Fristenkalender: NIS2, AI Act, CRA & DSGVO – was gilt ab wann?
Wann gilt welche Pflicht — und betrifft sie Sie überhaupt? Hier stehen alle Termine aus DSGVO, NIS2, KI-Verordnung, Cyber Resilience Act, DORA, Data Act und weiteren Gesetzen auf einem Zeitstrahl. Jeden Monat an der Primärquelle geprüft.
Erste Ausgabe des Fristenkalenders. Die wichtigste Änderung der letzten Monate: Der Digital-Omnibus zur KI (VO (EU) 2026/1744) verschiebt die Hochrisiko-Pflichten der KI-Verordnung um 16 bzw. 12 Monate und bringt neue Verbote ab 2. Dezember 2026. Seit 11. September 2026 gelten außerdem die Meldepflichten des Cyber Resilience Act.
Chronologisch. Die Linie „Heute“ trennt, was schon gilt, von dem, was noch kommt. Jeder Eintrag nennt die Norm, wen es betrifft, was zu tun ist — und die Quelle.
2024
gilt abgilt ab
Gilt DSABetrifft: für Online-Handel · Cloud & Daten
Digital Services Act gilt für alle Vermittlungsdienste
Art. 93 Abs. 2 VO (EU) 2022/2065
Was zu tun ist: Betreiben Sie eine Plattform, einen Marktplatz oder Hosting mit Nutzerinhalten, brauchen Sie u. a. eine Kontaktstelle, ein Melde- und Abhilfeverfahren und transparente AGB.
Was zu tun ist: Ersetzen Sie in Datenschutzerklärung, Cookie-Banner und Verträgen Verweise auf „TTDSG“ durch „TDDDG“ (§ 25 TDDDG für Cookies). Inhaltlich hat sich an der Einwilligungspflicht nichts geändert.
Gilt KI-VerordnungBetrifft: für KI-Anbieter · KI-Nutzer
KI-Verordnung tritt in Kraft
Art. 113 Abs. 1 VO (EU) 2024/1689
Was zu tun ist: Prüfen Sie, welche KI-Systeme Sie entwickeln oder einsetzen, und legen Sie ein KI-Verzeichnis an. Die Pflichten greifen gestaffelt bis 2028.
„This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. It shall apply from 2 August 2026.“
Umsetzungsfrist der NIS-2-Richtlinie für die Mitgliedstaaten
Art. 41 Abs. 1 RL (EU) 2022/2555
Was zu tun ist: Die Frist richtete sich an die Staaten, nicht an Unternehmen. Deutschland hat sie verfehlt. Maßgeblich für Sie ist das deutsche NIS-2-Umsetzungsgesetz, das seit 06.12.2025 gilt.
„Artikel 41 Umsetzung (1) Bis zum 17. Oktober 2024 erlassen und veröffentlichen die Mitgliedstaaten die erforderlichen Vorschriften, um dieser Richtlinie nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis. Sie wenden diese Vorschriften ab dem 18. Oktober 2024 an.“
Was zu tun ist: Erfassen Sie alle Produkte mit digitalen Elementen, die Sie herstellen, importieren oder vertreiben. Planen Sie Meldewege und Sicherheitsupdates für die kommenden Stichtage.
Was zu tun ist: Nennen Sie im Online-Shop zu jedem Produkt Hersteller, Kontaktadresse, Produktkennung und Warnhinweise. Benennen Sie eine verantwortliche Person in der EU und richten Sie einen Rückrufprozess ein.
E-Rechnung: Alle Unternehmen müssen sie empfangen können
§ 14 Abs. 1, § 27 Abs. 38 UStG
Was zu tun ist: Sie müssen E-Rechnungen (XRechnung, ZUGFeRD) im B2B annehmen können; ein E-Mail-Postfach genügt. Wichtig ist die revisionssichere Archivierung der XML-Datei — nicht nur der Sichtkopie.
„(38) Abweichend von § 14 Absatz 1 und 2 kann eine Rechnung 1. bis zum 31. Dezember 2026 für einen nach dem 31. Dezember 2024 und vor dem 1. Januar 2027 ausgeführten Umsatz auf Papier oder vorbehaltlich der Zustimmung des Empfängers in“
DORA gilt für Finanzunternehmen und ihre IKT-Dienstleister
Art. 64 VO (EU) 2022/2554
Was zu tun ist: Finanzunternehmen brauchen ein IKT-Risikomanagement, Vorfallmeldungen und ein Register aller IKT-Verträge. IT-Dienstleister von Banken und Versicherern müssen mit Vertragsklauseln und Prüfungen rechnen.
Gilt KI-VerordnungBetrifft: für KI-Anbieter · KI-Nutzer
Verbotene KI-Praktiken gelten
Art. 5, Art. 113 Abs. 3 Buchst. a VO (EU) 2024/1689
Was zu tun ist: Stellen Sie sicher, dass keines Ihrer KI-Systeme eine verbotene Praxis nach Art. 5 umsetzt, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz. Schalten Sie solche Anwendungen ab.
Gilt KI-VerordnungBetrifft: für KI-Anbieter · KI-Nutzer
KI-Kompetenz der Beschäftigten fördern
Art. 4, Art. 113 Abs. 3 Buchst. a VO (EU) 2024/1689
Was zu tun ist: Schulen Sie alle, die in Ihrem Auftrag KI-Systeme bedienen, passend zu Aufgabe und Vorwissen. Dokumentieren Sie die Maßnahmen. Seit dem 27.07.2026 verlangt Art. 4 Maßnahmen zur Förderung, kein bestimmtes Kompetenzniveau.
27.07.2026: Art. 4 durch VO (EU) 2026/1744 (Digital-Omnibus zur KI) neu gefasst: Maßnahmen zur Förderung der KI-Kompetenz statt eines bestimmten Kompetenzniveaus. Datum unverändert. (Quelle)
§ 26 TDDDG, Art. 3 V v. 6.2.2025 (BGBl. 2025 I Nr. 32)
Was zu tun ist: Es gibt jetzt einen Rahmen für staatlich anerkannte Dienste zur Einwilligungsverwaltung. Eine Pflicht, sie einzubinden, besteht nicht. Wer sie berücksichtigen will, prüft, ob sein Consent-Tool Signale anerkannter Dienste verarbeitet.
Erste Einreichung des DORA-Informationsregisters bei der BaFin
Art. 28 Abs. 3 VO (EU) 2022/2554; BaFin-Vorgabe
Was zu tun ist: Das Register musste alle IKT-Verträge zum Stichtag 31.03.2025 enthalten. Halten Sie es laufend aktuell, die Einreichung wiederholt sich jährlich.
Barrierefreiheit für Online-Shops und digitale Dienste
§ 38 BFSG; Art. 4, Art. 31 RL (EU) 2019/882
Was zu tun ist: Online-Shops, Banking-Apps und andere Verbraucherdienste müssen barrierefrei sein. Kleinstunternehmen unter zehn Beschäftigten, die Dienstleistungen erbringen, sind ausgenommen. Prüfen Sie Shop und Bestellprozess und veröffentlichen Sie die Informationen zur Barrierefreiheit.
„Unbeschadet von Absatz 2 können Dienstleistungserbringer bis zum 27. Juni 2030 ihre Dienstleistungen weiterhin unter Einsatz von Produkten erbringen, die von ihnen bereits vor dem 28. Juni 2025 zur Erbringung dieser oder ähnlicher Dienstleistungen rechtmäßig eingesetzt wurden.“
Gilt FunkanlagenBetrifft: für Hersteller · Online-Handel
Cybersicherheit für Funkanlagen (RED)
Art. 3 Abs. 2 Delegierte VO (EU) 2022/30 i. d. F. Delegierte VO (EU) 2023/2444
Was zu tun ist: Vernetzte Funkgeräte wie WLAN-Kameras, Smart-Home-Geräte oder Wearables brauchen Schutz für Netz, Daten und vor Betrug, nachgewiesen etwa über EN 18031. Verkaufen Sie nur Geräte mit passender Konformitätserklärung. Ab 11.12.2027 übernimmt der CRA diese Anforderungen.
