Compliance-Zukunft 2027/28: Was kommt nach AI Act + NIS2

Hauptartikel: Compliance-Fristen-Roadmap — dort stehen alle EU- und DACH-Fristen zu DSGVO, KI-VO, NIS2, HinSchG, AGG und Entgelttransparenz in chronologischer Reihenfolge.

1. Was 2027/28 feststeht — und was nur ein Vorschlag ist

Kurzantwort: Für 2027/28 steht deutlich weniger fest, als die Debatte vermuten lässt — verbindlich terminiert sind im Wesentlichen das Ende der GPAI-Übergangsfrist für Bestandsmodelle (02.08.2027), die erste Pay-Gap-Berichtsrunde (07.06.2027), die Hochrisiko-Pflichten der KI-Verordnung für Anhang-III-Systeme (02.12.2027) und die volle Anwendbarkeit des Cyber Resilience Act (11.12.2027). Alles Weitere ist entweder ein unbeschlossener Vorschlag oder ein Vorhaben, das die Kommission zurückzieht. Diese Unterscheidung ist die eigentliche Planungsgrundlage: Ein feststehender Termin trägt ein Budget, ein Vorschlag im Trilog trägt bestenfalls einen Prüfvorbehalt.

Der Rechtsstand der Terminangaben ist im Quellen-Block ausgewiesen (17.08.2026 für die nachgeführten Normen, im Übrigen 02.05.2026). Jede Zeile der folgenden Übersicht nennt Datum, Rechtsfolge und Fundstelle; die Statusspalte bezieht sich auf den Artikelstand 16.08.2026.

Davon strikt zu trennen sind die Vorhaben ohne Beschluss. Die folgende Tabelle führt Vorschläge und Erwartungen, keine geltenden Fristen — mit Ausnahme der ersten Zeile, deren Termine seit 27.07.2026 geltendes Recht sind:

2. EU AI Act 2027: Anhang I, GPAI-Bestandsmodelle und der Digital Omnibus

Kurzantwort: Am 02.08.2027 endet die Übergangsfrist für GPAI-Modelle, die vor dem 02.08.2025 in Verkehr gebracht wurden (Art. 111 Abs. 3 KI-VO). Die Pflichten für KI in regulierten Produkten nach Art. 6 Abs. 1 KI-VO fallen dagegen nicht mehr auf dieses Datum: Die Verordnung (EU) 2026/1744 hat sie auf den 02.08.2028 verschoben, die Pflichten für Anhang-III-Systeme auf den 02.12.2027 (Art. 113 Abs. 3 lit. c KI-VO n. F.). Alle drei Termine sind geltendes Recht.

Anhang I — wen es trifft. Ein KI-System gilt nach Art. 6 Abs. 1 KI-VO als hochriskant, wenn es als Sicherheitsbauteil eines Produkts verwendet werden soll, das unter die Harmonisierungsrechtsvorschriften des Anhangs I fällt, oder selbst ein solches Produkt ist — und wenn dieses Produkt einer Drittkonformitätsbewertung unterliegt. Beide Voraussetzungen müssen zusammentreffen. Die Fristen-Roadmap nennt als betroffene Produktgruppen Maschinen, Spielzeug, Medizinprodukte, Aufzüge und Druckgeräte. Zwei Fragen entscheiden die Betroffenheit: Steckt im Produkt ein KI-System im Sinne des Art. 3 Nr. 1 KI-VO — also ein maschinengestütztes System, das aus Eingaben ableitet, wie es Ausgaben erzeugt? Und unterliegt das Produkt einer Drittkonformitätsbewertung? Fällt eine der Antworten negativ aus, greift Art. 6 Abs. 1 KI-VO nicht.

GPAI-Bestandsmodelle. Anbieter von Modellen mit allgemeinem Verwendungszweck, die vor dem 02.08.2025 in Verkehr gebracht wurden, müssen den vollen Pflichtenkatalog der Art. 53 bis 55 KI-VO bis zum 02.08.2027 erfüllen. Vier Unterlagen sind beim Anbieter abzufragen: technische Modelldokumentation (mindestens Anhang XI), Informationen für integrierende Anbieter (mindestens Anhang XII), Urheberrechtsstrategie und Trainingsdaten-Zusammenfassung nach der Vorlage des Büros für Künstliche Intelligenz (Art. 53 Abs. 1 KI-VO). Bei systemischem Risiko kommen Modellbewertung einschließlich Angriffstests, Risikominderung auf Unionsebene, Meldung schwerwiegender Vorfälle und Cybersicherheit hinzu (Art. 55 Abs. 1 KI-VO); ein solches Risiko wird unter anderem angenommen, wenn die kumulierte Trainings-Rechenleistung mehr als 10^25 Gleitkommaoperationen beträgt (Art. 51 Abs. 1 und 2 KI-VO).

