Die Durchsetzung der NIS2-Richtlinie nimmt in den EU-Mitgliedstaaten Fahrt auf, erste Sanktionen wurden verhängt. Die Frist zur Einhaltung von DORA rückt näher – es verbleiben nur noch 9 Monate. Die Durchsetzung von GDPR erreicht mit Bußgeldern in Höhe von 2,1 Mrd. € für 2025 ein Rekordniveau. Der EU AI Act tritt in die Anwendungsphase ein und die Registrierung von Hochrisikosystemen beginnt. Wichtige Compliance-Updates für Sicherheits- und Risikoteams.
Die Frist für die Umsetzung der NIS2-Richtlinie ist im Oktober 2024 abgelaufen. Die EU-Mitgliedstaaten setzen die Cybersicherheitsanforderungen nun aktiv durch; im ersten Quartal 2026 wurden die ersten Verwaltungssanktionen verhängt. Unternehmen, die gegen die Vorschriften verstoßen, drohen Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2) erweitert die Cybersicherheitsverpflichtungen in der Europäischen Union erheblich:
Deutschland verhängte im Februar 2026 seine erste NIS2-Sanktion gegen einen mittelständischen Cloud-Dienstleister, weil dieser keine Risikomanagementmaßnahmen und Verfahren zur Reaktion auf Vorfälle umgesetzt hatte. Bußgeld: 850.000 €.
Frankreich leitete Untersuchungen gegen 14 Einrichtungen aus dem Gesundheitswesen und dem Bereich der digitalen Infrastruktur ein. Grund waren eine unzureichende Cybersicherheits-Governance und fehlende Mechanismen zur Meldung von Vorfällen.
Die Niederlande veröffentlichten Compliance-Leitlinien, nach denen alle wesentlichen und wichtigen Einrichtungen bis Juni 2026 eine Selbstbewertung abschließen müssen.
Handlungsbedarf: Organisationen im Geltungsbereich müssen unverzüglich die Cybersicherheitsmaßnahmen nach NIS2 umsetzen, darunter Risikomanagement, Reaktion auf Vorfälle, Geschäftskontinuität, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Schwachstellenmanagement.
Der Digital Operational Resilience Act (DORA) tritt am 17. Januar 2025 in Kraft. Finanzunternehmen haben weniger als 9 Monate Zeit, um die vollständige Compliance zu erreichen.
| Säule | Zentrale Anforderungen |
|---|---|
| IKT-Risikomanagement | Umfassender Rahmen für Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung und Lernfähigkeit |
| Vorfallmeldung | Meldung schwerwiegender IKT-Vorfälle an die Aufsichtsbehörden innerhalb strenger Fristen |
| Tests der operativen Resilienz | Regelmäßige Tests, einschließlich bedrohungsorientierter Penetrationstests (TLPT) für bedeutende Unternehmen |
| Drittparteienrisiko | Steuerung externer IKT-Dienstleister durch vertragliche Vereinbarungen, die eine angemessene Aufsicht gewährleisten |
| Informationsaustausch | Teilnahme an Vereinbarungen zum Austausch von Erkenntnissen über Cyberbedrohungen |
DORA führt einen neuen Aufsichtsrahmen für kritische IKT-Drittdienstleister ein. Cloud-Anbieter, Rechenzentrumsbetreiber und Anbieter verwalteter Sicherheitsdienste, die Finanzunternehmen betreuen, unterliegen einer direkten EU-Aufsicht und müssen sich bei den Europäischen Aufsichtsbehörden (ESAs) registrieren.
Zeitdruck: Viele Finanzinstitute melden erhebliche Lücken bei ihrer DORA-Bereitschaft, insbesondere beim Management von Drittparteienrisiken und bei Tests der operativen Resilienz. Die Aufsichtsbehörden bereiten sich auf die Durchsetzung ab dem ersten Tag vor.
Die Durchsetzung von GDPR erreichte 2025 ein beispielloses Niveau. Die EU-Datenschutzbehörden verhängten Verwaltungsbußgelder in Höhe von 2,1 Milliarden € – ein Anstieg von 40 % gegenüber 2024.
650 Mio. € – Große Social-Media-Plattform (irische Datenschutzbehörde)
Verstöße: Rechtswidrige Verarbeitung personenbezogener Daten für verhaltensbasierte Werbung, unzureichende Rechtsgrundlage und mangelnde Transparenz
425 Mio. € – Globales Werbetechnologieunternehmen (französische CNIL)
Verstöße: Weitergabe von Daten bei Echtzeitauktionen ohne gültige Einwilligung und unzureichende Datenminimierung
380 Mio. € – KI-Plattform für das Gesundheitswesen (Deutschland)
Verstöße: Verarbeitung von Gesundheitsdaten ohne angemessene Schutzmaßnahmen und automatisierte Entscheidungsfindung ohne menschliche Aufsicht
Der EU AI Act trat im August 2024 in Kraft. Zentrale Bestimmungen werden zwischen 2026 und 2027 schrittweise anwendbar.
| Datum | Anwendbare Bestimmungen |
|---|---|
| Februar 2026 | Verbotene KI-Praktiken (Artikel 5) |
| Mai 2026 | Anforderungen an KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V) |
| August 2026 | Anforderungen an Hochrisiko-KI-Systeme (Kapitel III) |
| August 2027 | Vollständige Anwendung aller Anforderungen des AI Act |
Seit Februar 2026 sind die folgenden KI-Systeme in der EU verboten:
Das EU-Büro für künstliche Intelligenz wird im zweiten Quartal 2026 die Registrierung von Hochrisiko-KI-Systemen eröffnen. Anbieter müssen Systeme vor dem Inverkehrbringen registrieren. Zu den Hochrisikokategorien zählen biometrische Identifizierung, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung, wesentliche Dienstleistungen, Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse.
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPT-4, Claude, Gemini, Llama usw.) müssen Transparenzanforderungen erfüllen. Für Modelle mit systemischem Risiko (>10^25 FLOPs beim Training) gelten zusätzliche Verpflichtungen, darunter:
Hohes Durchsetzungsrisiko: Organisationen, die in mehreren regulierten Sektoren tätig sind (z. B. Finanzdienstleistungen und Gesundheitswesen), unterliegen sich überschneidenden Compliance-Verpflichtungen aus NIS2, DORA, GDPR und sektorspezifischen Vorschriften. Lücken in einem dieser Rahmenwerke verstärken das regulatorische Risiko.
Risiken in der Lieferkette: Sowohl NIS2 als auch DORA schreiben ausdrücklich Anforderungen an die Lieferkettensicherheit und das Management von Drittparteienrisiken vor. Organisationen, die sich auf nicht konforme Anbieter verlassen, übernehmen deren regulatorische Risiken.
Grenzüberschreitende Komplexität: Die EU-Mitgliedstaaten setzen NIS2 unterschiedlich schnell in nationales Recht um und durch, wodurch für grenzüberschreitend tätige Organisationen zusätzliche Compliance-Komplexität entsteht.
Automatisierte Compliance-Zuordnung für NIS2, DORA, GDPR und EU AI Act. Regulatorische Updates in Echtzeit und Lückenanalyse.
Compliance-Demo buchenCompliance wahren. Informiert bleiben.
🗡️ KENSAI Compliance-Team
6. März 2026
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →