, Rechenzentrumsbetreiber und Managed-Security-Service-Provider, die Finanzunternehmen bedienen, unterliegen direkter EU-Aufsicht und müssen sich bei den Europäischen Aufsichtsbehörden (ESAs) registrieren.
Zeitdruck: Viele Finanzinstitute berichten von erheblichen Lücken in der DORA-Bereitschaft, besonders beim Drittanbieter-Risikomanagement und beim Test der operativen Resilienz. Die Aufsichtsbehörden bereiten die Durchsetzung ab dem ersten Tag vor.
Die GDPR-Durchsetzung erreichte 2025 ein beispielloses Niveau: EU-Datenschutzbehörden verhängten 2,1 Milliarden € an Bußgeldern — ein Anstieg von 40 % gegenüber 2024.
650 Mio. € — große Social-Media-Plattform (irische DPA)
Verstöße: unrechtmäßige Verarbeitung personenbezogener Daten für verhaltensbasierte Werbung, unzureichende Rechtsgrundlage, Transparenzmängel
425 Mio. € — globales Adtech-Unternehmen (französische CNIL)
Verstöße: Weitergabe von Real-Time-Bidding-Daten ohne gültige Einwilligung, unzureichende Datenminimierung
380 Mio. € — Gesundheits-KI-Plattform (Deutschland)
Verstöße: Verarbeitung von Gesundheitsdaten ohne angemessene Schutzmaßnahmen, automatisierte Entscheidungen ohne menschliche Aufsicht
Der EU Artificial Intelligence Act trat im August 2024 in Kraft. Zentrale Bestimmungen gelten schrittweise bis 2026-2027.
| Datum | Geltende Bestimmungen |
|---|---|
| Februar 2026 | Verbotene KI-Praktiken (Artikel 5) |
| Mai 2026 | Anforderungen an KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V) |
| August 2026 | Anforderungen an Hochrisiko-KI-Systeme (Kapitel III) |
| August 2027 | Vollständige Anwendung aller AI-Act-Anforderungen |
Seit Februar 2026 sind die folgenden KI-Systeme in der EU verboten:
Das EU-AI-Office öffnet im 2. Quartal 2026 die Registrierung für Hochrisiko-KI-Systeme. Anbieter müssen Systeme vor dem Inverkehrbringen registrieren. Zu den Hochrisiko-Kategorien zählen: biometrische Identifizierung, kritische Infrastruktur, Bildung/Berufsausbildung, Beschäftigung, wesentliche Dienste, Strafverfolgung, Migration/Grenzkontrolle sowie Justiz/demokratische Prozesse.
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPT-4, Claude, Gemini, Llama usw.) müssen Transparenzanforderungen erfüllen und, für Modelle mit systemischem Risiko (>10^25 FLOPs Training), zusätzliche Pflichten, darunter:
Hohes Durchsetzungsrisiko: Organisationen in mehreren regulierten Sektoren (z. B. Finanzdienstleistungen + Gesundheit) stehen überlappenden Compliance-Pflichten aus NIS2, DORA, GDPR und sektorspezifischen Vorschriften gegenüber. Lücken in einem Rahmen erzeugen sich verstärkendes regulatorisches Risiko.
Lieferketten-Exposition: Sowohl NIS2 als auch DORA schreiben ausdrücklich Lieferkettensicherheit und Drittanbieter-Risikomanagement vor. Organisationen, die sich auf nicht konforme Anbieter verlassen, erben deren regulatorisches Risiko.
Grenzüberschreitende Komplexität: Verschiedene EU-Mitgliedstaaten setzen NIS2 in unterschiedlichem Tempo um und durch, was für grenzüberschreitend tätige Organisationen Compliance-Komplexität schafft.
Automatisiertes Compliance-Mapping für NIS2, DORA, GDPR und EU-AI-Act. Echtzeit-Regulierungsupdates und Gap-Analyse.
Compliance-Demo buchenBleiben Sie compliant. Bleiben Sie informiert.
🗡️ KENSAI Compliance Team
6. März 2026
Dieser Beitrag ist einer der wenigen klaren Gewinner und leitet Besucher nun in angrenzende Compliance- und vernachlässigte Archivseiten.
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →