← Zurück zum Sicherheitsblog

EU-Parlament stimmt für Vereinfachung des AI Act, ENISA startet CRA-Umfrage für KMU, Leitlinien zum Zusammenspiel von DMA und GDPR veröffentlicht

Die Ausschüsse IMCO und LIBE des Europäischen Parlaments haben sich auf weitreichende Vorschläge zur Vereinfachung des EU AI Act geeinigt, darunter Verbote für sogenannte KI-„Nudifier“-Systeme. ENISA startet eine Umfrage zur Vorbereitung auf den Cyber Resilience Act, die sich an KMU richtet. Die Europäische Kommission und der EDPB veröffentlichen die Ergebnisse der Konsultation zum Zusammenspiel von DMA und GDPR. Das ECCC startet im Rahmen von Horizon Europe einen Förderaufruf über 56,2 Millionen Euro für Cybersicherheitsforschung. Entscheidende regulatorische Entwicklungen für Compliance-Teams — 20. März 2026.

---

🤖 EU-Parlament einigt sich auf Vereinfachung der Vorschriften des AI Act

Was sich geändert hat

Die Vereinfachungsvorschläge greifen einen der bedeutendsten Kritikpunkte am AI Act seit seiner Verabschiedung auf — die Komplexität der Umsetzung. Zu den wichtigsten Änderungen gehören:

• Vereinfachte Compliance-Dokumentation: Weniger Dokumentationsaufwand für KMU, die KI-Systeme mit geringem Risiko einsetzen
• Klare Fristen für Hochrisikosysteme: Konkrete Anwendungsfristen für die Anforderungen an Hochrisikosysteme beseitigen Unklarheiten in Compliance-Fahrplänen
• Verbot von KI-Nudifiern: Ausdrückliches Verbot von KI-Systemen, die nicht einvernehmliche intime Bilder erzeugen — eingeordnet neben bereits bestehenden verbotenen Praktiken
• KMU-freundliche Bestimmungen: Zugang zu regulatorischen Reallaboren und Unterstützungsmaßnahmen für kleinere Unternehmen

Auswirkungen auf Organisationen

Für Organisationen, die sich bereits auf die Einhaltung des AI Act vorbereiten, schaffen diese Vereinfachungsmaßnahmen willkommene Klarheit. Betreiber von Hochrisiko-KI-Systemen — insbesondere im Gesundheitswesen, in kritischen Infrastrukturen und bei Finanzdienstleistungen — verfügen nun über konkrete Fristen, auf die sie hinarbeiten können, statt der bisherigen unklaren Formulierung einer „schrittweisen Anwendung“.

Das Verbot von Nudifiern ergänzt die Liste der verbotenen Praktiken des AI Act um eine neue Kategorie und könnte Folgen für die Durchsetzung gegenüber Plattformen für generative KI haben, denen angemessene Schutzmaßnahmen zur Inhaltsmoderation fehlen.

---

🔒 ENISA startet Umfrage zum Cyber Resilience Act für KMU

Bewertung der CRA-Bereitschaft

Die Agentur der Europäischen Union für Cybersicherheit (ENISA) startete am 18. März 2026 eine umfassende Umfrage, die sich an kleine und mittlere Unternehmen (KMU) richtet und deren Bereitschaft für den Cyber Resilience Act (CRA) bewerten soll. Die Umfrage soll Aufschluss über folgende Aspekte geben:

• Allgemeiner Bekanntheitsgrad des CRA bei KMU
• Wie gut vorbereitet und ausgereift sich KMU im Hinblick auf die CRA-Compliance einschätzen
• Welche Arten von Unterstützung KMU als besonders hilfreich erachten
• Aktuelle Cybersicherheitspraktiken und bestehende Lücken

Warum das wichtig ist

Der CRA legt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die auf dem EU-Markt verkauft werden. Für Hardware- und Softwarehersteller bedeutet dies:

• Sicherheit durch Technikgestaltung: Produkte müssen vor ihrer Markteinführung grundlegende Cybersicherheitsanforderungen erfüllen
• Schwachstellenbehandlung: Hersteller müssen während des gesamten Produktlebenszyklus Sicherheitsupdates bereitstellen und Schwachstellen behandeln
• Vorfallmeldung: Die aktive Ausnutzung von Schwachstellen muss innerhalb von 24 Stunden gemeldet werden
• Dokumentation: Technische Dokumentation zum Nachweis der Konformität mit den wesentlichen Anforderungen

---

⚖️ Zusammenspiel von DMA und GDPR: Konsultationsergebnisse veröffentlicht

Das Spannungsverhältnis zwischen Digital Markets Act und GDPR lösen

Am 12. März 2026 veröffentlichten die Europäische Kommission und der Europäische Datenschutzausschuss (EDPB) die einzelnen Beiträge aus der öffentlichen Konsultation zum Entwurf gemeinsamer Leitlinien über das Zusammenspiel zwischen dem Digital Markets Act (DMA) und der Datenschutz-Grundverordnung (GDPR).

