NIS-2 und KI-Gesetz: Deutsche Unternehmen in der Compliance-Zange

Ab Dezember 2025 haften Vorstände persönlich für Cybersicherheitsmängel. Weitere EU-Regularien wie der AI Act verschärfen die Compliance-Anforderungen bis Sommer 2026.

000 Firmen in Deutschland. Die NIS-2-Umsetzung macht Vorstände persönlich haftbar – und das ist erst der Anfang.

Die regulatorische Landschaft für deutsche Unternehmen verändert sich grundlegend. Cybersicherheit ist kein reines IT-Thema mehr, sondern Chefsache. Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 stehen rund 30.000 Firmen vor neuen Risikomanagement- und Meldepflichten. Hinzu kommen der EU AI Act und der Cyber Resilience Act, die ab Frühjahr und Sommer 2026 die Compliance-Anforderungen weiter verschärfen.

Haftung für Vorstände: NIS-2 macht Ernst

Die NIS-2-Richtlinie etabliert Cybersicherheit als zentrale Führungsaufgabe. Geschäftsführer und Vorstände haften künftig persönlich bei Verstößen – ein Thema, das am 6. Mai 2026 bei einer Veranstaltung der IHK Saarland im Fokus steht. Experten betonen dort: Cybersicherheit ist keine Randnotiz, sondern Kernaufgabe der Unternehmensführung. Gefordert sind robuste Risikomanagementsysteme, Incident-Protokolle und umfassende Sicherheitsmaßnahmen entlang der gesamten Lieferkette.

Anzeige

Angesichts der strengen Fristen des neuen EU AI Acts stehen viele Unternehmen unter hohem Umsetzungsdruck. Dieser kostenlose Leitfaden verschafft Ihrer IT- und Rechtsabteilung den notwendigen Überblick über Pflichten und Risikoklassen. EU AI Act Umsetzungsleitfaden jetzt kostenlos sichern

Die Dringlichkeit zeigt das aktuelle Bedrohungsbild: 2025 war der verarbeitende Sektor mit 34,1 Prozent aller öffentlich bekannten Ransomware-Angriffe in Deutschland besonders betroffen. Eine Analyse von knapp 300 Fällen identifizierte Gruppen wie Safepay und Akira als Hauptakteure. Mindestens 325 schwerwiegende Angriffe pro Jahr sind zu erwarten – und die Einstiegshürde für Angreifer sinkt durch KI und automatisierte Tools weiter.

Um diese Risiken zu managen, raten Branchenexperten von manuellen Tracking-Systemen ab. Beim NIS-2-Kongress am 12. und 13. Mai 2026 in Frankfurt zeigen Softwareanbieter, dass herkömmliche Excel-Tabellen für Compliance-Dokumentationen Prüfpfade gefährden und das Risiko regulatorischer Verstöße erhöhen. Gefragt sind integrierte GRC-Lösungen (Governance, Risk, Compliance), die die komplexen Dokumentationsanforderungen der neuen Richtlinie bewältigen.

KI-Gesetz und Cyber Resilience Act: Die nächsten Deadlines

Der Druck auf Vorstände steigt durch weitere gesetzliche Fristen. Die meisten Regelungen des EU AI Act (KI-VO) gelten ab dem 2. August 2026. Das Gesetz führt ein abgestuftes Risikosystem mit empfindlichen Strafen ein – bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Der Europäische Datenschutzausschuss (EDSA) hat bereits im März 2026 eine standardisierte Vorlage für Datenschutz-Folgenabschätzungen (DPIA) veröffentlicht.

Parallel dazu nähert sich der EU Cyber Resilience Act (CRA) seinen ersten großen Meilensteinen. Die Verordnung ist zwar seit Ende 2024 in Kraft, die ersten Meldepflichten für Hersteller und Betreiber kritischer Infrastruktur greifen jedoch erst am 11. September 2026. Die vollständige Anwendung des CRA ist für den 11. Dezember 2027 vorgesehen. Diese Regulierungen sind Teil eines umfassenden „Digital-Omnibus“-Reformpakets, das die EU-Kommission im November 2025 vorschlug. Es zielt darauf ab, die DSGVO zu modernisieren – unter anderem durch erleichtertes KI-Training auf Basis berechtigter Interessen und eine Verlängerung der Meldefrist für Datenpannen von 72 auf 96 Stunden.

Als Reaktion auf diese Regulierungswelle investieren deutsche Unternehmen verstärkt in die Weiterbildung ihrer Mitarbeiter. Eine Studie des TÜV-Verbands zeigt: Die Zahl der Firmen, die KI-Schulungen anbieten, hat sich seit 2024 mehr als verdoppelt – von 12 auf 27 Prozent. Dennoch haben nur 29 Prozent der 500 befragten Unternehmen eine formelle, schriftliche Strategie für die berufliche Weiterbildung, obwohl die Mehrheit generative KI im Arbeitsalltag nutzt.

Digitale Transformation bei Arbeitsmedizin und Arbeitssicherheit

Der Digitalisierungstrend erfasst auch traditionelle Bereiche der Arbeitssicherheit. Seit der Überarbeitung der DGUV-V2-Vorschriften am 1. Dezember 2025 können viele Pflichtuntersuchungen per Telemedizin durchgeführt werden. Dienstleister in Duisburg haben kürzlich ein mehrsprachiges Portal gestartet, über das Beschäftigte in Logistik und Transport die G25- (Fahr- und Überwachungstätigkeiten) und G37-Untersuchungen (Bildschirmarbeit) online absolvieren können. Auch jährliche Sicherheitsunterweisungen für Kran- und Gabelstaplerfahrer sind nun hybrid oder vollständig online möglich.

Gleichzeitig wird der Markt für Arbeitssicherheitsdienste transparenter. Am 28. April 2026 ging ein zentrales Vergleichsportal online, das 1.682 Anbieter von Fachkräften für Arbeitssicherheit (SiFa/FaSi) in Deutschland auflistet. Die Daten zeigen einen wettbewerbsintensiven Markt mit Nettostundensätzen zwischen 80 und 150 Euro. Das Portal bietet auch digitale Tools zur Berechnung des erforderlichen Erste-Hilfe-Personals und der Brandschutzhelfer – ein weiterer Schritt zur automatisierten Compliance-Verwaltung.

Anzeige

Während die Digitalisierung die Arbeitssicherheit verändert, bleibt die korrekte Gefährdungsbeurteilung die gesetzliche Basis für jeden Betrieb. Sparen Sie Zeit mit behördlich anerkannten Vorlagen und Checklisten für Ihre rechtssichere Dokumentation. Gefährdungsbeurteilung: Jetzt kostenlose Vorlagen und Checklisten sichern

Diese Fortschritte kommen zu einem Zeitpunkt, da Eurostat eine allmähliche Verbesserung der physischen Arbeitssicherheit meldet. Laut Daten vom 28. April 2026, veröffentlicht zum Welttag für Sicherheit und Gesundheit bei der Arbeit, sank die Unfallrate in der EU auf 1.393 nicht-tödliche Arbeitsunfälle pro 100.000 Beschäftigte im Jahr 2023. Das Baugewerbe bleibt mit einer Rate von 2.899 der gefährlichste Sektor, dennoch ist die Gesamtzahl der Unfälle im Vergleich zu vor zehn Jahren um fast vier Prozent gesunken.

Infrastruktur-Resilienz und sich wandelnde Bedrohungslage

Mit der Digitalisierung der Unternehmen steigen auch die Anforderungen an die physische und digitale Infrastruktur. Rechenzentren, zunehmend als kritische Infrastruktur eingestuft, bereiten sich auf strengere Resilienz- und Verfügbarkeitsstandards vor. Die kommende Data Centre World in Frankfurt am 6. und 7. Mai 2026 wird sich darauf konzentrieren, wie Betreiber diese Anforderungen mit neuen Umweltauflagen in Einklang bringen können.

