2026 wird das Jahr der IT-Compliance. Mehrere zentrale EU-Digitalgesetze für Cybersicherheit und Datenschutz treten jetzt endgültig in Kraft. Unternehmen müssen sich mit neuen Anforderungen rund um KI, Cybersicherheit und Datenmanagemnent auseinandersetzen. Wichtige Meilensteine sind unter anderem der 2. August 2026 im Rahmen des AI Acts (Hochrisiko-KI)sowie weitere Anwendungsfristen des Cyber Resilience Acts (CRA) sowie den Data Acts. Eines ist klar: IT-Sicherheit wächst vom reinen IT-Thema zur Chefsache heran. Wer nicht handelt, riskiert je nach Rechtslage erhebliche Bußgelder und Haftungsrisiken. IT-Abteilungen und Unternehmensleitungen müssen jetzt an einem Strang ziehen und feste Governance-Rollen etablieren. Wir bringen für Sie Licht ins Dunkel und zeigen Ihnen, worauf es jetzt wirklich ankommt.
Wichtiger Hinweis: Dieser Artikel bietet Ihnen eine praxisnahe Orientierung für Unternehmen in Deutschland und der EU, ersetzt jedoch keine individuelle Rechtsberatung.
Einführung: IT-Gesetze 2026 als Wendepunkt
2026 markiert den Moment, in dem IT-Recht vom reinen Randthema zum operativen Steuerungsinstrument wird. Viele der in den Vorjahren beschlossenen EU-Verordnungen und nationalen Gesetze werden nun schrittweise wirksam – Übergangsfristen enden, Meldepflichten greifen und die Aufsichtsbehörden schauen genauer hin. Die regulatorischen Anforderungen nehmen dabei deutlich zu: AI Act, Data Act, die nationale Umsetzung der NIS-2-Richtlinie, Cyber Resilience Act und DORA stellen Unternehmen vor Herausforderungen und treffen gleichzeitig auf IT-Abteilungen, die ohnehin permanent unter Druck stehen.
Für die Wirtschaft und Gesellschaft bedeutet das konkrete Neuerungen in der Art, wie digitale Produkte entwickelt, betrieben und überwacht werden. Verbraucher profitieren von mehr Kontrolle über persönliche Daten durch neue IT-Regulierungen und von einer höheren Sicherheit bei KI-gestützten Diensten.
Dieser Artikel richtet sich an CIOs, CISOs, CDOs, IT-Leiter und Compliance-Verantwortliche, die wissen müssen, was jetzt konkret zu tun ist. Wir bei der MR Datentechnik unterstützen den Mittelstand, die Industrie und Öffentliche Auftraggeber (Public Sector) als strategischer Partner dabei, diesen regulatorischen Dschungel pragmatisch zu meistern.
Warum 2026 zum Praxisjahr der IT-Gesetze wird
Bis Ende 2025 sind viele Verordnungen formal in Kraft getreten – aber erst 2026 werden jedoch zahlreiche weitere Pflichten und Anwendungsfristen wirksam. Das liegt vor allem an den gestaffelten Anwendungsfristen, die jetzt auslaufen:
- NIS-2-Umsetzungsgesetz:
In Deutschland ist das Gesetz seit dem 6. Dezember 2025 ohne Übergangsfrist wirksam. Die operativen BSI-Prozesse, Registrierungen und Meldeketten laufen bis Mitte 2026 vollständig an. - EU AI Act (Verordnung 2024/1689):
Ab August 2026 gelten weitere zentrale Anforderungen der KI-Verordnung, darunter Transparenzpflichten sowie weitere operative Vorgaben. Für bestimmte Hochrisiko-KI-Systeme wurden einzelne Fristen inzwischen verlängert. - Cyber Resilience Act (CRA):
Ab September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle. - Kontrollen werden real:
Mit den neuen Anwendungsfristen rückt die praktische Umsetzung stärker in den Fokus. Unternehmen sollten deshalb ihre Dokumentation, Nachweise und Compliance-Prozesse überprüfen, da Aufsichtsbehörden die Einhaltung der geltenden Anforderungen zunehmend kontrollieren
Überblick: Zentrale IT-Gesetze 2026 und ihre Schnittstellen
Ein Blick auf die zentralen Regelwerke, die 2026 weitere Anwendungsfristen erreichen, zeigt: Es geht nicht um isolierte Einzelgesetze, sondern um eine zusammenhängende europäische Architektur für Cybersicherheit, Datenregulierung und digitale Resilienz. Die Gesetze 2026 bilden ein engmaschiges Netz aus Compliance-Anforderungen, das verschiedene Technologien, Sektoren und Bereiche abdeckt.