Diese Veröffentlichung befasst sich mit einer entscheidenden regulatorischen Grauzone: wie benannte „Gatekeeper“ (Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft) die Datenweitergabepflichten des DMA mit den Datenschutzanforderungen der GDPR in Einklang bringen.

Zentrale Spannungsfelder

• Datenübertragbarkeit vs. Datenminimierung: Der DMA verpflichtet Gatekeeper, Datenübertragbarkeit zu ermöglichen, während die GDPR Datenminimierung vorschreibt — die Leitlinien erläutern, wie diese Pflichten miteinander vereinbart werden können
• Einwilligungsrahmen: Wie Einwilligungsmechanismen von Gatekeepern gemäß Artikel 5 des DMA mit den Einwilligungsanforderungen der GDPR zusammenwirken
• Dienstübergreifende Datenzusammenführung: Beschränkungen für die Zusammenführung personenbezogener Daten über zentrale Plattformdienste hinweg ohne ausdrückliche, GDPR-konforme Einwilligung
• Zugangsrechte Dritter: Wie Dritte ihre Zugangsrechte nach dem DMA unter Wahrung der GDPR-Compliance ausüben können

---

📊 Jährliche Compliance-Berichte der DMA-Gatekeeper

Alle sechs benannten Gatekeeper — Alphabet, Amazon, Apple, ByteDance, Meta und Microsoft — reichten am 9. März 2026 ihre aktualisierten Berichte über Compliance-Maßnahmen ein, wie es der Digital Markets Act vorschreibt. Die Berichte beschreiben die im vergangenen Jahr umgesetzten Änderungen und ergriffenen Maßnahmen seit ihrer erstmaligen Benennung im September 2023.

Die Kommission prüft diese Berichte nun, um zu beurteilen, ob die Gatekeeper bei der Erfüllung ihrer DMA-Verpflichtungen ausreichende Fortschritte erzielt haben. Dazu gehören:

• Zulassung von App-Stores Dritter und Sideloading
• Ermöglichung der Interoperabilität von Nachrichtendiensten
• Bereitstellung von Datenübertragbarkeit für Endnutzer
• Gewährleistung fairer Rankings und Einhaltung der Beschränkungen für Selbstbevorzugung
• Ermöglichung der Deinstallation vorinstallierter Apps

---

💰 ECCC-Förderaufruf für Cybersicherheit über 56,2 Millionen Euro

Horizon-Europe-Programm

Das Europäische Kompetenzzentrum für Cybersicherheit (ECCC) startete am 17. März 2026 im Rahmen des Horizon-Europe-Programms einen neuen Aufruf zur Einreichung von Vorschlägen mit einem Richtbudget von bis zu 56,2 Millionen Euro. Dies ist einer der größten einzelnen Förderaufrufe für Cybersicherheitsforschung in der Geschichte der EU.

Schwerpunkte

Während konkrete Einzelheiten zu den Themen über das EU-Portal für Fördermittel und Ausschreibungen veröffentlicht werden, haben frühere ECCC-Aufrufe folgende Bereiche priorisiert:

• KI-gestützte Bedrohungserkennung und -abwehr
• Unterstützung beim Übergang zur Post-Quanten-Kryptografie
• Werkzeuge für die Sicherheit der Lieferkette
• Entwicklung von Cybersicherheitskompetenzen und Schulung von Fachkräften
• Forschung zum Schutz kritischer Infrastrukturen
• Cybersicherheit für KMU und den öffentlichen Sektor

---

🌐 Digital-Europe-Programm passt sich an

Am 19. März 2026 gab die Europäische Kommission bekannt, dass sich das Digital-Europe-Programm anpasst, um den sich wandelnden digitalen Anforderungen Europas gerecht zu werden. Während die vollständigen Einzelheiten noch veröffentlicht werden, fördert das Programm weiterhin:

