Compliance Kalender2026 – 2028
Alle EU-Fristen zu NIS2, AI Act, CRA, DORA und weiteren Regelwerken.
Worum es geht
Von August 2026 bis Oktober 2028 laufen zentrale EU-Fristen parallel — von NIS2 über CRA und AI Act bis DORA. Dieser Kalender bündelt alle relevanten Stichtage und zeigt pro Frist, wer betroffen ist und was zu tun bleibt.
Hinweis zum AI Omnibus
Filter (Mehrfachauswahl möglich)
GPAI: Durchsetzungsbefugnisse der Kommission
Die Kommission erhält ab diesem Datum die Befugnis, GPAI-Anbieter mit Bußgeldern zu belegen. Anbieter von Modellen, die seit dem 2. August 2025 in den Verkehr gebracht wurden, müssen die Doku-, Urheberrechts- und Trainingsdaten-Pflichten erfüllen — die Schonfrist endet.
Ursprünglicher Vollanwendungstermin (per AI Omnibus verschoben)
Nach ursprünglicher Verordnung hätten ab diesem Tag die High-Risk-Pflichten aus Annex III sowie die Transparenzpflichten aus Art. 50 voll gegriffen. Per AI-Omnibus-Einigung vom 7. Mai 2026 werden diese verschoben — High-Risk Annex III auf den 2. Dezember 2027, produkteingebettete Systeme (Annex I) auf den 2. August 2028, Watermarking auf den 2. Dezember 2026. Die formelle Annahme wird noch vor diesem Termin erwartet.
Horizontaler Standard Teil 1 — Principles of Cyber Resilience
Stichtag der CEN/CENELEC für die Bereitstellung des horizontalen CRA-Standards Teil 1 (EN 40000-1-1 Vocabulary und EN 40000-2-1 Principles of Cyber Resilience). Liefert das Basisvokabular und die Risikomanagement-Prinzipien als Konformitätsvermutung für Hersteller.
Meldepflicht für Schwachstellen & schwere Vorfälle
Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwere Cybersicherheitsvorfälle ab diesem Datum verpflichtend über die zentrale CRA-Meldeplattform der ENISA melden — Erstmeldung innerhalb von 24 Stunden, Detailbericht nach 72 Stunden, Abschlussbericht nach 14 Tagen. Die Pflicht gilt auch für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
„Data by Design" für neue vernetzte Produkte
Vernetzte Produkte, die ab diesem Stichtag auf den EU-Markt gebracht werden, müssen so designed sein, dass die generierten Daten standardmäßig zugänglich, übertragbar und für den Nutzer auslesbar sind. Bestehende Produkte sind grundsätzlich grandfathered, fallen aber bei substantiellen Änderungen unter die neuen Pflichten.
Erweiterte Cloud-Interoperabilität
Anbieter von Datenverarbeitungsdiensten müssen offene Schnittstellen und Interoperabilitätsspezifikationen umsetzen. Die Vorgabe bereitet den nächsten Schritt vor — das vollständige Verbot der Wechselgebühren am 12. Januar 2027.
NISG 2026 tritt in Kraft
Das österreichische Netz- und Informationssystemsicherheitsgesetz 2026 ersetzt das bisherige NISG 2018. Ab diesem Tag gelten verpflichtende Risikomanagementmaßnahmen, die Meldepflicht für erhebliche Vorfälle innerhalb von 24 Stunden sowie die Schulungspflicht und persönliche Haftung der Leitungsorgane. Das Bundesamt für Cybersicherheit nimmt die operative Tätigkeit auf.
Bereitstellung der EUDI Wallet durch Mitgliedstaaten
Jeder EU-Mitgliedstaat muss mindestens eine zertifizierte European Digital Identity Wallet an Bürger und Unternehmen ausgeben. Erste Anwendungen werden im öffentlichen Sektor verfügbar; die Akzeptanzpflicht für regulierte private Sektoren folgt zwölf Monate später.
Watermarking-Pflicht für synthetische Inhalte
Anbieter generativer AI-Systeme müssen Audio-, Bild-, Video- und Textausgaben in maschinenlesbarem Format als künstlich generiert oder manipuliert kennzeichnen (Wasserzeichen oder Metadaten-Tagging). Die Frist resultiert aus der AI-Omnibus-Einigung (Art. 50 Abs. 2 AI Act, vorgezogen aus Feb. 2027).
