Das Wichtigste zuerst
Klärt zuerst, welche Rollen und Regeln tatsächlich gelten.
Erfasst Standorte, Gesellschaften, Produkte, Branchen, Beschäftigtenzahl, Datenarten, kritische Dienste, KI-Systeme und Lieferketten. Prüft dann pro Mitgliedstaat die nationale Umsetzung und zuständige Behörde. DSGVO, NIS2, DORA, CRA und AI Act haben unterschiedliche Adressaten, Fristen und Meldewege.
Die ersten sieben Schritte
- Verantwortung festlegen: Geschäftsleitung, Informationssicherheit, Datenschutz, Recht, Produkt, Einkauf und Kommunikation mit Stellvertretungen benennen.
- Geltungsbereich prüfen: Nicht vom Firmennamen ausgehen, sondern von Branche, Größe, Diensten, Produkten, Standorten und Rolle in der Wertschöpfung.
- Kritische Werte erfassen: Identitäten, Kundendaten, Produktion, Cloud, Quellcode, Zahlungen und unverzichtbare Dienstleister priorisieren.
- Basisschutz durchsetzen: MFA, Patch- und Schwachstellenmanagement, getrennte Admin-Konten, getestete Backups, Protokollierung und sichere Lieferantenzugänge.
- Meldewege abgleichen: Datenschutzverletzung, erheblicher Cybervorfall, Produktlücke und KI-Vorfall können verschiedene Bewertungen, Fristen und Empfänger haben.
- Verträge und Lieferketten prüfen: Auftragsverarbeitung, Unterauftragnehmer, Datenstandorte, Sicherheitsnachweise, Vorfallmeldung, Exit und Löschung regeln.
- Üben und belegen: Entscheidungen, Risiken, Tests und Verbesserungen dokumentieren; mindestens einen realistischen Vorfall mit Leitung und Fachbereichen durchspielen.
DSGVO: gilt nicht nur für die Datenschutzabteilung
Die DSGVO betrifft die rechtmäßige Verarbeitung personenbezogener Daten, Transparenz, Betroffenenrechte, Sicherheit und Rechenschaft. Unternehmen müssen Zwecke, Rechtsgrundlagen, Empfänger, Löschfristen und Schutzmaßnahmen beherrschen. Bei hohem Risiko kann eine Datenschutz-Folgenabschätzung nötig sein. Grenzüberschreitende Verarbeitung innerhalb der EU kann federführende Aufsichtsbehörden betreffen; Übermittlungen in Drittländer brauchen zusätzlich eine zulässige Grundlage und eine reale Prüfung des Schutzes.
Informationssicherheit und Datenschutz überschneiden sich, sind aber nicht identisch. Ein verschlüsseltes System kann Daten weiterhin ohne Rechtsgrundlage verarbeiten; ein juristisch sauberer Prozess kann technisch unsicher sein.
NIS2: Richtlinie plus nationale Umsetzung
NIS2 schafft einen EU-Rahmen für 18 kritische Sektoren. Typischerweise sind mittlere und große Einrichtungen in erfassten Bereichen betroffen; besondere Einrichtungen können unabhängig von ihrer Größe erfasst sein. Gefordert werden unter anderem Risikomanagement, Lieferkettensicherheit, Umgang mit Schwachstellen, Business Continuity, Leitungspflichten und Meldungen erheblicher Vorfälle.
Entscheidend: Eine Richtlinie wird national umgesetzt. Betroffenheit, Registrierung, Behörden, Fristen und Sanktionen müssen für jedes Land geprüft werden, in dem die Organisation relevante Einrichtungen betreibt. EU-weite Gruppen sollten deshalb eine gemeinsame Kontrollbasis mit nationalen Anhängen führen.
DORA: Finanzsektor und IKT-Drittdienstleister
Der Digital Operational Resilience Act gilt seit 17. Januar 2025 für zahlreiche Finanzunternehmen und schafft Anforderungen an IKT-Risikomanagement, Vorfallmeldung, Resilienztests und Risiken durch IKT-Drittdienstleister. Ob und in welcher Rolle ein Unternehmen erfasst ist, hängt von den in der Verordnung genannten Finanzunternehmen und Ausnahmen ab.
DORA ist kein allgemeines Sicherheitslabel für jedes Unternehmen. Lieferanten des Finanzsektors können jedoch durch Verträge, Informationsregister, Prüf- und Exit-Anforderungen mittelbar stark betroffen sein.
Cyber Resilience Act: Produkte mit digitalen Elementen
Der CRA richtet sich vor allem an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Er verlangt Cybersicherheit über Planung, Entwicklung, Bereitstellung und Supportzeit sowie wirksamen Umgang mit Schwachstellen. Die wesentlichen Pflichten gelten ab 11. Dezember 2027; Meldepflichten nach Artikel 14 bereits ab 11. September 2026.
Unternehmen sollten jetzt Produktportfolio, Rollen, Softwarekomponenten, Supportzeiträume, Vulnerability Disclosure, SBOM-nahe Nachweise, Updateprozesse und Meldebereitschaft klären. Ein CE-Zeichen ersetzt keinen sicheren Entwicklungsprozess.
AI Act: Anbieter, Betreiber und konkrete Verwendung unterscheiden
Der AI Act arbeitet risikobasiert. Pflichten hängen davon ab, ob ein Unternehmen KI bereitstellt, einsetzt, importiert oder vertreibt und für welchen Zweck das System verwendet wird. Verbote und KI-Kompetenzpflichten gelten bereits seit Februar 2025; Regeln für General-Purpose-AI seit August 2025. Weitere Transparenzregeln greifen ab 2. August 2026. Für bestimmte Hochrisikosysteme gelten gestaffelte beziehungsweise politisch angepasste Termine.
Praktisch braucht jedes Unternehmen ein KI-Inventar: Zweck, Verantwortlicher, Daten, Modell und Anbieter, Betroffene, menschliche Kontrolle, Protokollierung, Sicherheitsrisiken und Ausstieg. Ein Chatbot für interne Textentwürfe ist anders zu behandeln als biometrische Kategorisierung oder eine Entscheidung über Beschäftigung.
Ein gemeinsames Kontrollsystem statt fünf Parallelprojekte
Viele Anforderungen lassen sich über gemeinsame Kontrollen bedienen: Asset- und Dateninventar, Rollen, Risikomanagement, sichere Entwicklung, Lieferantensteuerung, Schwachstellenprozess, Notfallmanagement, Protokollierung, Schulung und überprüfbare Verbesserungen. Die rechtliche Zuordnung und Meldelogik bleiben trotzdem getrennt.
- Eine Kontrolle bekommt Eigentümer, Zweck, betroffene Regeln, Nachweis und Prüffrequenz.
- Nationale Abweichungen werden als Länderanhang gepflegt.
- Technische Wirksamkeit wird getestet, nicht nur durch Richtlinien behauptet.
- Ausnahmen haben Risiko, Genehmigung, Ablaufdatum und Ersatzmaßnahme.
- Berichte an die Leitung zeigen Geschäftsrisiko und Handlungsbedarf statt nur Ampelfarben.
Was diese Übersicht nicht leisten kann
Sie ist eine Orientierung, keine individuelle Rechtsberatung oder Feststellung der Betroffenheit. Branche, Unternehmensgruppe, Mitgliedstaat, konkrete Produkte und Verarbeitung können das Ergebnis verändern. Maßgeblich sind die geltenden Rechtstexte, nationale Umsetzung, zuständige Behörden und der konkrete Sachverhalt.