- NIS-2-Umsetzungsgesetz: Cybersicherheit, Meldepflichten, Management-Verantwortung.
- Cyber Resilience Act (CRA): Security by Design für Produkte mit digitalen Elementen.
- EU AI Act: Risikoklassen und KI-Regulierung für künstliche Intelligenz.
- EU Data Act: Datenzugang, Portabilität, Interoperabilität.
- DORA: Digitale Resilienz und IKT-Risikomanagement im Finanzsektor.
Diese Digitalgesetze überlappen sich in zentralen Kernbereichen: Risikomanagement, Dokumentation, Incident Reporting und Lieferketten-Management.
Unsere Empfehlung: Betrachten Sie diese Vorgaben nicht isoliert in Silos, sondern fassen Sie diese als integriertes IT-Thema in einem zusammenhängenden Compliance-Programm zusammen.
NIS-2-Umsetzungsgesetz: Verbindliches Cyber-Risikomanagement
Die NIS-2-Richtlinie wird 2026 mit Ihrer nationalen Umsetzung verbindlich für Unternehmen – und zwar nicht nur für klassische KRITIS-Betreiber. Das deutsche NIS-2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft und betrifft rund 29.500 Einrichtungen in Deutschland. NIS-2 erweitert den Anwendungsbereich auf zahlreiche neue Branchen – darunter Energie, Gesundheit, Verkehr, digitale Dienstleistungen, Verwaltung und Wissenschaft.
Das Gesetz verpflichtet betroffene Einrichtungen unter anderem zur konsequenten Meldung von Cybersicherheitsvorfällen sowie zur Umsetzung angemessener Cybersicherheitsmaßnahmen. IT-Sicherheit wird damit endgültig zur Chefsache, um je nach eintretendem Fall empfindliche Bußgelder und Haftungsrisiken zu vermeiden. Die Richtlinie macht Cybersicherheit zur Pflicht für die gesamte Unternehmensleitung mit besonderer Verantwortung für das Cybersicherheits-Risikomanagment.
NIS-2: Konkrete Anforderungen an IT-Abteilungen
- Asset-Management:
Aufbau eines vollständigen Asset- und Systeminventars als solide Grundlage für alle Risikoanalysen. - Schwachstellen-Management:
Etablierung von Prozessen für Vulnerability Management, Patch-Management und Konfigurationshärtung. - Incident-Response:
Einführung von Logging, Security Monitoring und Incident-Response-Plänen inklusive klarer Meldeprozesse und Zuständigkeiten – unter anderem zum BSI. - Lieferkettensicherheit:
Integration von Lieferanten- und Drittparteien-Risiken in das Informationssicherheits-Management (z. B. Cloud-Provider, IT-Dienstleister). - Registrierung:
Die Registrierung muss nach Inkrafttreten des NIS-2-Umsetzungsgesetzes innerhalb der gesetzlichen Fristen offiziell beim BSI erfolgen.
NIS-2: Sanktionen und Aufsicht
Bei Verstößen drohen erhebliche Konsequenzen: Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen sowie 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Das BSI agiert hierbei als zentrale Aufsichts- und Meldestelle in Deutschland. Eine fehlende oder lückenhafte Umsetzung kann jedoch nicht nur Bußgelder nach sich ziehen, sondern auch zu massiven Reputationsschaden und Vertrauensverlust bei Kunden und Geschäftspartnern führen. Vor allem im harten B2B-Wettbewerb kann das extrem schwer wiegen.
Cyber Resilience Act (CRA): Meldepflichten ab September 2026
Der Cyber Resilience Act (CRA) ist die EU-Verordnung, die Sicherheitsanforderungen für Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus festlegt und das Prinzip „Security by Design“ stärkt. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die Single Reporting Platform (SRP) der ENISA melden.
Das Jahr 2026 bringt damit neue Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle auf Herstellerseite. Die entsprechenden Meldepflichten des CRA gelten ab September 2026 und betreffen Produkte mit digitalen Elementen, darunter Software, Hardware und IoT-Produkte.
Wichtige Abgrenzung: Während NIS-2 primär die Betreiber von Systemen reguliert, richtet sich der Cyber Resilience Act direkt an die Hersteller und Inverkehrbringer von Produkten mit digitalen Elementen.
