Seit dem 11. September gilt die 24-Stunden-Meldepflicht für IT-Sicherheitslücken und Cybervorfälle. Auch wenn dies schon lang bekannt war, so wird noch nimmer heftig diskutiert, wie praktikabel eine solche Frist ist.

NIS2, EU AI Act, Datenschutz und weitere Digitalgesetze: Unternehmen fehlt es nicht an Regeln. Was häufig fehlt, ist die notwendige Struktur. 

Die Gesellschaft für Informatik (GI) macht Druck auf die Bundesregierung: Mit einem Whitepaper legt der Verband Vorschläge vor, wie IT-Sicherheitsforschung in Deutschland rechtssicher werden kann.

Während Unternehmen in Europa noch mitten in der Umsetzung der NIS2-Richtlinie stecken, verhandelt Brüssel bereits die nächste große Reform: die Überarbeitung des Cybersecurity Act, kurz CSA2, die den Rahmen von 2019 ablösen und die Cyberresilienz der EU stärken soll.

Seit dem 18. August 2026 gilt die EU-Verordnung E-Evidence (2023/1543) nach dreijähriger Übergangsfrist vollständig. Ermittlungsbehörden können damit elektronische Beweismittel künftig direkt bei Anbietern in anderen EU-Ländern anfordern.

Die Schlagzeile der letzten Monate lautete, der AI Act sei verschoben worden. Das ist zur Hälfte richtig und operativ irreführend. Der Digital Omnibus, Verordnung (EU) 2026/1744, ist seit dem 27. Juli 2026 in Kraft und schiebt tatsächlich große Teile der Hochrisiko-Pflichten aus Anhang III in den Dezember 2027 beziehungsweise August 2028.

Die europäische Standardisierungsorganisation ETSI hat 17 Norm-Entwürfe zur Umsetzung des Cyber Resilience Act veröffentlicht. Sie sollen Herstellern künftig den Weg zur Konformitätsvermutung ebnen.

Die KI-Kennzeichnungspflicht gilt seit August 2026 für bestimmte KI-generierte Inhalte wie Deepfakes und die direkte Kommunikation mit KI-Systemen. Unternehmen sollten ihre Prozesse und Verantwortlichkeiten entsprechend anpassen.