Compliance-Jahresplan 2026: Termine + Aktivitäten

Dieser Jahresplan ordnet acht Aktivitäten den vier Quartalen 2026 zu und stellt ihnen den quartalsübergreifenden Arbeitstakt zur Seite. Zwei Dinge lohnt es auseinanderzuhalten: Termine, die aus einer Norm folgen, und Rhythmen, die aus der Praxis kommen. Für die Angaben dieses Plans gilt: Gesetzliche Fristen sind mit Fundstelle ausgewiesen; alles ohne Fundstelle ist als Praxisempfehlung oder als Bestandsangabe der Erstfassung gekennzeichnet. Der Faktenstand der Terminangaben ist der 2. Mai 2026, nachgeführt auf den Rechtsstand 17. August 2026 (Quellen-Block) — die Termine 02.08.2025, 07.06.2026 und 02.08.2026 sind daher eingetreten und werden hier als Vergangenheit geführt; für die NIS2-Registrierung nennt das BSIG kein Kalenderdatum, sondern eine Drei-Monats-Frist ab Eintritt der Einrichtungseigenschaft (§ 33 Abs. 1 BSIG), und für den Beginn der BSI-Aufsichtspraxis gibt es kein amtliches Datum.

1. Q1 (Jan-Mar): Audit-Vorbereitung

Kurzantwort: Q1 ist die Bestandsaufnahme des Jahres — VVT-Update, AVV-Reconciliation, Schulungs-Refresh, Quartals-Risiko-Review. Vier Aufgaben, die jede für sich an eine Norm anknüpfen, deren Kalendertakt aber überwiegend eine Arbeitsvorgabe dieses Plans ist (Abschnitt 9).

VVT-Update. Das Verzeichnis der Verarbeitungstätigkeiten wird gegen die tatsächlichen Verarbeitungen abgeglichen (Art. 30 DSGVO). Praktisch heißt das: Was im Vorjahr neu dazugekommen ist — neue Tools, neue Auswertungen, neue Empfänger —, muss im Verzeichnis stehen, bevor eine Aufsichtsanfrage kommt.

AVV-Reconciliation. Wer im Auftrag verarbeitet, braucht einen Vertrag mit gesetzlich vorgegebenem Mindestinhalt: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen (Art. 28 Abs. 3 DSGVO). Vorgelagert ist die Auswahlpflicht: Es darf nur mit Auftragsverarbeitern gearbeitet werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Der Abgleich in Q1 beantwortet zwei Fragen — für welchen Dienstleister fehlt ein AVV, und welcher AVV bildet die heutige Verarbeitung nicht mehr ab.

Schulungs-Refresh und Risiko-Review. Für den Diskriminierungsschutz gilt in Deutschland: Der Arbeitgeber muss die erforderlichen, auch vorbeugenden Maßnahmen treffen, und eine geeignete Schulung der Beschäftigten gilt als Erfüllung dieser Pflicht (§ 12 Abs. 1 bis 3 AGG). In Österreich bestehen inhaltlich vergleichbare Schutzpflichten nach dem GlBG (Diskriminierungsverbot § 3 GlBG für das Geschlecht, § 17 GlBG für ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter und sexuelle Orientierung). Der Schulungs-Refresh beantwortet, welche Beschäftigten seit der letzten Schulung neu eingetreten oder in eine Führungs- bzw. Auswahlrolle gewechselt sind; dieser Personenkreis wird zuerst nachgeschult — das ist eine Arbeitsvorgabe dieses Plans, die Schutzpflicht selbst folgt aus § 12 Abs. 1 AGG. Der Risiko-Review setzt auf der NIS2-Seite an: Risikoanalyse und Sicherheitskonzepte sind Teil des gesetzlichen Mindestkatalogs (§ 30 Abs. 2 BSIG 2025). Er beantwortet zwei Fragen: Welche Systeme, Standorte oder Dienstleister sind seit dem letzten Review neu, und welche der Maßnahmen des Mindestkatalogs nach § 30 Abs. 2 BSIG 2025 (in Österreich § 32 Abs. 4 NISG 2026) decken sie ab?

