IT-Gesetze & Richtlinien 2026: Der große Überblick für Unternehmen

Die IT-Landschaft wandelt sich rasant und mit ihr die regulatorischen Anforderungen. 2026 treten gleich mehrere weitreichende Regelwerke in Kraft oder entfalten ihre volle Wirkung: Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 geltendes Recht, der Cyber Resilience Act (CRA) nimmt Fahrt auf und der EU AI Act fordert erste konkrete Maßnahmen.

Dieser Artikel beantwortet die wichtigsten Fragen, die sich für Unternehmen ergeben: Betroffenheit, Pflichten, Fristen, Best Practices.

Warum 2026 zum Compliance-Jahr wird

Das Jahr 2026 markiert einen Wendepunkt für IT-Abteilungen in Deutschland und Europa. Gleich mehrere Faktoren treffen aufeinander:

• Regulatorischer Druck: NIS2, CRA, AI Act, DORA und LkSG fordern gleichzeitig Aufmerksamkeit
• Steigende Cyberrisiken: Laut BSI-Lagebericht werden täglich rund 250.000 neue Schadprogramm-Varianten registriert
• Persönliche Haftung: Geschäftsleitungen können bei Verstößen zur Verantwortung gezogen werden

Wer jetzt nicht handelt, riskiert empfindliche Bußgelder, kostspielige Betriebsunterbrechungen und Reputationsschäden. Die gute Nachricht: Mit einer strukturierten Herangehensweise lassen sich die Anforderungen gut bewältigen.

Wichtiger Hinweis: Dieser Artikel dient der fachlichen Orientierung und ersetzt keine individuelle Rechtsberatung. Bei konkreten Rechtsfragen wenden Sie sich bitte an spezialisierte Juristen.

Welche IT-Regeln 2026 betreffen Ihr Unternehmen?

Bevor Sie in die Details einsteigen, hilft ein Blick auf die Gesamtlandschaft. Die folgende Master-Tabelle zeigt die wichtigsten IT-Sicherheitsrichtlinien EU 2026 und ihre Relevanz für unterschiedliche Unternehmenstypen:

Regelwerk	Wer ist typischerweise betroffen?	Kernpflichten (Stichworte)	IT-First-Step	Zeitbezug
NIS2 (EU + DE)	Mittlere/große Unternehmen in 18 Sektoren (Energie, Gesundheit, IT, Transport, Finanzen u.v.m.)	Risikomanagement und hieraus abgeleitete Maßnahmen, Incident Reporting, Schulungspflichten	Betroffenheitsanalyse durchführen, Registrierung beim BSI prüfen	Gilt seit 06.12.2025
Cyber Resilience Act (CRA)	Hersteller, Importeure, Händler von Produkten mit digitalen Elementen	Security-by-Design, Vulnerability Handling, CE-Kennzeichnung	Produktportfolio auf digitale Elemente prüfen	Gestaffelt bis 2027
EU AI Act – beachte EU Digital AI Omnibus	Anbieter, Betreiber, Importeure von KI-Systemen	Risikoklassifizierung, Transparenz, Dokumentation	KI-Inventar erstellen, Risikoklassen zuordnen	Gestaffelt 2025–2027, in Überarbeitung
LkSG (Lieferkettengesetz) – beachte aktuelle Gesetzesvorhaben zur Vereinfachung	Unternehmen ab 1.000 Mitarbeitenden	Sorgfaltspflichten, Risikoanalyse, Beschwerdemechanismus	IT-Lieferanten in Risikoanalyse einbeziehen	Gilt seit 2024, in Überarbeitung
DORA	Finanzunternehmen + IKT-Dienstleister	ICT-Risikomanagement, und hieraus abgeleitete Maßnahmen wie Resilienztests, Third-Party-Management	IKT-Dienstleister-Register aufbauen	Gilt seit 17.01.2025
ISO 27001 / BSI IT-Grundschutz	Alle Unternehmen (freiwillig, aber oft vertraglich gefordert)	ISMS, Controls, Audits	Bedarfsanalyse	Laufend

 

Die 6 wichtigsten Regelwerke im Detail

In den folgenden Abschnitten beleuchten wir jedes Regelwerk nach einem einheitlichen Schema. So behalten Sie den Überblick und können gezielt in die für Sie relevanten Themen einsteigen.

NIS2: Cybersicherheit als gesetzliche Pflicht für bestimmte Unternehmen

Die NIS2-Richtlinie (Network and Information Security 2) ist das zentrale EU-Regelwerk für Cybersicherheit in kritischen und wichtigen Sektoren. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert den Anwendungsbereich erheblich.

Wen betrifft es?

• 18 Sektoren: Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, ICT-Service-Management (B2B), öffentliche Verwaltung, Raumfahrt, Post/Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung
• Mittlere Unternehmen: ab 50 Mitarbeitende oder 10 Mio. € Umsatz, ggfs. Betrachtung aggregierter Werte bei einer Unternehmensgruppe
• Große Unternehmen: ab 250 Mitarbeitende oder 50 Mio. € Umsatz, ggfs. Betrachtung aggregierter Werte bei einer Unternehmensgruppe
• Unabhängig von der Größe: bestimmte kritische Dienste (DNS, TLD-Registries, Vertrauensdienste)

Was muss die IT konkret tun?

• Dokumentierte Risikomanagement-Bewertung und Implementierung der hieraus abgeleiteten Maßnahmen (technisch und organisatorisch), wie z.B. Lieferkettensicherheit gewährleisten: Sicherheitsanforderungen an Zulieferer vertraglich verankern. Business Continuity und Krisenmanagement aufbauen
• Incident-Response-Prozesse etablieren: Erstmeldung unverzüglich, aber spätestens innerhalb von 24 Stunden, detaillierter Bericht nach 72 Stunden
• Schulungen für Geschäftsleitung und Mitarbeitende durchführen

Sanktionen und Management-Verantwortung

Bei Verstößen drohen dem Unternehmen hohe Bußgelder. Cybersicherheit wird zur Chefsache: Die Geschäftsleitung muss Maßnahmen genehmigen, überwachen und kann für Verstöße haftbar gemacht werden.

Deutschland-Update: Umsetzungsgesetz in Kraft seit 06.12.2025

Das NIS2-Umsetzungsgesetz wurde am 13. November 2025 vom Bundestag verabschiedet und ist am 6. Dezember 2025 in Kraft getreten. Unternehmen sollten ihre Betroffenheit prüfen, Verantwortlichkeiten klären und mit der Umsetzung beginnen. Betroffene Unternehmen müssen sich beim BSI registrieren. das Portal ist seit Januar 2026 freigeschaltet.

Cyber Resilience Act (CRA): Security-by-Design für digitale Produkte

Der Cyber Resilience Act (CRA) ist die erste EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Künftig müssen alle vernetzten Produkte Mindeststandards erfüllen, vom Smart-Home-Gerät über industrielle Steuerungen bis zur Unternehmenssoftware. Ab September 2026 gelten Meldepflichten für ausgenutzte Schwachstellen.

Wen betrifft es?

• Hersteller von Hardware und Software mit digitalen Elementen (z.B. Smartphones, IoT‑Geräte, Firewalls, Betriebssysteme, Apps), sofern diese Produkte auf dem EU‑Markt angeboten werden.
• Importeure und Händler solcher Produkte, die diese in der EU in Verkehr bringen oder bereitstellen.
• Unternehmen, die eigene vernetzte Produkte oder Software entwickeln und diese als Produkt oder Bestandteil eines Produkts im EU‑Binnenmarkt verkaufen.
• Ausnahmen: Produkte, deren Cybersicherheit bereits in speziellen EU‑Regelwerken geregelt ist (z.B. Medizinprodukte, Fahrzeuge, Luftfahrt, etc.) sowie rein interne Eigenentwicklungen und bestimmte Open‑Source‑Projekte.

Was muss die IT konkret tun?

• Security-by-Design und Security-by-Default in der Produktentwicklung verankern
• Vulnerability Handling etablieren: Schwachstellen identifizieren, melden und beheben
• Software Bill of Materials (SBOM) erstellen und pflegen
• Sicherheitsupdates über den gesamten Supportzeitraum bereitstellen (mindestens 5 Jahre, sofern so lange in Gebrauch)
• Technische Dokumentation und CE-Konformitätserklärung vorbereiten
• Aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden gegenüber der ENISA gemeldet werden

Sanktionen

Bei Nichteinhaltung drohen Bußgelder von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes. Produkte können vom Markt genommen werden.

Status und Fristen

Der CRA ist seit Dezember 2024 in Kraft. Die Umsetzung erfolgt gestaffelt:

• Juni 2026: Konformitätsbewertungsstellen sind akkreditiert
• September 2026: Meldepflichten für Schwachstellen gelten
• Dezember 2027: Alle Anforderungen sind vollständig anzuwenden

EU AI Act: Risikoklassen & IT-Pflichten

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz in der EU und gilt für das Inverkehrbringen, die Bereitstellung und Nutzung von KI-Systemen und bestimmten KI-Modellen. Er ordnet KI-Systeme insbesondere in verbotene Praktiken, Hochrisiko-KI und sonstige (geringe oder minimale) Risikoanwendungen ein und knüpft daran abgestufte Pflichten.

Wen betrifft es?

• Anbieter (Provider) von KI-Systemen und KI-Modellen, die in der EU in Verkehr gebracht oder bereitgestellt werden.
• Nutzer (Deployers) von KI-Systemen in Unternehmen und öffentlichen Stellen, soweit sie diese beruflich/organisatorisch einsetzen.
• Importeure, Händler (Distributors) und sonstige Akteure in der KI-Wertschöpfungskette, einschließlich bestimmter Hersteller, die KI in ihre Produkte integrieren.
• Auch Unternehmen, die KI-Systeme von Drittanbietern einsetzen (z. B. Chatbots, Copilot-Funktionen, KI-gestützte Analyse- und Entscheidungssysteme), sofern diese in den Anwendungsbereich fallen.

Die Risikoklassen

• Unannehmbares Risiko (verbotene KI-Praktiken): Bestimmte Formen von Social Scoring, manipulativer KI, vorausschauender Polizeiarbeit, unzulässiger Emotionserkennung sowie weitreichende biometrische Fernidentifikation in öffentlichen Räumen sind untersagt.
• Hochrisiko-KI: KI-Systeme in sensiblen Bereichen (z. B. Beschäftigung und Personalauswahl, Kreditwürdigkeit, Zugang zu Bildung und wesentlichen Dienstleistungen, medizinische Anwendungen, kritische Infrastrukturen, Strafverfolgung, Migration und Justiz) oder mit Verwendungsabsicht in regulierten Produkten (Maschinenbau, Spielzeuge, Medizingeräte, Aufzüge, Luftfahrt, etc.) gelten als Hochrisiko-KI und unterliegen strengen Anforderungen.
• Geringes/minimales Risiko mit Transparenzpflichten: Für bestimmte KI-Systeme, etwa viele Chatbots, emotionserkennende Systeme oder Deepfakes, gelten vor allem Transparenzpflichten (z. B. Hinweis auf KI-Einsatz und Kennzeichnung künstlich erzeugter oder manipulierten Inhalte).

Was muss die IT konkret tun?

• KI-Inventar erstellen: Überblick, welche KI-Systeme und KI-Dienste im Unternehmen genutzt werden und welche Rolle (Provider, Deployer etc.) jeweils wahrgenommen wird.
• Risikoeinstufung vornehmen: Prüfen, ob ein KI-System in eine verbotene Praxis, als Hochrisiko-KI oder in eine Kategorie mit Transparenzpflichten fällt, unter Bezug auf die Anhänge und Definitionen des AI Act.
• Transparenzpflichten umsetzen: Nutzer klar und rechtzeitig über KI-Interaktionen, den Einsatz zur Emotionserkennung oder biometrischen Kategorisierung sowie die Kennzeichnung von Deepfakes informieren.
• Bei Hochrisiko-KI: Sicherstellen, dass die je nach Rolle variierenden (Dokumentations-)Pflichten, über die gesamte Supply Chain hinweg, wie z.B. Konformitätsbewertung, Qualitäts-Management-System, technische Dokumentation, Daten- und Modell-Governance, Logging, menschliche Aufsicht und Post-Market-Monitoring nach den gesetzlichen Vorgaben umgesetzt sind bzw. bereitgestellt werden.

Sanktionen

Für Verstöße gegen verbotene KI-Praktiken und bestimmte grundlegende Anforderungen sieht der AI Act sehr hohe Geldbußen vor, orientiert am weltweiten Jahresumsatz des Unternehmens.

Auch bei Verstößen gegen Pflichten für Hochrisiko-KI oder Transparenzanforderungen können erhebliche Geldbußen und behördliche Maßnahmen (einschließlich Einschränkung oder Verbot des Einsatzes eines Systems) verhängt werden.

Status und Fristen

• August 2024: Der AI Act ist in Kraft getreten; ab diesem Zeitpunkt laufen die gestaffelten Übergangsfristen.
• Februar 2025: Die Verbote unannehmbarer KI-Praktiken (Art. 5) gelten 6 Monate nach Inkrafttreten.
• August 2025 bzw. August 2026: Die meisten übrigen Pflichten gelten 1 bzw. 2 Jahre nach Inkrafttreten
• Ab August (3 Jahre nach Inkrafttreten) sind die Anforderungen und Pflichten für Hochrisiko-KI-Systeme vollständig anwendbar.
• Beachte etwaige anstehende Veränderungen infolge der EU AI Omnibus Vereinfachungsbestrebungen.

Wichtig: Viele Unternehmen unterschätzen, wie viele KI-Systeme oder Modelle bereits im Einsatz sind, von der Spam-Filterung bis zum Predictive-Maintenance-Tool. Starten Sie mit einem KI-Inventar!

LkSG: Was IT liefern muss (Lieferanten, Beschaffung, Nachweise)

Das Lieferkettensorgfaltspflichtengesetz (LkSG) verpflichtet Unternehmen, Menschenrechte und Umweltstandards in ihren Lieferketten zu achten. Auf den ersten Blick ein HR- und Einkaufsthema. Aber die IT kann bei der Umsetzung eine wichtige Rolle spielen.

Wen betrifft es?

• Direkt verpflichtet: Unternehmen mit Sitz in Deutschland sowie Zweigniederlassungen ausländischer Unternehmen, die in der Regel mindestens 1.000 Arbeitnehmer im Inland beschäftigen.
• Indirekt betroffen: Zulieferer dieser Unternehmen, die Nachweise erbringen müssen
• IT-Relevanz: IT-Abteilungen als Beschaffer von Hardware, Software und Cloud-Diensten, soweit diese für die Kernprodukte oder -dienstleistungen des Unternehmens notwendig sind

Was muss die IT konkret tun?

1. Prüfung, ob man selbst dem Anwendungsbereich des LkSG unterliegt: Nur größere Unternehmen fallen überhaupt unter den Anwendungsbereich des LkSG. Zudem ist zu beachten, dass der Anwendungsbereich der deutschen Gesetze und europäischen Vorgaben weiter eingeschränkt ist und damit weniger Unternehmen erfasst sein sollen (s.u.).

2. Prüfung, ob IT-Lieferanten überhaupt betroffen sind: Nicht jede IT-Beschaffung fällt unter das LkSG. Relevant sind nur unmittelbare Zulieferer, deren Zulieferungen für die Herstellung der Unternehmensprodukte oder -dienstleistungen notwendig sind.

3. Risikoanalyse für relevante IT-Zulieferer: Wo werden Hardware und Komponenten produziert? Unter welchen Arbeits- und Umweltbedingungen? Risiken müssen mindestens jährlich und anlassbezogen analysiert werden.

4. Vertragsklauseln bei unmittelbaren Zulieferern: Vertragliche Vereinbarungen, dass Zulieferer menschenrechtsbezogene und umweltbezogene Erwartungen einhalten und entlang ihrer Lieferkette adressieren.

5. Dokumentation und Systeme:

• Berichterstattung: Jährlicher Bericht über Erfüllung der Sorgfaltspflichten (öffentlich zugänglich) –Achtung: Diese Pflicht soll 2026 durch eine Gesetzesnovelle entfallen
• Dokumentation der Sorgfaltspflichten für mindestens sieben Jahre.
• Unterstützung bei Audit Trails und Traceability-Systemen.
• Beschwerdeverfahren einrichten, das auch für Zulieferer zugänglich ist.

Sanktionen

Das Gesetz sieht bei Verstößen Bußgelder gestaffelt nach Schwere vor. Zudem droht der Ausschluss von öffentlichen Aufträgen für bis zu drei Jahre.

