November 2025: Neue Datenschutzgesetze und Sicherheitsrichtlinien – was daraus wurde (Stand Juli 2026)

Inhalt in Kürze

• Das NIS2-Umsetzungsgesetz wurde am 13. November 2025 im Bundestag beschlossen und gilt seit dem 6. Dezember 2025 — ohne Übergangsfrist. Rund 20.850 Einrichtungen sind betroffen (BT-Drs. 20/13184).
• Die BSI-Registrierung war bis 6. März 2026 Pflicht. Das BSI hat eine Nachfrist bis 31. Juli 2026 gesetzt. Danach ist die Registrierung überfällig.
• Der Digital Omnibus wurde nur zur Hälfte Gesetz: Die KI-Änderungen gelten seit 27. Juli 2026, die geplanten DSGVO-Lockerungen sind bis heute nicht beschlossen. Die 72-Stunden-Meldefrist gilt unverändert.
• Am 2. August 2026 greifen die Transparenzpflichten des AI Act (Art. 50). Die Hochrisiko-Pflichten wurden dagegen auf Dezember 2027 und August 2028 verschoben.

Im November 2025 überschlugen sich die Meldungen: NIS2 beschlossen, ein EU-Reformpaket angekündigt, der AI Act im Anmarsch. Acht Monate später lässt sich sagen, was davon tatsächlich geltendes Recht wurde — und was nur Entwurf blieb.

Der Unterschied ist teuer. Wer damals gelesen hat, die DSGVO-Meldefrist werde auf 96 Stunden verlängert, und sich darauf verlässt, verpasst heute Fristen. Wir haben diesen Artikel deshalb vollständig überarbeitet und auf den Stand vom 31. Juli 2026 gebracht.

NIS2: Aus dem Beschluss ist geltendes Recht geworden

Das damals Angekündigte ist eingetreten — schneller, als viele erwartet hatten. Der Bundestag beschloss das NIS2-Umsetzungsgesetz (NIS2UmsuCG) am 13. November 2025, der Bundesrat zog am 21. November nach. Verkündet wurde es am 5. Dezember 2025, in Kraft trat es einen Tag später.

Entscheidend ist das, was damals niemand auf dem Zettel hatte: Es gibt keine Übergangsfrist. Die Pflichten galten ab Tag eins.

Die Registrierungsfrist ist längst abgelaufen

Das BSI-Portal ging am 6. Januar 2026 online. Betroffene Einrichtungen mussten sich bis zum 6. März 2026 registrieren. Weil viele Unternehmen das nicht geschafft haben, hat das BSI eine Nachfrist bis zum 31. Juli 2026 eingeräumt — die heute endet.

Diese Nachfrist hebt die gesetzliche Pflicht nicht auf. Sie war ein Entgegenkommen, kein neues Recht. Wer jetzt noch nicht registriert ist, sollte das umgehend nachholen.

Die 24-Stunden-Frist wird regelmäßig mit der DSGVO verwechselt. Es sind zwei getrennte Meldewege: Ein Ransomware-Angriff auf ein NIS2-pflichtiges Unternehmen mit Kundendaten löst beide aus — 24 Stunden ans BSI, 72 Stunden an die Datenschutzaufsicht.

Aus der Praxis

Es trifft auch die kleineren Unternehmen, die nicht direkt unter NIS2 fallen – aber aufgrund der Lieferkette ein wichtiger Bestandteil sind.

Nils OehmichenDatenschutzberater bei frag.hugo

Genau das ist der Punkt, der in den Diskussionen um Schwellenwerte untergeht. Sie können unterhalb jeder Größenklasse liegen und trotzdem NIS2-Anforderungen erfüllen müssen — weil Ihr Kunde sie vertraglich an Sie weiterreicht. Ein Zulieferer mit 30 Mitarbeitern bekommt dann einen Fragebogen, den er ohne Vorbereitung nicht beantworten kann.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Digital Omnibus: Die Hälfte kam, die andere nicht

Hier lohnt der genaue Blick, denn an dieser Stelle war die ursprüngliche Fassung dieses Artikels zu optimistisch.

Die EU-Kommission legte am 19. November 2025 den Vorschlag COM(2025) 837 vor — das „Digital Omnibus”-Paket. Geplant waren unter anderem eine höhere Meldeschwelle für Datenschutzverletzungen und eine Verlängerung der Meldefrist von 72 auf 96 Stunden.

Daraus wurde bis heute nichts. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte äußerten im Februar 2026 erhebliche Bedenken, Datenschutzorganisationen liefen Sturm. Der DSGVO-Teil steckt weiter im Gesetzgebungsverfahren, und mehrere Fachleute halten es für offen, ob er in dieser Legislaturperiode überhaupt noch kommt.

Beschlossen wurde nur der KI-Teil: die Änderungsverordnung (EU) 2026/1744, im Fachjargon „KI-Omnibus”. Rat und Parlament einigten sich am 7. Mai 2026, der Rat stimmte am 29. Juni endgültig zu, seit dem 27. Juli 2026 gilt sie. Sie ändert über 40 Artikel des AI Act.

