Eine ereignisreiche Woche für die Cybersicherheitsregulierung in der EU. Die Europäische Kommission veröffentlichte einen Entwurf für CRA-Umsetzungsleitlinien für Produkthersteller. Die erste Welle der DSA-Transparenzberichte wurde eingereicht. Eine Koalition aus sieben Staaten veröffentlichte Leitlinien für Sicherheit durch Technikgestaltung bei 6G. Und neue AI-Schwachstellen – darunter ein Gemini-Exploit mit hohem Schweregrad – verdeutlichen, warum der EU AI Act nicht früh genug kommen kann.
Am 3. März 2026 veröffentlichte die Europäische Kommission einen Leitlinienentwurf, der Unternehmen dabei unterstützen soll, die Verpflichtungen des Cyber Resilience Act (CRA) zu erfüllen. Die Leitlinien stehen zur öffentlichen Stellungnahme offen und markieren einen entscheidenden Meilenstein beim Übergang der Verordnung von der Gesetzgebung zur Umsetzung.
Der CRA, der im Dezember 2024 in Kraft trat, legt verbindliche Cybersicherheitsanforderungen für alle in der EU verkauften Produkte mit digitalen Elementen fest. Hersteller, Importeure und Händler müssen sicherstellen, dass die Produkte während ihres gesamten Lebenszyklus die grundlegenden Sicherheitsanforderungen erfüllen.
Die Leitlinien der Kommission behandeln die häufigsten Umsetzungsfragen aus der Industrie:
Handlungsbedarf: Produkthersteller, Softwareunternehmen und IoT-Anbieter, die in der EU tätig sind, sollten den Leitlinienentwurf prüfen und vor Ablauf der Konsultationsfrist eine Stellungnahme einreichen. Unternehmen sollten jetzt mit ihren CRA-Compliance-Programmen beginnen – bis zum Beginn der Meldepflichten im September 2026 bleiben nur noch sechs Monate.
Die erste Runde harmonisierter Transparenzberichte nach dem Digital Services Act (DSA) war bis Ende Februar 2026 fällig. Anbieter von Vermittlungsdiensten – darunter Plattformen, Hosting-Dienste und Suchmaschinen – mussten Berichte veröffentlichen, in denen ihre Aktivitäten zur Inhaltsmoderation, behördliche Anfragen und algorithmische Empfehlungssysteme detailliert dargestellt werden.
Die Europäische Kommission prüft nun die erste Serie von Berichten. Nicht konformen Plattformen drohen Geldbußen von bis zu 6 % des weltweiten Jahresumsatzes. Berichten zufolge haben mehrere kleinere Vermittlungsdienste die Frist versäumt, und die Kommission hat angekündigt, Durchsetzungsmaßnahmen einzuleiten.
Am 4. März 2026 veröffentlichte eine Koalition aus sieben westlichen Staaten – darunter EU-Mitgliedstaaten – umfassende Cybersicherheitsleitlinien für künftige 6G-Telekommunikationsstandards. Der Rahmen schreibt vor, dass Grundsätze der Sicherheit durch Technikgestaltung bereits in den frühesten Phasen der 6G-Entwicklung berücksichtigt werden.
Die Leitlinien greifen unmittelbar die Erkenntnisse aus den Sicherheitskontroversen rund um 5G auf, insbesondere im Hinblick auf Lieferkettenrisiken und das Vertrauen in Anbieter. Zu den zentralen Grundsätzen gehören:
Der Rahmen ist auf den übergeordneten Ansatz der EU im Rahmen von NIS2 und CRA abgestimmt und schafft eine einheitliche regulatorische Position für kritische Telekommunikationsinfrastrukturen.
Die AI-Sicherheitsentwicklungen dieser Woche unterstreichen den dringenden Bedarf an dem regulatorischen Rahmen des EU AI Act:
Google schloss eine Schwachstelle mit hohem Schweregrad (CVSS 8.8) in seiner Gemini-AI-Implementierung im Chrome-Browser. Die von Unit 42 von Palo Alto Networks gemeldete Schwachstelle zur Rechteausweitung hätte es bösartigen Browsererweiterungen mit grundlegenden Berechtigungen ermöglichen können, das Gemini-Live-Panel zu übernehmen – und dadurch auf Nutzergespräche zuzugreifen und Aktionen im Namen des Nutzers auszuführen.
Sicherheitsforscher warnen weiterhin vor einer Welle trojanisierter „AI“-Browsererweiterungen in offiziellen App-Stores. Diese Erweiterungen geben vor, AI-Funktionen bereitzustellen, während sie heimlich Nutzerdaten, Sitzungstoken und Browseraktivitäten exfiltrieren. Dieser Trend nutzt die Nachfrage der Verbraucher nach AI-Werkzeugen bei unzureichender Sicherheit der Marktplätze aus.
Im Context7 MCP Server, einem Werkzeug für AI-Entwicklungspipelines, wurde eine kritische Schwachstelle mit der Bezeichnung „ContextCrush“ entdeckt. Die Schwachstelle könnte es Angreifern ermöglichen, bösartige Anweisungen in AI-Entwicklungsabläufe einzuschleusen und dadurch potenziell bereits an der Quelle AI-Trainingsdaten oder Modellausgaben zu manipulieren.
Zeitplan des EU AI Act: Die Bestimmungen des Gesetzes zu verbotenen Praktiken traten im Februar 2025 in Kraft. Die Verpflichtungen für AI-Systeme mit hohem Risiko gelten ab August 2026. Das EU AI Office entwickelt harmonisierte Standards und Leitlinien. Diese Schwachstellen zeigen genau, warum verbindliche AI-Sicherheitsanforderungen – darunter Risikobewertungen, Schwachstellenmanagement und Transparenzpflichten – unerlässlich sind.
Die EU-Mitgliedstaaten verstärken weiterhin die Durchsetzung von NIS2. Zu den wichtigsten Entwicklungen dieser Woche gehören:
Der Digital Operational Resilience Act gilt seit dem 17. Januar 2025. Finanzunternehmen sollten sich inzwischen in vollständiger Compliance befinden. Zu den wichtigsten Compliance-Aktivitäten im ersten Quartal 2026 gehören:
| Datum | Verordnung | Meilenstein |
|---|---|---|
| Juni 2026 | NIS2 | Niederlande: Frist für die Selbsteinschätzung von Einrichtungen |
| August 2026 | EU AI Act | Verpflichtungen für AI-Systeme mit hohem Risiko treten in Kraft |
| September 2026 | CRA | Meldepflichten für Schwachstellen beginnen |
| 4. Quartal 2026 | DORA | Abschluss des ersten TLPT-Zyklus für bedeutende Unternehmen |
| Dezember 2027 | CRA | Vollständige Produkt-Compliance erforderlich |
Kontinuierliche Compliance-Überwachung für NIS2, DORA, CRA, GDPR und EU AI Act. Regulatorische Verfolgung in Echtzeit mit automatisierter Lückenanalyse.
Kostenlose Bewertung starten →Compliance sichern. Vorsprung bewahren.
🗡️ KENSAI Compliance Intelligence
7. März 2026
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →