Compliance-Fristen 2026, 2027, 2028: alle EU/DACH-Termine

Alle Termine in Datumsreihenfolge

Kurzantwort: Die folgende Tabelle listet jeden Termin dieser Roadmap mit Beleg und Einordnung zum Artikelstand 16. August 2026 — die Spalte „Fundstelle/Beleg" weist je Zeile aus, ob der Termin aus einer Norm folgt, eine Prognose ist oder eine Angabe der Erstfassung dieses Artikels; die Termine 02.12.2027 und 02.08.2028 folgen aus der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), die seit 27. Juli 2026 in Kraft ist.

Methodik

Kurzantwort: Diese Roadmap führt die datierten Termine, die Ereignisfristen und die wiederkehrenden Pflichten aus sechs Rechtsbereichen zusammen und ordnet jeden datierten Termin zum Artikelstand 16. August 2026 ein — als eingetreten, als ausstehend, als verstrichenes Prognosedatum oder als zum Quellenstand nicht geltenden Vorschlagstermin.

Aggregiert sind die Fristen aus DSGVO, EU AI Act (KI-VO 2024/1689), NIS2-RL 2022/2555 + NIS2UmsuCG, HinSchG, AGG + EntgTranspG-Reform und EU Pay Transparency-RL 2023/970. Rechtsräume dieser Roadmap sind das EU-Recht sowie dessen nationale Umsetzung in Deutschland und Österreich; die Schweiz ist nicht Gegenstand dieses Artikels. Stand der ausgewerteten Quellen: 02. Mai 2026.

Vier Arten von Terminen sind auseinanderzuhalten. Gesetzliche Fristen folgen aus einer Norm und tragen hier eine Norm-Fundstelle. Prognosen betreffen nationale Umsetzungen, deren Anwendungsbeginn zum Quellenstand noch nicht feststand (AT EntgleichV, DE EntgTranspG-Reform); sie sind als voraussichtlich gekennzeichnet. Angaben der Erstfassung dieses Artikels tragen keine Norm-Fundstelle und sind als solche ausgewiesen; die beiden Daten 02.12.2027 und 02.08.2028 sind dagegen gesetzliche Fristen, seit die Verordnung (EU) 2026/1744 (Digital-Omnibus KI) am 27. Juli 2026 in Kraft getreten ist. Praxis-Rhythmen ordnen wiederkehrende Aufgaben in einen Turnus und sind ausdrücklich als Praxisempfehlung markiert — ein empfohlener Jahresturnus ist keine gesetzliche Frist. Welche Kategorie für welchen Termin gilt, weist die Spalte „Fundstelle/Beleg" der Übersichtstabelle je Zeile aus.

Was dieser Faktenstand nicht abdeckt. Der Artikel datiert auf den 16. August 2026, der Faktenstand der Terminangaben auf den 02. Mai 2026. Zur Umsetzung der RL (EU) 2023/970 ist der Stand nachgetragen: In Deutschland lag zum 17. August 2026 kein Umsetzungsgesetz vor — nach der Antwort der Bundesregierung vom 8. Juli 2026 (BT-Drs. 21/7026) werden noch einzelne Fragen geklärt, im Anschluss soll das Gesetzgebungsverfahren eingeleitet werden; in Österreich lag ebenfalls kein Umsetzungsgesetz vor, die Petition 2/PET (XXVIII. GP) ist dem Ausschuss für Arbeit und Soziales zugewiesen, die Beratungen wurden noch nicht aufgenommen. Digital-Omnibus KI — das Verfahren ist abgeschlossen: Die Verordnung (EU) 2026/1744 ist seit 27. Juli 2026 in Kraft; für jede Angabe dieses Artikels zu Anhang III und Anhang I gilt danach, dass die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 für Anhang-III-Systeme ab 2. Dezember 2027 und für Anhang-I-Systeme ab 2. August 2028 anwendbar sind (Art. 113 KI-VO in dieser Fassung). EntgleichV-Vorbehalt: Der 01.07.2026 war eine Prognose, kein belegter Anwendungsbeginn. An den weiteren Stellen dieses Artikels steht dieser Vorbehalt nur noch als Kurzverweis.

Maßgeblich für die Terminangaben ist die Zeile „Stand der ausgewerteten Quellen"; sie kann vom sichtbaren Aktualisierungsdatum abweichen.

