Compliance-Kalender für Software 2026–2028: AI Act, CRA, NIS2, Data Act, E-Rechnung und mehr

Kurz gesagt (Stand: November 2026). Die nächsten Fristen für Unternehmen, die in Deutschland und der EU Software entwickeln oder betreiben: 2. Dezember 2026 – KI-generierte Inhalte aus Systemen, die schon auf dem Markt sind, müssen gekennzeichnet sein (AI Act); 9. Dezember 2026 – Software gilt als Produkt nach der neuen EU-Produkthaftungsrichtlinie; 1. Januar 2027 – Unternehmen mit mehr als 800.000 € Umsatz müssen E-Rechnungen ausstellen; 12. Januar 2027 – Wechselentgelte für Cloud-Dienste entfallen (Data Act); 2. Dezember 2027 – Hochrisiko-KI nach Anhang III; 11. Dezember 2027 – der Cyber Resilience Act gilt vollständig; 1. Januar 2028 – E-Rechnung für alle Unternehmen; 2. August 2028 – Hochrisiko-KI in regulierten Produkten. Die Meldepflicht des CRA (seit 11. September 2026), NIS2 in Deutschland (seit 6. Dezember 2025), die Barrierefreiheit (seit 28. Juni 2025) und DORA (seit 17. Januar 2025) gelten bereits.

Wir aktualisieren diesen Kalender jedes Quartal. Jedes Datum verweist auf die Regelung oder eine amtliche Quelle und, wo vorhanden, auf unseren ausführlichen Leitfaden. Der Kalender ist ein Überblick und ersetzt keine Rechtsberatung.

Fristen ab November 2026

Was bereits gilt

Welche Regeln gelten für Ihre Software?

Die meisten Unternehmen betreffen drei bis fünf dieser Gesetze gleichzeitig. Am schnellsten finden Sie Ihre, wenn Sie bei dem ansetzen, was Sie verkaufen, nicht bei der Regelung.

Die Regelungen im Überblick

AI Act

Verbote (seit Februar 2025) und Regeln für KI-Modelle mit allgemeinem Verwendungszweck (seit August 2025) gelten bereits, seit dem 2. August 2026 auch die Transparenzpflichten: offenlegen, dass Nutzer mit einer KI sprechen, Deepfakes kennzeichnen, erzeugte Inhalte markieren. Der Digital Omnibus zur KI (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat die Hochrisiko-Pflichten auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I) verschoben und die Regeln für KMU und kleine Midcaps erleichtert. In Deutschland ist die Bundesnetzagentur zuständig. Was zu tun ist: KI-Systeme erfassen, KI-Ausgaben jetzt kennzeichnen, Hochrisiko-Einsätze vor Dezember 2027 einstufen. Unser Leitfaden: Der EU AI Act und KI-Agenten 2026.

Cyber Resilience Act

Hersteller von Software und vernetzten Produkten, die in der EU verkauft werden, müssen seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die ENISA-Plattform melden, auch für Bestandsprodukte. Ab dem 11. Dezember 2027 folgen SBOM, eine Richtlinie zur Offenlegung von Schwachstellen und mindestens fünf Jahre Sicherheitsupdates. Individualsoftware ist erfasst; Hersteller ist, wer sie unter eigenem Namen vermarktet. Unser Leitfaden: Meldepflichten nach dem Cyber Resilience Act.

NIS2 in Deutschland

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Es erfasst rund 29.500 Unternehmen in 18 Sektoren, darunter Cloud-Anbieter, Rechenzentren, Managed (Security) Service Provider und digitale Plattformen: „wichtige Einrichtungen“ ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme. Sie müssen sich beim BSI registrieren (Frist: drei Monate nach Inkrafttreten; wer sie verpasst hat, sollte sich jetzt registrieren), Cybersicherheitsrisiken managen – die Geschäftsleitung haftet persönlich – und Vorfälle binnen 24 Stunden, 72 Stunden und einem Monat melden. Was zu tun ist: Größe und Sektor prüfen, registrieren, Risikomanagement dokumentieren.

Data Act

Der Data Act gilt seit dem 12. September 2025. Vernetzte Produkte und verbundene Dienste, die seit dem 12. September 2026 in Verkehr gebracht werden, müssen Nutzern den Zugang zu ihren Daten per Design ermöglichen. Ab dem 12. Januar 2027 dürfen Cloud- und SaaS-Anbieter keine Wechselentgelte mehr verlangen, und ab dem 12. September 2027 gelten die Regeln gegen unfaire Klauseln auch für ältere langfristige Verträge. Was zu tun ist: Datenexport und APIs bauen, Wechsel und Datenausleitung planen, B2B-Bedingungen prüfen.