Zuständigkeit prüfen. Q1 ist auch der Punkt, an dem die Benennung des Datenschutzbeauftragten geprüft wird. Neben den EU-weiten Fällen des Art. 37 Abs. 1 DSGVO benennt Deutschland ergänzend, wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt — unabhängig von dieser Zahl außerdem dann, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen (§ 38 Abs. 1 BDSG). Für Österreich gilt § 5 DSG (Österreich-Kasten unter Abschnitt 9).

2. Q1: HinSchG-Wirksamkeits-Selbstprüfung (Best-Practice)

Kurzantwort: Best-Practice (KEINE gesetzliche Pflicht): jährliche Wirksamkeits-Selbstprüfung der internen Meldestelle dokumentieren — Frist-Einhaltung (§ 17), Vertraulichkeit (§ 8), anonyme Bearbeitung, Schulungs-Stand, Repressalien-Schutz (§ 36). Vorbild ISO 37301. Hinweis: § 22 HinSchG = Bundeskartellamt-Meldestelle, KEINE Audit-Pflicht.

Was die Selbstprüfung abfragt. Die Form der Selbstprüfung folgt der Dokumentationslogik dieses Plans — Prüfkriterium, Befund, Maßnahme, Datum; der Verweis auf ISO 37301 ist ein Vorbild-Hinweis, keine Zertifizierungsvorgabe. Geprüft wird ausschließlich gegen die Pflichten, die das HinSchG der Meldestelle ohnehin auferlegt. Erstens die beiden Reaktionsfristen: Eingangsbestätigung spätestens nach sieben Tagen (§ 17 Abs. 1 Nr. 1 HinSchG) und Rückmeldung über geplante sowie bereits ergriffene Folgemaßnahmen innerhalb von drei Monaten nach der Eingangsbestätigung — wurde der Eingang nicht bestätigt, spätestens drei Monate und sieben Tage nach Eingang (§ 17 Abs. 2 HinSchG). Zweitens die Vertraulichkeit: Die Identität der hinweisgebenden Person, der betroffenen und der sonstigen genannten Personen darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG). Drittens der Repressalienschutz: Repressalien sind verboten, ebenso ihre Androhung und der Versuch (§ 36 Abs. 1 HinSchG); erleidet eine hinweisgebende Person eine Benachteiligung und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird vermutet, dass die Benachteiligung eine Repressalie ist, und der Benachteiligende trägt die Beweislast (§ 36 Abs. 2 HinSchG).

Anonyme Bearbeitung. Die Bearbeitung anonymer Meldungen ist nach § 16 Abs. 1 HinSchG eine Soll-Vorgabe, keine Pflicht — ein in der Praxis häufig missverstandener Punkt. Wer anonyme Meldungen bearbeitet, prüft in der Selbstprüfung, ob der Kanal die Vertraulichkeitsanforderung technisch trägt.

Schulungs-Stand — Praxisempfehlung. Dass auch der Kenntnisstand der mit der Meldestelle betrauten Personen Teil der Selbstprüfung ist, ist eine Arbeitsvorgabe dieses Plans. Zu einer gesetzlichen Schulungspflicht speziell für die interne Meldestelle enthält der Faktenstand dieses Artikels keine Angabe; prüfen Sie diesen Punkt vor Verwendung gesondert. Sinnvoll ist, den Stand je Person mit Datum festzuhalten — dieselbe Dokumentationslogik wie bei den Schulungen in Abschnitt 7.

Wen die Pflicht trifft. Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten müssen mindestens eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 und 2 HinSchG). Fehlt sie, ist das eine Ordnungswidrigkeit (§ 40 HinSchG, Rahmen in Abschnitt 8). Die österreichischen Entsprechungen stehen im Österreich-Kasten unter Abschnitt 9.

3. Q2 (Apr-Jun): EU Pay Transparency Reporting

Kurzantwort: Die Umsetzungsfrist der EU-Entgelttransparenz-Richtlinie 2023/970 ist am 07.06.2026 verstrichen (Art. 34 Abs. 1); ein deutsches Umsetzungsgesetz lag zum Stand 17.08.2026 nicht vor (BT-Drs. 21/7026). Die eigentliche Berichtspflicht für Arbeitgeber ab 250 Beschäftigten sieht die Richtlinie zum 07.06.2027 vor (Art. 9 Abs. 2). Job-Evaluation + Pay-Gap-Berechnung frühzeitig vorbereiten.