27.10.2023: Geltungsbeginn durch Delegierte VO (EU) 2023/2444 auf den 01.08.2025 verschoben. Durch Delegierte VO (EU) 2026/339 wird die VO 2022/30 mit Wirkung vom 11.12.2027 aufgehoben; dann gilt der CRA. (Quelle)
Eintrag zuletzt geändert: 19.10.2026
gilt abgilt ab
Gilt KI-VerordnungBetrifft: für KI-Anbieter
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck
Kap. V, Kap. XII, Art. 113 Abs. 3 Buchst. b VO (EU) 2024/1689
Was zu tun ist: Wenn Sie ein KI-Modell mit allgemeinem Verwendungszweck auf den Markt bringen: Erstellen Sie technische Dokumentation, eine Urheberrechts-Strategie und eine Zusammenfassung der Trainingsdaten. Ab diesem Datum gelten auch Governance- und Sanktionsregeln.
Gilt Data ActBetrifft: für Hersteller · Cloud & Daten · Alle
Data Act gilt: Datenzugang, Datenweitergabe, Cloud-Wechsel
Art. 50 VO (EU) 2023/2854
Was zu tun ist: Prüfen Sie, ob Sie vernetzte Produkte anbieten oder Cloud-Dienste beziehen bzw. anbieten. Nutzer dürfen die Daten ihrer Geräte verlangen; Cloud-Verträge müssen einen Anbieterwechsel ermöglichen.
„Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt ab dem 12. September 2025.“
NIS-2-Umsetzungsgesetz (neues BSI-Gesetz) tritt in Kraft
Art. 30 NIS2UmsuCG, BGBl. 2025 I Nr. 301
Was zu tun ist: Prüfen Sie, ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt (Sektor plus Größe). Wenn ja, gelten Risikomanagement, Meldepflicht und Registrierung ohne Übergangsfrist.
„Mit der heutigen Verkündung des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung tritt ab morgen eine umfassende Modernisierung des Cybersicherheitsrechts in Kraft.“
Meldepflicht für erhebliche Sicherheitsvorfälle an das BSI
§ 32 BSIG (2025)
Was zu tun ist: Legen Sie einen Meldeprozess fest: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat. Benennen Sie, wer meldet und wer erreichbar ist.
„Einrichtungen, die ab dem 06.12.2025 von NIS-2 betroffen sind und vor Registrierung im BSI-Portal einen erheblichen Sicherheitsvorfall erleiden, melden diesen dem BSI über ein Online-Formular“
Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung
§ 38 BSIG (2025) i. V. m. Art. 30 NIS2UmsuCG
Was zu tun ist: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Dokumentieren Sie Teilnahme und Inhalte.
Registrierung beim BSI (drei Monate nach Betroffenheit)
§ 33 Abs. 1 BSIG (2025)
Was zu tun ist: Wer seit 06.12.2025 betroffen ist und sich noch nicht registriert hat, ist im Verzug: sofort über Mein Unternehmenskonto (MUK) und BSI-Portal registrieren. Wer später betroffen wird, hat drei Monate Zeit.
„sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt“
KRITIS-Dachgesetz (physische Resilienz) tritt in Kraft
Art. 11 Abs. 1 G v. 11.03.2026, BGBl. 2026 I Nr. 66
Was zu tun ist: Betreiber kritischer Anlagen müssen sich drei Monate nach der Einstufung beim BBK registrieren. Danach folgen Risikoanalyse (nach neun Monaten) und Resilienzplan (nach zehn Monaten). Welche Anlagen kritisch sind, legt eine noch ausstehende Rechtsverordnung fest.
„Die Verpflichtungen nach § 12 gelten für den Betreiber einer kritischen Anlage erstmals neun Monate, die Verpflichtungen nach den §§ 13, 18 und 20 erstmals zehn Monate nach deren Registrierung.“
29.07.2026: Der feste Registrierungstermin „frühestens jedoch bis einschließlich zum 17. Juli 2026“ in § 8 Abs. 1 wurde durch Art. 8 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet 28.07.2026) gestrichen. Die Frist läuft jetzt drei Monate ab Einstufung als kritische Anlage. (Quelle)
Eintrag zuletzt geändert: 19.10.2026
in Kraft seitin Kraft seit
Gilt Data ActBetrifft: für Hersteller · Cloud & Daten
Art. 3 G v. 26.5.2026 (BGBl. 2026 I Nr. 157), §§ 1 ff. DADG
Was zu tun ist: Verstöße gegen den Data Act kann die Bundesnetzagentur jetzt mit Bußgeldern ahnden. Dokumentieren Sie, wie Sie Datenzugangsanfragen und Wechselwünsche von Kunden bearbeiten.
Was zu tun ist: Deutschland hat die Frist verpasst, ein Umsetzungsgesetz steht noch aus. Bereiten Sie sich dennoch vor: Gehaltsstrukturen nach objektiven Kriterien ordnen, Entgeltdaten der Beschäftigten datensparsam und zugriffsgeschützt führen, Auskunftsprozesse planen.
Gilt KI-VerordnungBetrifft: für KI-Anbieter · KI-Nutzer
Transparenzpflichten für KI-Systeme
Art. 50, Art. 113 Abs. 2 VO (EU) 2024/1689
Was zu tun ist: Weisen Sie Nutzer darauf hin, wenn sie mit einem KI-System wie einem Chatbot sprechen. Kennzeichnen Sie Deepfakes und KI-erzeugte Texte zu Themen von öffentlichem Interesse.
„02 Aug 2026 The majority of rules of the AI Act come into force and enforcement starts for applicable rules Transparency rules (Article 50) start to apply.“
Meldepflicht für ausgenutzte Schwachstellen und Vorfälle
Art. 14, Art. 71 Abs. 2 VO (EU) 2024/2847
Was zu tun ist: Melden Sie aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle Ihrer Produkte über die ENISA-Meldeplattform: Frühwarnung binnen 24 Stunden. Das gilt auch für Produkte, die schon im Markt sind.
Neue vernetzte Produkte: Datenzugang schon im Design
Art. 3 Abs. 1, Art. 50 UAbs. 3 VO (EU) 2023/2854
Was zu tun ist: Vernetzte Geräte, die Sie seit diesem Tag in Verkehr bringen, müssen ihre Produkt- und Dienstdaten für Nutzer einfach, sicher und kostenlos zugänglich machen. Prüfen Sie Ihre Baureihen und die Nutzerinformation vor dem Kauf.
„Die Verpflichtung gemäß Artikel 3 Absatz 1 gilt für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden.“
Kommt KI-VerordnungBetrifft: für KI-Anbieter · KI-Nutzer
Neue Verbote: sexuelle Deepfakes ohne Einwilligung
Art. 5 Abs. 1 Buchst. ba, bb, Art. 113 Abs. 3 Buchst. a VO (EU) 2024/1689 i. d. F. VO (EU) 2026/1744
Was zu tun ist: Prüfen Sie, ob Ihre Bild-, Video- oder Audio-KI intime Darstellungen realer Personen ohne Einwilligung erzeugen kann. Bauen Sie wirksame Sperren ein oder stellen Sie den Einsatz ein.
Art. 50 Abs. 2, Art. 111 Abs. 4 VO (EU) 2024/1689 i. d. F. VO (EU) 2026/1744
Was zu tun ist: Haben Sie vor dem 02.08.2026 ein System auf den Markt gebracht, das Texte, Bilder, Audio oder Video erzeugt? Dann müssen dessen Ausgaben bis zu diesem Datum maschinenlesbar als KI-erzeugt markiert sein.
