KI-Regulierung 2026: Pflichten im Mittelstand

Zuletzt aktualisiert am 2. Juli 2026.

Nach der finalen Verabschiedung des Digital Omnibus am 29. Juni 2026 zählen für den Mittelstand drei Fristen. Die Transparenzpflichten des EU AI Act greifen ab dem 2. August 2026, die Watermarking-Pflicht für Bestandssysteme ab dem 2. Dezember 2026. Die Hochrisiko-Pflichten verschieben sich auf den 2. Dezember 2027 (Annex III) und den 2. August 2028 (Annex I). KI-Kompetenzpflicht und NIS2 gelten bereits; eine verpasste BSI-Registrierung sollten Sie sofort nachholen.

Executive Summary

Sieben EU-Regulierungen treten im April 2026 gleichzeitig in den operativen Alltag des Mittelstands ein. Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 ohne Übergangsfrist in Kraft und betrifft rund 29.500 Unternehmen in Deutschland¹MyBusinessFuture: NIS2-Umsetzung im Mittelstand 2026. Die KI-Kompetenzpflicht nach dem EU AI Act gilt bereits seit Februar 2025 und ab Dezember 2026 haften Hersteller von Software und KI-Produkten nach der neuen Produkthaftungsrichtlinie²Bitkom Consult: Nächste Phase des EU AI Act ab August 2025²³A&O Shearman: Update Produkthaftungsrecht Deutschland März 2026. Ein integriertes Governance-Framework kann bis zu 60% des Compliance-Aufwands einsparen, weil sechs von sieben Regulierungen dieselben Kernanforderungen stellen¹²Enactia: Compliance Triple Threat DORA NIS2 EU AI Act Overlap.

Stand 24. Juli 2026: Der Digital Omnibus ist als Verordnung (EU) 2026/1744 verabschiedet und am 24. Juli 2026 im EU-Amtsblatt veröffentlicht²⁹EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus on AI), Amtsblatt der EU vom 24.07.2026. Rat (13. März) und Parlament (26. März, 569 zu 45 Stimmen) hatten die Hochrisiko-Verschiebung gefordert; genau so steht sie jetzt im finalen Text: 2. Dezember 2027 für Annex III, 2. August 2028 für Annex I.

Welche Regulierung betrifft welches Unternehmen?

Jeder Geschäftsführer muss wissen, welche Pflichten im Mittelstand für sein Unternehmen gelten. Die Antwort hängt von drei Faktoren ab: Unternehmensgröße, Sektor und Produktportfolio.

Jedes Unternehmen ab 50 Mitarbeitern muss seit Februar 2025 die KI-Kompetenz seiner Beschäftigten sicherstellen, wenn KI-Systeme eingesetzt werden (Art. 4 AI Act)²Bitkom Consult: Nächste Phase des EU AI Act ab August 2025. Die verbotenen KI-Praktiken gelten unabhängig von der Unternehmensgröße. Dazu kommt die DSGVO, die bei jedem KI-Einsatz mit personenbezogenen Daten greift. Der EDPB hat im Dezember 2024 klargestellt, dass berechtigtes Interesse als Rechtsgrundlage für KI-Training möglich ist, aber einen dreistufigen Test erfordert⁴EDPB Opinion 28/2024: KI-Modelle und DSGVO. Die Datenschutzkonferenz hat im Oktober 2025 eine Orientierungshilfe zu RAG-basierten KI-Systemen veröffentlicht⁵DSK Orientierungshilfe zu RAG-basierten KI-Systemen 2025.

Unternehmen in NIS2-Sektoren (Energie, Transport, Gesundheit, digitale Infrastruktur, verarbeitendes Gewerbe, Lebensmittel, Chemie und 12 weitere) mit mehr als 50 Mitarbeitern oder 10 Mio. Euro Umsatz fallen unter das NIS2UmsuCG¹MyBusinessFuture: NIS2-Umsetzung im Mittelstand 2026. Die Registrierung beim BSI war bis März 2026 Pflicht. Wer sie verpasst hat, sollte sofort nachholen. Geschäftsführer haften persönlich nach §38 BSIG, ein Haftungsverzicht ist ausgeschlossen⁶Secjur: NIS2 Haftung Geschäftsführer §38 BSIG. Die zehn Mindestmaßnahmen nach §30 BSIG umfassen Risikoanalyse, Incident Management, Business Continuity und Lieferkettensicherheit.