Rechtswirkung — häufig verkürzt dargestellt. Der 07.06.2026 war eine an die Mitgliedstaaten gerichtete Umsetzungsfrist (Art. 34 Abs. 1 RL (EU) 2023/970), kein Datum, ab dem private Arbeitgeber unmittelbar aus der Richtlinie verpflichtet sind. Eine nicht umgesetzte Richtlinie begründet keine unmittelbaren Pflichten privater Arbeitgeber; unmittelbare Wirkung kommt allenfalls vertikal gegenüber dem Staat bzw. öffentlichen Arbeitgebern in Betracht. Praktische Folge: Die Pflichten greifen mit der nationalen Umsetzung. Zum 17.08.2026 lag in Deutschland nicht einmal ein Referentenentwurf vor (BT-Drs. 21/7026 vom 08.07.2026); in Österreich sind auf Bundesebene weder Ministerialentwurf noch Regierungsvorlage auffindbar. Bis dahin bestehen Umsetzungsdruck sowie Auslegungs- und Haftungsrisiken.

Die Staffel der Berichtspflicht. Arbeitgeber mit 250 oder mehr Arbeitnehmern berichten bis zum 07.06.2027 und danach jährlich (Art. 9 Abs. 2 RL (EU) 2023/970); Arbeitgeber mit 150 bis 249 Arbeitnehmern ebenfalls bis zum 07.06.2027, danach alle drei Jahre (Art. 9 Abs. 3); Arbeitgeber mit 100 bis 149 Arbeitnehmern erst bis zum 07.06.2031, danach alle drei Jahre (Art. 9 Abs. 4). Inhalt sind unter anderem das geschlechtsspezifische Entgeltgefälle einschließlich variabler Bestandteile, Median-Werte, der Anteil der Beschäftigten je Entgeltquartil und das Entgeltgefälle je Arbeitnehmergruppe (Art. 9 Abs. 1). Maßgeblich ist jeweils das nationale Umsetzungsrecht.

Was schon jetzt vorbereitbar ist. Drei Inhalte der Richtlinie hängen nicht am Bericht: Entgeltspanne bzw. Einstiegsentgelt für Stellenbewerber (Art. 5 Abs. 1), Verbot der Frage nach der bisherigen Entgeltentwicklung (Art. 5 Abs. 2) und geschlechtsneutrale Stellenausschreibungen (Art. 5 Abs. 3); dazu das Auskunftsrecht der Beschäftigten, das der Arbeitgeber binnen zwei Monaten zu erfüllen hat (Art. 7). Job-Evaluation heißt in diesem Plan konkret: Arbeitnehmergruppen bilden, die gleiche oder gleichwertige Arbeit verrichten, und die Einstufungskriterien auf Diskriminierungsfreiheit prüfen. Diese Gruppenbildung trägt beides — das Auskunftsrecht nach Art. 7 (durchschnittliche Entgelthöhen je Gruppe, aufgeschlüsselt nach Geschlecht) und den späteren Bericht nach Art. 9 Abs. 1 (Entgeltgefälle je Arbeitnehmergruppe, Anteil je Entgeltquartil). Rechtlich flankiert ist sie in Deutschland durch § 7 EntgTranspG, in Österreich durch § 11 GlBG.

Deutschland und Österreich. In Deutschland besteht der individuelle Auskunftsanspruch nach geltendem Recht in Betrieben mit in der Regel mehr als 200 Beschäftigten; das Vergleichsentgelt ist nicht anzugeben, wenn die Vergleichstätigkeit von weniger als sechs Beschäftigten des anderen Geschlechts ausgeübt wird (§§ 10 bis 12 EntgTranspG), flankiert vom Entgeltgleichheitsgebot (§ 7 EntgTranspG). In Österreich verlangt § 11 GlBG, dass betriebliche Einstufungsregelungen den Grundsatz des gleichen Entgelts für gleiche oder gleichwertige Arbeit beachten; die geschlechtsneutrale Stellenausschreibung regelt § 9 GlBG, Verstöße sind mit Geldstrafe bis 360 Euro bedroht (§ 10 GlBG).

