Compliance-Fristen-Kalender 2026 / 2027 / 2028

Bereits in Kraft (historische Marker)

• 17.01.2025 — DORA (VO (EU) 2022/2554) anwendbar für Finanzunternehmen und IKT-Drittdienstleister (Art. 64).
• 02.02.2025 — EU AI Act: Verbote nach Art. 5 und Art. 4 (KI-Kompetenz) anwendbar. Art. 4 gilt seit 27.07.2026 in geänderter Fassung: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Kompetenzniveau muss nicht garantiert werden.
• 02.08.2025 — EU AI Act: GPAI-Pflichten (Kapitel V), Governance und Sanktionen (Art. 99, 100).
• 06.12.2025 — NIS2UmsuCG in Kraft getreten (DE) — Risikomanagement (§ 30 BSIG), Meldepflichten (§ 32 BSIG; sie gelten frühestens ab Einrichtung des Meldewegs), Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitungen (§ 38 BSIG).

Wichtigste Fristen 2026

• Ohne festes Kalenderdatum — NIS2-Registrierung (DE): nach § 33 Abs. 1 BSIG spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Das BSI-Portal ist seit 06.01.2026 in Betrieb; das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist.
• 07.06.2026 — Entgelttransparenz-Richtlinie (EU) 2023/970: Umsetzungsfrist (Art. 34) verstrichen. In Deutschland und Österreich lag zum Stand 17.08.2026 kein Umsetzungsgesetz vor; die Pflichten wirken erst über das jeweilige nationale Umsetzungsrecht.
• 27.07.2026 — VO (EU) 2026/1744 (Digital-Omnibus KI) in Kraft: neue Geltungsdaten für die Hochrisiko-Kapitel, neuer Wortlaut des Art. 4 KI-VO.
• 29.07.2026 — KI-MIG in Kraft (DE): Die Bundesnetzagentur ist Marktüberwachungsbehörde für die KI-VO, soweit im KI-MIG nichts anderes bestimmt ist (§ 2 Abs. 1 KI-MIG); sektorale Behörden bleiben zuständig. Österreich hat zum Stand 17.08.2026 keine Behörde nach Art. 70 KI-VO benannt.
• 29.07.2026 — HinSchG: § 2 Abs. 1 Nr. 10 erweitert den sachlichen Anwendungsbereich auf Verstöße gegen Vorschriften der Verordnung (EU) 2024/1689 (KI-VO); die bisherige Nr. 10 wird Nr. 11.
• 02.08.2026 — EU AI Act: allgemeiner Geltungsbeginn, u. a. Transparenzpflichten nach Art. 50 (Art. 113 Satz 2 KI-VO).
• 01.10.2026 — NISG 2026 (AT) tritt in Kraft (§ 51 Abs. 2 NISG 2026, BGBl. I Nr. 94/2025).
• 02.12.2026 — EU AI Act: neues Verbot Nr. 9 (Art. 5 Abs. 1 lit. ba/bb) sowie Frist für generative KI-Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden, Art. 50 Abs. 2 nachzukommen (Art. 111 Abs. 4 KI-VO).

Wichtigste Fristen 2027

• 07.06.2027 — Entgelttransparenz-Richtlinie: erste Berichterstattung über das Entgeltgefälle — Arbeitgeber ab 250 Arbeitnehmern und danach jährlich (Art. 9 Abs. 2), 150–249 Arbeitnehmer und danach alle drei Jahre (Art. 9 Abs. 3); 100–149 Arbeitnehmer erstmals bis 07.06.2031 (Art. 9 Abs. 4). Maßgeblich ist das jeweilige nationale Umsetzungsgesetz.
• 02.08.2027 — EU AI Act: Anbieter von GPAI-Modellen, die vor dem 02.08.2025 in Verkehr gebracht wurden, müssen die Pflichten der Verordnung erfüllen (Art. 111 Abs. 3); nationale KI-Reallabore nach Art. 57 sollen operativ sein.
• 02.12.2027 — EU AI Act: Hochrisiko-Pflichten des Kapitels III Abschnitte 1–3 für Anhang-III-Systeme anwendbar, einschließlich der Grundrechte-Folgenabschätzung (FRIA, Art. 27) — Art. 113 Abs. 3 lit. c Ziff. i KI-VO i. d. F. der VO (EU) 2026/1744.

Wichtigste Fristen 2028

• 02.08.2028 — EU AI Act: Hochrisiko-Pflichten für Produkte nach Anhang I (Art. 6 Abs. 1) — Art. 113 Abs. 3 lit. c Ziff. ii KI-VO i. d. F. der VO (EU) 2026/1744.
• Ohne festes Kalenderdatum — NIS2 (DE): Betreiber kritischer Anlagen weisen die Umsetzung nach § 39 Abs. 1 BSIG zu einem vom BSI festgelegten Zeitpunkt nach — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten, bei erneutem Eintritt spätestens drei Jahre danach — und anschließend alle drei Jahre. Ein amtliches Datum für den Beginn der Aufsichts- und Bußgeldpraxis ist nicht veröffentlicht.