CRA: Pflichten für Hersteller und Softwareanbieter ab September 2026
- Meldepflicht:
Ab 2026 müssen schwerwiegende Sicherheitsvorfälle und aktiv ausgenutze Schwachstellen fristgerecht innerhalb von 24 Stunden gemeldet werden (Early Warning), gefolgt von einem Folgebericht (72 Stunden) und einem Endbericht (14 Tage bei Schwachstellen, 1 Monat bei Vorfällen). - Schwachstellen-Management:
Secure Development Lifecycle, strukturierte Patch-Prozesse, definierte Support-Fristen und eine lückenlose SBOM (Software Bill of Materials) über den gesamten Produktlebenszyklus ist Bestandteil des Sicherheitsmanagements. - Konformitätsbewertung und CE-Kennzeichnung:
Bestimmte kritische Produktklassen benötigen eine Prüfung durch akkreditierte „Notified Bodies“ (verfügbar ab Mitte 2026). - Technische Dokumentation:
Risikobewertungen, Security-by-Design-Nachweise und Vorgaben zur Produktsicherheit müssen vollständig dokumentiert vorliegen.
CRA: Bußgelder und Marktzugang
Unternehmen riskieren bei Nichteinhaltung Bußgelder von bis zu 15 Millionen Euro oder einen entsprechenden Prozentsatz des weltweiten Jahresumsatzes. Hinzu kommt das Risiko von Marktrückrufen oder ein Verbot des Inverkehrbringens unsicherer, nicht konformer Produkte in der EU. CRA-Compliance entwickelt sich damit rasant zum wichtigen Ausschreibungskriterium und Qualitätsmerkmal für Kunden im B2B-Umfeld.
EU AI Act: Hochrisiko-KI-Systeme ab August 2026
Der EU AI Act erreicht im August 2026 einen weiteren wichtigen Anwendungszeitpunkt. KI-Systeme werden dabei nach ihrem potenziellen Risiko in vier Stufen klassifiziert:
| Risikoklasse | Beispiele | Regulierungsintensität |
| Verbotene Praktiken | Social Scoring, manipulative KI-Systeme | Komplettverbot |
| Hochrisiko | Personalrekrutierung, kritische Infrastrukturen, Justiz, Gesundheit | Strenge regulatorische Anforderungen |
| Begrenztes Risiko | Chatbots, KI-generierte Inhalte | Transparenz- und Kennzeichnungspflichten |
| Minimales Risiko | Spam-Filter, Spielempfehlungen | Kaum reguliert |
Hinweis: Das Digital Omnibus-Paket hat die Frist für bestimmte Pflichten zu Hochrisiko-KI-Systemen unter Annex III auf den 2. Dezember 2027 verschoben. Dennoch sollten Unternehmen die Vorbereitung keinesfalls aufschieben.
Pflichten für Hochrisiko-KI-Systeme
- Risikomanagement:
Etablierung eines KI-Risikomanagements inklusive Dokumentation von Trainingsdaten, Modellen und bekannten Bias-Risiken. - Erklärbarkeit:
Transparenz- und Erklärbarkeitspflichten zur Funktionsweise von KI-Systemen sowie (je nach Anwendungsfall) eine eindeutige Kennzeichnung KI-generierter Inhalte. - Menschliche Kontrolle:
Pflicht zu menschlicher Aufsicht („human-in-the-loop“) bei KI-Systemen mit Hochrisiko. - Dokumentation:
Registrierungspflichten und eine detaillierte technische Dokumentation, die gegenüber Aufsichtsbehörden jederzeit nachweisbar sein muss.
AI Governance statt Bußgeld-Panik
Statt in Panik vor Strafen zu verfallen, empfehlen wir einen klar strukturierten Ansatz zur KI-Regulierung:
- KI-Inventar aufbauen:
Erfassen Sie alle im Unternehmen genutzten KI-Lösungen, inklusive externer SaaS-KI-Tools. - Rollen definieren:
KI-Verantwortliche und Compliance-Ansprechpartner festlegen sowie interne Freigabeprozesse etablieren. - Synergien nutzen:
Integrieren Sie die AI-Act-Anforderungen in bestehende Datenschutz-, Informationssicherheits- (ISO 27001) und Compliance-Managementsysteme. Eine solide AI Governance bildet das perfekte Fundament für Innovationen mit vertrauenswürdiger künstlicher Intelligenz.