E-Rechnung und ViDA

Seit 2025 müssen alle Unternehmen E-Rechnungen empfangen; ausstellen müssen sie ab 2027 bei mehr als 800.000 € Umsatz und ab 2028 alle. Ab Juli 2030 bringt ViDA E-Rechnung und digitale Meldung für grenzüberschreitende B2B-Umsätze. Unser Leitfaden: E-Rechnung 2027: Checkliste für Ihr ERP.

Produkthaftung

Die neue Produkthaftungsrichtlinie behandelt Software und KI als Produkte – installiert, eingebettet oder als Dienst bereitgestellt. Ein Produkt kann fehlerhaft sein, weil ihm ein Sicherheitsupdate fehlt, und Gerichte können Hersteller zur Offenlegung von Beweismitteln verpflichten. Sie gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden; der deutsche Umsetzungsentwurf hat im Oktober 2026 den Rechtsausschuss des Bundestags passiert. Was zu tun ist: Updates und Unterstützungszeitraum dokumentieren, Haftungsgrenzen und Versicherung prüfen.

Barrierefreiheit

Seit dem 28. Juni 2025 verlangt das Barrierefreiheitsstärkungsgesetz (BFSG) barrierefreie Onlineshops, Bankdienste, E-Books, Apps und andere Verbraucherdienste; Kleinstunternehmen, die Dienstleistungen erbringen, sind ausgenommen. Was zu tun ist: WCAG 2.1 AA (EN 301 549) erfüllen und eine Erklärung zur Barrierefreiheit veröffentlichen.

eIDAS 2

Die Mitgliedstaaten müssen bis Ende 2026 eine EU-Brieftasche für die digitale Identität anbieten; Deutschland plant seine ab Januar 2027. Etwa ein Jahr später müssen regulierte private Dienste mit starker Authentifizierung sie akzeptieren. Was zu tun ist: Anmeldung und Identitätsprüfung mit der Brieftasche planen, wenn Sie einen solchen Dienst betreiben.

DORA

DORA gilt seit dem 17. Januar 2025 für Banken, Versicherer, Wertpapierfirmen und andere Finanzunternehmen. Software- und Cloud-Zulieferer werden nicht direkt beaufsichtigt, sofern sie nicht als kritisch eingestuft sind, aber ihre Verträge müssen Prüfrechte, Zusammenarbeit bei Vorfällen und Ausstiegspläne enthalten, und Kunden müssen sie in ihrem Informationsregister führen. Was zu tun ist: einen DORA-Vertragsanhang bereithalten.

Gesundheitssoftware

Der Europäische Gesundheitsdatenraum gilt ab dem 26. März 2027; EHR-Systeme müssen Patientenkurzakten und E-Rezepte ab 2029 unterstützen, Bilder, Laborbefunde und Entlassberichte ab 2031. In Deutschland ist die elektronische Patientenakte (ePA) seit Oktober 2025 für Leistungserbringer verpflichtend, und das Umsetzungsgesetz zum EHDS lag im Herbst 2026 im Parlament. Software als Medizinprodukt muss die Übergangsregeln der MDR je nach Klasse bis Ende 2027 oder 2028 verlassen. Was zu tun ist: FHIR-basierte Austauschformate nutzen und die EHR-Konformität für 2029 planen.

Noch in Verhandlung

Diese Vorschläge könnten Fristen oder Pflichten oben ändern. Stand November 2026 ist keiner davon geltendes Recht:

• Digital Omnibus zu Daten und Datenschutz (Vorschlag der Kommission vom November 2025): Änderungen an DSGVO und Cookie-Regeln, etwa Ausnahmen von der Einwilligung für Reichweitenmessung; Rat und Parlament hatten sich nicht geeinigt.
• Gezielte Änderungen an NIS2 und eine gemeinsame EU-Meldestelle (vorgeschlagen im Januar 2026).
• Änderungen am Data Act im Digital Omnibus, darunter Erleichterungen beim Wechsel.
• Reform des deutschen Produkthaftungsgesetzes (Umsetzung der Richtlinie): Schlussabstimmung im Bundestag ausstehend.
• PSD3 und Zahlungsdiensteverordnung: politische Einigung 2026, Geltung voraussichtlich etwa 21 Monate nach Veröffentlichung.
• Überarbeitung von MDR und IVDR, vorgeschlagen im Dezember 2025.