Neues Verbot: CSAM- & NCII-generierende AI-Systeme
Per AI-Omnibus-Einigung wird ein neues Verbot (Art. 5) aufgenommen: AI-Systeme, die zur Erzeugung von Kindesmissbrauchsmaterial (CSAM) oder nicht-einvernehmlicher intimer Bildinhalte (NCII) bestimmt sind oder ohne angemessene Schutzmaßnahmen bereitgestellt werden, sind verboten. Auch der Einsatz durch Deployer zu solchen Zwecken ist untersagt.
Neue Produkthaftung — Umsetzungsfrist (Software & AI als Produkte)
Mitgliedstaaten müssen die revidierte Produkthaftungsrichtlinie (Directive 2024/2853) bis zu diesem Tag in nationales Recht umsetzen. Erstmals fallen Software, SaaS, AI-Systeme, digitale Manufacturing-Dateien und integrierte digitale Dienste explizit unter die verschuldensunabhängige Produkthaftung. Mangelnde Cybersicherheit kann eine Vermutung der Fehlerhaftigkeit begründen; Liability lässt sich nicht per EULA oder AGB ausschließen. Anwendbar auf Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden.
Registrierungspflicht bei der Cybersicherheitsbehörde
Wesentliche und wichtige Einrichtungen müssen sich innerhalb von drei Monaten nach Inkrafttreten des NISG 2026 beim Bundesamt für Cybersicherheit registrieren. Die Registrierung läuft voraussichtlich über das Unternehmensserviceportal (USP); das genaue Verfahren wird per Verordnung festgelegt.
Vollständiges Verbot von Cloud-Wechselgebühren
Anbieter von Datenverarbeitungsdiensten dürfen ab diesem Datum keine Wechselgebühren (Switching Charges, inklusive Egress Fees) mehr für den einmaligen Wechsel zu einem anderen Anbieter erheben. Bisher waren diese auf direkte Kosten begrenzt; nun fallen sie ganz.
GPAI-Modelle vor August 2025 müssen compliant sein
Anbieter von General-Purpose-AI-Modellen, die vor dem 2. August 2025 auf den Markt gebracht wurden, müssen ab diesem Stichtag die vollen Pflichten des AI Act erfüllen: technische Dokumentation, Informationspflichten gegenüber nachgelagerten Anbietern, Urheberrechts-Compliance und Trainingsdaten-Zusammenfassung.
Mitgliedstaaten: Behörden, Strafrahmen, Ressourcen
Frist für Mitgliedstaaten zur Benennung der zuständigen nationalen Behörden (Notifizierungs- und Marktüberwachungsbehörden), zur Festlegung von Sanktionsregeln und zur Berichterstattung an die Kommission über finanzielle und personelle Ressourcen.
Nationale AI Regulatory Sandboxes verfügbar
Mitgliedstaaten müssen funktionsfähige nationale Reallabore (Regulatory Sandboxes) für AI-Systeme eingerichtet haben — verschoben aus 2026 durch das Digital-Omnibus-Paket. Sie bieten Innovatoren einen erprobten Rahmen für die Entwicklung und Validierung von AI-Anwendungen.
Datenportabilität: Volle Anwendung & Altverträge
Vollständige Implementierung der Datenportabilitäts-Standards. Die Regeln zu unfairen Vertragsklauseln gelten ab diesem Datum auch für Verträge, die vor dem 12. September 2025 abgeschlossen wurden. Bestandsverträge sollten bis dahin überprüft und angepasst sein.
Selbstdeklaration an die Cybersicherheitsbehörde
Wesentliche und wichtige Einrichtungen müssen eine strukturierte Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen, die genutzten Netz- und Informationssysteme und die Ergebnisse der Risikoanalyse elektronisch an das Bundesamt für Cybersicherheit übermitteln. Die Frist resultiert aus 12 Monaten nach Eintritt der Registrierungspflicht (31. Dezember 2026).
Harmonisierte Standards: Generic Security Requirements
Stichtag der CEN/CENELEC für die Bereitstellung der horizontalen CRA-Standards Teil 2 (EN 40000-1-2 Generic Security Requirements). Diese Standards begründen eine Konformitätsvermutung mit den wesentlichen Anforderungen aus Annex I des CRA und sind die Grundlage für die Vorbereitung auf den 11. Dezember 2027.
High-Risk-AI-Systeme aus Annex III: Pflichten gelten
Per AI-Omnibus-Einigung (7. Mai 2026) bestätigter Stichtag für High-Risk-AI-Systeme aus Annex III: Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen Diensten, Strafverfolgung, Migration, Asyl und Grenzkontrolle sowie Justiz und demokratische Prozesse. Anbieter und Betreiber müssen die Anforderungen an Risikomanagement, Datenqualität, Transparenz, menschliche Aufsicht und Cybersicherheit erfüllen.
