Herbstputz in der Compliance: Was der Sommer 2026 liegen gelassen hat

Sie kennen das: Ende Juli ist die halbe Mannschaft weg, die andere hält den Betrieb am Laufen, und alles, was nicht brennt, wandert auf den Stapel „machen wir im September”. Das ist kein Vorwurf — es ist betriebliche Realität in Unternehmen ohne eigene Compliance-Abteilung.

Nur hat der Regulierungskalender in diesem Sommer keine Pause gemacht. Zwischen Anfang Juni und Ende August sind ein neuer Kriterienkatalog erschienen, eine EU-Verordnung scharf geschaltet, zwei Gesetze geändert und eine Konsultationsfrist gestartet worden. Vieles davon lief in genau der Zeit, in der niemand hingeschaut hat.

Deshalb hier kein Weltuntergangsszenario, sondern eine Aufräumliste. Sortiert nach Dringlichkeit — von „diese Woche” bis „das kommt noch”.

Diese Woche: Die A5-Konsultation endet am 31. August

Das BSI hat im Juli den Community Draft der AI Audit and Assurance Assessment Architecture (A5) vorgelegt — die modulare Prüfarchitektur für vertrauenswürdige KI-Systeme. Methodisch lehnt sie sich an den C5 und den Prüfstandard ISAE 3000 an, die Kriterien erscheinen zusätzlich maschinenlesbar im OSCAL-Format.

Die Kommentierungsfrist endet am 31. August 2026. Also heute - oder gar nicht.

Wer KI in regulierten Kontexten einsetzt oder anbietet, hat jetzt die letzte einfache Gelegenheit, an einem Prüfkatalog mitzuschreiben, der später zum Maßstab wird — beim AI Act ebenso wie beim CRA. Nach der Konsultation folgt Erprobung und Fortschreibung; mitreden lässt sich dann nur noch mit deutlich mehr Aufwand. Ein einzelner, gut begründeter Kommentar zu einem Kriterium, das in Ihrem Betriebsmodell nicht funktioniert, ist mehr wert als eine Grundsatzstellungnahme.

Was A5 enthält und wie die Module aufgebaut sind, haben wir hier aufgeschrieben: BSI A5: KI-Prüfkatalog im Community Draft.

In zwei Wochen: Die CRA-Meldepflicht wird scharf

Am 11. September 2026 greift die erste harte Pflicht aus dem Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen ab dann aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — dreistufig:

• Frühwarnung binnen 24 Stunden ab Kenntnis
• Folgemeldung binnen 72 Stunden
• Abschlussbericht binnen 14 Tagen nach Verfügbarkeit einer Abhilfe (bei Schwachstellen) beziehungsweise binnen eines Monats (bei Vorfällen)

Adressat sind das zuständige nationale CSIRT und die ENISA. Die übrigen CRA-Pflichten — Konformitätsbewertung, technische Dokumentation, SBOM — folgen erst am 11. Dezember 2027. Die Meldepflicht kommt also über ein Jahr früher als der Rest.

Drei Punkte, die in der Praxis regelmäßig unterschätzt werden:

Erstens: 24 Stunden sind kein Compliance-Dokument, sondern ein Krisenprozess. Wer meldet? Unter welcher Vollmacht? Was passiert, wenn die Kenntnis an einem Freitagabend im Support-Postfach landet? Ohne benannte PSIRT-Funktion mit geregelter Vertretung wird die Frist im Ernstfall gerissen — nicht aus Unwillen, sondern weil niemand zuständig war.

Zweitens: Die Pflicht gilt auch für Altprodukte. Sie endet nicht mit dem Supportzeitraum. Schwachstellen, deren aktive Ausnutzung schon vor dem 11. September bekannt war, müssen zwar nicht nachgemeldet werden — wird eine bereits bekannte Schwachstelle aber erst danach ausgenutzt, greift die Pflicht.

Drittens: Die Meldeinfrastruktur hinkt. Anfang August war die zentrale Meldeplattform, über die Meldungen laufen sollen, noch nicht verfügbar. Prüfen Sie kurz vor dem Stichtag, welcher Weg tatsächlich funktioniert, und dokumentieren Sie Ihren Meldeversuch. Wer sich darauf verlässt, dass am 11. September alles bereitsteht, hat im Zweifel ein Nachweisproblem — kein technisches.