Status 2026

Der Bundestag berät über eine Gesetzesnovelle, die die jährliche Berichtspflicht streichen und Sanktionen auf schwere Pflichtverletzungen fokussieren soll. Parallel wird auf EU-Ebene die Corporate Sustainability Due Diligence Directive (CSDDD) umgesetzt, die das deutsche LkSG mittelfristig teilweise ersetzen wird. Auch hierzu werden auf EU-Ebene derzeit im Rahmen der Omnibus-Verfahren weitere Vereinfachungen diskutiert.

Gut zu wissen: Die IT-Lieferkette umfasst nicht nur Hardware-Hersteller, sondern auch Cloud-Provider, SaaS-Anbieter und Softwarelieferanten. Ein strukturiertes Vendor-Management zahlt auf mehrere Regelwerke ein.

DORA: Digitale Resilienz im Finanzsektor – und für IKT-Dienstleister

Der Digital Operational Resilience Act (DORA) stärkt die digitale Widerstandsfähigkeit des europäischen Finanzsektors. Die Verordnung legt einheitliche Anforderungen an das IKT-Risikomanagement, Incident Reporting und unternehmensinterne Weiterbildung fest.

Wen betrifft es?

• Finanzunternehmen: Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Krypto-Asset-Dienstleister (ca. 22.000 Einheiten EU-weit), mit mittelbaren Auswirkungen auf deren IKT-Dienstleister

Was muss die IT konkret tun?

• IKT-Risikomanagement-Framework aufbauen: Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung.
• Incident-Reporting-Prozesse etablieren: Registrierung bei der BSI-Meldestelle. Etablierung von Prozessen zur dreistufigen Meldung (Initial, Intermediate, Final) von IKT-Vorfällen an Aufsichtsbehörden.
• Weiterbildung: Auswahl von Anbietern für regelmäßige Schulungen gemäß den BSI-Empfehlungen für das Management und ggfs. weitere Beschäftigte.

Sanktionen

Die Aufsichtsbehörden können Bußgelder, Anordnungen und im Extremfall den Entzug der Zulassung verhängen. Kritische IKT-Dienstleister unterliegen einer direkten EU-Aufsicht.

Status

DORA gilt seit dem 17. Januar 2025 vollständig. 

Synergien zu NIS2

DORA ist lex specialis zu NIS2: Finanzunternehmen unterliegen den strengeren DORA-Anforderungen statt NIS2. Sie bleiben aber im NIS2-Ökosystem eingebunden (Cooperation Group, CSIRT-Austausch). IKT-Dienstleister können von beiden Regelwerken betroffen sein.

ISO 27001 & BSI: Audits, Cloud-Security, KRITIS – operative Basis

ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS) und definiert Anforderungen an Aufbau, Betrieb und kontinuierliche Verbesserung der Informationssicherheit in Organisationen. Der BSI IT-Grundschutz bietet eine deutsche Methodik mit konkreten Bausteinen und einem ganzheitlichen, regelbasierten Ansatz (organisatorisch, personell, technisch, infrastrukturell), der zunehmend in ein digitales, maschinenlesbares Regelwerk überführt wird. Beide sind keine Gesetze, werden aber häufig von Endkunden gefordert. Dies macht auch deshalb Sinn, weil sich Synergien aus einem bestehenden (und idealerweise zertifiziertem) ISMS und den Anforderungen aus NIS2, DORA etc. ergeben können.

Wen betrifft es?

• Grundsätzlich adressieren ISO 27001 und BSI IT-Grundschutz alle Organisationen, die Informationssicherheit systematisch steuern und nachweisbar machen wollen. Rechtlich ist eine Zertifizierung in der Regel freiwillig, sofern sie nicht durch Gesetze, Verordnungen oder Verträge explizit gefordert wird.
• De facto Pflicht: Viele Kunden, Partner, Regulatoren und Ausschreibungen verlangen ISO-27001-Zertifizierungen oder IT-Grundschutz-Orientierung als Voraussetzung für Zusammenarbeit oder Zulassung.
• KRITIS-Betreiber (d.h. Betreiber kritischer Infrastruktur) müssen dem BSI nachweisen, dass sie angemessene organisatorische und technische Sicherheitsmaßnahmen nach Stand der Technik implementiert haben. Häufig werden dafür ISO 27001, ISO 27001 auf Basis IT-Grundschutz oder vergleichbare Standards als Referenz und Nachweis genutzt.