4. Q2: DSGVO-Festlegungen gegen sechs Prüfpunkte halten (Anlass: aktuelle DSK-Beschlusslage)

Kurzantwort: Q2 ist der Termin, an dem die eigenen Datenschutz-Festlegungen gegen die aktuelle Auslegungspraxis gehalten werden. Sechs Stellen tragen die Prüfung: Rechtsgrundlage (Art. 6), Einwilligung (Art. 7), besondere Kategorien (Art. 9), DSFA (Art. 35), Reaktionsfrist auf Betroffenenanträge (Art. 12 Abs. 3) und — in Deutschland geregelt — § 25 TDDDG.

Woran sich die Prüfung ausrichtet. Die Erstfassung dieses Plans nennt als Anlass, dass die DSK halbjährlich neue Beschlüsse veröffentlicht und Anpassungen zu prüfen sind; diese Halbjahres-Kadenz ist eine Bestandsangabe der Erstfassung. Zu Fassung und Inhalt der aktuellen DSK-Beschlüsse enthält der Faktenstand dieses Artikels keine Angabe. Praxisempfehlung: Rufen Sie vor dem Q2-Termin den aktuellen Beschlussstand Ihrer zuständigen Aufsichtsbehörde selbst ab und halten Sie je Prüfpunkt fest, ob sich die Auslegung seit der letzten Prüfung geändert hat — die fünf DSGVO-Prüfpunkte stehen unverändert in der Verordnung, der sechste in § 25 TDDDG.

Die sechs Stellen, an denen Anpassungen ankommen. Erstens die Rechtsgrundlage: Jede Verarbeitung braucht mindestens einen der sechs Erlaubnistatbestände (Art. 6 Abs. 1 DSGVO) — bei einer Änderung der Auslegung ändert sich nicht die Verarbeitung, sondern der Eintrag im Verzeichnis. Zweitens die Einwilligung: Der Verantwortliche muss sie nachweisen können, der Widerruf ist jederzeit möglich und muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und 3 DSGVO). Drittens besondere Kategorien: Gesundheits-, biometrische und vergleichbare Daten unterliegen einem grundsätzlichen Verarbeitungsverbot mit engen Ausnahmen (Art. 9 Abs. 1 DSGVO). Viertens die Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko, insbesondere bei neuen Technologien, umfangreicher Verarbeitung besonderer Kategorien oder systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 1 und 3 DSGVO). Fünftens die Reaktionsfrist auf Betroffenenanträge nach Art. 12 Abs. 3 DSGVO (Fristenlauf in der Ereignisfristen-Tabelle in Abschnitt 9). Sechstens — in Deutschland geregelt — die Einwilligung für den Zugriff auf Endeinrichtungen: Speichern oder Auslesen ist nur mit vorheriger, informierter Einwilligung zulässig, außer der alleinige Zweck ist die Nachrichtenübertragung oder der Zugriff ist für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich (§ 25 Abs. 1 und 2 TDDDG). Für Österreich enthält der Faktenstand dieses Artikels keine Angabe zur nationalen Umsetzung; die DSGVO-Anforderungen an die Einwilligung (Art. 7 DSGVO) gelten dort unverändert, die nationale Regelung ist vor Verwendung gesondert zu prüfen.

Österreich. Aufsichtsbehörde ist dort die Datenschutzbehörde (§ 18 Abs. 1 DSG), die auch über die nationalen Verwaltungsstrafen entscheidet — bis zu 50.000 Euro etwa für die vorsätzliche Übermittlung von Daten in Verletzung des Datengeheimnisses (§ 62 Abs. 1 DSG). In Deutschland überwachen die nach Landesrecht zuständigen Behörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG), für Bundesstellen ist der oder die BfDI zuständig (§ 9 Abs. 1 BDSG).

5. Q3 (Jul-Sep): NIS2-Lieferanten-Audit

Kurzantwort: Q3 prüft die Sicherheit der Lieferkette: Selbstauskünfte aller Lieferanten auswerten, kritische Lieferanten zusätzlich vor Ort auditieren. Die Sicherheit der Lieferkette ist dabei kein freiwilliger Baustein: Sie gehört ausdrücklich zum gesetzlichen Mindestkatalog der Risikomanagementmaßnahmen (§ 30 Abs. 2 BSIG 2025, in Österreich § 32 Abs. 4 NISG 2026, unionsrechtlich Art. 21 Abs. 2 NIS-2-RL). Der Vor-Ort-Audit kritischer Lieferanten ist eine Praxisempfehlung dieses Plans.