Fristen 2026

Kurzantwort: Von den datierten 2026-Terminen sind der 07.06.2026 (Umsetzungsfrist der Mitgliedstaaten nach der Entgelttransparenz-Richtlinie) und der 02.08.2026 (allgemeiner Geltungsbeginn der KI-VO) zum Artikelstand 16. August 2026 eingetreten; beim 01.07.2026 ist nur das Prognosedatum verstrichen (EntgleichV-Vorbehalt, siehe Methodik). Die deutsche NIS2-Registrierungspflicht läuft ereignisbezogen seit dem 06.12.2025 — das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist —, und für den Beginn der deutschen Aufsichtspraxis gibt es kein amtliches Datum. Ausstehend ist allein der Anwendungsbeginn des österreichischen NISG 2026 am 01.10.2026.

NIS2: Registrierungspflicht beim BSI — drei Monate ab Eintritt der Einrichtungseigenschaft

Status: LAUFENDE PFLICHT. Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate nach Eintritt der Einrichtungseigenschaft beim BSI registrieren (§ 33 Abs. 1 BSIG 2025); das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Wer die Registrierung versäumt hat, sollte unverzüglich nachholen — die Registrierungspflicht besteht fort, und die Pflichten nach §§ 30 und 32 BSIG 2025 gelten unabhängig von der Registrierung.

Was die Norm verlangt. Besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter müssen sich über eine gemeinsam vom BSI und vom BBK eingerichtete Registrierungsmöglichkeit registrieren. Zu übermitteln sind Name, Anschrift und Kontaktdaten, der relevante Sektor nach Anlage 1 oder 2, die betroffenen EU-Mitgliedstaaten und die zuständigen Aufsichtsbehörden (§ 33 Abs. 1 BSIG 2025). Die Drei-Monats-Frist läuft ab dem Zeitpunkt, zu dem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt — nicht ab dem Inkrafttreten des BSIG am 06.12.2025; das Registrierungsportal des BSI ist seit 06.01.2026 in der zweiten Stufe verfügbar. Die ereignisbezogene Drei-Monats- und die Zwei-Wochen-Änderungsfrist stehen in der Tabelle „Ereignisfristen".

Wen die Pflicht trifft. Entscheidend ist zuerst die Einrichtungsart nach Anlage 1 oder 2, erst danach die Größe (§ 28 Abs. 1 und 2 BSIG 2025); ohne Zuordnung zu einer Anlagen-Art tragen Beschäftigten- und Umsatzzahlen die Einstufung nicht. Die Schwellenwerte und die größenunabhängig erfassten Einrichtungen sind in der FAQ „Ab welcher Größe greifen die NIS2-Pflichten in Deutschland?" aufgeschlüsselt.

DE NIS2UmsuCG: Aufsichts- und Bußgeldpraxis

Für den Beginn der Aufsichts- und Bußgeldpraxis nach dem BSIG 2025 gibt es kein amtliches Datum. Belegt ist nur: Das Registrierungsportal des BSI steht seit dem 06.01.2026 in der zweiten Stufe zur Verfügung, und das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Die Pflichten der §§ 30, 33 Abs. 1 und 38 BSIG 2025 gelten davon unabhängig seit dem 06.12.2025; die Meldepflicht des § 32 BSIG 2025 gilt nach § 32 Abs. 1 letzter Satz frühestens ab Einrichtung des Meldewegs.

Woran die Aufsicht misst. Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen, um Störungen von Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme zu vermeiden; die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 BSIG 2025). Der gesetzliche Mindestkatalog umfasst zehn Bereiche — unter anderem Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung (§ 30 Abs. 2 Nr. 1 bis 10 BSIG 2025). Die Dokumentation ist damit kein Selbstzweck: § 30 Abs. 1 BSIG 2025 verlangt sie ausdrücklich als Nachweis der Einhaltung.

Turnusmäßiger Nachweis — und wen er trifft. Die regelmäßige Nachweispflicht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen betrifft in Deutschland primär Betreiber kritischer Anlagen: Sie weisen die Umsetzung zu einem vom BSI festgelegten Zeitpunkt nach — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten — und anschließend alle drei Jahre, einschließlich der aufgedeckten Sicherheitsmängel (§ 39 Abs. 1 BSIG 2025). Unabhängig davon trifft die Geschäftsleitung eine eigene Pflicht: Umsetzung und Überwachung der Risikomanagementmaßnahmen, Innenhaftung nach dem für die Rechtsform geltenden Gesellschaftsrecht und regelmäßige Schulungsteilnahme (§ 38 Abs. 1 bis 3 BSIG 2025).