„4. Providers of AI systems, including general-purpose AI systems, generating synthetic audio, image, video or text content, that have been placed on the market before 2 August 2026 shall take the necessary steps in order to comply with Article 50(2) by 2 December 2026.“
Kommt ProdukthaftungBetrifft: für Hersteller · Online-Handel
Neue Produkthaftung: auch Software ist ein Produkt
Art. 2 Abs. 1, Art. 22 RL (EU) 2024/2853; Art. 17 Gesetz zur Modernisierung des Produkthaftungsrechts (BR-Drs. 584/26)
Was zu tun ist: Für Produkte, die ab diesem Tag in Verkehr kommen, haften Sie verschuldensunabhängig auch für fehlerhafte Software und fehlende Sicherheitsupdates. Prüfen Sie Update-Prozesse, Verträge mit Zulieferern und Ihre Versicherung.
„EU countries will have until 9 December 2026 to transpose this directive into national law. PLD will apply to products placed on the market as of 9 December 2026.“
Mitgliedstaaten müssen eine EUDI-Wallet bereitstellen
Art. 5a Abs. 1 VO (EU) Nr. 910/2014 i. d. F. VO (EU) 2024/1183; DVO (EU) 2024/2979
Was zu tun ist: Prüfen Sie, ob Sie Kunden künftig per EUDI-Wallet identifizieren wollen, etwa bei Kontoeröffnung oder Vertragsschluss. Eine Pflicht zur Annahme haben private Anbieter erst ein Jahr später.
„stellt jeder Mitgliedstaat innerhalb von 24 Monaten nach dem Tag des Inkrafttretens der in Absatz 23 und Artikel 5c Absatz 6 genannten Durchführungsrechtsakte mindestens eine europäische Brieftasche für die Digitale Identität bereit.“
E-Rechnung ausstellen: Pflicht ab 800.000 € Vorjahresumsatz
§ 27 Abs. 38 Nr. 1 und 2 UStG
Was zu tun ist: Lag Ihr Gesamtumsatz 2026 über 800.000 €, dürfen Sie B2B-Rechnungen ab 2027 nur noch als strukturierte E-Rechnung stellen. Klären Sie jetzt mit Ihrem Steuerberater und Softwareanbieter das Format.
„wenn der Gesamtumsatz (§ 19 Absatz 2) des die Rechnung ausstellenden Unternehmers im vorangegangenen Kalenderjahr nicht mehr als 800 000 Euro betragen hat; 3. bis zum 31. Dezember 2027 für einen nach dem 31. Dezember 2026 und vor dem 1. Januar 2028 ausgeführten Umsatz“
Cloud-Anbieterwechsel: Wechsel- und Egress-Entgelte entfallen
Art. 29 VO (EU) 2023/2854
Was zu tun ist: Ab diesem Tag dürfen Cloud-Anbieter für einen Wechsel und für den Datenexport nichts mehr berechnen. Prüfen Sie Ihre Cloud-Verträge auf Wechsel- und Egress-Gebühren und planen Sie Ausstiegsszenarien.
Maschinenverordnung gilt: Cyber-Schutz für Steuerungen
Art. 54 VO (EU) 2023/1230
Was zu tun ist: Maschinen, die ab diesem Tag in Verkehr kommen, müssen die Maschinenverordnung erfüllen. Schützen Sie sicherheitsrelevante Software und Steuerungen gegen Manipulation und protokollieren Sie Eingriffe.
Kommt EHDSBetrifft: für Hersteller · Cloud & Daten
Europäischer Gesundheitsdatenraum (EHDS) gilt allgemein
Art. 105 VO (EU) 2025/327
Was zu tun ist: Betrifft vor allem Hersteller von Praxis- und Kliniksoftware (EHR-Systeme) und Inhaber von Gesundheitsdaten. Die Kernpflichten für EHR-Systeme greifen gestaffelt erst ab 2029 bzw. 2031.