Der Digital Omnibus — exakt abgegrenzt. Der KI-Teil des Digital Omnibus ist als Verordnung (EU) 2026/1744 vom 08.07.2026 (ABl. L 2026/1744 vom 24.07.2026) seit dem 27. Juli 2026 in Kraft. Er verschiebt die Anhang-III- und die Anhang-I-Fristen: Die Pflichten der Kapitel III Abschnitte 1 bis 3 gelten für Anhang-III-Systeme ab dem 02.12.2027, für Anhang-I-Systeme ab dem 02.08.2028 (Art. 113 Abs. 3 lit. c KI-VO n. F.). Nicht verschoben sind Art. 5 KI-VO (verbotene Praktiken, anwendbar seit 02.02.2025; das neu eingefügte Verbot Nr. 9 gilt ab 02.12.2026), Art. 4 KI-VO (KI-Kompetenz, anwendbar seit 02.02.2025 und seit 27. Juli 2026 in neuer Fassung) und die GPAI-Pflichten des Kapitels V (seit 02.08.2025). Der allgemeine Geltungsbeginn 02.08.2026 bleibt; maßgeblich ist die konsolidierte Fassung des Art. 113 KI-VO.

Die KI-VO ist eine EU-Verordnung; sie gilt in Deutschland und Österreich gleichermaßen. Unterschiedlich ist nur die Aufsicht: Jeder Mitgliedstaat richtet mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde ein und benennt eine Marktüberwachungsbehörde als zentrale Anlaufstelle (Art. 70 Abs. 1 und 2 KI-VO). In Deutschland ist Marktüberwachungsbehörde seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden — etwa die BaFin — zuständig sind. Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt; die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis.

3. Cyber Resilience Act (CRA)

Kurzantwort: VO 2024/2847, anwendbar 11.12.2027. Cybersecurity-Anforderungen an alle Produkte mit digitalen Elementen. Kombiniert mit NIS2 + DORA. Der CRA wirkt dabei über die Produktkonformität — anders als die NIS2-Nachweispflichten, die an die Einrichtung anknüpfen.

Adressiert sind nach der Erstfassung dieses Artikels alle Hersteller von „Produkten mit digitalen Elementen“ — Software, Hardware mit Software, IoT-Geräte. Die Pflichten: Cybersecurity-by-Design, regelmäßige Vulnerability-Updates während des Produkt-Lifecycle, Vorfall-Meldung 24 Stunden, Konformitätsbewertung und CE-Kennzeichnung. Wichtig für die Planung: Der CRA knüpft die Schwachstellenbehandlung nicht an 24 Monate, sondern an den Unterstützungszeitraum — erwartete Produktlebensdauer oder fünf Jahre ab Inverkehrbringen, je nachdem, welcher Zeitraum kürzer ist (Art. 13 Abs. 8 UAbs. 1 CRA). Wer Produkte mit langer Feldlebensdauer baut, plant die Schwachstellenbehandlung also nicht in Release-Zyklen, sondern in Produktgenerationen.

Vorbereitung nach der Erstfassung dieses Artikels: SBOM (Software Bill of Materials) implementieren und einen Vulnerability-Management-Prozess aufsetzen; der Sanktionsrahmen liegt bei bis zu 15 Mio. EUR oder 2,5 % Weltumsatz. Zu weiteren Einzelheiten — Produktkategorien, Konformitätsbewertungsverfahren, Übergangsregelungen — enthält der Faktenstand dieses Artikels keine Angabe; prüfen Sie diese Punkte vor Verwendung gegen den Verordnungstext.