Was muss die IT konkret tun?

• Bedarfsprüfung: Ist ein ISMS aus rechtlichen, kommerziellen oder strategischen Gründen empfehlenswert oder zwingend erforderlich?
• ISMS aufbauen: Scope definieren, Rollen festlegen, Risiken bewerten, Maßnahmen planen und in einem durchgängigen Managementsystem verankern.
• Dokumentation und Nachweise führen: Richtlinien, Prozesse, Rollen, Betriebs- und Sicherheitskonzepte, Protokolle und Audit-Trails konsistent pflegen.
• Regelmäßige interne Audits und Management-Reviews durchführen, um Wirksamkeit und Reifegrad des ISMS zu prüfen und kontinuierlich zu verbessern.
• Externe Zertifizierungsaudits planen, vorbereiten und bestehen, ggf. Umgang mit Abweichungen.

Operationalisierung über Cloud und Plattformen

Ein ISMS lebt nicht in PowerPoint-Folien, sondern im täglichen Betrieb. Moderne Cloud- und Plattformlösungen helfen, Controls operativ umzusetzen:

• ISO 27001-zertifizierte Rechenzentren wie die Proact Hybrid Cloud (PHC) bieten eine sichere Infrastrukturbasis mit dokumentierten Sicherheitsmaßnahmen.
• Container-Plattformen wie die Proact Managed Container Platform (PMCP) ermöglichen standardisierte Deployments, Policy-as-Code und zentrales Logging, wichtige Bausteine für Nachweisführung und Compliance.

So werden Sicherheitskontrollen nicht nur dokumentiert, sondern im Betrieb tatsächlich gelebt.

Praktisch: ISO 27001 ist das „Betriebssystem“ für Compliance. Wer hier sauber aufgestellt ist, hat bei NIS2, DORA und CRA bereits viel Vorarbeit geleistet.

Doppelarbeit vermeiden: Eine Compliance-Strategie für alle Regelwerke

Die gute Nachricht: Die verschiedenen IT Compliance Gesetze 2026 fordern in weiten Teilen ähnliche Maßnahmen. Wer clever plant, implementiert einmal richtig und erfüllt damit mehrere Anforderungen gleichzeitig.

Die 7 gemeinsamen Kontrollbereiche

1.Asset- und Systeminventar

Ohne zu wissen, welche Systeme, Anwendungen und Daten Sie haben, können Sie weder Risiken bewerten noch Schutzmaßnahmen priorisieren. NIS2 fordert explizit die Kenntnis kritischer Systeme, der AI Act verlangt in bestimmten Bereichen ein KI-Inventar und ISO 27001 beginnt mit dem Scope und den Assets.

IT-Maßnahmen:

• Zentrale Configuration Management Database (CMDB) aufbauen und pflegen.
• Automatisierte Discovery-Tools einsetzen, um Shadow-IT zu identifizieren.

2. Risikomanagement und Governance

Alle Regelwerke (von NIS2 über DORA bis zum AI Act) fordern ein systematisches Risikomanagement, das die Ausgangsbasis für die Ableitung weiterer Maßnahmen bildet. Die Geschäftsleitung muss eingebunden sein.

IT-Maßnahmen:

• Risikomanagement-Prozess etablieren: Identifikation, Bewertung, Behandlung, Überwachung.
• Rollen und Verantwortlichkeiten klar definieren (CISO, Risikomanager, Datenschutzbeauftragter).

3. Vulnerability, Patch und Configuration Management

Ungepatchte Schwachstellen sind Einfallstor Nummer eins für Angreifer. Die Risikomanagementbewertung aus NIS2, CRA und DORA können ein aktives Schwachstellenmanagement in verschiedener Ausprägung erforderlich machen. Der CRA verlangt sogar die Meldung aktiv ausgenutzter Schwachstellen innerhalb von 24 Stunden.

IT-Maßnahmen:

• Vulnerability-Scanning regelmäßig durchführen. 
• Patch-Management-Prozess mit definierten SLAs für kritische, hohe und mittlere Schwachstellen.