Hersteller von Produkten mit digitalen Elementen (Maschinen, IoT-Geräte, Industriesoftware) unterliegen dem Cyber Resilience Act. Ab September 2026 müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden gemeldet werden⁷Hogan Lovells: CRA Key 2026 Milestones. Die vollständige Konformität mit CE-Kennzeichnung greift ab Dezember 2027. Rund 90% der Produkte können per Selbstbewertung konformitätsbewertet werden⁷Hogan Lovells: CRA Key 2026 Milestones. Wenn Sie vernetzte Produkte herstellen, betrifft Sie zusätzlich der Data Act: Ab September 2026 müssen neue Produkte Datenzugang technisch ermöglichen ("Access by Design")⁸EU-Kommission: Data Act Policy. Der Bundestag hat das Durchführungsgesetz am 26. März 2026 verabschiedet⁹Bundestag: Verabschiedung EU-Datenzugangsgesetz März 2026.

Dazu kommt die neue Produkthaftungsrichtlinie, die bis zum 9. Dezember 2026 in deutsches Recht umgesetzt werden muss. Software und KI-Systeme gelten erstmals als "Produkt" im haftungsrechtlichen Sinne²³A&O Shearman: Update Produkthaftungsrecht Deutschland März 2026. Der Bundestag hat die erste Lesung des Umsetzungsgesetzes am 4. März 2026 durchgeführt²³A&O Shearman: Update Produkthaftungsrecht Deutschland März 2026. Wer CRA- oder AI-Act-Anforderungen nicht erfüllt, riskiert damit eine Vermutung der Produktfehlerhaftigkeit in Zivilprozessen. Hersteller, die nach dem Inverkehrbringen weiterhin Kontrolle über ihr Produkt ausüben (Updates, digitale Dienste, vernetzte Komponenten), haften auch für danach auftretende Mängel²³A&O Shearman: Update Produkthaftungsrecht Deutschland März 2026.

Finanzsektor und deren IT-Zulieferer fallen unter DORA, das seit Januar 2025 gilt. DORA ist lex specialis zu NIS2 und stellt strengere Anforderungen: Vorfälle müssen innerhalb von vier Stunden nach Klassifizierung gemeldet werden¹⁰BaFin: DORA Digital Operational Resilience Act. Die BaFin führt 2026 systematische Prüfungen durch. Mittelständler sind betroffen, wenn sie als kritische IKT-Drittdienstleister für Finanzunternehmen arbeiten.

Auch Unternehmen unterhalb der formalen Schwellenwerte spüren den Druck. NIS2-regulierte Kunden verlangen von Zulieferern vertragliche Cybersicherheitsnachweise¹¹Kopexa: NIS2 unterschätzte Pflicht für Mittelstand und Zulieferer. Wer in der Lieferkette eines betroffenen Unternehmens steckt, braucht mindestens eine dokumentierte Sicherheitsstrategie.

Wo überlappen sich die Anforderungen?

Fünf Anforderungsbereiche tauchen in praktisch jeder der sieben Regulierungen auf. Wer sie einmal sauber aufbaut, spart nach Branchenschätzungen bis zu 60% des Compliance-Aufwands gegenüber isolierten Projekten¹²Enactia: Compliance Triple Threat DORA NIS2 EU AI Act Overlap.

Ein einziges Risikoregister mit regulierungsspezifischen Kategorien kann die Anforderungen aus allen Verordnungen bedienen. Ein einziger Incident-Response-Prozess mit unterschiedlichen Meldefristen je Regime ersetzt fünf parallele Meldeketten. Ein Vendor-Assessment-Framework mit regulierungsspezifischen Zusatzmodulen eliminiert redundante Lieferantenprüfungen.

Das Digital Omnibus sieht ein einheitliches EU-Meldeportal vor, das Meldungen automatisch an die zuständigen Behörden weiterleitet³EU-Parlament: Digital Omnibus on AI Legislative Train. Bis dahin muss jedes Unternehmen selbst sicherstellen, dass ein Cybervorfall die richtigen Behörden in der richtigen Frist erreicht. Die neue Produkthaftungsrichtlinie verstärkt den Druck zusätzlich: Fehlende Compliance mit CRA oder AI Act kann in Zivilprozessen als Beweis für Produktmängel herangezogen werden²³A&O Shearman: Update Produkthaftungsrecht Deutschland März 2026.

Welche Zertifizierung deckt welche Regulierung ab?

ISO 27001:2022 ist das Fundament. Die Norm deckt 60 bis 85% der NIS2-Anforderungen und rund 85% der DORA-Anforderungen ab¹³Kopexa: NIS2 ISO 27001 Mapping. Was fehlt, sind die spezifischen Meldefristen und sektorspezifische Vorgaben. Für einen Mittelständler mit 100 Mitarbeitern kostet die Zertifizierung zwischen 50.000 und 100.000 Euro (Schätzung), die Umsetzung dauert sechs bis zwölf Monate.