4. AI Liability Directive (AILD)

Der Vorschlag für eine KI-Haftungsrichtlinie (AILD, COM(2022) 496) ist kein laufendes Gesetzgebungsvorhaben mehr: Die Europäische Kommission hat ihn in ihrem Arbeitsprogramm 2025 (COM(2025) 45 final, Anhang IV, 11.02.2025) zur Rücknahme vorgesehen. Ein Inkrafttreten 2027/28 ist damit nicht absehbar. Für Schäden durch KI greift stattdessen die neue Produkthaftungsrichtlinie (EU) 2024/2853 — sie erfasst Software einschließlich KI-Systemen ausdrücklich und ist bis zum 9. Dezember 2026 in nationales Recht umzusetzen (Deutschland wie Österreich).

Für die Planung 2027/28 hat das zwei Konsequenzen. Erstens verschiebt sich der Termin, auf den hin gearbeitet wird: nicht ein hypothetisches AILD-Datum, sondern der 09.12.2026 als Umsetzungsfrist der Produkthaftungsrichtlinie und danach das jeweilige nationale Umsetzungsrecht. Zweitens bleibt das Haftungsrisiko bestehen — es folgt nur aus Produkthaftung und allgemeinem Schadenersatzrecht statt aus einer eigenen KI-Haftungsrichtlinie. Die Dokumentation, die dieses Risiko trägt, entsteht ohnehin unter der KI-VO: Aufzeichnungen nach Art. 12 KI-VO für Hochrisiko-Systeme und, wo Art. 27 KI-VO greift, die Grundrechte-Folgenabschätzung des Betreibers. Zum Adressatenkreis des Art. 27 KI-VO enthält der Faktenstand dieses Artikels keine Angabe — prüfen Sie diesen Punkt vor Verwendung gegen den Verordnungstext.

5. EU Data Act

VO 2023/2854, anwendbar seit 12.09.2025. DACH-spezifische Berichtspflichten enthält der Data Act nicht (DACH schließt zudem die Nicht-EU-Schweiz ein). Der 12. September 2026 stammt aus der Geltungsregel in Art. 50: Die Pflicht aus Art. 3 Abs. 1 — vernetzte Produkte so zu gestalten, dass die Produktdaten für den Nutzer standardmäßig zugänglich sind — gilt für vernetzte Produkte und die damit verbundenen Dienste, die nach diesem Datum in Verkehr gebracht werden. Data-Sharing zwischen Geräten + Anbietern. Auswirkungen auf IoT + Cloud.

Praktisch ist der 12.09.2026 damit keine Umrüstfrist für den Bestand, sondern eine Zäsur im Produktportfolio: Für Geräte, die vorher in Verkehr gebracht wurden, gilt Art. 3 Abs. 1 nicht — für alles danach schon. Wer 2027 eine neue Produktgeneration plant, entscheidet die Datenzugänglichkeit deshalb in der Produktarchitektur, nicht in der Compliance-Abteilung. Nach der Erstfassung dieses Artikels sind hauptbetroffen IoT-Hersteller, Cloud-Anbieter und Daten-Mittler; als Vorbereitung nennt sie, AVV-Vorlagen zu prüfen, Cloud-Verträge auf Switch-Klauseln zu aktualisieren und die Daten-Governance auf Maschinendaten auszuweiten. Der Data Governance Act wird in der Erstfassung als bereits in Anwendung geführt; zu seinen Pflichten enthält der Faktenstand dieses Artikels keine Angabe.

6. NIS2-Nachweise 2027/28: Deutschland und Österreich getrennt

Kurzantwort: Der Nachweis der NIS2-Umsetzung läuft in beiden Ländern nach völlig verschiedenen Mechanismen — in Deutschland über eine vom BSI festgelegte Drei-Jahres-Prüfung, die nur Betreiber kritischer Anlagen trifft, in Österreich — ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 — über eine Selbstdeklaration aller wesentlichen und wichtigen Einrichtungen. Ein gemeinsames DACH-Datum gibt es nicht.

Deutschland. Betreiber kritischer Anlagen weisen die Umsetzung der Maßnahmen nach § 30 Abs. 1 i. V. m. § 31 BSIG zu einem vom BSI festgelegten Zeitpunkt nach — frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen; die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel sind zu übermitteln (§ 39 Abs. 1 BSIG). Für die übrigen besonders wichtigen und wichtigen Einrichtungen besteht diese regelmäßige Nachweispflicht nach § 39 Abs. 1 BSIG nicht; für sie bleibt es bei der Dokumentationspflicht aus § 30 Abs. 1 BSIG. Wer prüfen will, ob er überhaupt betroffen ist, setzt bei § 28 Abs. 1 und 2 BSIG an: Für sonstige Einrichtungen ist die Anlagen-Bindung Teil der Schwelle — ohne eine Art nach Anlage 1 bzw. nach Anlage 1 oder 2 tragen Beschäftigten- und Umsatzzahlen die Einstufung nicht. Unabhängig von den Größenschwellen gelten daneben Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Telekommunikationsanbieter als besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG).