4. Logging, Monitoring und Incident Response

Ohne Logging keine Erkennung, ohne Erkennung keine Reaktion. NIS2 fordert Meldung innerhalb von 24 Stunden, DORA verlangt klassifiziertes Incident Reporting, ISO 27001 fordert dokumentierte Incident-Management-Prozesse.

IT-Maßnahmen:

• Zentrales SIEM (Security Information and Event Management) implementieren.
• Incident-Response-Plan erstellen, testen und regelmäßig üben.

5. Lieferanten- und Drittparteien-Management

Die Lieferkette ist ein kritischer Angriffsvektor. Die Risikobewertung nach NIS2 kann eine Supply Chain Security in verschiedenen Ausprägungen erforderlich machen. DORA verlangt ein IKT-Dienstleister-Register mit Exit-Strategien. Das LkSG fordert Sorgfaltspflichten in der gesamten Lieferkette.

IT-Maßnahmen:

• Vendor-Risk-Assessment-Prozess etablieren: Fragebögen, Zertifikatsprüfung, Audits.
• Sicherheitsanforderungen vertraglich verankern (Auftragsverarbeitung, SLAs, Audit-Rechte).

6. Dokumentation, Audit und Nachweise

Compliance ohne Nachweis ist keine Compliance. Auditoren, Behörden und Kunden erwarten dokumentierte Prozesse, Richtlinien und Nachweise.

IT-Maßnahmen:

• Dokumentenmanagement-System für Richtlinien, Prozesse und Nachweise einführen.
• Audit-Trails automatisiert erfassen (Wer hat wann was geändert?).

7. Resilienz, BCM, Backup und Recovery

Cyberangriffe, Ausfälle und Krisen passieren. Die Risikobewertungen nach DORA, NIS2 oder ISO27001 können explizit Resilienztests, Business Continuity Management oder bestimmte Anforderungen an Verfügbarkeiten als Schutzziel definieren.

IT-Maßnahmen:

• Business-Impact-Analyse durchführen: Welche Systeme sind kritisch?
• Backup-Strategie nach 3-2-1-Regel implementieren und regelmäßig Restore-Tests durchführen.

Quick-Check: 9 Fragen, die IT 2026 beantworten muss

Nutzen Sie diese Fragen als Selbsttest, um Ihre aktuelle Situation einzuschätzen. Je mehr Fragen Sie mit „Ja“ beantworten können, desto besser sind Sie aufgestellt.

1. Haben Sie geprüft, ob Ihr Unternehmen unter NIS2 fällt? (Sektor, Größe, kritische Dienste)
2. Ist Ihr Unternehmen beim BSI registriert oder haben Sie die Registrierung vorbereitet?
3. Haben Sie Prozesse implementiert, um die Meldepflichten bei IT-Vorfällen beim BSI einhalten zu können?
4. Stellen Sie Produkte mit digitalen Elementen her, importieren oder vertreiben Sie diese? (CRA-Relevanz)
5. Haben Sie ein Inventar aller KI-Systeme im Unternehmen – auch von Drittanbietern?
6. Bewerten Sie bezogene und ggfs. weiterverkaufte KI-Systeme systematisch nach Ihrer Rolle, der Risiko-Klasse und den hieraus entstehenden Pflichten für Sie und Ihre Zulieferanten?
7. Sind Sie im Finanzbereich tätig oder unterstützen Sie Finanzunternehmen als Subunternehmer? (DORA-Relevanz)
8. Haben Sie ein dokumentiertes ISMS, idealerweise nach ISO 27001, und nutzen Sie Synergien zur Erfüllung Ihrer gesetzlichen Pflichten?
9. Haben Sie die sich derzeit sehr dynamisch entwickelnden Gesetzgebungsvorhaben auf EU-Ebene (Omnibus-Verfahren) und in Deutschland im Blick, um möglichst frühzeitig Vereinfachungen und Verschärfungen zu erkennen?

Wenn Sie bei mehreren Fragen unsicher sind oder mit „Nein“ antworten müssen, besteht Handlungsbedarf. Die gute Nachricht: Mit einem strukturierten Vorgehen lassen sich die Lücken systematisch schließen.

In 5 Schritten zur Umsetzung

Compliance-Projekte scheitern oft an Aktionismus oder Perfektionismus. Der folgende Fahrplan hilft Ihnen, strukturiert und pragmatisch vorzugehen.