Immerhin: Die Kommission hat im Sommer eine umfangreiche Auslegungshilfe zum CRA vorgelegt, unter anderem zu der oft gestellten Frage, wann ein Cloud-Backend zum regulierten Produkt gehört und wie mit verbauten Open-Source-Bausteinen umzugehen ist.

Und für alle, die nicht selbst herstellen, sondern einkaufen: Fragen Sie Ihre Lieferanten, wie sie den 11. September organisiert haben. Das ist Lieferkettensicherheit im Sinne von § 30 BSIG — und es kostet Sie eine E-Mail. Zum Zusammenspiel von SBOM, CRA, NIS2 und DORA siehe Wissen, was drin ist.

Seit zehn Tagen scharf: E-Evidence

Das ist der Punkt, der in diesem Sommer am gründlichsten untergegangen ist.

Seit dem 18. August 2026 ist die E-Evidence-Verordnung (EU) 2023/1543 unmittelbar anwendbar — in allen Mitgliedstaaten außer Dänemark. Strafverfolgungsbehörden aus jedem EU-Staat können Diensteanbieter in Deutschland unmittelbar zur Herausgabe oder Sicherung elektronischer Beweismittel verpflichten. Ohne Rechtshilfeverfahren, ohne deutsche Behörde dazwischen. In Deutschland flankiert das im März verkündete Elektronische-Beweismittel-Umsetzungs- und Durchführungsgesetz (EBewMG) die Verordnung.

Der Anwendungsbereich ist funktional definiert, nicht branchenbezogen: erfasst ist, wer Nutzern Kommunikation ermöglicht oder Daten für sie speichert und verarbeitet. Cloud- und Hosting-Dienste, SaaS mit Nutzerkonten, Marktplätze, Messenger, Domain- und IP-Dienste. Unternehmensgröße und Umsatz spielen keine Rolle. Der Nischenanbieter mit drei Mitarbeitern ist genauso betroffen wie der Konzern — und wer Portale mit Nutzerkonten oder integrierter Chat- und Speicherfunktion betreibt, sollte die Betroffenheit sauber prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt.

Zwei Pflichten waren bis zum 18. August zu erfüllen: die Benennung eines Adressaten (Niederlassung oder Vertreter, ausgestattet mit Befugnissen und Ressourcen, § 3 EBewMG, Mitteilung an das Bundesamt für Justiz) und die Registrierung auf der EU-Notification-Platform samt technischer Anbindung.

Und dann sind da die Fristen, die im Ernstfall gelten: Die Sicherungspflicht beginnt sofort mit Eingang der Bescheinigung beim benannten Adressaten — nicht mit der internen Weiterleitung an die Rechtsabteilung. Die Herausgabe erfolgt im Regelfall binnen 10 Tagen, im Notfall binnen 8 Stunden. Der betroffene Nutzer darf nicht informiert werden. Der Bußgeldrahmen reicht bis 500.000 Euro, bei größeren Unternehmen bis zu 2 % des weltweiten Jahresumsatzes.

Wer hier nichts vorbereitet hat: Der Rückstand ist aufholbar, aber er ist real. Adressat benennen, Registrierung nachholen, Rufbereitschaft und Eskalationsweg für die 8-Stunden-Frist definieren, Exportfähigkeit der Systeme nach Nutzer, Zeitraum und Datenkategorie einmal testen. Das ist Arbeit für zwei Wochen, nicht für ein Quartal — aber sie muss jemand machen.

Übersehen im Juli: BSIG und KRITIS-Dachgesetz wurden geändert

Kurz vor der Sommerpause hat der Gesetzgeber in einem Artikelgesetz, dessen Titel nichts mit Informationssicherheit zu tun hat, sowohl das BSIG als auch das KRITIS-Dachgesetz angefasst. Wirksam seit dem 29. Juli 2026.

Praktisch wichtigster Punkt: Die Registrierungsfrist 17. Juli 2026 im KRITIS-DachG wurde gestrichen. Grund ist, dass die Rechtsverordnung, die überhaupt erst festlegt, welche Anlage als kritisch gilt, noch aussteht. Die Drei-Monats-Frist für die Registrierung beim BBK läuft künftig ab Inkrafttreten dieser Verordnung. Daran hängen die Folgefristen: neun Monate bis zur Risikoanalyse, zehn Monate bis zu Resilienzplan und Maßnahmenumsetzung.