Österreich. Wesentliche und wichtige Einrichtungen übermitteln der Cybersicherheitsbehörde binnen zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen zu den umgesetzten Risikomanagementmaßnahmen — eine Selbstdeklaration. Auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen; wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 1 und 2 NISG 2026). Die Registrierung selbst hat binnen drei Monaten ab Inkrafttreten bzw. ab Erfüllung der Voraussetzungen zu erfolgen (§ 29 Abs. 2 bis 4 NISG 2026). Anwendungsbeginn des NISG 2026 ist der 01.10.2026. Tritt die Registrierungspflicht mit dem Anwendungsbeginn ein, fällt die Selbstdeklaration rechnerisch in das Jahr 2027 — den genauen Zeitpunkt des Eintritts der Registrierungspflicht deckt der Faktenstand dieses Artikels nicht ab. Zuständig ist die Cybersicherheitsbehörde (§ 3a NISG 2026), nicht das BSI.

Governance. In Deutschland müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen und haften bei Verletzung ihrer Einrichtung nach dem für die Rechtsform geltenden Gesellschaftsrecht (§ 38 Abs. 1 und 2 BSIG). In Österreich haben die Leitungsorgane ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 die Einhaltung sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026); eine Innenhaftungsnorm wie § 38 Abs. 2 BSIG enthält das NISG 2026 nicht, dafür kann die Cybersicherheitsbehörde dann den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen (§ 39 Abs. 4 Z 2 NISG 2026, mit Eintragung im Firmenbuch). Eine Schulungspflicht der Leitungsorgane besteht in Deutschland bereits (§ 38 Abs. 3 BSIG), in Österreich ab dem 01.10.2026 (§ 31 Abs. 2 NISG 2026).

7. Entgelttransparenz 2027: erste Pay-Gap-Berichte

Kurzantwort: Der 07.06.2027 ist der erste Stichtag, an dem die Entgelttransparenz-Richtlinie eine Berichtspflicht auslöst — gestaffelt nach Größe und wirksam über das jeweilige nationale Umsetzungsrecht, nicht unmittelbar aus der Richtlinie.

Die Staffel: Arbeitgeber mit 250 oder mehr Arbeitnehmern berichten bis zum 07.06.2027 und danach jährlich (Art. 9 Abs. 2 RL (EU) 2023/970); Arbeitgeber mit 150 bis 249 Arbeitnehmern ebenfalls bis zum 07.06.2027, danach alle drei Jahre (Art. 9 Abs. 3); Arbeitgeber mit 100 bis 149 Arbeitnehmern erst bis zum 07.06.2031, danach alle drei Jahre (Art. 9 Abs. 4). Berichtsinhalt sind unter anderem das geschlechtsspezifische Entgeltgefälle einschließlich variabler Bestandteile, Median-Werte, der Anteil der Beschäftigten je Entgeltquartil und das Entgeltgefälle je Arbeitnehmergruppe (Art. 9 Abs. 1).

Der 07.06.2026 war demgegenüber die an die Mitgliedstaaten gerichtete Umsetzungsfrist (Art. 34 Abs. 1 RL (EU) 2023/970) — kein Datum, ab dem private Arbeitgeber unmittelbar aus der Richtlinie verpflichtet sind. Die Arbeitgeberpflichten greifen mit der nationalen Umsetzung: in Deutschland über die EntgTranspG-Reform, in Österreich über die EntgleichV. Die Fristen-Roadmap nennt dafür Prognosedaten mit Stand 02.05.2026 — DE voraussichtlich 01.01.2027 für das Auskunftsrecht, AT voraussichtlich 01.07.2026 für die EntgleichV. Ein Umsetzungsgesetz lag zum Stand 17.08.2026 weder in Deutschland noch in Österreich vor; der österreichische Prognosetermin ist damit verstrichen.