CRA vollständig anwendbar — CE-Kennzeichnung Pflicht
Hauptanwendungsdatum des CRA. Alle ab diesem Zeitpunkt in der EU in Verkehr gebrachten Produkte mit digitalen Elementen (Hardware und Software) müssen die wesentlichen Cybersicherheitsanforderungen erfüllen, ein Vulnerability-Handling über den gesamten Support-Zeitraum sicherstellen und mit CE-Kennzeichnung versehen sein. Bestandsprodukte fallen erst bei „substantieller Modifikation" nach diesem Datum unter den CRA.
EUDI Wallet: Akzeptanzpflicht für regulierte Sektoren
Private Relying Parties, die per Unionsrecht oder nationalem Recht eine starke Kundenauthentifizierung (SCA) durchführen, müssen die European Digital Identity Wallet als Identifikations- und Authentifizierungsmittel akzeptieren. Betroffen sind insbesondere Banken, Zahlungsdienstleister, E-Geld-Institute, Telekommunikation, Energie, Verkehr, Gesundheitsdienste, Postdienste, digitale Infrastruktur, Bildung sowie VLOPs (Very Large Online Platforms) und Gatekeeper unter DSA/DMA.
Erste TLPT-Pflichtprüfung für signifikante Finanzinstitute
Gemäß Art. 26 Abs. 3 DORA müssen designierte Finanzinstitute (große Banken, Versicherer, zentrale Marktinfrastrukturen, signifikante Zahlungsdienstleister) bis zu diesem Datum ihre erste Threat-Led Penetration Test (TLPT) abgeschlossen haben. Ein vollständiger TLPT-Zyklus dauert 6–12 Monate von der Provider-Auswahl bis zur Abschluss-Attestation; die Planung muss spätestens Q1 2027 starten. TIBER-EU-konforme Tests, die nach dem 17. Januar 2025 unter einer ausgerichteten nationalen Aufsichtsbehörde durchgeführt wurden, zählen auf den Drei-Jahres-Zyklus.
Auslaufen alter Konformitätsbescheinigungen
EU-Typenprüfungsbescheinigungen und Genehmigungsentscheidungen, die in Bezug auf Cybersicherheitsanforderungen ausgestellt wurden, verlieren spätestens an diesem Tag ihre Gültigkeit — sofern sie nicht ohnehin früher ablaufen. Produkte mit solchen Bescheinigungen brauchen ab dann eine neue Bewertung nach CRA.
Annex-I-Systeme: High-Risk-Pflichten gelten
Per AI-Omnibus-Einigung bestätigter Stichtag für AI-Systeme, die als Sicherheitskomponenten in regulierten Produkten eingebettet sind (Annex I: Spielzeug, Aufzüge, Maschinen, Medizinprodukte, Luftfahrt, Schiffe, Fahrzeuge, Funkanlagen, Druckgeräte u. a.). Diese müssen die vollen High-Risk-Anforderungen erfüllen — Risikomanagement, Datenqualität, Transparenz, menschliche Aufsicht, Cybersicherheit, Konformitätsbewertung.
Erste formale Reviews durch die Kommission
Die Kommission beginnt mit den ersten formalen Bewertungen: Funktionieren des AI Office, Wirksamkeit der Verhaltenskodizes und Codes of Practice, Notwendigkeit von Änderungen an Annex III (High-Risk-Liste), Art. 50 (Transparenz) sowie am Aufsichts- und Governance-System des AI Act. Ergebnisse können in Folgenovellen einfließen.
Beginn behördlicher Prüfungen
Ab diesem Zeitpunkt kann die österreichische Cybersicherheitsbehörde (Bundesamt für Cybersicherheit) von wesentlichen und wichtigen Einrichtungen die Vorlage von Nachweisen, unabhängige Audit-Berichte und vor-Ort-Prüfungen verlangen. Wer bei der Selbstdeklaration im September 2027 nicht ausreichend belegt hat, gerät jetzt in den aktiven Aufsichtsfokus.
Gratis
Holen Sie sich den Compliance‑Kalender 2027 — als echten Tischkalender.
Alle Fristen zu NIS2, CRA, AI Act, DORA & Co. das ganze Jahr im Blick — gedruckt auf dem Schreibtisch statt im Browser-Tab. Wir senden Ihnen ein Exemplar kostenlos zu, solange der Vorrat reicht.
Get IT done. — auch auf Papier.