Der deutsche KI-Compliance-Stack 2026: NIS2UmsuCG, KI-VO, DSGVO und CRA

01Warum fünf Rechtsakte ein einziges Thema sind

In den meisten Unternehmen werden KI-Regulierung, Informationssicherheit und Datenschutz von unterschiedlichen Personen bearbeitet. Die KI-VO liegt bei der Rechtsabteilung, das NIS2UmsuCG beim CISO, die DSGVO beim Datenschutzbeauftragten, der Cyber Resilience Act — wenn überhaupt — bei der Produktentwicklung. Diese Aufteilung folgt der Struktur der Gesetzestexte, nicht der Struktur einer Prüfung.

Eine Prüfung fragt nicht nach Rechtsakten, sondern nach Artefakten: Welche Systeme sind im Einsatz? Wer hat sie freigegeben? Welche Daten fließen hinein, welche hinaus, an wen? Wer haftet, wenn das Modell falsch entscheidet? Wie schnell wird eine Schwachstelle gemeldet? Fünf dieser Fragen bedienen fünf Rechtsakte gleichzeitig. Deshalb lohnt sich der Blick auf den Stack statt auf die Einzelnorm — nicht aus juristischer Eleganz, sondern weil ein einziges gepflegtes Register mehrere Nachweispflichten zugleich bedient.

02Die fünf Ebenen des Stacks im Überblick

Die folgende Tabelle ordnet die Rechtsakte nach ihrem Regelungsgegenstand statt nach ihrer Chronologie. Sie beantwortet die Frage, die in Projekten tatsächlich gestellt wird: Wofür bin ich zuständig, und wer schaut mir dabei zu?

Zwei Dinge fallen auf. Erstens: Kein Rechtsakt adressiert „KI" als Ganzes — jeder greift an einer anderen Stelle desselben Systems an. Zweitens: Die Aufsicht ist verteilt. Es gibt in Deutschland keine Behörde, die den gesamten Stack prüft, aber jede einzelne Behörde kann Belege verlangen, die aus einer anderen Ebene stammen.

03Welche Fristen 2026 und 2027 tatsächlich gelten

Rund um KI-Regulierung kursieren mehr Termine als Pflichten. Ein Teil davon sind Fristen für harmonisierte Normen — also Termine für Normungsgremien, nicht für Unternehmen. Die folgende Tabelle enthält ausschließlich Daten, an denen sich für Betreiber oder Anbieter etwas ändert.

04Betroffenheitsprüfung: Bin ich überhaupt gemeint?

Die häufigste Fehlannahme im Mittelstand lautet: „Wir sind kein KRITIS-Betreiber, also betrifft uns NIS2 nicht." Das NIS2UmsuCG kennt die Kategorien „besonders wichtige Einrichtung" und „wichtige Einrichtung", und beide reichen deutlich über die klassische KRITIS-Definition hinaus. Entscheidend ist die Kombination aus Sektor, Unternehmensgröße und — praktisch am wichtigsten — der Position in der Lieferkette eines betroffenen Unternehmens.

Der letzte Punkt trifft KI-Anbieter besonders. Ein Anbieter, der selbst nicht unter das Gesetz fällt, wird dennoch geprüft — nämlich durch seinen Kunden, der die Sicherheit seiner Lieferkette nachweisen muss. Diese vertraglich weitergereichte Pflicht ist der Regelfall, nicht die Ausnahme.

Drei oder mehr Ja-Antworten bedeuten in aller Regel: Der Stack ist relevant, und die Frage ist nicht mehr ob, sondern in welcher Reihenfolge die Nachweise aufgebaut werden.

05Welche Artefakte mehrere Pflichten gleichzeitig belegen

Der wirtschaftliche Kern dieses Textes steckt in dieser Tabelle. Sie zeigt, welche Dokumente in mehr als einer Prüfung verwendet werden können — und damit, wo sich Aufwand verzinst.

06In welcher Reihenfolge der Aufbau sinnvoll ist

Die Reihenfolge ergibt sich aus Abhängigkeiten, nicht aus Fristen. Ohne Register lässt sich keine Betroffenheit bestimmen; ohne Betroffenheit lässt sich kein Meldeprozess dimensionieren; ohne Meldeprozess ist die Lieferantenprüfung ein Fragebogen ohne Konsequenz.

Diese Reihenfolge ist bewusst unspektakulär. Sie beginnt nicht mit der Technologie, sondern mit der Frage, was über die Technologie bekannt ist. In den kommenden Wochen vertiefen wir jeden dieser Schritte in eigenen Beiträgen — beginnend mit den Nachweispflichten nach NIS2UmsuCG und der Frage, was das BSI konkret sehen will.

Häufige Fragen