07. Juni 2026 — EU Pay Transparency Directive

Umsetzungsfrist der Mitgliedstaaten nach Art. 34 Abs. 1 RL (EU) 2023/970: Bis zum 07.06.2026 mussten die nationalen Rechts- und Verwaltungsvorschriften in Kraft gesetzt sein. Der Termin ist zum Artikelstand eingetreten. Inhalte der Richtlinie: Einstiegsentgelt bzw. Entgeltspanne für Stellenbewerber (Art. 5 Abs. 1), Verbot der Frage nach der bisherigen Entgeltentwicklung (Art. 5 Abs. 2), geschlechtsneutrale Stellenausschreibungen (Art. 5 Abs. 3), Auskunftsrecht der Beschäftigten binnen zwei Monaten (Art. 7). Vollständige Anleitung.

Rechtswirkung — häufig verkürzt dargestellt: Der 07.06.2026 ist eine an die Mitgliedstaaten gerichtete Umsetzungsfrist, kein Datum, ab dem private Arbeitgeber unmittelbar aus der Richtlinie verpflichtet sind. Eine nicht umgesetzte Richtlinie begründet keine unmittelbaren Pflichten privater Arbeitgeber; unmittelbare Wirkung kommt allenfalls vertikal gegenüber dem Staat bzw. öffentlichen Arbeitgebern in Betracht. Der Anwendungsvorrang des EU-Rechts betrifft kollidierendes nationales Recht — er schafft keine neuen Arbeitgeberpflichten. Praktische Folge: Die Pflichten greifen mit der nationalen Umsetzung (DE: EntgTranspG-Reform, AT: EntgleichV); bis dahin bestehen Umsetzungsdruck sowie Auslegungs- und Haftungsrisiken (richtlinienkonforme Auslegung bestehenden Rechts, Staatshaftung gegenüber dem Mitgliedstaat). Vorbereitung ist deshalb jetzt sinnvoll — eine unmittelbare Arbeitgeberpflicht ab 07.06.2026 ist es nicht.

Was schon nach geltendem nationalem Recht gilt. In Deutschland flankiert das Entgeltgleichheitsgebot (§ 7 EntgTranspG) den individuellen Auskunftsanspruch der §§ 10 bis 12 EntgTranspG — Einzelheiten im Abschnitt „01. Januar 2027". In Österreich gelten die Entgeltpflichten des GlBG (siehe Abschnitt „01. Juli 2026"); die geschlechtsneutrale Stellenausschreibung regelt § 9 GlBG, Verstöße sind mit Geldstrafe bis 360 Euro bedroht (§ 10 GlBG).

01. Juli 2026 — AT EntgleichV (Pay Transparency Österreich)

Der 01.07.2026 war der prognostizierte Anwendungsbeginn der österreichischen Umsetzung der RL (EU) 2023/970 (Begutachtungsentwurf 03/2026), keine gesetzlich festgelegte Frist. Das Prognosedatum ist zum Artikelstand verstrichen; zum Umsetzungsstand in Österreich siehe Methodik (EntgleichV-Vorbehalt).

Was bis zur nationalen Umsetzung gilt. Für österreichische Arbeitgeber greifen die Entgeltpflichten des GlBG: das Diskriminierungsverbot bei der Festsetzung des Entgelts (§ 3 GlBG) und die Entlohnungskriterien des § 11 GlBG, wonach betriebliche Einstufungsregelungen und Normen der kollektiven Rechtsgestaltung den Grundsatz des gleichen Entgelts für gleiche oder gleichwertige Arbeit zu beachten haben. Praxisempfehlung für österreichische Arbeitgeber: Vor Verwendung dieses Datums den Kundmachungsstand der EntgleichV im RIS prüfen; für Beratung und Unterstützung Betroffener sind in Österreich die Gleichbehandlungsanwaltschaft und die Gleichbehandlungskommission zuständig, Ansprüche aus dem GlBG werden gerichtlich geltend gemacht (Fristen in der Tabelle „Ereignisfristen").

02. August 2026 — KI-VO: allgemeiner Geltungsbeginn (u. a. Art. 50); Anhang-III-Hochrisikopflichten erst ab 02.12.2027

Eingetreten. Die KI-VO gilt seit diesem Datum grundsätzlich (Art. 113 KI-VO). Damit sind auch die Transparenzpflichten des Art. 50 anwendbar: KI-Systeme zur direkten Interaktion mit natürlichen Personen müssen darüber informieren, dass es sich um ein KI-System handelt (Abs. 1); synthetische Audio-, Bild-, Video- oder Textinhalte sind maschinenlesbar als künstlich erzeugt oder manipuliert zu kennzeichnen (Abs. 2); Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen informieren die betroffenen Personen (Abs. 3); wer Deepfakes erzeugt oder manipuliert, legt das offen (Abs. 4).