Was die Selbstauskunft abfragt. Maßstab ist der gesetzliche Mindestkatalog selbst: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity mit Backup-Management und Krisenmanagement, die Sicherheit in der Lieferkette des Lieferanten selbst, sichere Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation (§ 30 Abs. 2 BSIG 2025, in Österreich § 32 Abs. 4 NISG 2026). Wer die Abfrage daran ausrichtet, fragt nichts ab, was für die eigene Einrichtung nicht ohnehin gilt. Die Meldewege bei einem erheblichen Sicherheitsvorfall sind davon zu trennen — sie stehen in der Ereignisfristen-Tabelle in Abschnitt 9.

Woran „kritisch" festgemacht wird — Praxisempfehlung. Ein Kriterium für die Auswahl der vor Ort zu prüfenden Lieferanten enthält der Faktenstand dieses Artikels nicht. Dieser Plan schlägt drei Merkmale vor: Der Lieferant hat Zugriff auf die eigenen Netz- und Informationssysteme, er verarbeitet personenbezogene Daten im Auftrag, oder sein Ausfall ist nicht innerhalb der eigenen Wiederanlaufzeit ersetzbar. Trifft eines davon zu, rechtfertigt das den höheren Prüfaufwand — das ist eine Arbeitsvorgabe dieses Plans, keine gesetzliche Vorgabe.

Vorfrage: greift NIS2 überhaupt? In Deutschland entscheidet die Einrichtungsart nach den Anlagen zum BSIG zusammen mit der Größe. Sonstige Einrichtungen einer in Anlage 1 bestimmten Art gelten als besonders wichtige Einrichtung, wenn sie mindestens 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweisen; als wichtige Einrichtung gelten Einrichtungen einer in Anlage 1 oder 2 bestimmten Art, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweisen (§ 28 Abs. 1 und 2 BSIG 2025). Die Anlagen-Bindung ist Teil der Schwelle — ohne eine Art nach Anlage 1 bzw. nach Anlage 1 oder 2 tragen Beschäftigten- und Umsatzzahlen die Einstufung nicht. Neben den Größenschwellen gelten in Deutschland außerdem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Telekommunikationsanbieter als besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG 2025). In Österreich verwendet § 25 Abs. 2 und 3 NISG 2026 dieselben Zahlen für große und mittlere Unternehmen, die Einstufung selbst regelt § 24 NISG 2026 (Einzelheiten im Österreich-Kasten unter Abschnitt 9).

Registrierung nicht vergessen. Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als solche gelten, registrieren und Name, Anschrift, Kontaktdaten, relevanten Sektor nach Anlage 1 oder 2, betroffene Mitgliedstaaten und zuständige Aufsichtsbehörden übermitteln (§ 33 Abs. 1 BSIG 2025); die Frist für Änderungsmeldungen steht in der Ereignisfristen-Tabelle in Abschnitt 9. Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Wer die Registrierung versäumt hat, sollte unverzüglich nachholen — die Registrierungspflicht besteht fort, und die Pflichten nach §§ 30 und 32 BSIG 2025 gelten unabhängig von der Registrierung.

Doppelnutzen des Lieferanten-Audits. Lieferanten, die zugleich personenbezogene Daten im Auftrag verarbeiten, fallen unter Art. 28 DSGVO. Wer die Selbstauskunft ohnehin auswertet, prüft dieselbe Firma in einem Durchgang gegen beide Nachweisketten — einmal als Baustein der Lieferkettensicherheit nach NIS2, einmal als Auftragsverarbeiter mit hinreichenden Garantien (Abschnitt 1). Das ist eine Praxisempfehlung zur Arbeitsorganisation; die beiden Nachweise bleiben getrennt zu dokumentieren.

6. Q3: GPAI-Anbieter-Pflichten nach Art. 53 und 55 KI-VO abfragen (Abgleich mit dem Code of Practice des Anbieters)

Kurzantwort: Beim GPAI-Anbieter sind vier Unterlagen abzufragen — technische Modelldokumentation, Informationen für integrierende Anbieter, Urheberrechtsstrategie und Trainingsdaten-Zusammenfassung (Art. 53 Abs. 1 KI-VO); bei systemischem Risiko zusätzlich Modellbewertung, Risikominderung, Meldung schwerwiegender Vorfälle und Cybersicherheit (Art. 55 Abs. 1 KI-VO). Die GPAI-Pflichten (Kapitel V KI-VO) gelten bereits seit 02.08.2025 — nicht ab 02.08.2026; nur vor dem 02.08.2025 in Verkehr gebrachte GPAI-Bestandsmodelle haben bis 02.08.2027 Zeit zur Erfüllung. Anbieter-AVVs prüfen.