Für Betreiber heißt das:

Sie haben Planungszeit gewonnen, keine Entwarnung bekommen.

Sobald die KRITIS-VO im Bundesgesetzblatt steht — plausibel im vierten Quartal —, läuft die Uhr, und zwar für alle gleichzeitig. Wer die Vorabbewertung der eigenen Anlagen, die Zuständigkeit in der Geschäftsleitung (§ 20 KRITIS-DachG) und die Grundzüge der Risikoanalyse jetzt vorbereitet, geht entspannt in den Herbst. Wer wartet, konkurriert im Frühjahr mit allen anderen um Prüfer- und Planerkapazität.

Parallel gilt unverändert das BSIG-Regime: Registrierung nach § 33, Risikomanagement nach § 30, Meldeketten nach § 32, Nachweise für Betreiber kritischer Anlagen nach § 39 im nunmehr dreijährigen Zyklus zu einem vom BSI mitgeteilten Zeitpunkt. Und die persönliche Pflicht der Geschäftsleitung nach § 38, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und selbst an Schulungen teilzunehmen. Letzteres ist der Punkt, an dem in unseren Audits am häufigsten der Nachweis fehlt — eine Teilnehmerliste mit Datum und Inhaltsübersicht wäre schon die halbe Miete.

Und die Sache mit der Registrierungslücke

Parallel lief im Sommer eine Debatte, die auf den ersten Blick nur Statistiker interessiert — und auf den zweiten Blick eine Falle enthält.

Ausgangspunkt: Zum Ablauf der Vollzugsfrist am 31. Juli waren rund 19.000 Einrichtungen im BSI-Portal registriert, etwa 6.500 als besonders wichtige und 12.400 als wichtige Einrichtungen. Erwartet worden waren im Gesetzgebungsverfahren knapp 30.000. Ein Drittel fehlt, hieß es daraufhin vielerorts — die viel zitierte „Registrierungslücke”.

Mitte August hat die Bundesregierung dieser Lesart widersprochen. Die Zahl von 29.850 sei lediglich eine Schätzung des Statistischen Bundesamtes gewesen, gestützt auf Daten aus den Jahren 2019 bis 2022. Das Innenministerium teilt den Zweifel an den Registrierungszahlen nicht, will die Entwicklung aber weiter beobachten. Das BSI bewertet den Stand als grundsätzlich zufriedenstellend und räumt zugleich ein, dass ein Teil der Betroffenen seinen Pflichten bislang nicht oder nicht vollständig nachgekommen ist. Der VKU verweist als Hauptursache auf die komplexe Betroffenheitsprüfung — was jeder unterschreiben dürfte, der § 28 BSIG einmal auf einen verschachtelten Konzern mit mehreren Beteiligungen angewendet hat.

Für Sie ändert diese Debatte exakt nichts. Ob der Nenner nun 30.000 oder 22.000 lautet, ist eine Frage der Statistik. Ob Sie registriert sind, ist eine Frage des Bußgeldrahmens — bis zu 500.000 Euro nach § 65 BSIG. Es gibt keine Bescheide und keine behördliche Aufforderung: Die Selbstidentifikation ist Teil der Pflicht. Und der 31. Juli war keine Fristverlängerung, sondern eine Zurückhaltung der Aufsicht beim Vollzug. Diese Zurückhaltung ist jetzt vorbei, während das BSI bei besonders wichtigen Einrichtungen nach § 61 anlasslos prüfen darf.

Wer die Betroffenheitsprüfung im Frühjahr angefangen und im Sommerloch liegen gelassen hat, sollte sie im September zu Ende bringen — auch und gerade dann, wenn das Ergebnis „nicht betroffen” lautet. Eine dokumentierte, datierte Negativprüfung ist im Zweifelsfall Ihr wichtigstes Papier. Eine verspätete Registrierung ist immer noch besser als keine.

Zum Anwendungsbereich und den ersten Schritten: NIS2-Umsetzung: Was Unternehmen jetzt tun müssen sowie Die Quote enttäuscht — auch „gewöhnliche” Branchen sollten prüfen, wo wir den häufigsten Irrtum („Wir sind doch keine kritische Infrastruktur”) schon im Mai auseinandergenommen haben.