Was vorher schon galt. Kapitel I und II der KI-VO — darunter die verbotenen Praktiken nach Art. 5 und die KI-Kompetenz nach Art. 4 — gelten seit dem 02.02.2025; Kapitel V mit den Pflichten für Anbieter von GPAI-Modellen seit dem 02.08.2025 (Art. 113 KI-VO). Art. 4 gilt seit 27. Juli 2026 in der Fassung der Verordnung (EU) 2026/1744: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Kompetenzniveau wird nicht geschuldet. Die KI-VO ist eine EU-Verordnung; sie gilt in Deutschland und Österreich gleichermaßen — an dieser Stelle gibt es keinen nationalen Unterschied. Die Mitgliedstaaten benennen jeweils mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde und machen deren Kontaktdaten öffentlich zugänglich (Art. 70 Abs. 1 und 2 KI-VO); Unterschiede bestehen bei der Aufsicht: In Deutschland ist seit 29. Juli 2026 die Bundesnetzagentur Marktüberwachungsbehörde (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden zuständig sind, während Österreich bis zum 17. August 2026 keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt hat — die KI-Servicestelle der RTR ist dort eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis.

Anhang III hängt nicht mehr an diesem Datum. Seit der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, gelten die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 für Systeme nach Anhang III erst ab dem 02.12.2027 (Art. 113 Abs. 3 lit. c Ziff. i KI-VO in dieser Fassung). Die Pflichten, die dann greifen: Risikomanagement (Art. 9), Data Governance (Art. 10), Technische Dokumentation (Art. 11), Logging (Art. 12), Transparenz (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit/Robustheit/Cybersecurity (Art. 15), QMS (Art. 17), Konformitätsbewertung (Art. 43), EU-Datenbank-Eintrag (Art. 49), FRIA für bestimmte Betreiber (Art. 27 Abs. 1 — Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Systemen zur Bonitätsbewertung und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung). Den Sanktionsrahmen für Verstöße gegen diese Pflichten zeigt die Tabelle „Priorisierung nach Bußgeldrisiko".

Wann ein System überhaupt unter Anhang III fällt. Anhang III benennt acht Anwendungsbereiche: Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement einschließlich Zugang zur Selbstständigkeit, Zugänglichkeit und Inanspruchnahme grundlegender privater und öffentlicher Dienste (unter anderem Kreditwürdigkeit, Kranken- und Lebensversicherung, Notrufe), Strafverfolgung, Migration, Asyl und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse (Anhang III zu Art. 6 Abs. 2 KI-VO). Abweichend gilt ein dort genanntes System ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — es sei denn, es führt ein Profiling natürlicher Personen durch (Art. 6 Abs. 3 KI-VO). Praxisempfehlung: Halten Sie das Ergebnis dieser Ausnahmeprüfung schriftlich fest, bevor Sie sich darauf stützen — das ist eine Arbeitsvorgabe dieses Artikels, keine Aussage über eine gesetzliche Dokumentationspflicht.

01. Oktober 2026 — AT NISG 2026

Anwendungsbeginn des österreichischen NIS2-Umsetzungsgesetzes: Die §§ 2 bis 45 NISG 2026 treten am 01.10.2026 in Kraft und sind vorher nicht anzuwenden (§ 51 Abs. 2 NISG 2026). Zum Artikelstand 16. August 2026 liegt dieser Termin in der Zukunft — es ist der einzige noch ausstehende 2026-Termin dieser Roadmap.

Die österreichischen NIS2-Pflichten greifen erst ab dem Anwendungsbeginn. Ab dann gilt: Registrierung bei der Cybersicherheitsbehörde mit Name, Anschrift und Kontaktdaten, Sektor nach Anlage 1 oder 2, Mitgliedstaaten der Diensterbringung, Hauptniederlassung und Angaben zu den Schwellenwerten (§ 29 Abs. 2 bis 4 NISG 2026; Fristen in der Tabelle „Ereignisfristen"). Risikomanagementmaßnahmen müssen geeignet und verhältnismäßig sein und mindestens die zehn Inhalte des Katalogs abdecken (§ 32 Abs. 1 und 4 NISG 2026). Erhebliche Cybersicherheitsvorfälle sind dem zuständigen CSIRT binnen 24 Stunden, 72 Stunden und einem Monat zu melden (§ 34 Abs. 2 NISG 2026). Die Leitungsorgane haben die Einhaltung sicherzustellen, zu beaufsichtigen und an Cybersicherheitsschulungen teilzunehmen (§ 31 Abs. 1 und 2 NISG 2026).