Für KI-Governance gibt es seit 2023 die ISO 42001. Die Norm unterstützt die AI-Act-Compliance für Hochrisikosysteme direkt, garantiert sie aber nicht, weil die rechtlichen Anforderungen über jeden freiwilligen Standard hinausgehen¹⁴Cloud Security Alliance: ISO 42001 und EU AI Act. Die harmonisierten Normen von CEN-CENELEC werden voraussichtlich ISO-42001-Konzepte referenzieren. Der Entwurf prEN 18286 hat die öffentliche Anhörung durchlaufen¹⁵Bitkom: Wettbewerbsfähige AI-Act-Normen schaffen 2025.

Im Oktober 2025 wurde die ISO 27701 grundlegend überarbeitet und ist jetzt ein eigenständiges Managementsystem. Die bisherige Voraussetzung einer ISO-27001-Zertifizierung entfällt¹⁶TekClarion: ISO 27701:2025 GDPR Compliance. Die Norm bildet DSGVO-Anforderungen direkt ab und enthält neue Anhänge zu KI-bezogener Verarbeitung.

Für die Automobilzulieferkette deckt TISAX die NIS2-Anforderungen nach Art. 20 und 21 vollständig ab, sofern alle betroffenen Standorte im Scope sind¹⁷ENX Association: TISAX als Beitrag zur NIS-2 Cybersicherheit. Cloud-Dienstleister profitieren vom BSI C5-Testat mit 121 Kontrollen¹⁸BSI: C5 Cloud Computing Compliance Criteria Catalogue.

Verschieben sich die Fristen durch das Omnibus-Paket?

Stand Juli 2026: Der Digital Omnibus ist durch. Nach dem ergebnislosen Trilog vom 28. April kam die politische Einigung am 7. Mai²⁴Rat der EU, Pressemitteilung 07.05.2026: Council and Parliament agree to simplify and streamline AI rules, das Parlament stimmte am 16. Juni zu²⁷Morgan Lewis, EU Approves Delays and Other Amendments to Certain EU AI Act Obligations (Juni 2026, Parlamentsvotum 16.06. mit 423:57), der Rat gab am 29. Juni die finale Zustimmung²⁵Rat der EU, Pressemitteilung 29.06.2026: Council gives final green light (Omnibus VII / Digital Omnibus AI). Veröffentlicht ist das Paket als Verordnung (EU) 2026/1744 im EU-Amtsblatt vom 24. Juli 2026²⁹EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus on AI), Amtsblatt der EU vom 24.07.2026. Die Hochrisiko-Fristen sind damit fix, 2. Dezember 2027 für Annex III und 2. August 2028 für Annex I. Die Transparenzpflichten bleiben beim 2. August 2026, Watermarking für Bestandssysteme rückt auf den 2. Dezember 2026²⁶Gibson Dunn, EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes (Mai 2026). Die KI-Kompetenzpflicht bleibt bestehen, inhaltlich abgeschwächt²⁶Gibson Dunn, EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes (Mai 2026). Neu ist ein Verbot von KI-Systemen für nicht einvernehmliche intime Deepfakes²⁵Rat der EU, Pressemitteilung 29.06.2026: Council gives final green light (Omnibus VII / Digital Omnibus AI). Bei NIS2 gilt die Registrierungspflicht unverändert²⁸Secjur, NIS2-Umsetzung Deutschland: Gesetz, Fristen und Schritte 2026 (Registrierungsfrist 06.03.2026 abgelaufen, Nachregistrierung möglich, fehlende Registrierung bußgeldbewehrt).

Zwei Omnibus-Pakete betreffen den Mittelstand. Das Nachhaltigkeits-Omnibus ist verabschiedet: Die Richtlinie (EU) 2026/470 trat am 16. März 2026 in Kraft und hebt die CSRD-Berichtspflicht auf Unternehmen ab 1.000 Mitarbeitern und 450 Mio. Euro Umsatz an¹⁹PwC Viewpoint: Omnibus Directive Finalised 2026. Für den typischen Mittelstand fällt die Nachhaltigkeitsberichterstattung damit weg.

Das Digital Omnibus ist verabschiedet und als Verordnung (EU) 2026/1744 am 24. Juli 2026 im EU-Amtsblatt veröffentlicht²⁹EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus on AI), Amtsblatt der EU vom 24.07.2026. Die Hochrisiko-Frist verschiebt sich damit endgültig auf den 2. Dezember 2027 (Annex III) und den 2. August 2028 (Annex I). Mehrere Vereinfachungsvorschläge der Kommission wurden im Verfahren zurückgenommen: Die KI-Kompetenzpflicht bleibt bestehen, mit abgesenktem Standard²⁶Gibson Dunn, EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes (Mai 2026). Neu hinzugekommen ist ein Verbot von KI-Systemen, die nicht-einvernehmliche sexuelle Deepfakes erzeugen²⁵Rat der EU, Pressemitteilung 29.06.2026: Council gives final green light (Omnibus VII / Digital Omnibus AI). Die Kennzeichnungspflicht für KI-generierte Inhalte (Art. 50) gilt ab dem 2. August 2026; für davor in Verkehr gebrachte Bestandssysteme greift sie zum 2. Dezember 2026²⁶Gibson Dunn, EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes (Mai 2026). Der DIHK fordert in seinem Positionspapier einheitliche Definitionen über alle Digitalgesetze und gestaffelte Zertifizierungsoptionen²¹DIHK: Positionspapier Digital Simplification Package. Für die Umsetzungsplanung heißt das: Die neuen Fristen sind rechtssicher. Ein weiteres Warten auf Brüssel gibt es nicht.

