Datenschutz & IT-Sicherheit Mai 2026: NIS2, DSGVO-Urteile und neue Pflichten für den Mittelstand

Inhalt in Kürze

• NIS2 gilt seit Dezember 2025 über die BSI-Gesetz-Novelle, ab Juli 2026 trifft es bis zu 40.000 Unternehmen mit 24-Stunden-Meldepflicht
• DSGVO-Bußgelder summieren sich bis März 2026 auf 6,11 Milliarden Euro, getrieben durch KI-Training-Verstöße und BGH-Urteile
• EuGH-Urteil vom 19. März 2026 (C-526/24) erlaubt es, auch den ersten Auskunftsantrag als exzessiv abzuweisen, wenn er rechtsmissbräuchlich ist
• Ab August 2026 greift die KI-Kennzeichnungspflicht, parallel trafen 80 Prozent der Ransomware-Angriffe 2025 KMU

Stellen Sie sich vor, Sie sitzen mit Nils Oehmichen bei einem Kaffee. Er legt drei Zahlen auf den Tisch: 6,11 Milliarden Euro, 40.000 Unternehmen, 24 Stunden. Dann sagt er: "Mai 2026 war der Monat, in dem aus Papier-Compliance Realität wurde." Genau darum geht es hier.

NIS2 ab Juli 2026 -- die Frist, die niemand übersehen darf (Stand Mai 2026)

NIS2 ist in Deutschland keine Theorie mehr. Seit Dezember 2025 gilt die Novelle des BSI-Gesetzes. Ab Juli 2026 müssen bis zu 40.000 Unternehmen Resilienzpläne vorweisen, Risiko-Management dokumentieren und Lieferketten absichern (it-boltwise, 2026).

Die Pflicht zur Meldung von Sicherheitsvorfällen liegt bei 24 Stunden. Wer registrierungspflichtig ist und die BSI-Frist gerissen hat, riskiert Bußgelder. Tausende Unternehmen sind bereits in genau dieser Lage (CIO.de, 2026). Das BSI hat daraufhin eine Nachfrist bis zum 31. Juli 2026 gesetzt.

TeleTrusT-Experten ziehen eine ernüchternde Bilanz: Das Umsetzungstempo in Deutschland ist weiter zu langsam (it-daily, 2026). Wenn Sie noch nicht wissen, ob Sie betroffen sind, ist jetzt der Zeitpunkt für einen NIS2-Lieferketten-Check.

EuGH-Urteil vom 19. März 2026 -- gute Nachricht gegen DSGVO-Hopper

Das EuGH-Urteil C-526/24 setzt eine Grenze, auf die viele KMU gewartet haben. Auch ein erster Auskunftsantrag nach Art. 15 DSGVO kann als exzessiv abgewiesen werden, wenn er rechtsmissbräuchlich gestellt wurde (Dr. Datenschutz, 2026; openJur, 2026).

Konkretes Praxisbeispiel: Ein Optiker wehrte sich erfolgreich gegen eine DSGVO-Abmahnung. Der EuGH setzt damit DSGVO-Hoppern klare Grenzen (handwerk.com, 2026).

Wer einen sauberen Auskunftsprozess hat, kann den Missbrauch jetzt rechtssicher abwehren. Wer keinen hat, zahlt weiterhin. So einfach ist es.

DSGVO-Rekordstrafen und das 50.000-Euro-Urteil zur Zeiterfassung (Mai 2026)

Die kumulierten DSGVO-Bußgelder erreichen bis März 2026 6,11 Milliarden Euro. Treiber sind KI-Training-Verstöße und neue BGH-Urteile (it-boltwise, 2026). Zehn Jahre DSGVO bringen in Kombination mit NIS2 und EU AI Act eine neue Ära der Haftung (ad-hoc-news, 2026).

Parallel dazu kippt im Mai 2026 ein arbeitsrechtliches Urteil die Beweislast bei der Zeiterfassung. 50.000 Euro Schaden — weil der Arbeitgeber keine lückenlose, DSGVO-konforme Dokumentation vorlegen konnte (ad-hoc-news, 2026).

KI-Kennzeichnungspflicht ab August 2026 -- jetzt vorbereiten

Die EU-KI-Verordnung und das Digital-Omnibus-Paket bringen die nächste Welle. Ab August 2026 gilt die KI-Kennzeichnungspflicht (boerse-express, 2026).

Gleichzeitig zeigt die Bitkom-Umfrage: 81 Prozent der deutschen Firmen empfinden die DSGVO als Belastung, KI-Entwickler wandern aus der EU ab (oiger.de, 2026).

Was heißt das für den Mittelstand? Drei Dinge: KI-Inventur machen, Berechtigungskonzepte schreiben, Kennzeichnungspflicht umsetzen. Alexander Trautmann bringt es auf den Punkt: “KI-Lösungen sollten domänenspezifisch entwickelt und auf Basis klarer Berechtigungskonzepte implementiert werden” (datensicherheit.de, 2026).

Ransomware trifft 80 Prozent KMU -- die unterschätzte Front

80 Prozent aller gemeldeten Ransomware-Angriffe 2025 trafen KMU (gastgewerbe-magazin, 2026). Die Bedrohungslage spitzt sich weiter zu: 31-Terabit-DDoS-Angriffe und kritische Firewall-Lücken erschüttern Netzwerke. Die NIS2-Umsetzungsfrist im Oktober 2026 erhöht den Handlungsdruck zusätzlich (borncity, 2026).