Der Nachweisweg ist ein anderer als in Deutschland. Wesentliche und wichtige Einrichtungen übermitteln der Cybersicherheitsbehörde innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen zu den umgesetzten Maßnahmen (Selbstdeklaration); auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen, wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 1 und 2 NISG 2026). Wer als österreichische Einrichtung in den Anwendungsbereich fällt, entscheidet sich nach § 24 i. V. m. § 25 NISG 2026 — dieselben Größenzahlen wie in Deutschland, jeweils gebunden an eine Art nach Anlage 1 oder 2 (Zahlen in der FAQ „Ab welcher Größe greifen die NIS2-Pflichten in Deutschland?").

Fristen 2027

Kurzantwort: Alle Termine dieses Abschnitts liegen zum Artikelstand 16. August 2026 in der Zukunft: 01.01.2027 (DE EntgTranspG-Reform, Prognose), 07.06.2027 (erste Pay-Gap-Berichte, gestaffelt nach Beschäftigtenzahl, Art. 9 Abs. 2 und 3 RL (EU) 2023/970) und 02.08.2027 (Ende der Übergangsfrist für GPAI-Bestandsmodelle); hinzu kommt der 02.12.2027, ab dem die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 für Systeme nach Anhang III gelten (Art. 113 Abs. 3 lit. c Ziff. i KI-VO i. d. F. der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026); die Pflichten für Anhang-I-Systeme nach Art. 6 Abs. 1 KI-VO folgen erst am 02.08.2028.

01. Januar 2027 — DE EntgTranspG-Reform (voraussichtlich)

Erwartete deutsche Umsetzung der RL 2023/970; das Datum 01.01.2027 für den Anwendungsbeginn des Auskunftsrechts stammt aus der Erstfassung dieses Artikels (Stand 04/2026). Ein deutsches Umsetzungsgesetz lag zum Stand 17. August 2026 nicht vor (BT-Drs. 21/7026, siehe Methodik).

Was sich fachlich ändert. Das geltende EntgTranspG knüpft den individuellen Auskunftsanspruch an Betriebe mit in der Regel mehr als 200 Beschäftigten und lässt die Angabe des Vergleichsentgelts entfallen, wenn die Vergleichstätigkeit von weniger als sechs Beschäftigten des anderen Geschlechts ausgeübt wird (§§ 10 bis 12 EntgTranspG). Die Richtlinie verlangt in Art. 7 die schriftliche Auskunft über die individuelle Entgelthöhe sowie über die durchschnittlichen Entgelthöhen — aufgeschlüsselt nach Geschlecht — für Gruppen von Arbeitnehmern mit gleicher oder gleichwertiger Arbeit, zu erteilen binnen zwei Monaten (Art. 7 RL (EU) 2023/970); an eine Betriebsgröße knüpft die Richtlinie dieses Auskunftsrecht nicht. Wie weit die Reform diesen Abstand schließt, folgt aus dem Gesetzestext, sobald er vorliegt; der Termin selbst ist eine Prognose, keine gesetzlich festgelegte Frist.

Praxisempfehlung: Die Vorarbeit ist in beiden Fassungen dieselbe — Arbeitnehmergruppen bilden, die gleiche oder gleichwertige Arbeit verrichten, und die Einstufungskriterien auf Diskriminierungsfreiheit prüfen; sie trägt das Auskunftsrecht nach Art. 7 ebenso wie den Bericht nach Art. 9 Abs. 1 RL (EU) 2023/970 (Abschnitt „07. Juni 2027").

07. Juni 2027 — EU Pay Transparency: erste Berichte (ab 150 MA)

Erste Pay-Gap-Berichte fällig, gestaffelt nach Größe: Arbeitgeber mit 250 oder mehr Arbeitnehmern berichten bis zum 07.06.2027 und danach jährlich (Art. 9 Abs. 2 RL (EU) 2023/970); Arbeitgeber mit 150 bis 249 Arbeitnehmern ebenfalls bis zum 07.06.2027, danach alle drei Jahre (Art. 9 Abs. 3); Arbeitgeber mit 100 bis 149 Arbeitnehmern erst bis zum 07.06.2031 und danach alle drei Jahre (Art. 9 Abs. 4). Inhalt: geschlechtsspezifisches Entgeltgefälle (auch bei variablen Bestandteilen), Median-Werte, Anteil der Beschäftigten je Entgeltquartil und Entgeltgefälle je Arbeitnehmergruppe (Art. 9 Abs. 1). Maßgeblich ist jeweils das nationale Umsetzungsrecht.