Zum GPAI Code of Practice selbst — Fassung, Inhalt und Unterzeichner — enthält der Faktenstand dieses Artikels keine Angabe. Abgleichen lässt sich das Anbieter-Dokument gegen die genannten Pflichten aus Art. 53 und Art. 55 KI-VO.

Was hinter der Abfrage steht. Adressat der Pflichten ist der Anbieter eines KI-Modells mit allgemeinem Verwendungszweck — also eines Modells mit erheblicher allgemeiner Verwendbarkeit, das ein breites Aufgabenspektrum kompetent erfüllen und in eine Vielzahl nachgelagerter Systeme integriert werden kann (Art. 3 Nr. 63 KI-VO). Die technische Dokumentation richtet sich mindestens nach Anhang XI, die Informationen für integrierende Anbieter mindestens nach Anhang XII, und die Trainingsdaten-Zusammenfassung folgt einer Vorlage des Büros für Künstliche Intelligenz (Art. 53 Abs. 1 KI-VO). Für freie und quelloffene Modelle gelten die Buchstaben a und b eingeschränkt, nicht jedoch bei systemischem Risiko. Ein systemisches Risiko wird unter anderem angenommen, wenn die kumulierte Trainings-Rechenleistung mehr als 10^25 Gleitkommaoperationen beträgt (Art. 51 Abs. 1 und 2 KI-VO). Diese Antworten gehören in die Anbieter-Unterlagen, nicht in eine eigene Bewertung.

Was am 2. August 2026 zusätzlich eingetreten ist. Die KI-VO gilt seit diesem Datum allgemein (Art. 113 KI-VO). Damit sind auch die Transparenzpflichten des Art. 50 KI-VO anwendbar: Systeme zur direkten Interaktion mit Menschen müssen darüber informieren, dass es sich um ein KI-System handelt (Abs. 1); synthetische Audio-, Bild-, Video- oder Textinhalte sind maschinenlesbar als künstlich erzeugt oder manipuliert zu kennzeichnen (Abs. 2); Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen informieren die betroffenen Personen (Abs. 3); wer Deepfakes erzeugt oder manipuliert, legt das offen (Abs. 4). Für Hochrisiko-KI-Systeme nach Anhang III gelten die Pflichten der Kapitel III Abschnitte 1 bis 3 dagegen erst ab 2. Dezember 2027: Mit der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit 27. Juli 2026, ist der 02.08.2026 für diese Systeme entfallen. Für KI in regulierten Produkten nach Anhang I gilt dasselbe Muster: Die Pflichten greifen ab 2. August 2028. Beide Termine stehen in Art. 113 KI-VO in der seit 27. Juli 2026 geltenden Fassung. Für Art. 5 KI-VO (verbotene Praktiken), Art. 4 KI-VO (KI-Kompetenz) und die GPAI-Pflichten bleibt es bei den ursprünglichen Daten 02.02.2025 bzw. 02.08.2025; neu sind das mit derselben Verordnung eingefügte Verbot Nr. 9, das ab 2. Dezember 2026 gilt, und der seit 27. Juli 2026 geltende neue Wortlaut des Art. 4 KI-VO (Maßnahmen zur Unterstützung der KI-Kompetenz; ein bestimmtes Kompetenzniveau wird nicht geschuldet).

Die KI-VO ist eine EU-Verordnung; sie gilt in Deutschland und Österreich gleichermaßen — an dieser Stelle gibt es keinen nationalen Unterschied.

Anbieter-AVVs prüfen — woran. Verarbeitet der GPAI-Anbieter dabei personenbezogene Daten im Auftrag, läuft die Prüfung über denselben Maßstab wie in Abschnitt 1 — Mindestinhalt des Auftragsverarbeitungsvertrags nach Art. 28 Abs. 3 DSGVO und hinreichende Garantien nach Art. 28 Abs. 1 DSGVO. Die KI-VO-Unterlagen nach Art. 53 und die AVV-Prüfung sind getrennt zu dokumentieren; sie beantworten verschiedene Fragen.