Aktuelle Gesetzesentwürfe des Wirtschaftsministeriums vom 9. April 2026 deuten auf eine mögliche Lockerung der PUE-Grenzwerte (Power Usage Effectiveness) für Rechenzentren hin. Bestandsanlagen könnten nun bis Juli 2027 Zeit haben, einen PUE von 1,6 zu erreichen, mit einer weiteren Senkung auf 1,4 bis 2030. Neubauten ab Juli 2026 würden voraussichtlich einen PUE-Grenzwert von 1,3 erhalten – eine leichte Entspannung gegenüber den ursprünglich vorgeschlagenen 1,2. Zudem könnten Anforderungen zur Abwärmenutzung entfallen, wenn in einem Umkreis von fünf Kilometern kein geeignetes Wärmenetz vorhanden ist.

Neben der Energieeffizienz gewinnt die physische Sicherheit kritischer Infrastruktur an Bedeutung. Große Netzbetreiber wie TenneT haben ihre Drohnenabwehrsysteme zum Schutz des Höchstspannungsnetzes verstärkt. Dieser Schritt steht im Einklang mit Erkenntnissen der Europäischen Agentur für Cybersicherheit (ENISA), die Sektoren wie Strom, Telekommunikation und Banken die höchste Cybersicherheitsreife bescheinigt, während Gesundheitswesen und öffentliche Verwaltung noch erhebliche Nachholbedarf haben, um die NIS-2-Standards zu erfüllen.

Analyse: Drei Trends prägen die Regulierungslandschaft

Das aktuelle regulatorische Klima in Deutschland ist geprägt vom Zusammenwirken dreier großer Trends: der Formalisierung der Führungshaftung für digitale Risiken, der Integration von KI in Geschäftsprozesse und der Digitalisierung traditioneller Compliance-Aufgaben. Der Übergang zu NIS-2 und das bevorstehende KI-Gesetz markieren den Wandel von freiwilligen Best Practices zu einem rechtlich durchsetzbaren Rahmen, bei dem die finanziellen und persönlichen Risiken für das Management historisch hoch sind.

Aktuelle Gerichtsurteile schärfen zudem die Grenzen dieser Regulierungen. So stellte der Europäische Gerichtshof am 19. März 2026 klar, dass Schadensersatzansprüche nach der DSGVO den Nachweis eines tatsächlichen Schadens erfordern – nicht nur das Vorliegen eines Verfahrensverstoßes. Diese rechtliche Klarheit ist essenziell, während Unternehmen die „Digital-Omnibus“-Reformen und die sich ändernden Meldefristen des Cyber Resilience Act bewältigen. Auch die Rolle des externen Datenschutzbeauftragten wandelt sich – von einer rein beratenden Funktion hin zu einer strategischen Position im Risikomanagement.

Ausblick: Sommer und Herbst 2026 als entscheidende Phase

In den kommenden Monaten bleibt der Fokus deutscher Unternehmen auf den Fristen im Sommer und Herbst 2026 für das KI-Gesetz und den Cyber Resilience Act. Die Länder unterstützen den Übergang: In Bayern hat die Regierung Förderlinien für Kooperationsprojekte in Cybersicherheit und elektronischen Systemen eröffnet; erste Projektskizzen wurden Mitte April 2026 eingereicht.

Während der Vorschlag für ein „Deutsches Zukunftskapital“ bei den Bundesministern an Fahrt gewinnt, zeichnet sich ein klarer trend ab: Strenge Regulierung wird mit Investitionen in souveräne KI-Infrastruktur kombiniert. Für Unternehmensführer besteht die Herausforderung darin, die betriebliche Effizienz aufrechtzuerhalten und gleichzeitig diese komplexen Sicherheits- und Compliance-Anforderungen in den täglichen Betrieb zu integrieren. Die erfolgreichen Unternehmen des Jahres 2026 werden wahrscheinlich diejenigen sein, die Compliance nicht als Hürde, sondern als grundlegendes Element ihrer langfristigen Resilienz und Wettbewerbsfähigkeit betrachten.