Schritt 1: Scope und Betroffenheit klären

Bevor Sie Maßnahmen ergreifen, müssen Sie wissen, welche Regelwerke für Ihr Unternehmen relevant sind. Führen Sie eine Betroffenheitsanalyse durch:

• NIS2: Sektor und Größenkriterien prüfen
• CRA: Produktportfolio auf digitale Elemente analysieren
• AI Act: KI-Systeme inventarisieren
• DORA: Finanzsektor-Bezug oder IKT-Dienstleister-Rolle prüfen
• LkSG: Mitarbeiterzahl und Lieferkettenrelevanz

Definieren Sie klare Verantwortlichkeiten: Wer ist für welches Regelwerk zuständig? Wer berichtet an die Geschäftsleitung?

Schritt 2: Gap-Analyse durchführen

Vergleichen Sie Ihren Ist-Zustand mit den Anforderungen der relevanten Regelwerke. Nutzen Sie ISO 27001 als Referenzrahmen. Viele Anforderungen lassen sich darauf mappen.

Identifizieren Sie:

• Was ist bereits vorhanden und dokumentiert?
• Wo gibt es Lücken?
• Welche Lücken sind kritisch (hohe Sanktionen, kurze Fristen)?

Schritt 3: Priorisierte Maßnahmen und Quick Wins

Nicht alles muss sofort perfekt sein. Der gesetzlich vielfach gewährte Spielraum für risikobasierte Entscheidungen sollte in entsprechend dokumentierter Form genutzt werden. Priorisieren Sie nach Risiko und Aufwand:

• Quick Wins: Maßnahmen mit hohem Impact und geringem Aufwand (z.B. Passwort-Policy verschärfen, MFA aktivieren)
• Must-haves: Maßnahmen, die für Compliance zwingend sind (z.B. Incident-Response-Prozess, Registrierung beim BSI)
• Nice-to-haves: Maßnahmen, die den Reifegrad erhöhen, aber nicht sofort kritisch sind

Schritt 4: Betriebsprozesse etablieren

Compliance ist kein Projekt, sondern ein Dauerzustand. Etablieren Sie beispielsweise Prozesse für:

• Kontinuierliches Monitoring und Alerting
• Regelmäßiges Patch- und Vulnerability-Management
• Vendor-Management und Lieferantenbewertung
• Dokumentation und Nachweisführung

Schritt 5: Nachweise und kontinuierliche Verbesserung

Bereiten Sie sich auf Audits vor:

• Dokumentation aktuell halten
• Interne Audits durchführen
• Management-Reviews etablieren
• Lessons Learned aus Vorfällen und Audits umsetzen

Fazit: 2026 ist machbar, wenn Sie systematisch vorgehen

Die Vielzahl an IT Compliance Gesetzen 2026 kann auf den ersten Blick überwältigend wirken. Doch bei genauerer Betrachtung zeigt sich: Die Anforderungen überschneiden sich in weiten Teilen. Wer ein solides ISMS aufbaut, Risikomanagement ernst nimmt und die Grundlagen im Griff hat, ist für NIS2, CRA, AI Act, DORA & Co. gut gerüstet.

Der Schlüssel liegt in drei Punkten:

• Orientierung gewinnen: Welche Regelwerke betreffen mich?
• Synergien nutzen: Einmal richtig implementieren, mehrfach profitieren.
• Pragmatisch umsetzen: Quick Wins zuerst, dann systematisch ausbauen.

Von der initialen Betroffenheitsanalyse über die Gap-Analyse und Architekturplanung bis hin zur Umsetzung und dem laufenden Betrieb kann Proact mit seinen Managed Services helfen. Mit Lösungen wie der Proact Hybrid Cloud und der Proact Managed Container Platform setzen Sie Compliance-Anforderungen operativ um. In einer Infrastruktur, die auf Sicherheit und Nachweisführung ausgelegt ist.

Proact etabliert ebenfalls gerade eine NIS2-Kunden-Checkliste, die Ihnen hilft, Ihre Betroffenheit und Ihren Umsetzungsstand strukturiert zu prüfen. Das klingt interessant? Sprechen Sie uns an, wenn Sie zu den Ersten gehören möchten, die davon profitieren. Wir freuen uns schon, von Ihnen zu hören!