AI Act: Was am 2. August 2026 wirklich gilt

Übermorgen beginnt die allgemeine Anwendung der KI-Verordnung. Um diesen Termin kursieren zwei hartnäckige Irrtümer — beide führen zu falschen Prioritäten.

Irrtum 1: Ab dem 2. August 2026 gelten die Hochrisiko-Pflichten. Das stimmt nicht mehr. Der KI-Omnibus hat sie verschoben: auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für KI in regulierten Produkten nach Anhang I.

Irrtum 2: Wer seine Mitarbeiter nicht schult, riskiert 35 Millionen Euro Bußgeld. Für die KI-Kompetenzpflicht aus Art. 4 sieht die Verordnung in Art. 99 keinen eigenen Bußgeldtatbestand vor. Die Pflicht besteht seit dem 2. Februar 2025 — nur eben nicht mit diesem Preisschild.

Praktisch relevant ist ab übermorgen vor allem Art. 50: Wer einen Chatbot betreibt, muss offenlegen, dass Nutzer mit einer KI sprechen. KI-generierte Inhalte brauchen eine maschinenlesbare Kennzeichnung. Deepfakes müssen als solche erkennbar sein. Das betrifft jede Website mit KI-Assistent — unabhängig von der Unternehmensgröße.

Mehr dazu in unserem Überblick zum AI Act für den Mittelstand.

Was Sie diese Woche tun sollten

1. NIS2-Betroffenheit klären. 18 Sektoren, Schwellenwerte ab 50 Mitarbeitern oder bei jeweils über 10 Mio. Euro Umsatz und Bilanzsumme — plus alles, was über Lieferkettenklauseln hereinkommt. Im Zweifel prüfen lassen.
2. Registrierung nachholen. Wenn Sie betroffen sind und noch nicht im BSI-Portal stehen, ist heute der letzte Tag der Nachfrist.
3. Meldeprozess auf 24 Stunden auslegen. Wer meldet, an wen, mit welchen Daten — schriftlich, nicht im Kopf einer Person.
4. KI-Einsatz inventarisieren. Welche Systeme laufen im Haus, wo entstehen Inhalte, wo spricht ein Bot mit Kunden? Ohne diese Liste keine Transparenzpflicht-Erfüllung.
5. Chatbot-Hinweise prüfen. Ab 2. August muss erkennbar sein, dass eine KI antwortet.

Fazit: Ankündigungen sind kein Recht

Die Lehre aus acht Monaten: Zwischen einem Kommissionsvorschlag und geltendem Recht liegen Welten. NIS2 kam schneller und härter als erwartet, die DSGVO-Erleichterungen kamen gar nicht, und beim AI Act wurde ausgerechnet der Teil verschoben, auf den sich alle vorbereitet hatten.

Wer Compliance-Entscheidungen auf Schlagzeilen stützt, plant an der Realität vorbei. Prüfen Sie im Zweifel, welchen Status eine Regelung wirklich hat — Vorschlag, Trilog-Einigung oder verkündetes Gesetz.

Wenn Sie den Stand Ihrer Website schnell einschätzen wollen: Unser kostenloser DSGVO-Scanner prüft 29 Punkte in unter zwei Minuten. Für die laufende Betreuung gibt es Hugo DSB, für Lieferkettenanforderungen Hugo Shield.

Häufige Fragen (FAQ)

Gilt das NIS2-Umsetzungsgesetz schon?

Ja. Es wurde am 5. Dezember 2025 verkündet und ist seit dem 6. Dezember 2025 in Kraft — ohne Übergangsfrist. Die Pflichten zu Risikomanagement und Meldewesen gelten seitdem unmittelbar.

Bis wann musste die NIS2-Registrierung beim BSI erfolgen?

Die gesetzliche Frist lief am 6. März 2026 ab. Das BSI hat eine Nachfrist bis zum 31. Juli 2026 gesetzt. Wer betroffen ist und sich bis dahin nicht registriert hat, ist mit der Pflicht in Verzug.

Wurde die DSGVO-Meldefrist auf 96 Stunden verlängert?

Nein. Das war ein Vorschlag der EU-Kommission vom 19. November 2025 im Rahmen des Digital Omnibus. Dieser Teil ist bis heute nicht beschlossen. Es bleibt bei 72 Stunden nach Art. 33 DSGVO.

Was ändert sich am 2. August 2026 durch den AI Act?

Die Verordnung wird allgemein anwendbar. Vor allem greifen die Transparenzpflichten nach Art. 50: Chatbots müssen als KI erkennbar sein, KI-generierte Inhalte gekennzeichnet werden. Zusätzlich wird die nationale Marktüberwachung zuständig.

Wurden die Hochrisiko-Pflichten des AI Act verschoben?

Ja. Durch die Änderungsverordnung (EU) 2026/1744 gelten sie für eigenständige Systeme nach Anhang III erst ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028.

Betrifft NIS2 auch kleine Unternehmen?

Direkt gelten die Schwellenwerte ab 50 Beschäftigten – oder wenn Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € liegen (§ 28 Abs. 2 Nr. 3 BSIG) – in einem der 18 Sektoren. Indirekt trifft es deutlich mehr Betriebe: Große Auftraggeber geben ihre Lieferkettenanforderungen vertraglich weiter — auch an kleine Zulieferer.