Standards als Europas Waffe? Eine unbequeme Zwischenbilanz

Der AI Act, NIS-2, der Cyber Resilience Act und DORA sind binnen weniger Wochen an einem gemeinsamen Punkt angekommen – und was sich dort zeigt, stützt weder die Erzählung vom europäischen Regulierungsvorsprung noch die vom Bürokratiemonster. Es zeigt etwas Drittes, das für Compliance-Verantwortliche unangenehmer ist als beides.

Zwei Texte aus dieser Woche argumentieren in dieselbe Richtung. Christian Stöcker beschreibt im SPIEGEL Standards als Europas beste Waffe gegen Big Tech – sein Kronzeuge ist der USB-C-Stecker, den die EU gegen erheblichen Widerstand der Hersteller durchgesetzt hat und der Verbrauchern nach Schätzung der Kommission jährlich rund 250 Millionen Euro spart. Er verweist auf die CE-Kennzeichnung, auf die Sanktionen gegen Temu und Shein, auf Datenportabilität als Gegenmittel zu dem, was Cory Doctorow „enshittification” nennt, und auf Initiativen wie EuroStack, die Europa aus der Rolle der digitalen Kolonie herausführen wollen. Und Dennis-Kenji Kipker hält bei heise dagegen, dass der AI Act kein Bürokratiemonster sei, sondern Vertrauensinfrastruktur – die EU sei mit ihm nicht zu spät gekommen, sondern eher zu früh: In Kraft getreten sei die Verordnung schließlich keine zwei Jahre nach dem ChatGPT-Moment.

Beide Argumente sind ernst zu nehmen. Ich teile sie in erheblichen Teilen. Trotzdem ist der Sommer 2026 ein schlechter Zeitpunkt, sie unwidersprochen stehen zu lassen – denn in einem Zeitfenster von fünf Wochen ist Folgendes passiert:

Wer diese vier Zeilen nebeneinanderlegt, sieht keine Waffe. Er sieht ein Regelwerk, das inhaltlich weitgehend richtig konstruiert ist und prozedural gerade seine eigene Verbindlichkeit beschädigt.

Zuerst: Das Argument der Verteidiger ist besser als sein Ruf

Es lohnt, die Gegenseite ernst zu nehmen, bevor man sie kritisiert.

Der Brussels-Effect ist keine Einbildung. Anu Bradfords Beobachtung, dass der EU-Binnenmarkt Regeln exportiert, ohne sie exportieren zu müssen, hat sich empirisch bewährt – von der DSGVO über Emissionsgrenzwerte bis zu Produktsicherheitsanforderungen. Der Mechanismus ist banal und deshalb robust: Unternehmen mögen keine parallelen Compliance-Regime und ziehen das strengste hoch, statt 27 verschiedene zu pflegen.

Und die EU setzt durch, wenn sie will. Stöckers Beispiele sind gut gewählt: Der Ladebuchsen-Standard kam gegen den erklärten Widerstand der Hersteller. Die Sanktionen gegen Temu und Shein zeigen, dass Produktsicherheitsvorgaben auch gegenüber Marktteilnehmern durchsetzbar sind, die auf schiere Masse setzen. Und die vielverspottete Gurkenkrümmungsnorm ist seit 2009 außer Kraft – der Großhandel sortiert freiwillig weiter danach. Das ist eine bemerkenswerte Pointe über das Verhältnis von Norm und Zwang: Eine gute Norm überlebt ihre eigene Rechtsverbindlichkeit, weil sie Transaktionskosten senkt.

Für den Mittelstand ist eine harmonisierte Norm ein Entlastungsinstrument, kein Belastungsinstrument. Das geht in der Debatte fast immer unter. Wer eine harmonisierte Norm einhält, genießt Konformitätsvermutung. Er muss nicht mehr jede einzelne Schutzmaßnahme gegenüber einer Behörde begründen, sondern kann auf einen Prüfstandard verweisen. Das ist für ein 200-Personen-Unternehmen ohne eigene Rechtsabteilung objektiv besser als ein Rechtsrahmen aus unbestimmten Rechtsbegriffen, den man selbst auslegen muss. Der Streitpunkt ist fast nie, ob Normen helfen – sondern wann sie vorliegen.