Nach geltendem deutschem Recht besteht der individuelle Auskunftsanspruch in Betrieben mit in der Regel mehr als 200 Beschäftigten; das Vergleichsentgelt ist nicht anzugeben, wenn die Vergleichstätigkeit von weniger als sechs Beschäftigten des anderen Geschlechts ausgeübt wird (§§ 10 bis 12 EntgTranspG), flankiert vom Entgeltgleichheitsgebot des § 7 EntgTranspG. In Österreich verlangt § 11 GlBG, dass betriebliche Einstufungsregelungen den Grundsatz des gleichen Entgelts für gleiche oder gleichwertige Arbeit beachten; die geschlechtsneutrale Stellenausschreibung regelt § 9 GlBG, Verstöße sind mit Geldstrafe bis 360 Euro bedroht (§ 10 GlBG). Praxisempfehlung: Arbeitnehmergruppen mit gleicher oder gleichwertiger Arbeit bilden und die Einstufungskriterien auf Diskriminierungsfreiheit prüfen — diese Gruppenbildung trägt beides, das Auskunftsrecht nach Art. 7 und den Bericht nach Art. 9 Abs. 1.

8. EU Pay Transparency Re-Evaluation

Die Richtlinie (EU) 2023/970 sieht keinen Bewertungstermin 2029 vor: Nach Art. 35 informieren die Mitgliedstaaten die Kommission bis zum 7. Juni 2031 über die Durchführung (Abs. 1); bis zum 7. Juni 2033 legt die Kommission dem Europäischen Parlament und dem Rat einen Bericht über die Umsetzung vor, in dem unter anderem die Arbeitgeber-Schwellenwerte nach Art. 9 und 10 sowie die 5-%-Schwelle für die gemeinsame Entgeltbewertung nach Art. 10 Abs. 1 geprüft werden (Abs. 2). Mögliche Verschärfungen wären eine Folge dieses Berichts.

Für die Planung 2027/28 heißt das: In diesem Zeitraum ist aus der Re-Evaluation nichts zu erwarten. Wer den Berichtsprozess nach Abschnitt 7 aufsetzt, arbeitet gegen die heute geltenden Schwellenwerte — eine Absenkung wäre frühestens eine Folge des Kommissionsberichts nach Art. 35 Abs. 2; ob dazu ein Vorhaben läuft, deckt der Faktenstand dieses Artikels nicht ab.

9. Digital Services Act 2.0

Erwartet ab 2027 Reform: strengere Plattform-Pflichten, Transparenz für AI-Empfehlungs-Systeme.

Diese Erwartung ist eine Angabe der Erstfassung dieses Artikels. Zu einem Kommissionsvorschlag, einem Verfahrensstand oder einem Datum für eine DSA-Reform enthält der Faktenstand dieses Artikels keine Angabe; ein Termin oder eine Pflicht für 2027/28 lässt sich daraus nicht ableiten. Wo KI-gestützte Systeme heute schon Transparenzpflichten auslösen, folgen diese aus Art. 50 KI-VO — anwendbar seit dem allgemeinen Geltungsbeginn am 02.08.2026: Interaktionshinweis bei Systemen, die direkt mit Menschen kommunizieren (Abs. 1), maschinenlesbare Kennzeichnung synthetischer Audio-, Bild-, Video- und Textinhalte (Abs. 2), Information der betroffenen Personen bei Emotionserkennung und biometrischer Kategorisierung (Abs. 3) und Offenlegung bei Deepfakes (Abs. 4).

10. ePrivacy-Verordnung: Rücknahme des Vorschlags vorgesehen

Der seit 2017 diskutierte Vorschlag für eine ePrivacy-Verordnung (COM(2017) 10) ist kein laufendes Vorhaben mehr: Die Europäische Kommission hat ihn im selben Anhang IV des Arbeitsprogramms 2025 (COM(2025) 45 final, 11.02.2025) zur Rücknahme vorgesehen, auf den sich bereits Abschnitt 4 zur AILD stützt. Eine Verabschiedung 2027/28 ist damit nicht absehbar, und § 25 TDDDG wird vorerst nicht ersetzt. Für das Speichern von Informationen auf Endeinrichtungen und den Zugriff darauf (Cookies und vergleichbare Techniken) bleibt daher die ePrivacy-Richtlinie 2002/58/EG in ihrer nationalen Umsetzung maßgeblich — in Deutschland § 25 TDDDG (Schutz der Privatsphäre bei Endeinrichtungen), in Österreich die entsprechende Umsetzung im Telekommunikationsgesetz 2021 (TKG 2021).