7. Q4 (Okt-Dez): Awareness-Schulung + AI-Literacy

Kurzantwort: Q4 bündelt drei Schulungsstränge in einem Termin: KI-Kompetenz nach Art. 4 KI-VO, Cybersicherheit nach § 38 Abs. 3 BSIG 2025 und Diskriminierungsschutz nach § 12 Abs. 2 AGG. Q4 ideal wegen Budget-Klärung — gemeint ist der Zusammenfall mit der Budgetplanung für das Folgejahr: Der Schulungsbedarf des nächsten Jahres (neue KI-Systeme, neue Mitglieder der Leitungsorgane, AGG-Turnus) wird in demselben Termin festgestellt, in dem das Budget dafür beantragt wird. Die Lage in Q4 ist dabei eine Praxisempfehlung dieses Plans — Art. 4 KI-VO gilt seit 02.02.2025 und seit 27. Juli 2026 in der Fassung der Verordnung (EU) 2026/1744: Anbieter und Betreiber ergreifen Maßnahmen zur Unterstützung der Entwicklung der KI-Kompetenz, ein bestimmtes Kompetenzniveau wird nicht geschuldet; diese Maßnahmen laufen dauerhaft und sind keine Jahresend-Aufgabe.

Drei Schulungsstränge, die sich bündeln lassen. Erstens KI-Kompetenz nach Art. 4 KI-VO; als Turnus führt die Dauer-Aufgaben-Liste „jährlich + bei neuen Systemen" (Abschnitt 9). Art. 4 KI-VO in der seit 27. Juli 2026 geltenden Fassung erfasst das eigene Personal und andere Personen, die im Auftrag mit Betrieb und Nutzung der KI-Systeme befasst sind; zu berücksichtigen sind deren technische Kenntnisse, Erfahrung, Aus- und Fortbildung sowie der Einsatzkontext. Ein bestimmtes Kompetenzniveau wird nicht geschuldet; ein Zertifikat ist nach den Kommissions-FAQ (unverbindlich) nicht erforderlich, ein interner Schulungsnachweis genügt. Zweitens Cybersicherheit: Die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG 2025); in Österreich trifft die Teilnahmepflicht die Leitungsorgane wesentlicher und wichtiger Einrichtungen (§ 31 Abs. 2 NISG 2026), verbunden mit der Pflicht der Einrichtung, den Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. Für die Belegschaft selbst sind Cyberhygiene und Schulungen Teil des Mindestkatalogs der Risikomanagementmaßnahmen (§ 30 Abs. 2 BSIG 2025). Drittens der Diskriminierungsschutz: Hier wirkt die Schulung als Erfüllung der Schutzpflicht des Arbeitgebers (§ 12 Abs. 2 AGG, Abschnitt 1); der in der Dauer-Aufgaben-Liste genannte Turnus „alle 2–3 Jahre" ist eine Arbeitsvorgabe, keine Frist aus dem Gesetz.

Warum die Dokumentation die eigentliche Arbeit ist. Die Schulung gilt nach § 12 Abs. 2 AGG als Erfüllung der Schutzpflicht; wie der Arbeitgeber das belegt, gibt das Gesetz nicht vor — die Dokumentation ist Praxisempfehlung dieses Plans. Bei NIS2 ist die Einhaltung der Maßnahmen ohnehin zu dokumentieren (§ 30 Abs. 1 BSIG 2025). Praxisempfehlung: je Schulung Datum, Teilnehmerkreis, Inhalt und die zugrunde liegende Norm festhalten und im Management-Review (Abschnitt 8) als Anlage führen.

8. Q4: Management-Review + Year-end Audit

Kurzantwort: Geschäftsführung + Compliance-Officer reviewen Jahres-Compliance-Bericht. Das Review ist zugleich der Punkt, an dem die Geschäftsleitung eine eigene, ihr persönlich zugewiesene Pflicht erfüllt: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG 2025 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG 2025).

