DSGVO, NIS-2, DORA: Vier Gesetze fordern 25.000 Unternehmen
Veröffentlicht am: 06.08.2026 um 18:14 Uhr | Redaktion boerse-global.de
DSGVO, NIS-2, DORA und KI-Verordnung: Die Regulierungswelle fordert Unternehmen massiv. Die Compliance-Lücken bleiben trotz Fortschritten groß.
Mehrere Gesetze, ein Ziel: Sicherheit
Die Datenschutz-Grundverordnung bildet weiterhin das Fundament. Doch NIS-2-Richtlinie, Digital Operational Resilience Act (DORA) und EU AI Act erweitern die Anforderungen an Governance und IT-Sicherheit erheblich. Für Unternehmen wird die Lage zunehmend unübersichtlich.
Die NIS-2-Richtlinie gilt seit Oktober 2024. In Deutschland konkretisieren das NIS2UmsuCG vom Dezember 2025 und das im Juli 2025 verabschiedete BSIG-E den nationalen Rahmen. Rund 25.000 bis 30.000 Organisationen sind hierzulande direkt betroffen.
Wer betroffen ist und was zu tun ist
Schon ab 50 Mitarbeitern und zehn Millionen Euro Jahresumsatz zählen Unternehmen als „wichtige Einrichtung". Ab 250 Mitarbeitern oder 50 Millionen Euro Umsatz gelten sie als „wesentlich". Die Pflichten: Registrierung beim BSI, Risikomanagement und Meldepflichten bei schwerwiegenden Vorfällen binnen 24 Stunden.
Parallel dazu verlangt DORA seit Januar 2025 von Finanzunternehmen eine unabhängige Kontrollfunktion für IKT-Risiken. Ein zentraler Punkt: IT-Leiter und Informationssicherheitsbeauftragter dürfen nicht in Personalunion besetzt sein. Interessenkonflikte sollen so vermieden werden.
KI bringt neue Risiken ins Spiel
Künstliche Intelligenz stellt das Datenschutzmanagement vor zusätzliche Aufgaben. Ein IMY-Bericht vom Juni 2026 klärt die Rollenverteilung in der KI-Wertschöpfungskette: KI-Anbieter sind Verantwortliche, wenn sie Modelle auf eigene Initiative optimieren. Tun sie das im Kundenauftrag, gelten sie als Auftragsverarbeiter.
Die Praxis zeigt jedoch deutliche Schwächen. Der Kiteworks-Report 2026 gibt Europa bei klassischer Datensicherheit 40 von 100 Punkten – bei der KI-Kontrolle nur 33. 57 Prozent der europäischen Führungskräfte meldeten bereits Datenschutzverstöße im eigenen Unternehmen. 29 Prozent sorgen sich um die Einhaltung der KI-Regeln. Experten warnen vor „Shadow AI" und Angriffen auf KI-Modelle, die eigenständig IT-Schwachstellen ausnutzen.
Welche Systeme als Hochrisiko eingestuft werden und welche konkreten Pflichten die EU-KI-Verordnung für Unternehmen vorsieht, ist vielen Verantwortlichen noch unklar. Dieser kostenlose Report verschafft Ihnen den nötigen Überblick über Fristen und Risikoklassen. EU AI Act in 5 Schritten verstehen
EuGH schafft Klarheit bei Auskunftsersuchen
Ein Urteil vom 19. März 2026 (C-526/24) präzisiert den Umgang mit Auskunftsersuchen nach Art. 15 DSGVO. Auch erstmalige Anfragen können als „exzessiv" gelten, wenn sie nachweislich der Konstruktion von Schadensersatzansprüchen dienen. Die Beweislast liegt beim Unternehmen. Entscheidend sind Zweck des Ersuchens, zeitlicher Abstand und das Gesamtverhalten der betroffenen Person.
Ein weiteres Spannungsfeld: DSGVO versus GoBD. Während die GoBD revisionssichere Speicherung steuerlich relevanter Dokumente verlangt, begrenzt die DSGVO die Speicherdauer personenbezogener Daten. Automatisierte, manipulationssichere Archivierung wird daher zum Standard – sonst drohen steuerliche Nachteile oder Bußgelder.
Fachkräftemangel verschärft die Lage
Die Umsetzung scheitert oft an fehlendem Personal. Im dritten Quartal 2025 fehlten in Deutschland rund 109.000 IT-Fachkräfte, davon 8.500 im Bereich Cybersicherheit. Viele Unternehmen setzen deshalb auf externe Datenschutzbeauftragte oder Managed Services.
Wer die komplexen Anforderungen der neuen Regulierungen ohne hohe Investitionen in die eigene IT-Abteilung erfüllen möchte, benötigt proaktive Strategien. Das kostenlose E-Book zeigt auf, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen rechtssicher erfüllen. IT-Sicherheit stärken und Unternehmen schützen
Kritisch bleibt auch das Thema Bring Your Own Device (BYOD). 71 Prozent der Berufstätigen nutzen private Geräte, aber nur 27 Prozent der Unternehmen erlauben das formell. Fehlen klare Richtlinien und Schutzmaßnahmen wie Mobile Device Management oder Multi-Faktor-Authentifizierung, drohen Verstöße gegen NIS-2 und DSGVO.
Immerhin: Der Europäische Datenschutzausschuss (EDPB) hat Anfang August eine Konsultation über eine gemeinsame Vorlage für die Meldung von Datenschutzverletzungen abgeschlossen. Eine einheitliche Meldestruktur in der EU könnte die Compliance künftig spürbar erleichtern.