Für die Cookie-Praxis 2027/28 heißt das: Der Maßstab ändert sich nicht. In Deutschland sind Speicherung und Zugriff nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat; keine Einwilligung ist erforderlich, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist oder der Zugriff für einen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich ist (§ 25 Abs. 1 und 2 TDDDG). In beiden Ländern gelten flankierend die DSGVO-Anforderungen an die Einwilligung: Der Verantwortliche muss sie nachweisen können, der Widerruf ist jederzeit möglich und muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und 3 DSGVO).

11. Sanktionsrahmen der 2027/28-Pflichten

Kurzantwort: Die Rahmen der KI-VO und des BSIG gelten bereits heute und werden mit den Hochrisiko-Terminen der KI-VO (02.12.2027 für Anhang III, 02.08.2028 für Anhang I) nur auf mehr Sachverhalte anwendbar; der Rahmen des NISG 2026 greift mit dessen Anwendungsbeginn am 01.10.2026, der CRA-Rahmen mit der vollen Anwendbarkeit am 11.12.2027. Die Tabelle nennt gesetzliche Höchstrahmen, keine zu erwartenden Beträge.

Zwei Einordnungen dazu. Erstens: Für KMU einschließlich Start-ups gilt bei den Geldbußen der KI-VO jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6 KI-VO) — die 35-Mio.-Zahl ist für kleine Unternehmen also nicht der Maßstab. Zweitens: Adressat der KI-VO-Bußgelder ist das Unternehmen als Anbieter oder Betreiber; eine persönliche Inanspruchnahme der Geschäftsführung folgt nicht aus Art. 99 KI-VO, sondern erst über nationales Gesellschafts- und Ordnungswidrigkeitenrecht.

12. Vorbereitung 2026/27 — was jetzt sinnvoll ist

Kurzantwort: Sinnvoll ist genau das, was unabhängig von noch laufenden Gesetzgebungsverfahren trägt — ein aktuelles KI-Inventar, die Anbieter-Unterlagen für eingesetzte GPAI-Modelle und die Klärung der eigenen NIS2-Einstufung. Alles Weitere hängt an Terminen, die erst mit einem Beschluss oder einem nationalen Umsetzungsakt feststehen.

Diese drei Schritte sind Praxisempfehlungen dieses Artikels, keine gesetzlichen Vorgaben. Erstens: Das KI-Inventar so führen, dass sich je System beantworten lässt, ob es unter Anhang III fällt, ob es als Sicherheitsbauteil in einem Anhang-I-Produkt steckt und ob ein GPAI-Modell dahintersteht — diese drei Fragen entscheiden, welcher Termin aus Abschnitt 2 überhaupt einschlägig ist. Zweitens: Die Anbieter-Unterlagen nach Art. 53 Abs. 1 KI-VO einmal vollständig anfordern und ablegen, statt sie bei der ersten Aufsichtsanfrage zu suchen. Drittens: Die NIS2-Einstufung schriftlich festhalten — Einrichtungsart nach Anlage, Größenschwelle, Ergebnis (§ 28 Abs. 1 und 2 BSIG; in Österreich § 24 i. V. m. § 25 NISG 2026); ohne dieses Ergebnis lässt sich weder die Nachweisfrage aus Abschnitt 6 noch die Registrierungspflicht beantworten.

Praxis-Rhythmus, keine Frist: Weil einzelne Termine noch an laufenden Gesetzgebungsverfahren hängen, empfiehlt sich ein Quartals-Check — je Quartal einmal prüfen, ob EntgTranspG-Reform bzw. EntgleichV in Kraft getreten sind; der KI-Teil des Digital Omnibus ist mit der Verordnung (EU) 2026/1744 seit 27. Juli 2026 in Kraft, der Daten-Omnibus ist dagegen weiterhin nur Vorschlag. Das ist eine Arbeitsvorgabe dieses Artikels; gesetzliche Fristen laufen davon unabhängig.

Zu den in der TL;DR genannten Entwicklungen Compliance as Code, KI-gestützte Audit-Automatisierung und ESG-Pflicht-Reporting enthält der Faktenstand dieses Artikels keine amtliche Fundstelle; sie sind Einschätzung der Redaktion, keine Rechtsquelle, und begründen keine Termine.