NIS-2 hat etwas erzwungen, was Praktiker seit Jahren fordern. Die persönliche Verantwortlichkeit der Geschäftsleitung nach § 38 BSIG ist keine Schikane, sondern die Auflösung eines strukturellen Problems: Informationssicherheit war in vielen Häusern ein IT-Budgetposten, den man kürzen konnte, weil niemand oberhalb der IT-Leitung dafür geradestehen musste. Diese Zeit ist vorbei, und das ist ein Fortschritt.

DORA hat Wissen erzeugt, das vorher niemand hatte. Das ist der stärkste Punkt zugunsten der europäischen Methode, und er wird selten gemacht. Über das Informationsregister nach Art. 28 Abs. 3 DORA haben die europäischen Aufsichtsbehörden erstmals ein belastbares Bild der Abhängigkeitsstrukturen im Finanzsektor gewonnen – und daraus 19 kritische IKT-Drittdienstleister benannt, darunter Amazon, Microsoft und Google. Parallel registrierte allein die BaFin seit Januar 2025 über 600 schwerwiegende IKT-Vorfälle im deutschen Finanzsektor, von denen rund 63 Prozent mit externen Dienstleistern zusammenhingen.

Diese Zahl ist der eigentliche Ertrag. Kein Marktmechanismus hätte sie hervorgebracht. Konzentrationsrisiken sind für den einzelnen Marktteilnehmer unsichtbar, weil er nur seine eigene Lieferkette kennt. Sie sichtbar zu machen, ist eine klassische Aufgabe hoheitlicher Regulierung – und die EU hat sie hier gelöst. Wer über Bürokratie klagt, sollte erklären, wie er sonst an diese Information gekommen wäre.

Zwischenruf: „Standard” heißt zweierlei – und dazwischen liegt die halbe Debatte

Bevor die Kritik beginnt, eine begriffliche Unterscheidung, die in dieser Diskussion fast immer unterbleibt und ohne die man sich zwangsläufig aneinander vorbeiredet.

Ein Kompatibilitätsstandard wie USB-C legt eine Schnittstelle fest. Sein Nutzen ist sofort sichtbar, er entsteht für alle Beteiligten gleichzeitig, und die Kosten der Umstellung sind einmalig. Wer ihn einhält, spart Geld – nicht irgendwann, sondern beim nächsten Kabelkauf. Deshalb funktioniert er auch ohne Aufsicht: siehe Gurkennorm.

Ein Nachweisstandard wie eine harmonisierte Norm zum Cyber Resilience Act legt fest, wie ein Hersteller belegt, dass sein Produkt sicher ist. Der Nutzen ist diffus, tritt verzögert ein und fällt bei Dritten an – bei Kunden, die einen Angriff nicht erleben, und bei einer Volkswirtschaft, die eine Kaskade nicht erlebt. Die Kosten fallen dagegen sofort, vollständig und beim Verpflichteten an. Ein solcher Standard funktioniert nur mit Aufsicht.

Beides heißt „Standard”, und die politische Argumentation gleitet unentwegt zwischen beiden hin und her. Wer die Erfolgsgeschichte des Ladekabels erzählt und daraus die Legitimität einer Dokumentationspflicht nach Art. 17 KI-VO ableitet, führt eine Analogie, die nicht trägt. Stöcker selbst ist an dieser Stelle sorgfältiger als viele, die ihn zitieren werden – er unterscheidet ausdrücklich zwischen technischen Standards und rechtlichen Standards und sagt klar, dass Ersteres etwa bei der Cloud-Souveränität nicht ausreicht.