Data Act: Datenzugang, Portabilität und IT-Pflichten ab 2026
Der Data Act (Verordnung (EU) 2023/2854) verändert die Spielregeln für Datenverarbeitung und -nutzung, Datenzugang und Portabilität von Grund auf. Hersteller vernetzter Produkte haben ab September 2026 harte Pflichten zum Datenzugang zu erfüllen: Neue vernetzte Produkte und verbundene Dienste müssen so gestaltet sein, dass Nutzer standardmäßig und unkompliziert Zugriff auf ihre generierten Nutzungsdaten haben – das Prinzip „Accessible by Design“ folgend.
Die Auswirkungen treffen Cloud-Dienste, IoT-Plattformen und industrielle Systeme. Zugriffe auf Daten müssen technisch ermöglicht, standardisierte API-Schnittstellen bereitgestellt und Datenmodelle vereinheitlicht werden.
Datenportabilität als Pflichtfunktion
Datenportabilität gewinnt ab September 2026 im Rahmen des Data Acts deutlich an Bedeutung. Kunden müssen unter den gesetzlichen Voraussetzungen ihre Nutzungsdaten maschinenlesbar mitnehmen können – in strukturierten, gängigen Formaten.
- Architekturen anpassen:
Systemarchitekturen müssen so angepasst werden, dass Lock-in-Effekte reduziert und standardisierte Exporte ermöglicht werden. - Daten erfassen:
Nutzungsdaten aus Sensoren, Maschinen und IoT-Geräten müssen strukturiert erfasst und eindeutig zugeordnet werden. - Risiko minimieren:
Fehlende Portabilität der gesetzlichen Anforderungen kann zu direkten regulatorischen Risiken und Bußgeldern bei Nichteinhaltung führen.
Data Act und IT-Sicherheitsrecht: Wechselwirkungen
Datenzugang und Datenteilung dürfen niemals auf Kosten der Sicherheit gehen. Schnittstellen für die Datenportabilität benötigen hochsichere Authentifizierungs- und Autorisierungsmechanismen. Ein zentrales Daten- und Berechtigungsmanagement hilft Ihnen dabei, sowohl die Vorgaben des Data Acts als auch die Anforderung an IT-Sicherheit zu erfüllen – die Wirkung beider Regelwerke verstärkt sich hierbei gegenseitig.
DORA: Digitale Resilienz im Finanzsektor bis 2026
Die DORA-Verordnung (Digital Operational Resilience Act) gilt bereits seit dem 17. Januar 2025 und betrifft über 22.000 Finanzinstitute EU-weit. Sie betrifft Banken, Versicherer, Zahlungsdienstleister sowie Krypto-Dienstleister und kritische IKT-Drittdienstleister. DORA stärkt die digitale Resilienz im Finanzsektor und gilt als lex specialis zu NIS-2 – mit teilweise deutlich weitergehenden operativen Maßnahmen.
Das Jahr 2026 wird für viele Unternehmen im Zeichen der praktischen Umsetzung und der Vorbereitung auf Aufsichtsprüfungen.
DORA-Pflichten für Finanz-IT und Dienstleister
- Risikomanagement:
Aufbau eines umfassenden IKT-Risikomanagement-Systems, inklusive detaillierter Bedrohungsanalysen und Business-Impact-Analysen. - Resilienz-Tests:
Verpflichtende Cyberresilienz-Tests wie regelmäßige Penetrationstests und Threat-Led Penetration Testing (TLPT) für ausgewählte Institute. - Drittparteien-Risiko:
Strenge Anforderungen an die Auswahl, die Vertragsgestaltung und das permanente Monitoring von IKT-Drittanbietern (z. B. Cloud- oder Core-Banking-Anbieter). - Führungskompetenz:
Aktive Einbindung der Geschäftsleitung in strategische Entscheidungen zu IKT-Risiken und Outsourcing – DORA fordert einheitliche und nachweisbare Gouvernance-Strukturen und nachvollziehbare Dokumentationen.
Weitere relevante IT-Gesetze 2026 im Überblick
- CSRD-Berichtspflichten:
Erste Veröffentlichungen stehen 2026 für große Unternehmen an – dies erfordert eine IT-gestützte Erfassung von Nachhaltigkeitsmetriken. - E-Evidence-Verordnung:
Ab dem 18. August 2026 gelten neue Anforderungen an Provider zur schnellen Sicherung und Herausgabe elektronischer Beweismittel. - Sektorale Vorgaben:
Der Cyber Solidarity Act, das KRITIS-Dachgesetz sowie diverse BSI-Gesetz-Novellen verschärfen den Rahmen in Deutschland weiter.