Läuft im Hintergrund: C5:2026

Der neue Kriterienkatalog des BSI ist seit Frühjahr da, die Übergangsphase wirkt großzügig: Ab dem 1. Juni 2027 müssen neue C5-Prüfungen auf dem Standard von 2026 basieren.

Der Haken steckt in der Prüflogik. Ein Typ-2-Testat betrachtet die Wirksamkeit der Kontrollen über sechs bis zwölf Monate. Wer im Frühjahr 2027 ein Testat nach C5:2026 in der Hand halten will, muss die Kontrollen also jetzt wirksam betreiben — nicht im Januar damit anfangen. Für Anbieter ist das ein Terminproblem, für Nutzer ein Beschaffungsproblem: Fragen Sie Ihre Cloud-Lieferanten im Herbst, auf welchen Katalog ihr nächstes Testat lautet und in welchem Zeitraum geprüft wird.

Unsere dreiteilige Serie dazu: Teil 1 — Relevanz und Änderungen, Teil 2 — Kriterienkatalog und Standard-Verwandtschaft, Teil 3 — Prüfungen, Testate, Vorgehen. Und wer den Sommer über mitgemacht hat, findet die Bilanz unseres Sommer-Sprints Cloud-Sicherheit mit zehn Quick Wins zum Nacharbeiten.

Und die KI-Verordnung? Verschoben ist nicht aufgehoben

Der Digital Omnibus hat die Hochrisiko-Pflichten des AI Act nach Anhang III auf den 2. Dezember 2027 und nach Anhang I auf den 2. August 2028 verschoben. Viele Geschäftsführungen haben das als Entwarnung gelesen. Sie ist keine.

Die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026 — wer einen Chatbot, einen Sprachassistenten oder KI-generierte Inhalte einsetzt, muss das kenntlich machen. Die KI-Kompetenzpflicht nach Art. 4 gilt seit Februar 2025, die verbotenen Praktiken ebenso. Zum 2. Dezember 2026 kommt ein neues Verbot für Systeme zur Erzeugung von NCII- und CSAM-Material hinzu. Und die Risikoklassifizierung Ihrer Systeme hängt von keiner harmonisierten Norm ab: Ob Sie ein Hochrisikosystem betreiben, können und sollten Sie heute wissen.

Was sich durch die Verschiebung ändert, ist der Zeitplan — nicht der Arbeitsumfang. Was gleich bleibt, ist die Dokumentation. Und wer produktiv mit agentischen Systemen arbeitet, sollte ohnehin nicht auf den Gesetzgeber warten: Agentische KI im Unternehmen — warum Ihr ISMS jetzt einen Agenten-Blick braucht und, zum Stichtag selbst, EU AI Act: Stichtag 2. August 2026.

Der Herbst-Fahrplan auf einer Seite

Neunzig Minuten, die den Herbst retten

Sie brauchen dafür keine Beraterin und kein Projekt. Setzen Sie einen Termin mit sich selbst an und beantworten Sie sieben Fragen schriftlich:

1. Stellen wir Produkte mit digitalen Elementen her oder bringen wir sie unter eigenem Namen in Verkehr? Wenn ja: Wer meldet am 11. September um 23 Uhr?
2. Ermöglichen wir Nutzern Kommunikation oder speichern wir Daten für sie? Wenn ja: Haben wir einen Adressaten benannt und sind wir registriert?
3. Sind wir eine wichtige oder besonders wichtige Einrichtung — und wenn ja, sind wir registriert? Wenn wir zum Ergebnis „nicht betroffen” gekommen sind: Wo liegt die datierte Prüfung?
4. Betreiben wir eine Anlage, die als kritisch eingestuft werden könnte? Wenn ja: Wer in der Geschäftsleitung ist zuständig, und liegt eine Vorabbewertung vor?
5. Wann hat unsere Geschäftsleitung zuletzt an einer Schulung teilgenommen — und wo ist der Nachweis?
6. Auf welchen C5-Stand lauten die Testate unserer Cloud-Lieferanten für 2027?
7. Welche KI-Systeme laufen bei uns produktiv, und sind sie klassifiziert?

Jede Frage, die Sie mit „weiß nicht” beantworten, ist eine Aufgabe. Jede Aufgabe, die Sie jetzt aufschreiben, ist im Frühjahr keine Überraschung mehr. Das ist der ganze Trick.

regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance — hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.