So nutzen Sie den Kalender

1. Finden Sie Ihre Zeilen: Beginnen Sie bei dem, was Sie verkaufen (Abbildung 2), und markieren Sie die Regelungen, die gelten.
2. Benennen Sie je Regelung eine verantwortliche Person mit einem Termin in Ihrer Roadmap, deutlich vor der gesetzlichen Frist.
3. Bringen Sie die technische Arbeit ins Produkt-Backlog: SBOM und Meldeprozess (CRA), Datenexport (Data Act), Kennzeichnung (AI Act), E-Rechnungsformate, Barrierefreiheit.
4. Prüfen Sie Verträge mit Zulieferern und Kunden: DORA-Anhänge, Zuständigkeiten nach dem CRA, Bedingungen nach dem Data Act, Haftungsgrenzen.
5. Schauen Sie jedes Quartal wieder vorbei: Wir aktualisieren diese Seite, wenn sich Fristen oder Vorschläge ändern.

Wie wir helfen

SDH entwickelt und betreibt Software für Unternehmen in Deutschland und der EU, von ERP- und Buchhaltungsintegrationen bis zu Systemen für Gesundheitswesen, Finanzen und Logistik. Wir verankern Compliance in Architektur und Delivery-Pipeline: Security und Compliance by Design, Managed DevOps mit SBOM und Schwachstellenüberwachung, digitale Souveränität für Hosting in der EU und CTO as a Service, um aus diesem Kalender eine Roadmap zu machen. Sprechen Sie uns an, wenn Sie klären möchten, welche Regeln für Ihr Produkt gelten.

FAQ

Welche EU-Regelungen betreffen Softwareunternehmen 2027?

Die wichtigsten sind der AI Act (Hochrisiko-Pflichten ab 2. Dezember 2027), der Cyber Resilience Act (vollständige Geltung ab 11. Dezember 2027), der Data Act (Ende der Wechselentgelte für Cloud-Dienste am 12. Januar 2027), die neue Produkthaftungsrichtlinie (für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden) und in Deutschland die E-Rechnungspflicht für Unternehmen mit mehr als 800.000 € Umsatz ab 1. Januar 2027.

Ab wann gelten die Hochrisiko-Pflichten des AI Act?

Nach dem Digital Omnibus zur KI ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für KI in Produkten nach Anhang I. Die Transparenzpflichten gelten seit dem 2. August 2026.

Gilt NIS2 in Deutschland schon?

Ja. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Betroffene Unternehmen mussten sich binnen drei Monaten beim BSI registrieren und müssen Vorfälle binnen 24 Stunden, 72 Stunden und einem Monat melden.

Gilt die Produkthaftungsrichtlinie für Software?

Ja. Nach der Richtlinie (EU) 2024/2853 sind Software und KI-Systeme Produkte, auch wenn sie als Dienst bereitgestellt werden. Sie gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden.

Wie oft wird der Kalender aktualisiert?

Jedes Quartal und immer dann, wenn sich eine Regelung oder ein Vorschlag auf dieser Seite ändert. Das Datum oben zeigt die letzte Aktualisierung.

Quellen

• Europäische Kommission, AI Omnibus enters into force, Juli 2026
• Verordnung (EU) 2024/2847 (Cyber Resilience Act)
• BSI, NIS-2-Umsetzungsgesetz in Kraft, Dezember 2025
• Europäische Kommission, Data Act
• Richtlinie (EU) 2024/2853 (Produkthaftung)
• Bundesministerium der Finanzen, FAQ zur E-Rechnung
• Europäische Kommission, VAT in the Digital Age
• § 38 BFSG
• Verordnung (EU) 2024/1183 (eIDAS 2)
• Verordnung (EU) 2022/2554 (DORA)
• Europäische Kommission, Europäischer Gesundheitsdatenraum
• Bundesministerium für Digitales und Staatsmodernisierung, Neues KI-Gesetz tritt in Kraft, Juli 2026

Categories

Über den Autor

Vasyl Kuchma

CEO, Europe Offices & Co-Founder

Vollständiges Profil ansehen

CEO und Mitbegründer von Software Development Hub. Innovationsgetriebener Experte mit mehr als 20 Jahren Erfahrung. Ein Geschäftspraktiker mit Erfahrung in der Gründung und dem Start von Startups, ein Innovator und fortschrittlich denkender Spezialist, der hilft, rohe Ideen in profitable Ergebnisse zu verwandeln. Experte für den Aufbau, die Optimierung und die Automatisierung von Geschäftsprozessen für KMU. Er weiß alles über Startups, Wirtschaft, KI- und Techniktrends, digitale Transformation, Krisenmanagement und Unternehmenssoftwareentwicklung.

Vollständiges Profil ansehen