Für den Adressatenkreis dieses Blogs ist die Unterscheidung praktisch relevant: Der gesamte Compliance-Stack aus NIS-2, CRA, DORA und AI Act besteht fast ausschließlich aus Nachweisstandards. Er kann seine Legitimation deshalb nicht aus dem USB-C-Argument beziehen. Er muss sie aus zwei anderen Quellen ziehen – aus messbar verhinderten Schäden und aus einem funktionierenden Vollzug, der Regeltreue belohnt statt bestraft.

Und genau da wird es dünn.

Die Gegenrechnung I: Der Normgeber hält seine eigenen Fristen nicht ein

Der Digital Omnibus zur KI ist ein Lehrstück. Sein sachlicher Kern ist unstrittig: Die harmonisierten Normen zur KI-Verordnung waren nicht fertig. Man kann Unternehmen schlecht verpflichten, sich an Standards zu messen, die es nicht gibt. Eine Verschiebung war insofern vertretbar.

Nur: Die Verordnung wurde am 24. Juli im Amtsblatt veröffentlicht und trat am 27. Juli in Kraft – sechs Tage vor dem Stichtag, den sie verschieben sollte. Wäre die Veröffentlichung gescheitert, wären die Anhang-III-Pflichten am 2. August unverändert anwendbar geworden. Unternehmen mussten also bis Ende Juli 2026 zweigleisig planen: für den Fall der Verschiebung und für den Fall, dass sie nicht kommt.

Damit sind wir beim Kern des Problems. Regulierung wirkt über Erwartungssicherheit. Ein Stichtag, der bis auf die letzte Woche verhandelbar bleibt, ist kein Stichtag, sondern eine Absichtserklärung. Und das erzeugt einen perversen Anreiz, der in Compliance-Abteilungen längst diskutiert wird: Wer 2025 eine Hochrisiko-Klassifizierung aufgesetzt, ein KI-Risikomanagement dokumentiert und Budget gebunden hat, steht heute schlechter da als der Wettbewerber, der abgewartet hat. Beim nächsten Mal wird abgewartet.

Das Muster ist nicht auf den AI Act beschränkt. Beim Cyber Resilience Act sollen die Typ-C-Normen für einzelne Produktkategorien bis Ende Oktober 2026 vorliegen, die Typ-B-Normen für technische Maßnahmen ein Jahr später. Beobachter halten beide Termine schon jetzt für nicht haltbar; eine Änderung des Normungsauftrags mit Verschiebung um zwei Monate liegt als Entwurf vor. Und die Meldepflicht nach Art. 14 CRA greift am 11. September 2026 – die zentrale ENISA-Plattform, über die gemeldet werden soll, ist Anfang August noch nicht verfügbar, und Schnittstellen für automatisierte Meldungen fehlen ohnehin.

Man muss das in aller Nüchternheit aussprechen: Der Gesetzgeber verlangt von Herstellern eine 24-Stunden-Frühwarnung und liefert die Meldestelle nicht pünktlich. Das ist kein Detail. Es ist genau die Art von Asymmetrie, die den Legitimitätsvorsprung aufzehrt, den Kipker zu Recht als eigentlichen Wert des europäischen Modells beschreibt.

Die Gegenrechnung II: Die Vollzugslücke

NIS-2 ist der deutlichste Fall, und weil er deutsch ist, trifft er die Leserschaft dieses Blogs direkt.

Die Chronologie: Umsetzungsfrist der Richtlinie war Oktober 2024. Deutschland brauchte bis Dezember 2025. Das NIS2UmsuCG trat dann am 6. Dezember 2025 mit der Verkündung in Kraft – ohne Übergangsfrist. Die Maßnahmen nach § 30 BSIG waren also am Tag der Verkündung geschuldet, nachdem der Gesetzgeber selbst 14 Monate überzogen hatte. Das BSI-Portal ging am 6. Januar 2026 an den Start, die Registrierungsfrist endete am 6. März. Bis dahin hatten sich rund 11.500 von etwa 29.500 betroffenen Einrichtungen registriert – gut 39 Prozent. Das BSI räumte daraufhin gegenüber Wirtschaftsverbänden eine Kulanz-Nachfrist bis zum 31. Juli 2026 ein.