Warum das der nächste harte Termin ist. Anders als der 07.06.2026, der sich an die Mitgliedstaaten richtete, adressiert Art. 9 die Arbeitgeber selbst — wirksam über das nationale Umsetzungsrecht. Die Datenbasis entsteht nicht im Berichtsmonat: Entgeltgefälle je Arbeitnehmergruppe und Anteil je Entgeltquartil setzen voraus, dass die Gruppen definiert und die variablen Entgeltbestandteile zuordenbar sind. Praxisempfehlung: mit der Vorbereitung spätestens im ersten Quartal 2027 beginnen; das ist eine Arbeitsvorgabe dieses Artikels, keine Frist aus der Richtlinie.

02. August 2027 — EU AI Act: GPAI Übergangsfrist endet

Ausstehend. Anbieter von GPAI-Modellen, die vor dem 02.08.2025 in Verkehr gebracht wurden, müssen ab dem 02.08.2027 den vollen Pflichtenkatalog (Art. 53 bis 55) erfüllen. Für alle danach in Verkehr gebrachten Modelle gelten die Pflichten des Kapitels V bereits seit dem 02.08.2025 (Art. 113 KI-VO).

Der Katalog im Einzelnen. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen die technische Dokumentation des Modells erstellen und aktualisieren (mindestens nach Anhang XI), Informationen und Dokumentation für integrierende Anbieter bereitstellen (mindestens nach Anhang XII), eine Strategie zur Einhaltung des Urheberrechts der Union auf den Weg bringen und eine hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte nach einer Vorlage des Büros für Künstliche Intelligenz veröffentlichen (Art. 53 Abs. 1 KI-VO). Für freie und quelloffene Modelle gelten die Buchstaben a und b eingeschränkt — nicht jedoch bei systemischem Risiko.

Systemisches Risiko erweitert den Pflichtenkatalog. Ein GPAI-Modell gilt als Modell mit systemischem Risiko, wenn es Fähigkeiten mit hohem Wirkungsgrad besitzt; das wird angenommen, wenn die kumulierte Trainings-Rechenleistung mehr als 10^25 Gleitkommaoperationen beträgt (Art. 51 Abs. 1 und 2 KI-VO). Dann kommen Modellbewertung nach standardisierten Protokollen einschließlich Angriffstests, Bewertung und Minderung systemischer Risiken auf Unionsebene, die unverzügliche Meldung schwerwiegender Vorfälle an das Büro für Künstliche Intelligenz und ein angemessenes Maß an Cybersicherheit hinzu (Art. 55 Abs. 1 KI-VO). Für Betreiber, die ein solches Modell einsetzen, heißt das praktisch: Diese Unterlagen gehören in die Anbieter-Dokumentation, nicht in eine eigene Bewertung.

02. August 2028 statt 02. August 2027 — KI-VO: Anhang I (regulierte Produkte)

Pflichten für KI in Produkten, die unter EU-Harmonisierungsrechtsvorschriften (Anhang I) fallen — Maschinen, Spielzeug, Medizinprodukte, Aufzüge, Druckgeräte etc.

Woraus der Termin folgt. Art. 113 Abs. 3 lit. c Ziff. ii KI-VO in der seit 27. Juli 2026 geltenden Fassung nimmt die Kapitel III Abschnitte 1–3 (mit Ausnahme von Art. 6 Abs. 5) für KI-Systeme, die gemäß Art. 6 Abs. 1 und Anhang I als hochriskant eingestuft sind, vom allgemeinen Geltungsbeginn aus und setzt sie auf den 02.08.2028 (Art. 113 KI-VO i. d. F. der Verordnung (EU) 2026/1744). Erfasst ist danach ein KI-System, das als Sicherheitsbauteil eines unter die Harmonisierungsrechtsvorschriften des Anhangs I fallenden Produkts verwendet werden soll oder selbst ein solches Produkt ist und einer Drittkonformitätsbewertung unterliegt (Art. 6 Abs. 1 KI-VO). Beide Voraussetzungen müssen zusammentreffen — die bloße Zugehörigkeit zu einem Anhang-I-Produktrecht genügt nicht.