Das Problem: KMU sind auf KI-basierte Cyberbedrohungen meistens nicht vorbereitet. Sofortmaßnahmen: Patch-Management, MFA für alle Admin-Konten, Backup-Strategie testen, Incident-Response-Plan schreiben. Den Status Ihrer Datenschutz-Compliance prüfen Sie in zehn Minuten mit dem Hugo Check.

Ihre Checkliste für die nächsten 60 Tage

• NIS2-Self-Check abschließen und prüfen, ob Sie unter die 40.000 Pflicht-Unternehmen fallen
• BSI-Registrierung nachholen, falls Sie zu den 29.000+ Verpflichteten gehören
• 24-Stunden-Meldeprozess für Sicherheitsvorfälle dokumentieren und Verantwortliche benennen
• DSGVO-Auskunftsprozess im Lichte des EuGH-Urteils C-526/24 überarbeiten
• Zeiterfassung DSGVO-konform aufsetzen -- Beweislast liegt jetzt bei Ihnen
• KI-Inventur machen und Kennzeichnung für August 2026 vorbereiten
• Ransomware-Schutz prüfen: Backups, MFA, Patch-Management, Incident-Response
Das Wichtigste: Mai 2026 ist der Wendepunkt. NIS2, EuGH-Urteile und das Zeiterfassungs-Urteil verschieben Compliance von Papier auf Realität. Wer in den nächsten 60 Tagen die sieben Punkte oben abarbeitet, schläft im Juli ruhiger.

Aus der Praxis

Was bedeutet das alles in der Realität? Nils sieht es jeden Tag: Unternehmen, die NIS2 für ein Theorie-Thema halten — bis das BSI anklopft. Geschäftsführer, die nach dem ersten Bußgeld pluetzlich verstehen, warum ein Berechtigungskonzept kein Luxus ist. Und IT-Leiter, die das Zeiterfassungsurteil verschlafen, bis der erste Mitarbeiter klagt.

Die gute Nachricht: Die meisten Probleme sind in 30 Minuten erkennbar. Die schlechte: Sie verschwinden nicht von alleine.

Was bedeutet das für Sie?

Wenn Sie ein KMU mit 20 bis 300 Mitarbeitern führen, gilt eine einfache Faustregel: Prüfen Sie zuerst NIS2-Betroffenheit, dann den Auskunftsprozess, dann die Zeiterfassung. In dieser Reihenfolge sinkt das finanzielle Risiko am schnellsten.

Holen Sie sich einen externen Datenschutzbeauftragten, wenn Sie intern keine Kapazität haben. Das ist günstiger als ein Bußgeld und schneller als ein interner Aufbau.

Fazit / Ihr nächster Schritt

Datenschutz pragmatisch umsetzen

Lassen Sie uns in einem kostenlosen Erstgespräch klären, wie wir Ihnen helfen können. 30 Minuten mit Nils, klare Einschätzung, keine Verkaufs-Show.

Erstgespräch buchen

---

Häufige Fragen (FAQ)

Ab wann gilt NIS2 für mein Unternehmen?

NIS2 ist seit Dezember 2025 über die BSI-Gesetz-Novelle in Kraft. Ab Juli 2026 müssen bis zu 40.000 Unternehmen die verschärften Regeln erfüllen. Ob Sie betroffen sind, hängt von Branche, Mitarbeiterzahl und Umsatz ab.

Was kostet ein DSGVO-Verstoß aktuell im Schnitt?

Die kumulierten Bußgelder erreichen bis März 2026 6,11 Milliarden Euro. Im Mittelstand liegen Einzelfälle häufig zwischen 5.000 und 50.000 Euro, bei größeren Verstößen deutlich darüber.

Muss ich jeden DSGVO-Auskunftsantrag beantworten?

Grundsätzlich ja. Nach dem EuGH-Urteil vom 19. März 2026 (C-526/24) kann aber auch der erste Antrag als exzessiv abgewiesen werden, wenn er nachweislich rechtsmissbräuchlich gestellt wurde. Voraussetzung: sauberer Auskunftsprozess und Dokumentation.

Was bedeutet die 24-Stunden-Meldepflicht unter NIS2?

Sie müssen Sicherheitsvorfälle binnen 24 Stunden beim BSI melden. Dazu brauchen Sie einen definierten Prozess, klare Verantwortlichkeiten und eine technische Erkennung von Vorfällen. Das lässt sich nicht improvisieren.

Was ändert das Zeiterfassungs-Urteil vom Mai 2026?

Die Beweislast bei Arbeitszeitstreit liegt nun beim Arbeitgeber. Ein konkreter Fall endete mit 50.000 Euro Schaden. Excel-Listen reichen nicht -- gefordert ist ein DSGVO-konformes System mit Berechtigungskonzept, Löschfristen und Protokollierung.

Wann greift die KI-Kennzeichnungspflicht?

Ab August 2026. Wer KI-generierte Inhalte verbreitet oder KI in Kundenprozessen einsetzt, muss das kennzeichnen. Empfohlene Vorbereitung: KI-Inventur, Berechtigungskonzept, Schulung der Mitarbeiter.