Das ist die schlechteste aller Welten: nicht streng genug, um abzuschrecken, nicht verlässlich genug, um Planungssicherheit zu geben, und nicht großzügig genug, um fair zu sein gegenüber denen, die pünktlich waren. Wer sich im Februar registriert und ein ISMS aufgesetzt hat, sieht seine Wettbewerber im August ohne erkennbare Konsequenz nachziehen.

Bemerkenswert ist auch, was die Quote inhaltlich aussagt. Sechzig Prozent Nichtregistrierung ist keine Verweigerung – es ist überwiegend Unsicherheit bei der Selbsteinstufung. Die Betroffenheitsprüfung des BSI ist ausdrücklich nicht rechtsverbindlich. Ein Maschinenbauer mit 60 Beschäftigten und Zulieferbeziehungen in den Energiesektor kann nach eigenem Ermessen zu jedem der drei Ergebnisse kommen: nicht betroffen, wichtig, besonders wichtig. An dieser Stelle scheitert Regulierung nicht an der Höhe der Anforderungen, sondern an der Bestimmbarkeit des Adressatenkreises.

Beim CRA droht dasselbe im größeren Maßstab: Laut einem Readiness-Report von OpenSSF und Linux Foundation Research waren zuletzt 66 Prozent der befragten Softwarehersteller mit der Verordnung nach wie vor nicht vertraut – und dieser Anteil ist gegenüber dem Vorjahr gestiegen.

Die Gegenrechnung III: Kumulation – der Blick aus dem Stadtwerk

Die einzelnen Rechtsakte sind je für sich verteidigbar. Ihre Summe ist es nicht ohne Weiteres. Ein mittelgroßes Stadtwerk kann heute plausibel gleichzeitig fallen unter:

• NIS-2 / BSIG-neu als besonders wichtige Einrichtung im Sektor Energie, flankiert vom KRITIS-Dachgesetz für die physische Resilienz
• § 11 EnWG und die IT-Sicherheitskataloge der Bundesnetzagentur, deren Verhältnis zum neuen BSIG in Teilen ungeklärt bleibt
• CRA, sobald eigene vernetzte Produkte oder Messeinrichtungen in Verkehr gebracht werden – oder sobald eine „wesentliche Veränderung” den Betreiber rechtlich zum Hersteller macht
• AI Act, sobald KI in Netzsteuerung, Prognose oder Kundenservice eingesetzt wird, mit Art. 50 ab sofort
• DSGVO, Data Act und – je nach Beteiligungsstruktur – Anforderungen aus dem Finanzsektorumfeld

Die Meldepflichten laufen dabei nebeneinander her: 24 Stunden ans BSI, 72 Stunden an die Datenschutzaufsicht, 24 Stunden an ENISA, jeweils mit eigenen Schwellen, eigenen Formaten und eigenen Adressaten. Im Ernstfall – und der Ernstfall ist ein laufender Angriff – bindet das genau die Leute, die den Vorfall eindämmen sollen.

Die Kommission hat das Problem erkannt: Der Digital Omnibus sieht einen Single Entry Point vor, über den ein einziger Bericht mehrere unionsrechtliche Meldepflichten erfüllen soll. Das wäre eine echte Erleichterung. Nur ist genau dieser Teil des Pakets – anders als der KI-Teil – noch nicht beschlossen; die Verhandlungen zum Datenschutz- und Cybersicherheitsstrang laufen weiter, ein Abschluss wird frühestens gegen Jahresende erwartet.

Das ist die eigentliche Ironie dieses Sommers: Beschlossen wurde zuerst das, was Pflichten aufschiebt. Noch nicht beschlossen ist das, was sie tatsächlich vereinfachen würde. Man kann das für Zufall der Verfahrenslogik halten. Man kann es auch als Aussage über Prioritäten lesen. Beides ist vertretbar.

Die geopolitische Ebene: Waffe oder Verhandlungsmasse?

Hier wird es unangenehm, und hier ist eine ehrliche Antwort schwer.