Was das Review durchgeht. Die Tagesordnung besteht aus den Ergebnissen, die der Plan im Jahresverlauf selbst erzeugt hat: erstens VVT-Stand und offene AVV-Lücken aus Abschnitt 1; zweitens das Ergebnis der Meldestellen-Selbstprüfung aus Abschnitt 2 (Fristquote nach § 17 HinSchG, Vertraulichkeitsvorfälle nach § 8 HinSchG); drittens das Ergebnis des Lieferanten-Audits aus Abschnitt 5 einschließlich offener Registrierungspflichten (§ 33 Abs. 1 BSIG 2025); viertens die Schulungsnachweise aus Abschnitt 7 mit Datum, Teilnehmerkreis und Norm; fünftens die im Jahr eingetretenen Ereignisfristen aus Abschnitt 9 und ob die 24- und 72-Stunden-Fristen gehalten wurden; sechstens der Stand der Vorbereitung auf den 07.06.2027 (Abschnitt 3). Diese Tagesordnung ist eine Arbeitsvorgabe dieses Plans; die Überwachungspflicht selbst folgt aus § 38 Abs. 1 BSIG 2025.

Haftung als Tagesordnungspunkt. Verletzen Geschäftsleitungen diese Pflicht, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 2 BSIG 2025). Flankierend verpflichtet § 43 Abs. 1 GmbHG Geschäftsführer auf die Sorgfalt eines ordentlichen Geschäftsmannes; bei Verletzung haften sie der Gesellschaft solidarisch (§ 43 Abs. 2 GmbHG) — das ist eine Innenhaftung, keine Haftung gegenüber Dritten. In Österreich gilt § 25 GmbHG (AT); das NISG 2026 enthält keine ausdrückliche Innenhaftungsnorm wie § 38 Abs. 2 BSIG 2025, dafür kann die Cybersicherheitsbehörde den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen (§ 39 Abs. 4 Z 2 NISG 2026, mit Eintragung im Firmenbuch).

Nachweis der Umsetzung. Die Drei-Jahres-Nachweispflicht des Plans knüpft in Deutschland an § 39 Abs. 1 BSIG 2025 an: Betreiber kritischer Anlagen weisen die Umsetzung zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach und übermitteln die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel. Ein festes Kalenderdatum nennt die Norm nicht; sie bindet den Zeitpunkt an die BSI-Festlegung. In Österreich ist der Mechanismus ein anderer: Wesentliche und wichtige Einrichtungen übermitteln binnen zwölf Monaten nach Eintritt der Registrierungspflicht eine strukturierte Selbstdeklaration und weisen die Umsetzung auf Aufforderung binnen zwei Jahren durch eine unabhängige Stelle nach; wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 1 und 2 NISG 2026).

Für die Priorisierung im Review hilft der Blick auf die Sanktions- und Entschädigungsrahmen. Die Tabelle nennt gesetzliche Rahmen, keine zu erwartenden Beträge:

Für KMU einschließlich Start-ups gilt bei den Geldbußen der KI-VO jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6 KI-VO) — die 35-Mio.-Zahl ist für kleine Unternehmen also nicht der Maßstab.

9. Quartals-Termine im Compliance-Kalender

Kurzantwort: Der Plan läuft auf einem Quartalstakt: Am ersten Mittwoch jedes Quartals tagt der Compliance-Officer mit festen Standing Topics. Standing Topics: VVT, AVV, Vorfälle, Schulungen, Aufsichts-News. Dieser Takt ist eine Praxisempfehlung dieses Plans und keine gesetzliche Frist — er organisiert die wiederkehrenden Aufgaben, während die ereignisgebundenen Fristen unabhängig davon laufen.

Die wiederkehrenden Aufgaben mit ihrer jeweiligen Rechtsgrundlage und ihrem Turnus:

Davon strikt zu trennen sind die ereignisgebundenen Fristen. Sie beginnen mit dem auslösenden Ereignis, nicht mit dem Quartal — jede Zeile der folgenden Tabelle ist eine gesetzliche Frist mit Fundstelle:

Praxisempfehlung für die Agenda: Die Standing Topics des Quartals-Meetings bilden die vier Aufgaben aus Abschnitt 1 ab (VVT, AVV, Schulungen, Risiko-Review) und ergänzen sie um „Vorfälle" und „Aufsichts-News". Sinnvoll ist, im Meeting-Protokoll je Punkt festzuhalten, welche der beiden Tabellen oben ihn trägt — Turnus-Aufgabe oder Ereignisfrist. Für die Ereignisfristen ist die Verfügbarkeit der Rolle wichtiger als der Termin: Eine 24-Stunden-Meldung lässt sich nicht auf den nächsten ersten Mittwoch verschieben.