Typische IT-Pflichten quer durch die IT-Gesetze
Viele der neuen IT-Gesetze fordern in der Praxis ähnliche Kontrollbereiche. Statt für jedes Gesetz teure Einzellösungen (Silos) zu bauen, lohnt sich ein integrierter Rahmen:
| Kontrollbereich | Relevant für |
| Asset-Inventar | NIS-2, CRA, AI Act, DORA |
| Risikomanagement | Alle Regelwerke |
| Zugriffs- und Berechtigungssteuerung | NIS-2, Data Act, DORA |
| Protokollierung & Monitoring | NIS-2, DORA, CRA |
| Incident Response & Meldepflichten | NIS-2, CRA, DORA |
| Backup & Recovery | NIS-2, DORA |
| Lieferketten-Management | NIS-2, CRA, DORA |
Der Hebel: Ein robustes ISMS nach ISO 27001 nutzt diese Synergien optimal und reduziert die gefürchtete Doppelarbeit im Unternehmen. Konsolidieren Sie die IT-Pflichten in einem einzigen, integrierten Compliance-Rahmen.
Betroffene IT-Bereiche: Wer im Unternehmen handeln muss
Die neuen Gesetze betreffen längst nicht mehr nur die klassische IT-Abteilung. Zu den betroffenen Bereichen gehören:
- IT-Infrastruktur, Applikationsentwicklung und OT/IoT.
- Datenmanagement, Informationssicherheit und Datenschutz.
- Einkauf und Vendor-Management (Verträge mit Drittanbietern und Cloud-Providern).
- Fachbereiche, die KI- oder datenintensive Projekte betreiben.
Unsere Empfehlung: Richten Sie ein interdisziplinäres Governance-Gremium (z. B. ein „Digital Compliance Board“) ein, das die IT-Gesetze 2026 koordiniert. Die Geschäftsleitung muss diese gesetzlichen Pflichten zwingend in den Budgets und Prioritäten abbilden.
Strategische Roadmap: In 3 Schritten durch die IT-Gesetze 2026
Eine strukturierte IT-Strategie hilft, teure Doppelarbeit zu vermeiden und Synergieeffekte zu nutzen. Jedes Projekt benötigt klare Verantwortlichkeiten, Meilensteine und ein transparentes Management-Reporting.
Schritt 1: Scope und Betroffenheit klären
Prüfen Sie, welche regulatorischen Anforderungen Ihr Unternehmen konkret betreffen – anhand von Unternehmensgröße, Branche und angebotenen Produkten oder Dienstleistungen. Erstellen Sie eine Übersicht, welche Geschäftseinheiten, Produkte und Systeme im Fokus stehen. Ordnen Sie klare Verantwortlichkeiten pro Regelwerk zu und definieren Sie direkte Berichtswege bis zur Geschäftsführung.
Schritt 2: Gap-Analyse und Priorisierung
Vergleichen Sie den Ist-Zustand mit den rechtlichen Soll-Anforderungen. Nutzen Sie existierende Rahmenwerke wie die ISO 27001 als Referenz. Identifizieren Sie Lücken (Gaps) in Dokumentation, Technik, Prozessen sowie Verantwortlichkeiten und bewerten Sie diese nach Risiko, Fristen und Umsetzungsaufwand.
Schritt 3: Umsetzung in Projekten und Betrieb
Überführen Sie die priorisierten Maßnahmen in konkrete, handhabbare Projekte – zum Beispiel „NIS-2 Incident Management“, „AI Governance Programm“ oder „Data Act Schnittstellenprojekt“. Binden Sie die IT, die Fachbereiche, Compliance, den Datenschutz und den Betriebsrat frühzeitig ein. Schulungen für die Mitarbeitenden sind hierbei ebenso essenziell wie die dauerhafte Verankerung der neuen Prozesse im Arbeitsalltag.
Von Compliance zu echter Cyber-Resilienz
Die IT-Gesetze 2026 sind keine reine lästige Bürde – sie sind eine echte Chance für eine modernere, sicherere und transparentere IT-Infrastruktur. Ein resilient aufgestelltes Setup reduziert teure Ausfallzeiten, ermöglicht ein schnelles Incident-Handling und stärkt das Vertrauen bei Ihren Kunden und Partnern im Markt.