Fristen 2028

Kurzantwort: Für 2028 führt diese Roadmap einen einzigen Eintrag — die Pflichten für Systeme nach Anhang I (Art. 6 Abs. 1 KI-VO), die seit der Verordnung (EU) 2026/1744 ab dem 02.08.2028 gelten.

02. August 2028 — KI-VO: Anhang I (regulierte Produkte)

Die Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit 27. Juli 2026, hat die Pflichten für KI in regulierten Produkten nach Anhang I vom 02.08.2027 auf den 02.08.2028 verschoben (Art. 113 Abs. 3 lit. c Ziff. ii KI-VO in dieser Fassung); maßgeblich ist damit der 02.08.2028. Wer Produkte mit KI-Sicherheitsbauteilen entwickelt, plant gegen den 02.08.2028 und nutzt den gewonnenen Zeitraum als Puffer, nicht als Grund zum Aufschieben.

Dauer-Aufgaben: wiederkehrende Pflichten und ihr Turnus

Kurzantwort: Acht Aufgaben sind wiederkehrend zu erbringen — sieben davon beruhen auf einer Pflicht, die Wirksamkeitsprüfung der internen Meldestelle ist Best-Practice ohne gesetzliche Audit-Pflicht; nur beim Pay-Gap-Bericht steht das Intervall in der Richtlinie (Art. 9 Abs. 2 bis 4 RL (EU) 2023/970; die Pflicht greift über das nationale Umsetzungsrecht), § 38 Abs. 3 BSIG 2025 sagt lediglich „regelmäßig", die übrigen Turnusangaben sind Praxisempfehlung bzw. Best-Practice.

Die Spalte „Charakter des Turnus" trennt, was oft vermischt wird: Die Pflicht selbst folgt jeweils aus der genannten Norm — das Intervall dagegen nur in einem Fall.

DE/AT-Hinweis: Die deutschen Rechtsgrundlagen dieser Tabelle (BSIG, HinSchG, AGG) haben in Österreich andere Entsprechungen — HSchG, GlBG, NISG 2026 ab 01.10.2026; die unionsrechtlichen Grundlagen (DSGVO, KI-VO, RL (EU) 2023/970) gelten in beiden Ländern gleichermaßen. Zuständigkeiten und Wortlaut-Unterschiede stehen im Abschnitt „Österreich: welche Pflicht ab wann gilt". In Österreich verbietet § 17 GlBG die Diskriminierung wegen ethnischer Zugehörigkeit, Religion oder Weltanschauung, Alters und sexueller Orientierung (§ 3 GlBG für das Geschlecht); an die Stelle der Antidiskriminierungsstelle des Bundes treten Gleichbehandlungsanwaltschaft und Gleichbehandlungskommission.

Ereignisfristen: laufen unabhängig vom Kalender

Kurzantwort: Neben den Stichtagen dieser Roadmap gibt es Fristen, die nicht mit einem Datum, sondern mit einem Ereignis beginnen — eine Datenpanne, ein Sicherheitsvorfall, eine eingehende Meldung, eine abgelehnte Bewerbung. Jede Zeile der folgenden Tabelle ist eine gesetzliche Frist mit Fundstelle; keine davon lässt sich auf einen Quartalstermin verschieben.

Wann ein Sicherheitsvorfall „erheblich" ist. Meldepflichtig wird ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG 2025; in Österreich § 35 Abs. 1 NISG 2026 (ab 01.10.2026), dort ausdrücklich „schwerwiegende finanzielle Verluste"). Praxisempfehlung: Für die 24-Stunden-Frist entscheidet nicht der Termin, sondern die Erreichbarkeit der zuständigen Rolle — Vertretung und Meldeweg vorab festlegen.

Priorisierung nach Bußgeldrisiko

Kurzantwort: Das höchste Bußgeldrisiko trägt der EU AI Act mit bis zu 35 Mio. EUR oder 7 % Jahresumsatz (verbotene Praktiken nach Art. 5, Art. 99 Abs. 3 KI-VO); die vollständige Rangfolge mit Fundstellen und DE/AT-Trennung steht in der Tabelle — für NIS2 kommt in Deutschland die persönliche Innenhaftung der Geschäftsleitung hinzu (§ 38 Abs. 2 BSIG 2025).