Die Vereinigten Staaten haben die europäische Digitalregulierung zum Handelsthema gemacht. Handelsminister Lutnick hat Zollerleichterungen mit einer Abschwächung des DMA verknüpft; im Juli 2026 haben 25 US-Abgeordnete den Präsidenten aufgefordert, gegen die europäischen Plattformregeln vorzugehen, unter ausdrücklicher Nennung einer Prüfung nach Section 301. Eine formale USTR-Untersuchung gegen DMA oder DSA ist bislang nicht eröffnet – der Vorstoß ist politischer Druck, keine Maßnahme. Aber die Richtung ist eindeutig.

Damit steht jede europäische Vereinfachungsinitiative unter Interpretationsvorbehalt. Ist der Digital Omnibus eine sachlich begründete Nachjustierung, weil Normen fehlen und Fristen unrealistisch waren? Oder ist er das erste Nachgeben unter äußerem Druck, verpackt als Bürokratieabbau?

Ich halte diese Frage für von außen nicht entscheidbar, und ich misstraue jedem, der sie schnell beantwortet. Beide Erzählungen erklären dieselben Fakten. Was sie unterscheidet, ist nicht die Gesetzgebung, sondern die Vollzugspraxis der kommenden zwölf Monate: ob die Kommission DSA- und DMA-Verfahren gegen große Plattformen zu Ende führt, ob die AI-Office-Aufsicht über GPAI-Modelle Zähne zeigt, ob nationale Behörden bei NIS-2 tatsächlich Bußgelder verhängen. Regulierung, die nicht durchgesetzt wird, ist keine Waffe. Sie ist ein Kostenfaktor für die Regeltreuen und ein Wettbewerbsvorteil für alle anderen.

Und noch eine Perspektive gehört in eine ehrliche Abwägung, weil sie in der Wirtschaftsdebatte fast völlig fehlt: Aus grundrechtlicher Sicht ist jede Verschiebung der Hochrisiko-Pflichten ein realer Verlust. Systeme, die über Kreditwürdigkeit, Bewerberauswahl oder Zugang zu Sozialleistungen mitentscheiden, laufen nun bis Ende 2027 ohne die vorgesehene Risikomanagement- und Aufsichtsarchitektur weiter. Zivilgesellschaftliche Organisationen haben dagegen konsequent argumentiert. Man muss ihnen nicht folgen – aber man sollte zur Kenntnis nehmen, dass „mehr Zeit für die Wirtschaft” die andere Seite derselben Bilanz ist.

Der übersehene Punkt: Standards als Ausstiegsrecht

An einer Stelle führt Stöckers Argument weiter, als die Compliance-Debatte gemeinhin blickt – und ich halte das für den produktivsten Gedanken beider Texte.

Sein Beispiel ist der Wechsel eines Musikstreaming-Dienstes: Playlists, Bibliothek, Jahre gesammelter Auswahl, in wenigen Klicks übertragen. Der Vergleich zum Umzug von X auf eine andere Plattform, der praktisch nicht funktioniert, macht den Punkt. Lock-in ist kein Betriebsunfall, sondern Geschäftsmodell – Doctorows „enshittification” beschreibt exakt den Verlauf: erst gutes Produkt, dann kritische Masse, dann schrittweise Verschlechterung, zuerst für Verbraucher, danach für Geschäftskunden.

Jetzt die Verbindung, die selten gezogen wird: Das ist keine Verbraucherfrage. Das ist eine Aufsichtsfrage – und die EU hat sie bereits beantwortet, nur an ganz anderer Stelle.

Art. 28 DORA verlangt von Finanzunternehmen nicht nur ein Verzeichnis ihrer IKT-Dienstleister, sondern verbindliche Ausstiegsstrategien: dokumentierte Pläne, wie eine kritische Funktion zu einem anderen Anbieter oder zurück ins Haus migriert werden kann, ohne den Geschäftsbetrieb zu unterbrechen. Genau deshalb sind über das Informationsregister jene 19 kritischen Drittdienstleister sichtbar geworden. Die europäische Antwort auf Lock-in existiert also bereits – als Prüfpflicht im Finanzsektor.