Jährliche Einreichung des DORA-Informationsregisters (Zyklus 2027)
Art. 28 Abs. 3 VO (EU) 2022/2554; BaFin-Vorgabe
Was zu tun ist: Reichen Sie das Register mit Stand 31.12.2026 über die MVP-Meldeplattform der BaFin ein und schließen Sie die Prüfung bis 31. März fehlerfrei ab.
„Bitte reichen Sie Ihr Informationsregister jährlich ein. Stellen Sie dabei sicher, bis spätestens zum 31. März den Einreichungsprozess vollständig und fehlerfrei zu durchlaufen“
Neue Verfahrensregeln für grenzüberschreitende DSGVO-Fälle
VO (EU) 2025/2518
Was zu tun ist: Wenn Sie in mehreren EU-Staaten tätig sind: Rechnen Sie mit festen Fristen für Aufsichtsverfahren und einem Recht auf Anhörung zu vorläufigen Ergebnissen. Legen Sie fest, wer bei Behördenanfragen schnell antwortet.
„The regulation was published in the Official Journal on 12 December 2025 and will enter into force 20 days after publication. It will apply from 2 April 2027“
Alt-KI-Modelle mit allgemeinem Verwendungszweck nachrüsten
Art. 111 Abs. 3 VO (EU) 2024/1689
Was zu tun ist: Haben Sie ein KI-Modell mit allgemeinem Verwendungszweck vor dem 02.08.2025 auf den Markt gebracht? Dann muss es bis zu diesem Datum alle GPAI-Pflichten erfüllen.
„3. Providers of general-purpose AI models that have been placed on the market before 2 August 2025 shall take the necessary steps in order to comply with the obligations laid down in this Regulation by 2 August 2027.“
Unfaire Datenklauseln: Regeln gelten auch für Altverträge
Kapitel IV (Art. 13), Art. 50 UAbs. 4 VO (EU) 2023/2854
Was zu tun ist: Prüfen Sie langfristige oder unbefristete Verträge, die Datenzugang oder Datennutzung regeln, auf einseitig auferlegte, missbräuchliche Klauseln. Ab diesem Tag sind solche Klauseln auch in Altverträgen nicht mehr bindend.
„Kapitel IV gilt ab dem 12. September 2027 für Verträge, die am oder vor dem 12. September 2025 geschlossen wurden, sofern a) sie unbefristet sind oder b) ihre Geltungsdauer frühestens 10 Jahre nach dem 11. Januar 2024 endet.“
Verschoben KI-VerordnungBetrifft: für KI-Anbieter · KI-Nutzer
Hochrisiko-KI nach Anhang III (z. B. Personal, Kredit)
Art. 6 Abs. 2, Anhang III, Art. 113 Abs. 3 Buchst. c Ziff. i VO (EU) 2024/1689 i. d. F. VO (EU) 2026/1744
Was zu tun ist: Prüfen Sie, ob Sie KI etwa für Bewerberauswahl, Leistungsbewertung oder Kreditwürdigkeit einsetzen. Dann brauchen Sie als Betreiber menschliche Aufsicht, Protokolle und Information der Betroffenen; Anbieter brauchen Risikomanagement und Konformitätsbewertung.
„Regulation (EU) 2026/1744 of the European Parliament and of the Council of 8 July 2026 amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI)“
27.07.2026: Durch VO (EU) 2026/1744 (Digital-Omnibus zur KI, in Kraft seit 27.07.2026) von 02.08.2026 auf 02.12.2027 verschoben. (Quelle)
Eintrag zuletzt geändert: 19.10.2026
gilt abgilt abin 418 Tagen
Kommt CRABetrifft: für Hersteller
Cyber Resilience Act gilt vollständig
Art. 71 Abs. 2 VO (EU) 2024/2847
Was zu tun ist: Ab diesem Tag dürfen Sie Produkte mit digitalen Elementen nur noch mit CE-Kennzeichnung nach CRA in Verkehr bringen. Erfüllen Sie die Cybersicherheitsanforderungen, behandeln Sie Schwachstellen über den Supportzeitraum und erstellen Sie die technische Dokumentation.
