Der Cyber Resilience Act bringt für europäische Hersteller eine neue Realität: Schwachstellen müssen ab September gemeldet werden. Das ist nur eine von mehreren Regulierungswellen, die Unternehmen derzeit treffen – und die Anforderungen stapeln sich.
Kurz & knapp
- Ab September 2026 greift die Meldepflicht für Sicherheitslücken im Cyber Resilience Act
- Seit 02.08.2026 sind Transparenzpflichten der KI-VO (Artikel 50) durchsetzbar
- Ab 09.12.2026 wird die Produkthaftungsrichtlinie relevant
- NIS2-Registrierungsfristen sind bereits abgelaufen (31.07.2026); Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes drohen
Transparenz und Haftung: Der regulatorische Dreiklang
Die EU hat mit der KI-Verordnung einen weltweit beachteten Rechtsrahmen geschaffen. Seit Anfang August 2026 sind die Transparenzpflichten gemäß Artikel 50 durchsetzbar – Unternehmen müssen dokumentieren, wie ihre KI-Systeme funktionieren. Das Unternehmen VeroNex hat dafür den Standard EU2122 bei der IETF eingereicht, um KI-Verifizierungsbelege technisch zu standardisieren und die Konformität mit dem EU-KI-Gesetz sowie der Produkthaftungsrichtlinie zu sicherstellen.
Die Produkthaftungsrichtlinie folgt dann ab Dezember 2026 – ein weiterer Meilenstein, der Hersteller in die Pflicht nimmt. Parallel dazu beschäftigen sich Gerichte bereits mit konkreten Fällen: Das Landgericht München entschied im Verfahren zwischen der GEMA und Suno, dass das Training von KI-Modellen rechtswidrig sei, wenn es zur Memorisierung geschützter Inhalte führt. Die Schranke für Text- und Data-Mining rechtfertige weder die Speicherung noch den Output solcher Inhalte.
NIS2: Haftung der Geschäftsleitung und Lieferkettenpflichten
Das NIS2-Umsetzungsgesetz ist seit dem 06.12.2025 in Kraft. Die Registrierungsfristen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) sind nach einer Nachfrist zum 31.07.2026 abgelaufen – und jetzt wird es ernst für betroffene Unternehmen.
| Kriterium | Schwelle |
|---|---|
| Mitarbeiterzahl | ab 50 Beschäftigte |
| Umsatz | ab 10 Mio. Euro |
| Betroffene Sektoren | 18 definierte Branchen |
| Max. Bußgeld (besonders wichtige Einrichtungen) | 10 Mio. Euro oder 2 % weltweiter Jahresumsatz |
| Bußgeld für verspätete Registrierung | bis zu 500.000 Euro |
Ein wesentlicher Aspekt: persönliche Haftung der Geschäftsleitung sowie die Weitergabe von Sicherheitsanforderungen entlang der Lieferkette. Selbst Unternehmen, die nicht direkt unter die Richtlinie fallen – etwa Autohäuser – werden durch vertragliche Anforderungen ihrer Auftraggeber zur Einhaltung von Standards gezwungen. Typische Vorgaben umfassen Multi-Faktor-Authentisierung (MFA), Patchmanagement und Vorfallsmanagement.
Juristische Aufarbeitung läuft auf Hochtouren
Die Komplexität der neuen Regelungen zeigt sich auch in der juristischen Praxis: Der Verlag C.H. Beck veröffentlicht Ende August 2026 einen umfangreichen Kommentar zur KI-VO mit 1200 Seiten. Gleichzeitig beschäftigen Urheberrechtsfragen die Gerichte – der Carlsen Verlag hat eine Klage gegen OpenAI im Zusammenhang mit einem KI-generierten Bilderbuch erhoben. Ein Sachverständiger, Felix Stang, wies darauf hin, dass die Wahrscheinlichkeit für eine rein zufällige Übereinstimmung des beanstandeten Bilderbuchs mit dem Original etwa 18.000 Mal geringer sei als ein Lottosechser.
Was das für dich bedeutet
Deutsche Unternehmen stehen unter Druck: Die Regulierung ist nicht mehr optional, sondern konkret mit Stichtagen versehen. Wer noch nicht registriert ist, riskiert empfindliche Bußgelder. Die Meldepflicht für Schwachstellen ab September zwingt zu neuen Prozessen – und die KI-Transparenzpflichten seit August sind bereits live. Für viele Betriebe ist jetzt der Moment, Rechts- und IT-Abteilung zusammenzubringen und einen klaren Umsetzungsplan zu erstellen. Die Frage ist nicht mehr ob, sondern wie schnell.
Quellen
Redaktionell verantwortet von Ideal Syka. Quellen und Arbeitsweise: Redaktion & Methode. Hinweise und Korrekturen: ai@i6eal.de.