Für Stadtwerke und den energiewirtschaftlichen Mittelstand ist das die interessanteste Übertragung überhaupt. Wer Leitsystem, Abrechnung, Smart-Meter-Gateway-Administration und Kundenportal bei drei Anbietern liegen hat, die sämtlich auf derselben Hyperscaler-Infrastruktur laufen, hat ein Konzentrationsrisiko – auch wenn er nach NIS-2 formal nur seine Lieferkette „berücksichtigen” muss. Die Frage „Wie komme ich hier wieder raus, in welcher Zeit, zu welchen Kosten?” ist die härteste Frage im gesamten Drittparteienmanagement, und sie steht in keinem der einschlägigen Fragenkataloge prominent genug.

Wer als Auditor oder Compliance-Verantwortlicher etwas von diesem Sommer mitnehmen will, dann vielleicht das: Der wirksamste Standard ist nicht der, der Dokumentation verlangt, sondern der, der einen Wechsel technisch möglich macht. Offene Schnittstellen, Datenexport in verwertbaren Formaten, vertraglich zugesicherte Übergangsleistungen. Initiativen wie EuroStack oder der in dieser Woche vorgestellte European Social Stack argumentieren aus der Verbraucherperspektive genau in diese Richtung – geteilte Infrastruktur, geteilte Protokolle. Dass sich diese Logik mit der aufsichtsrechtlichen deckt, ist kein Zufall, sondern der eigentliche Kern dessen, was europäische Standardsetzung leisten kann.

Ob die EU den Mut hat, Interoperabilität ähnlich konsequent zu erzwingen wie Berichtspflichten, ist offen. Berichtspflichten sind politisch billiger. Sie treffen die Regeltreuen und lassen die Marktstruktur unverändert.

Was daraus praktisch folgt

Für die Compliance-Praxis ist die wichtigste Botschaft dieses Sommers die unspektakulärste:

Verschoben wurden Fristen, nicht Architekturen.

1. Die Grundpflichten sind unverändert anwendbar. Art. 50 AI Act gilt seit dem 2. August. Die Maßnahmen nach § 30 BSIG gelten seit Dezember 2025 ohne Übergangsfrist. DORA ist seit Januar 2025 vollständig anzuwenden – und die BaFin hat unmissverständlich signalisiert, dass offene Umsetzungsprojekte bei Prüfungen nicht strafmildernd wirken. Wer auf den Omnibus wartet, wartet auf etwas, das bestehende Pflichten nicht aufhebt.

2. Bauen Sie am Control, nicht am Stichtag. Die inhaltlichen Anforderungen konvergieren stark: Risikoanalyse, Asset- und Lieferantenverzeichnis, Schwachstellen- und Patch-Management, Incident-Prozess mit belastbarer Zeitachse, Nachweisführung. Diese fünf Bausteine bedienen § 30 BSIG, Art. 13/14 CRA, Art. 28 DORA und die Art. 9/17 des AI Act zugleich. Wer sie einmal sauber baut und gegen die Frameworks mappt, ist gegen Fristverschiebungen weitgehend immun.

3. Investieren Sie in Entscheidungsdokumentation, nicht nur in Maßnahmen. Bei unsicherer Selbsteinstufung – NIS-2-Betroffenheit, Hochrisiko-Klassifizierung, CRA-Produkteigenschaft – ist die dokumentierte, nachvollziehbar begründete Entscheidung der eigentliche Schutz. Nicht das Ergebnis muss richtig sein, sondern der Weg dorthin überprüfbar.

4. Behandeln Sie die Meldewege als Prozess, nicht als Formular. Die 24-Stunden-Frist ist operativ das Anspruchsvollste am gesamten Paket. Wer sie erst im Ernstfall zum ersten Mal geht, verliert sie. Und: Die CVD-Policy und eine erreichbare Meldestelle sind ab dem 11. September CRA-Pflicht – unabhängig davon, ob die ENISA-Plattform dann steht.

