Regulierungswelle 2026: NIS2, DORA, AI Act und CRA im Überblick

Inhalt in Kürze

• Vier EU-Regulierungen treffen Unternehmen nahezu gleichzeitig: NIS2, DORA, AI Act und CRA.
• In Deutschland sind geschätzt 30.000 Unternehmen allein von NIS2 betroffen — viele wissen es noch nicht.
• Die Bußgelder reichen bis 35 Mio. Euro oder 7 % des Umsatzes (AI Act).
• Wer die Anforderungen integriert umsetzt, spart 30–40 % Aufwand gegenüber Einzelprojekten.

DSGVO kennen Sie. Aber wissen Sie auch, was NIS2, DORA, AI Act und CRA für Ihr Unternehmen bedeuten? Vier EU-Regulierungen, die zwischen 2025 und 2026 scharfgeschaltet werden — teilweise gleichzeitig. Und die meisten KMU haben davon noch nie gehört.

Das ist kein theoretisches Compliance-Problem. Das sind Bußgelder, Meldepflichten und Geschäftsführerhaftung. Hier der Überblick, den Sie brauchen.

Die vier Regulierungen auf einen Blick

NIS2: IT-Sicherheit wird Pflicht

Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025. Betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz in 18 Sektoren — von Energie über Gesundheit bis IT-Dienstleistungen. Neu: Auch Zulieferer können betroffen sein.

Kernpflichten: Risikomanagement, Vorfallmeldung an das BSI innerhalb von 24 Stunden, Lieferkettensicherheit und persönliche Haftung der Geschäftsführung.

DORA: Finanzsektor unter der Lupe

DORA gilt seit Januar 2025 für Banken, Versicherungen, Zahlungsdienstleister und deren kritische IT-Dienstleister. Fünf Säulen: IKT-Risikomanagement, Vorfallmeldung, Resilienztests, Drittanbieter-Management, Informationsaustausch.

Details: Siehe unser DORA-Leitfaden für Finanzunternehmen.

AI Act: KI-Systeme reguliert

Der AI Act regelt den Einsatz von KI-Systemen nach Risikokategorien. Seit Februar 2025 gilt bereits die KI-Kompetenzpflicht nach Art. 4: Jedes Unternehmen, das KI-Systeme nutzt, muss sicherstellen, dass Mitarbeiter ausreichend geschult sind.

Ab August 2026 werden die Sanktionen über das deutsche KI-MIG (Maßnahmengesetz zur Implementierung der KI-Verordnung) vollstreckbar. Hochrisiko-KI-Systeme (Personalauswahl, Kreditscoring, Gesundheits-KI) unterliegen dann strengen Anforderungen.

CRA: Produktsicherheit für Software

Der Cyber Resilience Act richtet sich an Hersteller digitaler Produkte — von Routern über Smart-Home-Geräte bis zu SaaS-Plattformen. Ab September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden. Die vollen Anforderungen (Security by Design, Update-Pflicht) gelten ab 2027.

Was sich überschneidet — und wo nicht

Aus der Praxis

Es trifft auch die kleineren Unternehmen. Die denken, das sei alles nur für Konzerne. Aber NIS2 allein betrifft in Deutschland geschätzt 30.000 Unternehmen — viele davon mit unter 250 Mitarbeitern. Und wer für einen NIS2-Betroffenen als Zulieferer arbeitet, wird mitgezogen.

Nils OehmichenDatenschutzberater bei frag.hugo

Ihre Checkliste: So bereiten Sie sich vor

• Betroffenheitscheck. Fallen Sie unter NIS2 (18 Sektoren, ≥50 MA)? Unter DORA (Finanzsektor)? Nutzen Sie KI (AI Act)? Stellen Sie Produkte her (CRA)?
• ISMS als Basis. Ein Informationssicherheits-Managementsystem nach ISO 27001 deckt 60–80 % der Anforderungen aus NIS2, DORA und CRA gleichzeitig ab.
• Meldeprozesse aufsetzen. NIS2 verlangt 24 Stunden, DORA hat eigene Fristen, CRA ab September 2026. Definieren Sie jetzt, wer was wohin meldet.
• KI-Inventar erstellen. Welche KI-Systeme setzen Sie ein? ChatGPT zählt. Copilot zählt. Jedes Tool mit KI-Komponente muss erfasst werden.
• Geschäftsführung einbinden. Bei NIS2 und DORA haftet die Geschäftsführung persönlich. Schulung und Freigabe der Sicherheitsstrategie sind Chefsache.
• Integriert umsetzen. Nicht vier Einzelprojekte starten, sondern ein Compliance-Programm. Das spart 30–40 % Aufwand.

Was bedeutet das für Hamburger Unternehmen?

Hamburg als Hafen-, Medien- und Finanzstandort ist von allen vier Regulierungen betroffen: Logistik und Hafen (NIS2), Banken und Versicherungen (DORA), Tech-Startups und Agenturen (AI Act + CRA). Als IT-Sicherheitsberatung in Hamburg helfen wir Ihnen, die Betroffenheit zu klären und einen integrierten Umsetzungsplan zu erstellen.

Häufige Fragen (FAQ)

Welche neuen EU-Regulierungen gelten 2025/2026?

Vier zentrale Gesetze: NIS2 (seit Dezember 2025), DORA (seit Januar 2025), AI Act (gestaffelt seit Februar 2025) und CRA (Meldepflicht ab September 2026).

Bin ich von mehreren Regulierungen gleichzeitig betroffen?

Sehr wahrscheinlich. Ein IT-Dienstleister, der für Banken arbeitet und KI einsetzt, fällt unter NIS2, DORA und AI Act gleichzeitig.

Welche Bußgelder drohen?

NIS2: bis 10 Mio. Euro. DORA: Zwangsgelder. AI Act: bis 35 Mio. Euro / 7 % Umsatz. CRA: bis 15 Mio. Euro.

Kann ich die Anforderungen zusammen umsetzen?

Ja — ein ISMS nach ISO 27001 deckt 60–80 % ab und spart 30–40 % Aufwand gegenüber Einzelprojekten.

Was muss ich als Erstes tun?

Betroffenheitscheck: NIS2 (18 Sektoren, ≥50 MA), DORA (Finanzsektor), AI Act (jeder KI-Nutzer), CRA (Produkthersteller). Dann ISMS als Basis aufbauen.