Definieren Sie klare KPIs für Ihre Cyberresilienz und Compliance (z. B. Mean Time to Detect, Mean Time to Recover, Anzahl der Audit-Findings). IT-Sicherheit wird damit zum echten Wettbewerbsfaktor. Wer die regulatorischen Vorgaben nicht nur zähneknirschend erfüllt, sondern als Treiber für die eigene Wettbewerbsfähigkeit nutzt, positioniert sich langfristig stark.
IT-Compliance ohne Chaos: MR Datentechnik als Ihr strategischer Partner
Die neuen IT-Vorgaben für 2026 klingen kompliziert und komplex. Wir machen es Ihnen einfach. Als erfahrenes, ISO-27001-zertifiziertes IT-Systemhaus begleitet die MR Datentechnik Unternehmen dabei, die regulatorischen Anforderungen von NIS-2, CRA und weiteren regulatorischen Anforderungen pragmatisch in Ihre bestehende Infrastruktur zu integrieren – ganz ohne bürokratisches Chaos oder teure Doppelstrukturen. Wir analysieren Ihre Betroffenheit, schließen Sicherheitslücken, identifizieren Handlungsfelder und begleiten Sie als Partner auf Augenhöhe von der ersten Gap-Analyse bis zur langfristigen Weiterentwicklung Ihrer IT- und Compliance-Prozesse. Machen Sie Ihre IT jetzt rechtssicher: Kontaktieren Sie uns für ein unverbindliches Erstgespräch und starten Sie mit uns Ihre maßgeschneiderte Roadmap!
FAQ: Häufige Fragen zu den IT-Gesetzen 2026
Gilt NIS-2 auch für mittelständische Unternehmen ohne KRITIS-Status?
Ja, absolut. NIS-2 erweitert den Anwendungsbereich gegenüber den bisherigen Regelungen drastisch. Viele mittelgroße Unternehmen in Sektoren wie der Fertigung, Logistik, digitalen Diensten und Gesundheit können direkt betroffen sein – entscheidend sind unter anderem Mitarbeiterzahl, Umsatz und Sektorzuordnung. Nehmen Sie hierzu frühzeitig eine professionelle Betroffenheitsprüfung vor.
Ab wann muss ich mich konkret um Hochrisiko-KI-Systeme kümmern?
Der EU AI Act erreicht im August 2026 einen weiteren wichtigen Anwendungszeitraum. Da die Vorbereitungen und technischen Dokumentationen erfahrungsgemäß viel Zeit in Anspruch nehmen, sollten Sie jetzt mit der Umsetzung beginnen. Legen Sie ein KI-Inventar an, klassifizieren Sie Ihre Systeme und bauen Sie die nötigen Governance-Strukturen auf.
Wie unterscheiden sich NIS-2 und der Cyber Resilience Act (CRA) in der Praxis?
Die Abgrenzung ist recht einfach: NIS-2 richtet sich primär an die Betreiber von wichtigen Netz- und Informationssystemen und deren Cybersicherheitsmaßnahmen. Der CRA hingegen nimmt die Hersteller und Inverkehrbringer Produkte mit digitalen Elementen in die Pflicht, um Sicherheit ab Werk zu garantieren. Viele Unternehmen sind in der Praxis von beiden Regelwerken gleichzeitig betroffen.
Was ist der wichtigste erste Schritt für IT-Abteilungen im Jahr 2026?
Verschaffen Sie sich Klarheit. Starten Sie mit einer strukturierten Bestandsaufnahme: Welche Gesetze betreffen unser Unternehmen? Welche Systeme, Datenflüsse, KI-Anwendungen und kritischen Zulieferer haben wir im Einsatz? Auf dieser Basis lässt sich eine risikobasierte und pragmatische Roadmap erstellen.
Wie stark beeinflussen die IT-Gesetze 2026 bestehende Verträge mit Cloud- und IT-Dienstleistern?
Sehr stark. NIS-2, Data Act, DORA und der CRA fordern neue vertragliche Regelungen bezüglich Incident-Reporting, Datenzugriff, Audit-Rechten und der Absicherung von Lieferketten. Ein professionelles Vendor- und Vertrags-Management wird damit zum absolut kritischen Erfolgsfaktor im Unternehmen.