5. Rechnen Sie mit Nachholvollzug. Eine Kulanz-Nachfrist beseitigt den Bußgeldtatbestand des ursprünglichen Versäumnisses nicht. Wer im Verzug ist, sollte die Registrierung nachholen und den Verzug dokumentieren, statt ihn auszusitzen.

6. Stellen Sie die Ausstiegsfrage, auch wenn kein Gesetz sie stellt. Für jede kritische Funktion: Wie lange dauert ein Anbieterwechsel, welche Daten bekomme ich in welchem Format heraus, und auf welcher Infrastruktur laufen meine drei wichtigsten Dienstleister eigentlich gemeinsam? Wer das beantworten kann, ist auf jede künftige Verschärfung vorbereitet – und hat nebenbei ein Verhandlungsargument.

Sechs offene Fragen statt eines Fazits

Ich habe keine geschlossene These anzubieten, und ich glaube, dass jede geschlossene These an dieser Stelle unehrlich wäre. Stattdessen sechs Fragen, die ich in den nächsten Monaten mit Interesse verfolge:

Ist ein Stichtag, der verschoben wird, noch ein Standard? Oder verwandelt sich Regulierung durch wiederholte Verschiebung schleichend in eine Verhandlungsposition – mit der Folge, dass rationale Unternehmen künftig grundsätzlich abwarten?

Wer trägt die Kosten des Normungsdefizits? Die harmonisierten Normen sind der Angelpunkt des gesamten europäischen Modells. Sie entstehen bei CEN, CENELEC und ETSI, in Gremien, deren Ressourcenausstattung in keinem Verhältnis zur regulatorischen Last steht, die auf ihnen ruht. Solange sich das nicht ändert, wird jeder weitere Rechtsakt dasselbe Muster erzeugen.

Übersteht der Brussels-Effect die Selbstrelativierung? Der Mechanismus funktioniert, weil Drittstaaten und Konzerne EU-Regeln als unverhandelbare Marktzugangsbedingung begreifen. Was passiert, wenn die EU selbst signalisiert, dass ihre Regeln unter Druck beweglich sind?

Ist Vertrauen tatsächlich ein Marktvorteil – oder bislang nur eine Hypothese? Das ist die Kernbehauptung der Verteidiger: Konformität schafft Vertrauen, Vertrauen schafft Absatz. Ich sehe dafür in Beschaffungsprozessen bislang wenig harte Evidenz. Wenn jemand Ausschreibungen kennt, in denen AI-Act- oder CRA-Konformität preisrelevant war und nicht nur als Ausschlusskriterium abgehakt wurde: Ich bin ernsthaft interessiert.

Warum ist Interoperabilität so viel schwerer durchzusetzen als Dokumentation? Der Ladekabel-Standard hat die Marktstruktur verändert. Ein Risikomanagement-Nachweis tut das nicht. Wenn Europa Souveränität will, liegt der Hebel eher bei erzwungenen offenen Schnittstellen als bei der nächsten Berichtspflicht – aber genau dieser Hebel wird am seltensten gezogen. Man darf fragen, wessen Interesse das bedient.

Und schließlich: Was ist eigentlich der Vergleichsmaßstab? Die Kritik am europäischen Modell setzt implizit voraus, dass es eine unregulierte Alternative gäbe, die besser abschneidet. Der US-Weg ist kein Verzicht auf Regeln, sondern eine Verlagerung – auf Haftungsrecht, Bundesstaaten und marktmächtige Einkäufer. Ob das für einen deutschen Mittelständler günstiger wäre, ist eine offene empirische Frage und keine, die sich durch Bürokratie-Rhetorik erledigt.

Wer diese Fragen anders beantwortet als ich sie stelle: Ich freue mich über Widerspruch.

Stand: 4. August 2026. Rechtsstand und Fristen ändern sich derzeit schnell – vor Umsetzungsentscheidungen bitte gegenprüfen.

regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Widerspruch, Ergänzungen oder Beratungsanfragen: Sprechen Sie uns an.