„11. Dezember 2027: Alle CRA -Anforderungen gelten, einschließlich der Einhaltung der grundlegenden Cybersicherheitsanforderungen vor dem Inverkehrbringen eines Produkts“
Kommt eIDAS 2.0Betrifft: für Finanzsektor · Online-Handel · Cloud & Daten
Private Anbieter mit starker Authentifizierung müssen EUDI-Wallet annehmen
Art. 5f Abs. 2 VO (EU) Nr. 910/2014 i. d. F. VO (EU) 2024/1183
Was zu tun ist: Wenn Sie gesetzlich oder vertraglich eine starke Online-Identifizierung verlangen (z. B. Bank, Energie, Telekommunikation), müssen Sie die EUDI-Wallet auf Wunsch des Nutzers akzeptieren. Kleinst- und Kleinunternehmen sind ausgenommen.
„so akzeptieren diese privaten vertrauenden Beteiligten hierfür spätestens 36 Monate nach dem Tag des Inkrafttretens der Durchführungsrechtsakte gemäß Artikel 5a Absatz 23 und Artikel 5c Absatz 6“
E-Rechnung ausstellen: Pflicht für alle Unternehmen
§ 27 Abs. 38 Nr. 3 UStG
Was zu tun ist: Ab 2028 gelten die Übergangsregeln nicht mehr: Auch kleinere Unternehmen stellen B2B-Rechnungen nur noch als E-Rechnung aus (Ausnahmen u. a. für Kleinbeträge und Kleinunternehmer). Stellen Sie Ihr Rechnungsprogramm rechtzeitig um.
„3. bis zum 31. Dezember 2027 für einen nach dem 31. Dezember 2026 und vor dem 1. Januar 2028 ausgeführten Umsatz vorbehaltlich der Zustimmung des Empfängers in einem elektronischen Format, das nicht §“
Verschoben KI-VerordnungBetrifft: für KI-Anbieter · Hersteller
Hochrisiko-KI in regulierten Produkten (Anhang I)
Art. 6 Abs. 1, Anhang I, Art. 113 Abs. 3 Buchst. c Ziff. ii VO (EU) 2024/1689 i. d. F. VO (EU) 2026/1744
Was zu tun ist: Steckt KI als Sicherheitsbauteil in Ihrem Produkt, etwa in einem Medizinprodukt oder Spielzeug? Planen Sie die KI-Anforderungen in die Konformitätsbewertung des Produkts ein.
27.07.2026: Durch VO (EU) 2026/1744 (Digital-Omnibus zur KI, in Kraft seit 27.07.2026) von 02.08.2027 auf 02.08.2028 verschoben. (Quelle)
Eintrag zuletzt geändert: 19.10.2026
gilt abgilt abin 779 Tagen
Kommt NIS2Betrifft: für NIS2
BSI darf Nachweise von besonders wichtigen Einrichtungen verlangen
§ 61 Abs. 3 BSIG (2025) i. V. m. Art. 30 NIS2UmsuCG
Was zu tun ist: Frühestens ab diesem Tag kann das BSI Audits, Prüfungen oder Zertifizierungen als Nachweis anordnen. Halten Sie Ihre Risikomanagement-Dokumentation so, dass Sie sie kurzfristig vorlegen können.
„Das Bundesamt kann auch gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen.“
Jeden Monat. Am ersten Werktag gleichen wir alle Einträge mit Amtsblatt der EU, Bundesgesetzblatt und den Seiten von BSI, BaFin, BMF und EU-Kommission ab.
Nur mit Beleg. Ein Datum erscheint erst, wenn wir es wörtlich in der Primärquelle gefunden haben. Das Zitat steht beim Eintrag unter „Nachweis“.