Wonach sich der Rahmen im Einzelfall bemisst. Die DSGVO staffelt nach Verstoßtyp: bis 20 Mio. EUR oder 4 % bei Verstößen gegen die Grundsätze der Verarbeitung, die Einwilligungsbedingungen (Art. 5, 6, 7, 9) oder die Betroffenenrechte (Art. 12 bis 22) nach Art. 83 Abs. 5 DSGVO — bis 10 Mio. EUR oder 2 % bei Verstößen gegen Pflichten wie die der Art. 25 bis 39 nach Art. 83 Abs. 4 DSGVO. Ergänzend stellt § 43 Abs. 2 und 3 BDSG die fehlerhafte Behandlung eines Auskunftsverlangens bzw. der Verbraucherunterrichtung nach § 30 BDSG als Ordnungswidrigkeit mit bis zu 50.000 Euro unter Bußgeld; gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt. In Österreich sanktioniert § 62 Abs. 1 DSG mit bis zu 50.000 Euro, sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist. Bei der KI-VO tritt neben die Staffel des Art. 99 Abs. 3 und 4 die Geldbuße für falsche, unvollständige oder irreführende Informationen an Behörden — bis 7,5 Mio. EUR bzw. 1 % (Art. 99 Abs. 5 KI-VO).

NIS2 und HinSchG im Detail. Bei einem Gesamtumsatz von mehr als 500 Mio. EUR tritt in Deutschland an die Stelle der festen Beträge der Prozentsatz — bis 2 % für besonders wichtige, bis 1,4 % für wichtige Einrichtungen (§ 65 Abs. 6 und 7 BSIG 2025). Beim Hinweisgeberschutz ist der Rahmen nach Verstoßart gestaffelt: bis 50.000 Euro für Behinderung einer Meldung, Repressalie und Vertraulichkeitsverstoß, bis 20.000 Euro für die fehlende interne Meldestelle, bis 10.000 Euro in den übrigen Fällen (§ 40 Abs. 2 bis 6 HinSchG). In Österreich beträgt der Rahmen bis 20.000 Euro, im Wiederholungsfall bis 40.000 Euro; zuständig ist die Bezirksverwaltungsbehörde (§ 24 HSchG). Für KMU einschließlich Start-ups gilt bei den Geldbußen der KI-VO jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6 KI-VO) — die 35-Mio.-Zahl ist für kleine Unternehmen also nicht der Maßstab.

Österreich: welche Pflicht ab wann gilt

Kurzantwort: In Österreich greifen die NIS2-Pflichten erst mit dem Anwendungsbeginn des NISG 2026 am 01.10.2026; Hinweisgeberschutz, Gleichbehandlung und Datenschutz laufen bereits, folgen dort aber anderen Fundstellen und anderen Behörden als in Deutschland. Reines EU-Recht — KI-VO und Entgelttransparenz-Richtlinie — gilt in beiden Ländern zu denselben Terminen.

Zwei Wortlaut-Unterschiede, die in der Prüfung zählen. Erstens der Maßstab der NIS2-Maßnahmen: § 30 Abs. 1 BSIG 2025 verlangt Maßnahmen, die geeignet, verhältnismäßig und wirksam sind, und schreibt die Dokumentation der Einhaltung vor; § 32 Abs. 1 NISG 2026 (ab 01.10.2026) verlangt geeignete und verhältnismäßige Risikomanagementmaßnahmen. Zweitens das Beweismaß im Diskriminierungsschutz: Nach § 22 AGG trägt die andere Partei die Beweislast dafür, dass kein Verstoß gegen die Bestimmungen zum Schutz vor Benachteiligung vorlag, sobald Indizien bewiesen sind; nach § 12 Abs. 12 bzw. § 26 Abs. 12 GlBG genügt der betroffenen Person die Glaubhaftmachung, und die beklagte Partei muss beweisen, dass bei Abwägung aller Umstände ein anderes Motiv wahrscheinlicher war oder ein Rechtfertigungsgrund vorliegt.

Sanktions- und Aufsichtsseite. Die Rahmen für Verwaltungsübertretungen nach § 45 Abs. 1 NISG 2026 stehen in der Tabelle „Priorisierung nach Bußgeldrisiko"; sonstige Übertretungen sind mit bis zu 50.000 EUR, im Wiederholungsfall 100.000 EUR bedroht (§ 45 Abs. 4 NISG 2026). Eine ausdrückliche Innenhaftungsnorm wie § 38 Abs. 2 BSIG 2025 enthält das NISG 2026 nicht; die Haftung folgt dort aus dem allgemeinen Gesellschaftsrecht (§ 25 GmbHG (AT)). Dafür kann die Cybersicherheitsbehörde den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen (§ 39 Abs. 4 Z 2 NISG 2026, mit Eintragung im Firmenbuch). Alle diese Rechtsfolgen setzen den Anwendungsbeginn des NISG 2026 voraus.