Das NIS2-Umsetzungsgesetz ist geltendes Recht. Die Registrierungsfrist ist abgelaufen. Wer jetzt noch nicht registriert ist, hat ein Problem.
Betroffen sind Unternehmen in 18 Sektoren — von Energie über Gesundheit bis zur digitalen Infrastruktur. Neu ist: Die Geschäftsführung haftet persönlich für die Umsetzung der Sicherheitsmaßnahmen. Das war vorher anders.
Konkret müssen betroffene Unternehmen drei Dinge nachweisen: ein funktionierendes Risikomanagement, funktionierende Meldeprozesse bei Sicherheitsvorfällen und die Kontrolle ihrer Lieferkette.
Eine praktische Konsequenz, die viele überrascht: Die DENIC zeigt jetzt Inhaberdaten von Unternehmens-Domains öffentlich an. Name, Anschrift, Kontaktdaten — alles sichtbar. Hintergrund ist die NIS2-Richtlinie.
Und es gibt einen Dominoeffekt: Über die DORA-Verordnung verfolgen Banken NIS2 bis in die Lieferkette. IT-Dienstleister, die für den Finanzsektor arbeiten, werden dadurch indirekt NIS2-pflichtig. Auch wenn sie selbst unter keinen der 18 Sektoren fallen.
Auch Unternehmen unter 50 Mitarbeitern können über die Lieferkette NIS2-pflichtig werden — etwa als IT-Dienstleister für Banken oder Energieversorger. Prüfen Sie Ihre Kundenverträge.
Am 6. März 2026 hat das KRITIS-Dachgesetz den Bundesrat passiert. Es schafft einen einheitlichen Ordnungsrahmen für die Resilienz kritischer Anlagen in Deutschland.
Zusammen mit NIS2 und dem Cyber Resilience Act entsteht ein dichtes regulatorisches Netz. Das betrifft nicht nur die großen Betreiber kritischer Infrastrukturen. Auch Zulieferer und IT-Dienstleister des Mittelstands müssen nachweisen, dass sie bestimmte Resilienz-Anforderungen erfüllen.
Was das Gesetz konkret fordert: Risikoanalysen, Notfallpläne, Meldepflichten bei Störungen und regelmäßige Überprüfungen. Wer als Zulieferer für KRITIS-Betreiber arbeitet, sollte jetzt prüfen, welche Anforderungen vertraglich weitergegeben werden.
Der EuGH hat am 19. März 2026 ein Urteil gesprochen, auf das viele Unternehmen gewartet haben. In der Rechtssache C-526/24 stellte das Gericht klar: Auch ein erster Auskunftsantrag nach Art. 15 DSGVO kann als exzessiv abgelehnt werden.
Das klingt technisch, hat aber enorme praktische Bedeutung. Bisher mussten Unternehmen jeden Auskunftsantrag beantworten — egal, ob die anfragende Person ein echtes Informationsinteresse hatte oder gezielt Schadensersatzansprüche provozieren wollte. Dieses sogenannte „DSGVO-Hopping" war ein wachsendes Problem.
Laut Haufe gibt das Urteil Unternehmen erstmals eine unionsrechtliche Grundlage, um strategisch missbrauchte Anfragen abzuwehren. Das DSGVO-Portal bestätigt: Ein Antrag ist unzulässig, wenn er gezielt Schadensersatzansprüche auslösen soll.
Die EU-KI-Verordnung tritt 2026 stufenweise in Kraft. Unternehmen, die KI einsetzen — auch nur ChatGPT oder automatisierte Entscheidungssysteme — brauchen eine Dokumentation: Welche Systeme nutzen Sie? Welches Risiko geht davon aus? Wer ist verantwortlich?
Das novellierte Bundesdatenschutzgesetz (BDSG-neu) bringt zwei Neuerungen: Rechtssicherheit für Bonitäts-Scoring und ein striktes Verbot bestimmter Datenverarbeitungen. Parallel entsteht ein Beschäftigtendatenschutzgesetz — besonders relevant, wenn Sie KI im HR-Bereich einsetzen.
Und dann ist da das Digital-Omnibus-Paket: Cookie-Opt-out statt Opt-in. Falls das durchkommt, verschwinden die nervigen Cookie-Banner. Nutzer müssten dann aktiv widersprechen statt aktiv zustimmen. Der Data Act wurde am 26. März 2026 vom Bundestag verabschiedet. Und Europrivacy ist jetzt als Transfermechanismus anerkannt — eine Alternative zu Standard-Vertragsklauseln.
Starten Sie jetzt ein KI-Verzeichnis: Listen Sie alle KI-Tools auf, die in Ihrem Unternehmen genutzt werden — von ChatGPT bis zur automatischen Rechnungserkennung. Das wird 2026 Pflicht.