Nichts verschwindet still. Jede Verschiebung und jede Streichung steht mit Datum im Änderungsprotokoll und im RSS-Feed.
Keine Rechtsberatung. Wir zeigen, was ab wann gilt. Ob es Sie trifft, klären Sie mit Ihrem Datenschutzbeauftragten — oder mit uns.
Fehler gefunden oder eine Frist fehlt? Schreiben Sie an info@fraghugo.de. Daten unter CC BY 4.0 — bitte mit Link auf diese Seite.
Häufige Fragen
Gestaffelt: 1. August 2024 – KI-Verordnung tritt in Kraft; 2. Februar 2025 – Verbotene KI-Praktiken gelten; 2. Februar 2025 – KI-Kompetenz der Beschäftigten fördern; 2. August 2025 – Pflichten für KI-Modelle mit allgemeinem Verwendungszweck; 2. August 2026 – Transparenzpflichten für KI-Systeme; 2. Dezember 2026 – Neue Verbote: sexuelle Deepfakes ohne Einwilligung; 2. Dezember 2026 – KI-Inhalte maschinenlesbar kennzeichnen (Bestandssysteme); 2. August 2027 – Alt-KI-Modelle mit allgemeinem Verwendungszweck nachrüsten; 2. Dezember 2027 – Hochrisiko-KI nach Anhang III (z. B. Personal, Kredit); 2. August 2028 – Hochrisiko-KI in regulierten Produkten (Anhang I). Den Stand prüfen wir monatlich an der Primärquelle.
17. Oktober 2024: Umsetzungsfrist der NIS-2-Richtlinie für die Mitgliedstaaten; 6. Dezember 2025: NIS-2-Umsetzungsgesetz (neues BSI-Gesetz) tritt in Kraft; 6. Dezember 2025: Meldepflicht für erhebliche Sicherheitsvorfälle an das BSI; 6. Dezember 2025: Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung; 6. März 2026: Registrierung beim BSI (drei Monate nach Betroffenheit); 6. Dezember 2028: BSI darf Nachweise von besonders wichtigen Einrichtungen verlangen. Filtern Sie oben nach „NIS2“, um nur diese Fristen zu sehen.
Wir prüfen ihn jeden Monat am ersten Werktag gegen Amtsblatt, Bundesgesetzblatt und die Seiten der Behörden. Letzter Stand: 19. Oktober 2026. Was sich geändert hat, steht im Abschnitt „Neu und geändert“ und im RSS-Feed.
Abonnieren Sie die Kalender-Adresse https://www.fraghugo.de/tools/fristenkalender/fristen.ics. In Outlook: „Kalender hinzufügen“ → „Aus dem Internet abonnieren“. In Google Kalender: „Weitere Kalender“ → „Per URL“. Der Kalender aktualisiert sich selbst; verschobene Termine wandern mit. Einzelne Fristen können Sie auch als .ics-Datei mit Erinnerung 30 Tage vorher herunterladen.
„Gilt“: Das Datum ist erreicht, die Pflicht besteht. „Kommt“: beschlossen, das Datum liegt in der Zukunft. „Verschoben“: Ein späterer Rechtsakt hat das ursprüngliche Datum verlegt — angezeigt wird das neue Datum, die Historie steht beim Eintrag. „Entwurf“: nur vorgeschlagen, noch nicht beschlossen; das Datum kann sich ändern.
Nein. Er zeigt, was ab wann gilt, und belegt jedes Datum mit der Primärquelle. Ob und wie eine Pflicht Ihr Unternehmen trifft, hängt vom Einzelfall ab. Dafür sind Ihr Datenschutzbeauftragter oder eine Rechtsberatung zuständig.
Ja, gern. Verlinken Sie die Seite oder eine gefilterte Ansicht — der Filter steht in der Adresse, zum Beispiel …/tools/fristenkalender/?gruppe=hersteller. Die Daten stehen unter CC BY 4.0; bei Übernahme bitte frag.hugo als Quelle nennen und verlinken.