Was muss ich als Geschäftsführer diese Woche tun?

Setzen Sie sich am Montag 90 Minuten hin und öffnen Sie die BSI-Betroffenheitsprüfung unter bsi.bund.de. Die 15 Fragen klären, ob Sie unter NIS2 fallen. Schreiben Sie das Ergebnis auf eine Seite: betroffener Sektor ja/nein, Schwellenwerte erfüllt ja/nein, Registrierung beim BSI erledigt ja/nein. Wenn Sie die Registrierung im März 2026 verpasst haben, holen Sie das in derselben Sitzung nach. Das BSI-Meldeportal ist seit Januar 2026 online¹MyBusinessFuture: NIS2-Umsetzung im Mittelstand 2026. Prüfen Sie in der gleichen Sitzung, ob der CRA oder der Data Act für Ihre Produkte greift.

ISO 27001 als integriertes Compliance-Fundament beauftragen lohnt sich auch dann, wenn Sie formal nicht unter NIS2 fallen. Beauftragen Sie einen Readiness-Check bei einem akkreditierten Anbieter. Der Check misst Ihren aktuellen Stand gegen die Norm und liefert eine Gap-Analyse mit priorisierter Maßnahmenliste. Typischer Zeitrahmen bis zur Zertifizierung: sechs bis zwölf Monate. Investition für den unteren Mittelstand ab 50.000 Euro (Schätzung). Der Readiness-Check selbst kostet zwischen 3.000 und 8.000 Euro (Schätzung) und dauert zwei bis vier Wochen.

Listen Sie alle KI-Systeme auf, die in Ihrem Unternehmen im Einsatz sind, vom Chatbot im Kundenservice bis zum KI-gestützten Bewerbungsscreening. Ordnen Sie jedes System einer Risikostufe des AI Act zu: verboten, Hochrisiko, begrenztes Risiko, minimales Risiko. Die meisten Office-KI-Tools (Copilot, ChatGPT im Browser) fallen unter minimales Risiko. Kritisch wird es bei KI in HR-Prozessen, Kreditentscheidungen oder biometrischer Erkennung. Prüfen Sie, ob Ihre Beschäftigten die KI-Kompetenzanforderung nach Art. 4 erfüllen²Bitkom Consult: Nächste Phase des EU AI Act ab August 2025. Bitkom bietet kostenlose Leitfäden zur Selbsteinschätzung²²Bitkom: AI Act kommt nach Deutschland. Wenn Sie Hochrisiko-Systeme im Einsatz haben, beginnen Sie jetzt mit der Dokumentation. Die architektonischen Grundlagen für ein auditfähiges KI-System beschreibt die KI-Compliance-Architektur in drei Entscheidungen. Auf die Omnibus-Verschiebung zu warten ist eine Wette, keine Strategie.

Unsere Einordnung

Uns sagt fast jeder Geschäftsführer dasselbe: "Wir machen NIS2 mit dem IT-Leiter und den AI Act klären wir separat." Das klingt logisch. Es ist der teuerste Ansatz. Bei einem Kunden mit 200 Mitarbeitern haben wir ein einziges Risikoregister mit fünf regulierungsspezifischen Modulen aufgebaut. Der Compliance-Aufwand hat sich in etwa halbiert (Schätzung auf Basis von zwei vergleichbaren Mandaten).

Was mich seitdem begleitet: In drei weiteren Fällen war die ISO-27001-Zertifizierung am Ende günstiger als die Anwaltskosten, die bei einer Bußgelddiskussion angefallen wären.

Im September 2026 fallen drei Fristen zusammen: CRA-Schwachstellenmeldung, Data-Act-Access-by-Design, AI-Act-Transparenzpflichten. Im Dezember kommt die Produkthaftungsrichtlinie dazu. Wer bis zum Sommer keinen funktionierenden Incident-Response-Prozess hat, der mehrere Regulierungen gleichzeitig bedient, arbeitet ab Herbst im Krisenmodus.

Welche Regulierungen konkret für Ihr Unternehmen gelten und wo Sie heute stehen, zeigt der KI-Regulierungs-Check für den Mittelstand.