Die DSGVO-Bußgelder steigen weiter. Die Aufsichtsbehörden bleiben aktiv — auch gegen mittelständische Unternehmen.
Laut Dr. Datenschutz gibt es ein neues Urteil zum Meta Pixel. Wer Facebook-Tracking auf seiner Website einsetzt, sollte die Einbindung jetzt prüfen.
Der BGH verhandelte am 23. April 2026 über Videoüberwachung in der Wohnküche (I ZR 289/25) — mit möglichen Auswirkungen auf das Überwachungsrecht im Arbeitskontext.
Die Datenschutzkonferenz hat einen Digital Fitness Check veröffentlicht — ein kostenloses Selbstbewertungs-Tool. Und am 27. April 2026 wird die DSGVO zehn Jahre alt. Was 2016 als Experiment begann, ist heute das weltweit einflussreichste Datenschutzgesetz.
Es trifft auch die kleineren Unternehmen, die nicht direkt unter NIS2 fallen — aber aufgrund der Lieferkette ein wichtiger Bestandteil sind.
Nils OehmichenDatenschutzberater bei frag.hugo
Das sehen wir gerade täglich in der Beratung. Ein IT-Dienstleister mit 25 Mitarbeitern bekommt Post von seiner Bank: NIS2-Nachweis erforderlich, sonst kein Vertrag mehr. Ein Maschinenbauer mit 80 Leuten soll seinem Kunden aus der Energiebranche ein KRITIS-konformes Sicherheitskonzept vorlegen. Die Regulierung rollt von oben nach unten durch die Lieferkette.
Für Unternehmen, die das nicht allein stemmen wollen: Ein externer Datenschutzbeauftragter übernimmt die operative Umsetzung — von NIS2 über KI-Verordnung bis zur laufenden Dokumentation.
Unsicher, ob NIS2 oder die KI-Verordnung Ihr Unternehmen betrifft?
Nils und das frag.hugo-Team klären das in einem kostenlosen Erstgespräch — pragmatisch und ohne Fachchinesisch.
Erstgespräch buchenDirekt betroffen sind Unternehmen in 18 Sektoren ab einer bestimmten Größe. Aber: Über die Lieferkette können auch kleinere Unternehmen indirekt NIS2-pflichtig werden — etwa als IT-Dienstleister für Banken oder Energieversorger. Die DORA-Verordnung verstärkt diesen Effekt im Finanzsektor.
Nein, nicht pauschal. Der EuGH hat mit Urteil C-526/24 klargestellt, dass ein Auskunftsantrag als exzessiv abgelehnt werden kann — aber nur, wenn er nachweislich missbräuchlich gestellt wurde, etwa um gezielt Schadensersatz auszulösen. Sie brauchen eine saubere Dokumentation und eine nachvollziehbare Begründung.
Erstellen Sie ein Verzeichnis aller KI-Systeme in Ihrem Unternehmen. Dokumentieren Sie, welche Daten verarbeitet werden und wer verantwortlich ist. Prüfen Sie, ob eines Ihrer Systeme als „Hochrisiko-KI" eingestuft wird. Die Pflichten greifen stufenweise bis 2027.
Direkt betroffen sind Betreiber kritischer Infrastrukturen. Aber: Wenn Sie als Zulieferer oder IT-Dienstleister für KRITIS-Betreiber arbeiten, werden Resilienz-Anforderungen vertraglich an Sie weitergegeben. Prüfen Sie Ihre bestehenden Kundenverträge.
Das Digital-Omnibus-Paket der EU plant ein Opt-out-Modell statt des bisherigen Opt-in. Das würde Cookie-Banner weitgehend überflüssig machen. Allerdings ist das Gesetzgebungsverfahren noch nicht abgeschlossen — mit einer Umsetzung ist frühestens 2027 zu rechnen.
Die Datenschutzkonferenz (DSK) hat das kostenlose Selbstbewertungs-Tool auf ihrer Website veröffentlicht. Es dauert etwa 15 Minuten und gibt Ihnen eine ehrliche Einschätzung Ihres Datenschutz-Reifegrads. Alternativ nutzen Sie den Hugo Check für eine schnelle Standortbestimmung.
Inhaltsverzeichnis
NIS2-Registrierungsfrist abgelaufen, EuGH stärkt KMU gegen Abmahner, EU-Großprüfung läuft: Was der Mittelstand im März 2026 wissen muss.
WeiterlesenÜber den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
15 Minuten am Telefon mit Nils oder Jens — kostenlos, ohne Verkaufsdruck. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