• Ausbau der Cybersicherheitskapazitäten in den Mitgliedstaaten
• Unterstützung beim Einsatz von KI im öffentlichen und privaten Sektor
• Schulungen für fortgeschrittene digitale Kompetenzen
• Konsortien für europäische digitale Infrastrukturen (EDICs)
• Entwicklung von Cloud-to-Edge-Infrastrukturen

Darüber hinaus hat die EU 200 Millionen Euro über die Fazilität „Connecting Europe“ (CEF) für Hochleistungsnetzprojekte einschließlich Unterseekabeln zugesagt — zur Stärkung des Rückgrats der digitalen Infrastruktur, das die Widerstandsfähigkeit im Bereich Cybersicherheit trägt.

---

📅 Stand der Durchsetzung von NIS2 und DORA — März 2026

NIS2-Aktualisierung

Die Durchsetzung von NIS2 wird in der gesamten EU weiter beschleunigt. Stand März 2026:

• Erste Sanktionen wurden im ersten Quartal 2026 verhängt — gegen nicht konforme wesentliche Einrichtungen
• Die Mitgliedstaaten stellen ihre nationalen Umsetzungsgesetze weiterhin fertig — einige liegen noch immer hinter der Frist vom Oktober 2024 zurück
• Die aktualisierte Methodik für Cybersicherheitsübungen von ENISA (veröffentlicht am 16. Februar 2026) bietet Organisationen praktische Werkzeuge für die gemäß NIS2 erforderlichen Übungen zur Reaktion auf Sicherheitsvorfälle
• Die Bußgelder für wesentliche Einrichtungen betragen weiterhin bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes

DORA-Countdown

Finanzunternehmen mussten den Digital Operational Resilience Act bis zum 17. Januar 2025 umsetzen — diese Frist ist inzwischen abgelaufen. Zu den wichtigsten Entwicklungen bei der Durchsetzung gehören:

• Die Europäischen Aufsichtsbehörden (ESAs) führen aufsichtsrechtliche Prüfungen durch
• Register von ICT-Drittdienstleistern müssen geführt und auf Anfrage vorgelegt werden können
• Anforderungen an bedrohungsorientierte Penetrationstests (TLPT) werden für systemrelevante Institute durchgesetzt
• Der Aufsichtsrahmen für kritische ICT-Drittdienstleister (CTPP) ist in Kraft

---

📋 Compliance-Maßnahmen — März 2026

1. AI Act:
   • Die Vereinfachungsvorschläge des Parlaments auf ihrem Weg in den Trilog verfolgen
   • KI-Systeme auf verbotene Praktiken einschließlich Nudifier-Funktionen prüfen
   • Alle KI-Einsätze nach Risikostufe klassifizieren (unannehmbar/hoch/begrenzt/minimal)
   • KMU: Zugang zu regulatorischen Reallaboren im eigenen Mitgliedstaat prüfen
2. Cyber Resilience Act:
   • KMU: An der ENISA-Umfrage zur CRA-Bereitschaft teilnehmen
   • Hardware-/Softwarehersteller: Auf die Meldepflichten ab September 2026 vorbereiten
   • Jetzt Prozesse zur Behandlung von Schwachstellen implementieren
   • Zusagen zu Sicherheitsupdates während des Produktlebenszyklus überprüfen
3. NIS2 (aktive Durchsetzung):
   • Prüfen, ob die Organisation in den Anwendungsbereich fällt, und Compliance-Maßnahmen vollständig umsetzen
   • Cybersicherheitsübungen nach der aktualisierten Methodik von ENISA durchführen
   • Fähigkeiten zur Meldung von Vorfällen innerhalb von 24/72 Stunden überprüfen
   • Sicherheitsbewertungen der Lieferkette dokumentieren
4. DORA (nach Ablauf der Frist):
   • Register von ICT-Drittdienstleistern führen
   • Programme für bedrohungsorientierte Penetrationstests durchführen
   • Verträge mit ICT-Dienstleistern prüfen und aktualisieren
   • Auf Prüfungen durch Aufsichtsbehörden vorbereiten
5. GDPR/DMA:
   • Leitlinien zum Zusammenspiel von DMA und GDPR für plattformabhängige Geschäftsprozesse prüfen
   • Mechanismen zur Datenübertragbarkeit auf DMA-Compliance prüfen
   • Einwilligungsrahmen aktualisieren, um sowohl DMA als auch GDPR zu entsprechen