Die Durchsetzung der NIS2-Richtlinie beschleunigt sich in den EU-Mitgliedstaaten, und die ersten Sanktionen wurden verhängt. Die DORA-Compliance-Frist rückt näher – es verbleiben nur noch 9 Monate. Die Durchsetzung der GDPR erreicht mit Bußgeldern in Höhe von 2,1 Mrd. € im Jahr 2025 ein Rekordniveau. Der EU AI Act tritt in die Anwendungsphase ein, und die Registrierung von Hochrisikosystemen beginnt. Kritische Compliance-Updates für Sicherheits- und Risikoteams.
Die Frist zur Umsetzung der NIS2-Richtlinie ist im Oktober 2024 abgelaufen. Die EU-Mitgliedstaaten setzen die Cybersicherheitsanforderungen nun aktiv durch; im ersten Quartal 2026 wurden die ersten Verwaltungssanktionen verhängt. Organisationen, die gegen die Vorschriften verstoßen, drohen Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Die Richtlinie über die Sicherheit von Netz- und Informationssystemen 2 (NIS2) erweitert die Cybersicherheitspflichten in der Europäischen Union erheblich:
Deutschland verhängte im Februar 2026 seine erste NIS2-Sanktion gegen einen mittelgroßen Cloud-Dienstanbieter, weil dieser keine Risikomanagementmaßnahmen und Verfahren zur Reaktion auf Sicherheitsvorfälle umgesetzt hatte. Bußgeld: 850.000 €.
Frankreich leitete Ermittlungen gegen 14 Einrichtungen aus dem Gesundheitswesen und dem Bereich der digitalen Infrastruktur ein, weil deren Cybersicherheits-Governance unzureichend war und Mechanismen zur Meldung von Sicherheitsvorfällen fehlten.
Die Niederlande veröffentlichten Compliance-Leitlinien, nach denen alle wesentlichen und wichtigen Einrichtungen bis Juni 2026 eine Selbstbewertung abschließen müssen.
Handlungsbedarf: Betroffene Organisationen müssen unverzüglich NIS2-Cybersicherheitsmaßnahmen umsetzen, darunter Risikomanagement, Reaktion auf Sicherheitsvorfälle, Geschäftskontinuität, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Schwachstellenmanagement.
Der Rechtsakt über die digitale operationale Resilienz (DORA) tritt am 17. Januar 2025 in Kraft. Finanzunternehmen haben weniger als 9 Monate Zeit, um vollständige Compliance zu erreichen.
| Säule | Wesentliche Anforderungen |
|---|---|
| IKT-Risikomanagement | Umfassender Rahmen für Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung und Lernfähigkeit |
| Meldung von Sicherheitsvorfällen | Meldung schwerwiegender IKT-bezogener Vorfälle an die Aufsichtsbehörden innerhalb strenger Fristen |
| Tests der operationalen Resilienz | Regelmäßige Tests, einschließlich bedrohungsorientierter Penetrationstests (TLPT) für bedeutende Unternehmen |
| Drittparteirisiko | Steuerung von IKT-Drittanbietern durch vertragliche Vereinbarungen, die eine angemessene Aufsicht gewährleisten |
| Informationsaustausch | Teilnahme an Vereinbarungen zum Austausch von Erkenntnissen über Cyberbedrohungen |
DORA führt einen neuen Aufsichtsrahmen für kritische IKT-Drittdienstleister ein. Cloud-Anbieter, Rechenzentrumsbetreiber und Anbieter verwalteter Sicherheitsdienste, die Finanzunternehmen betreuen, unterliegen künftig der direkten EU-Aufsicht und müssen sich bei den Europäischen Aufsichtsbehörden (ESAs) registrieren.
Zeitdruck: Viele Finanzinstitute berichten von erheblichen Lücken bei ihrer DORA-Bereitschaft, insbesondere beim Drittparteirisikomanagement und bei Tests der operationalen Resilienz. Die Aufsichtsbehörden bereiten sich auf die Durchsetzung ab dem ersten Tag vor.
Die Durchsetzung der GDPR erreichte 2025 ein beispielloses Niveau: Die EU-Datenschutzbehörden verhängten Verwaltungsbußgelder in Höhe von 2,1 Milliarden € – ein Anstieg von 40 % gegenüber 2024.
650 Mio. € – Große Social-Media-Plattform (irische Datenschutzbehörde)
Verstöße: Unrechtmäßige Verarbeitung personenbezogener Daten für verhaltensbasierte Werbung, unzureichende Rechtsgrundlage, Transparenzmängel
425 Mio. € – Globales Werbetechnologieunternehmen (französische CNIL)
Verstöße: Weitergabe von Daten bei Echtzeitauktionen ohne wirksame Einwilligung, unzureichende Datenminimierung
380 Mio. € – KI-Plattform im Gesundheitswesen (Deutschland)
Verstöße: Verarbeitung von Gesundheitsdaten ohne angemessene Schutzmaßnahmen, automatisierte Entscheidungsfindung ohne menschliche Aufsicht
Der EU AI Act trat im August 2024 in Kraft. Zentrale Bestimmungen werden schrittweise zwischen 2026 und 2027 anwendbar.
| Datum | Anwendbare Bestimmungen |
|---|---|
| Februar 2026 | Verbotene KI-Praktiken (Artikel 5) |
| Mai 2026 | Anforderungen an KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V) |
| August 2026 | Anforderungen an Hochrisiko-KI-Systeme (Kapitel III) |
| August 2027 | Vollständige Anwendung aller Anforderungen des AI Act |
Seit Februar 2026 sind die folgenden KI-Systeme in der EU verboten:
Das EU-Büro für KI wird im zweiten Quartal 2026 die Registrierung von Hochrisiko-KI-Systemen eröffnen. Anbieter müssen Systeme vor dem Inverkehrbringen registrieren. Zu den Hochrisikokategorien gehören: biometrische Identifizierung, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung, grundlegende Dienste, Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse.
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPT-4, Claude, Gemini, Llama usw.) müssen Transparenzanforderungen erfüllen. Für Modelle mit systemischem Risiko (>10^25 FLOPs für das Training) gelten zusätzliche Pflichten, darunter:
Hohes Durchsetzungsrisiko: Organisationen, die in mehreren regulierten Sektoren tätig sind (z. B. Finanzdienstleistungen und Gesundheitswesen), unterliegen sich überschneidenden Compliance-Verpflichtungen aus NIS2, DORA, GDPR und branchenspezifischen Vorschriften. Lücken in einem dieser Rahmenwerke verstärken das regulatorische Risiko.
Risiken in der Lieferkette: Sowohl NIS2 als auch DORA schreiben ausdrücklich Anforderungen an die Lieferkettensicherheit und das Drittparteirisikomanagement vor. Organisationen, die sich auf nicht konforme Anbieter verlassen, übernehmen deren regulatorisches Risiko.
Grenzüberschreitende Komplexität: Die EU-Mitgliedstaaten setzen NIS2 unterschiedlich schnell in nationales Recht um und durch, was die Compliance für grenzüberschreitend tätige Organisationen erschwert.
Automatisierte Compliance-Zuordnung für NIS2, DORA, GDPR und EU AI Act. Regulatorische Updates und Lückenanalysen in Echtzeit.
Compliance-Demo buchenCompliance wahren. Informiert bleiben.
🗡️ KENSAI Compliance-Team
6. März 2026
Dieser Beitrag ist einer der wenigen eindeutigen Gewinner und leitet Besucher deshalb nun zu angrenzenden Compliance-Seiten und vernachlässigten Archivseiten weiter.
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →