Der Regulierungsstapel wächst. Ihre Architektur sollte mithalten.
Vor vier Jahren war die DSGVO die einzige EU-Verordnung, die die meisten Softwareteams interessierte. Diese Zeit ist vorbei.
Zwischen 2025 und 2027 werden mindestens fünf große EU-Regulierungen die Art und Weise verändern, wie Software in Europa entwickelt, betrieben und bereitgestellt wird. Das KI-Gesetz. NIS2. Der Data Act. DORA. Und ein vorgeschlagener Digital Omnibus, der Teile der DSGVO selbst umschreibt.
Verpassen Sie eine Frist, drohen Bußgelder von bis zu 7 % des weltweiten Jahresumsatzes. Nicht theoretisch. Die Durchsetzungsmaschinerie läuft bereits.
Dieser Leitfaden zeigt Ihnen die regulatorische Landschaft für Softwareteams. Keine juristische Theorie. Praktische Anforderungen, echte Fristen und Architekturmuster, die Sie compliant halten, ohne die Entwicklung lahmzulegen.
DSGVO 2026: Immer noch das Fundament, aber im Wandel
Die DSGVO wird dieses Jahr acht Jahre alt. Die meisten Teams denken, sie haben alles im Griff. Viele irren sich.
Der Digital-Omnibus-Vorschlag der Europäischen Kommission (November 2025) bringt deutliche Änderungen. Die Definition personenbezogener Daten wird enger gefasst: Daten, die ein Unternehmen besitzt, das keine “vernünftigerweise verwendbaren Mittel zur Identifizierung” einer Person hat, könnten aus dem DSGVO-Geltungsbereich fallen. Die Befreiung vom Verzeichnis der Verarbeitungstätigkeiten springt von Organisationen unter 250 auf unter 750 Mitarbeitende.
Das sind gute Nachrichten für kleinere Unternehmen.
Die schlechte Nachricht? Die Durchsetzung verschärft sich bei Dark Patterns, KI-gestützter Verarbeitung und Einwilligungsmanipulation. Aufsichtsbehörden nehmen gezielt Softwaredesign-Entscheidungen ins Visier, die Nutzer dazu bringen, mehr Daten als nötig zu teilen.
Was das für Ihre Architektur bedeutet:
-
Einwilligungsmanagement braucht granulare Kontrollen und unveränderliche Prüfpfade. Kein Cookie-Banner, sondern ein echtes System, das festhält, was jeder Nutzer wann und wofür zugestimmt hat.
-
Das Recht auf Löschung (Artikel 17) erfordert kaskadierende Löschung über jedes System, das eine Kopie hält. Backups eingeschlossen.
-
Datenportabilität (Artikel 20) bedeutet Export-APIs in strukturierten, maschinenlesbaren Formaten wie JSON oder CSV.
Einen tieferen Einblick in datenschutzgerechte Architektur finden Sie in unserem Leitfaden zur DSGVO-konformen Softwarearchitektur.
Das EU-KI-Gesetz: Der 2. August 2026 ist der Stichtag
Das EU-KI-Gesetz ist die weltweit erste umfassende KI-Regulierung. Die wichtigste Frist fällt auf den 2. August 2026, wenn die vollständigen Compliance-Pflichten für Hochrisiko-KI-Systeme greifen.
Aber die Durchsetzung begann früher als die meisten Teams denken. Verbotene KI-Praktiken (Social Scoring, biometrische Echtzeit-Überwachung im öffentlichen Raum, Ausnutzung von Schwachstellen) sind seit Februar 2025 illegal. Wenn Ihr System etwas davon tut, sind Sie bereits exponiert.
Die Risikokategorien sind entscheidend
Das Gesetz klassifiziert KI-Systeme in vier Stufen. Unannehmbares Risiko: komplett verboten. Hohes Risiko: umfangreiche Pflichten bei KI in Personalwesen, Kreditwürdigkeitsprüfung, kritischer Infrastruktur und Bildung. Begrenztes Risiko: Transparenzpflichten. Minimales Risiko: keine besonderen Auflagen.
Der Haken: “KI-System” ist breit definiert. Traditionelles Machine Learning, regelbasierte Systeme unter bestimmten Bedingungen und sogar manche fortgeschrittenen Analysetools könnten darunter fallen.
Über die Hälfte der Unternehmen hat keine systematische Inventur ihrer KI-Systeme. Ohne diese Inventur ist eine Risikoklassifizierung unmöglich.
Die meisten KMU sind Betreiber, nicht Anbieter. Ihre Pflichten sind leichter, umfassen aber Transparenz, menschliche Aufsicht bei Hochrisikosystemen und KI-Kompetenzvermittlung für Ihr Team.
Bußgelder bei Nichteinhaltung: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Je nachdem, was höher ist.
Lesen Sie unsere detaillierte Analyse: Das EU-KI-Gesetz: Was Softwareteams vor August 2026 wissen müssen.
NIS2: Cybersicherheit ist jetzt Chefsache
Deutschland hat NIS2 am 6. Dezember 2025 in nationales Recht umgesetzt. Keine Übergangsfrist. Die Anforderungen gelten sofort.
Die Ausweitung des Geltungsbereichs ist dramatisch. Die Zahl der regulierten Unternehmen in Deutschland ist von etwa 4.500 auf rund 29.000 gestiegen. Achtzehn Branchen sind betroffen: Energie, Transport, Gesundheit, digitale Infrastruktur, IKT-Dienstemanagement, öffentliche Verwaltung, Lebensmittel, Fertigung, Chemie und Abfallwirtschaft.
Was NIS2 von Ihrer Software verlangt
Die technischen Anforderungen sind konkret. Risikomanagementmaßnahmen müssen umfassen: Risikoanalyse für Informationssysteme, Erkennung und Reaktion auf Vorfälle, Geschäftskontinuität und Backup-Management, Lieferkettensicherheit, Netzwerksicherheit und Zugangskontrolle, Verschlüsselung, Schwachstellenmanagement und Schulungen zur Cyberhygiene.
Bei der Meldung von Sicherheitsvorfällen gilt ein strenger Zeitplan. Sie haben 24 Stunden für eine Erstmeldung nach Bekanntwerden eines bedeutenden Vorfalls. Ein vollständiger Bericht ist innerhalb von 72 Stunden fällig.
Und Cybersicherheit ist nicht mehr nur IT-Thema. Geschäftsführer und Vorstände haften persönlich für Compliance-Verstöße.
Das Kernstück der deutschen Umsetzung ist das überarbeitete BSI-Gesetz (BSIG). Alle betroffenen Unternehmen müssen sich innerhalb von drei Monaten beim BSI registrieren.
Unser technischer NIS2-Compliance-Leitfaden führt durch die Architekturmuster und Umsetzungsschritte.
Der EU Data Act: September 2026 verändert das IoT-Spiel
Der EU Data Act tritt am 12. September 2026 in seine wirkungsvollste Phase. Ab diesem Datum müssen alle neuen vernetzten Produkte auf dem EU-Markt “Access by Design”-Prinzipien integrieren.
Wenn Sie IoT-Geräte, vernetzte Maschinen, Smart-Home-Produkte oder jegliche Hardware bauen oder verkaufen, die während der Nutzung Daten generiert, betrifft Sie das.
Die Kernanforderung: Nutzer müssen ihre Daten “einfach, sicher, kostenlos, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format, kontinuierlich und in Echtzeit” abrufen können. Das ist ein direktes Zitat aus der Verordnung.
Die Geschäftsmodell-Implikationen sind erheblich. Wenn Ihr Umsatz davon abhängt, Nutzer in Ihr Daten-Ökosystem einzusperren, erzwingt der Data Act ein Umdenken.
Für eine technische Aufschlüsselung siehe Der EU Data Act: Was er für vernetzte Produkte und IoT bedeutet.
Wie sich diese Regulierungen überschneiden (und warum das hilft)
Was die meisten Compliance-Leitfäden übersehen: Diese Regulierungen konvergieren, sie divergieren nicht.
Der Digital-Omnibus-Vorschlag will die Meldung von Sicherheitsvorfällen konsolidieren. Statt separater Meldungen unter DSGVO, NIS2 und DORA ist ein einheitlicher Meldemechanismus über ENISA geplant. Ein Bericht, mehrere Aufsichtsbehörden.
DSGVO und KI-Gesetz teilen sich die Durchsetzungsinfrastruktur. NIS2 und DSGVO stimmen bei Sicherheitsmaßnahmen überein. Wenn Ihre Architektur die technischen NIS2-Anforderungen für Verschlüsselung, Zugangskontrolle und Monitoring erfüllt, decken Sie damit auch die meisten DSGVO-Sicherheitspflichten ab.
Diese Konvergenz ist eine gute Nachricht für Teams, die Compliance in ihre Architektur einbauen, statt sie Verordnung für Verordnung nachzurüsten.
Compliance in die Architektur einbauen
Compliance im Nachhinein kostet 5-10x mehr als Compliance by Design. Das ist keine Vermutung. Das sehen wir in jedem Projekt, bei dem Sicherheit und Datenschutz “Phase zwei” waren.
Privacy by Design
Datenminimierung ist nicht nur ein DSGVO-Grundsatz. Es ist gute Architektur. Erheben Sie nur, was Sie brauchen, und speichern Sie es nur so lange wie nötig.
Verschlüsseln Sie im Ruhezustand und bei der Übertragung. Feldebene-Verschlüsselung für personenbezogene Daten, Pseudonymisierung wo keine vollständige Identifizierung erforderlich ist.
Security by Design
NIS2 und DORA fordern es. Aber auch ohne Regulierung sind Zero-Trust-Architektur, Netzwerksegmentierung und unveränderliche Audit-Protokollierung Grundanforderungen für jedes Produktionssystem 2026.
Prüfpfade überall
Jede Regulierung verlangt den Nachweis der Compliance. Das bedeutet: Protokollierung, wer auf was zugegriffen hat, wann und warum. Unveränderliche Logs. Manipulationssichere Speicherung.
Mehr dazu in unserem Security-by-Design-Leitfaden.
Datenresidenz: Wo Ihre Daten liegen, ist wichtig
Die DSGVO verlangt nicht strikt EU-Datenresidenz. Aber die praktische Realität 2026 macht es zum einfachsten Compliance-Weg.
Der US CLOUD Act erlaubt US-Strafverfolgungsbehörden, US-Unternehmen zur Herausgabe von Daten zu zwingen, unabhängig davon, wo diese physisch gespeichert sind. Daten in Frankfurt bei einem US-Hyperscaler zu speichern, garantiert keine Souveränität.
Europäische Cloud-Alternativen existieren: OVHCloud, Hetzner, IONOS, Scaleway. Sie bieten nicht die Feature-Breite von AWS oder Azure, aber für viele Workloads sind sie mehr als ausreichend.
Unser Leitfaden zur Datenresidenz in der EU behandelt das Entscheidungsrahmenwerk im Detail.
Ihre Compliance-Checkliste: Was jetzt und was später
Jetzt tun (Q1 2026)
- KI-Systeme inventarisieren. Jedes ML-Modell, automatisierte Entscheidungssystem und KI-gestützte Feature erfassen. Nach KI-Gesetz-Risikokategorie klassifizieren.
- NIS2-Betroffenheit prüfen. Feststellen, ob Ihre Organisation als wesentliche oder wichtige Einrichtung gilt. Falls ja, sofort beim BSI registrieren.
- Datenflüsse auditieren. Wissen, wo personenbezogene Daten liegen, wer sie verarbeitet und welche Auftragsverarbeiter beteiligt sind.
- Notfallplan prüfen. Können Sie einen Vorfall erkennen und innerhalb von 24 Stunden melden? Falls nicht, beheben Sie das zuerst.
Bis August 2026
- KI-Gesetz-Compliance. Technische Dokumentation, menschliche Aufsichtsmechanismen und Konformitätsbewertungen für Hochrisiko-KI-Systeme.
- Transparenzpflichten. KI-Chatbots offenbaren ihre Natur. Deepfakes werden gekennzeichnet.
Bis September 2026
- Data-Act-Bereitschaft. Vernetzte Produkte müssen “Access by Design” unterstützen. Nutzerdatenexport in maschinenlesbaren Formaten, kostenlos, in Echtzeit.
Laufend
- DSFAs für neue Verarbeitungen. Jedes neue Feature, das personenbezogene Daten im großen Umfang verarbeitet, braucht eine Datenschutz-Folgenabschätzung.
- Lieferkettensicherheit. NIS2 verlangt die Bewertung der Cybersicherheitslage Ihrer Lieferanten. Drittanbieter-Risikomanagement ist jetzt regulatorische Pflicht.
- Schulungen. KI-Kompetenz (KI-Gesetz), Cyberhygiene (NIS2), Datenschutzbewusstsein (DSGVO). In das Onboarding einbauen.
Das Fazit
Das EU-Regulierungsrahmenwerk ist komplex. Aber kohärenter als es aussieht. Der gemeinsame Nenner: Bauen Sie sichere, datenschutzrespektierende Software, die Nutzern die Kontrolle über ihre Daten gibt. Dokumentieren Sie, was Sie tun und warum. Melden Sie Vorfälle schnell. Übernehmen Sie Verantwortung.
Teams, die Compliance als Architekturthema behandeln statt als juristisches Nachspiel, geben weniger aus, bewegen sich schneller und schlafen besser.
Die Fristen verlangsamen sich nicht. Ihre Vorbereitung sollte es auch nicht.
EU-Compliance für Ihr Softwareprojekt navigieren? Lassen Sie uns gemeinsam Ihre Anforderungen durchgehen. Wir bauen DSGVO- und KI-Gesetz-konforme Software standardmäßig.
