Auf dieser Seite
Was ist heute Gesetz, und was ist noch ein Vorschlag?
Im November 2025 legte die Europäische Kommission zwei Vorschläge vor und nannte sie zusammen den digitalen Omnibus. Ein Omnibus ist ein einziges Gesetzespaket, das viele Gesetze auf einmal ändert, um sie aufzuräumen. Der erste Vorschlag änderte die KI-Verordnung. Der zweite änderte die Regeln zu personenbezogenen Daten und zur Meldung von Vorfällen, und er zog Cookies in dasselbe Gesetz.
Der KI-Vorschlag kam schnell voran. Er trat am 27. Juli 2026 in Kraft. Dieser Teil ist Gesetz.
Der Datenvorschlag geht langsamer. Bis September waren in den Ausschüssen des Europäischen Parlaments mehr als 1’750 Änderungsanträge eingereicht worden. Berichten zufolge legte der Rat der EU, der für die Mitgliedstaaten spricht, am 21. Oktober 2026 seine eigene Position fest. Soweit die öffentlichen Unterlagen zeigen, haben die beiden Seiten noch nicht begonnen, über einen gemeinsamen Text zu verhandeln, und ein Abstimmungstermin ist nicht bekannt. Nichts im Datenvorschlag ist Stand 28.10.2026 Gesetz.
Bis ein Vorschlag Gesetz wird, gilt die alte Regel.
Was ist der digitale Omnibus?
Was der digitale Omnibus ist.
Ein Paket der Kommission, das die digitalen Regeln der EU vereinfachen soll. Es besteht aus zwei Vorschlägen: einem zur KI-Verordnung, inzwischen angenommen, und einem zu Daten und Vorfallmeldungen, noch in Verhandlung. Das Ziel der Kommission ist weniger Papierkram für Unternehmen, besonders für kleinere.
Ein eigenes Paket vom Mai 2025, ebenfalls Omnibus genannt, betrifft Dokumentationspflichten für kleinere Unternehmen. Es ist ein anderer Vorschlag mit einem anderen Zeitplan. Wirf die beiden nicht durcheinander, wenn ein Kunde eines davon zitiert.
Vier Regeln, auf die ein kleines Team stossen kann.
Die meisten kleinen Teams begegnen diesen vieren über einen Kunden, einen Versicherer oder einen Lieferanten. Die Tabelle sagt, was jede Regel ist, wen sie betrifft, welche Termine wichtig sind und was das Vereinfachungspaket zu ändern vorschlägt. Der Stand ist der 28.10.2026.
vier EU-RegelnGesetze und Vorschläge
| Regel | Wen sie betrifft | Wichtige Termine | Was das Paket vorschlägt |
|---|---|---|---|
| Datenschutzrechtdie Datenschutz-Grundverordnung, DSGVO | Jede Organisation, die personenbezogene Daten von Menschen in der EU verarbeitet oder ihnen Dienste anbietet. | Gilt heute. Ein Leck, das Menschen gefährdet, muss der Aufsichtsbehörde innerhalb von 72 Stunden gemeldet werden. | Nur Lecks melden, die voraussichtlich ein hohes Risiko bergen, innerhalb von 96 Stunden. Jedes Leck wird weiterhin festgehalten. Noch nicht Gesetz. |
| KI-Verordnung (AI Act)das EU-Gesetz zur künstlichen Intelligenz | Unternehmen, die KI-Systeme herstellen oder bei der Arbeit nutzen, auch ein Team, das jeden Tag ein KI-Tool nutzt. | Verbote und die Pflicht zur KI-Kompetenz der Mitarbeitenden seit dem 2. Februar 2025. Die meisten anderen Regeln ab dem 2. August 2026. Einsatz mit hohem Risiko ab dem 2. Dezember 2027, KI in regulierten Produkten ab dem 2. August 2028. | Schon Gesetz seit dem 27. Juli 2026: die späteren Termine für hohes Risiko, leichtere Regeln für Small Mid Caps und eine einfachere Pflicht zur KI-Kompetenz der Mitarbeitenden. |
| NIS2-Richtliniedie zweite EU-Richtlinie zur Netz- und Informationssicherheit | Mittlere und grosse Organisationen in 18 kritischen Sektoren, etwa Energie, Verkehr und Gesundheit. Kleinere sind in der Regel nicht erfasst, auch wenn ein Mitgliedstaat einige hinzufügen kann. Erfasste Organisationen müssen die Risiken ihrer Lieferanten steuern. | Die nationalen Gesetze waren bis zum 17. Oktober 2024 fällig. Am 8. Juli 2026 brachte die Kommission vier Mitgliedstaaten wegen Verspätung vor den Gerichtshof der EU. | Eine Meldestelle für Vorfälle, geteilt mit den anderen Gesetzen. Getrennte Änderungen an der NIS2-Richtlinie selbst wurden am 20. Januar 2026 vorgeschlagen. Beides sind Vorschläge. |
| Cyber Resilience Act (CRA)das EU-Gesetz zur Sicherheit von Software und vernetzten Geräten | Hersteller von Software und vernetzten Geräten, die in der EU verkauft werden. Ob Kundenarbeit für eine Agentur zählt, ist eine Frage für die Rechtsberatung. | In Kraft seit dem 10. Dezember 2024. Meldung ausgenutzter Schwachstellen und schwerer Vorfälle seit dem 11. September 2026, beginnend mit einer Frühwarnung innerhalb von 24 Stunden. Volle Anwendung ab dem 11. Dezember 2027. | Vom KI-Teil nicht geändert. Der Datenvorschlag würde seine eine Meldestelle auf der Plattform aufbauen, die für dieses Gesetz schon läuft. |
Was ist die DSGVO?
Was das Datenschutzrecht ist.
Die Datenschutz-Grundverordnung, kurz DSGVO, ist das wichtigste Datenschutzgesetz der EU. Sie legt Regeln für alle fest, die Informationen über identifizierbare Menschen sammeln oder nutzen: Namen, E-Mails, Fotos, Kundenlisten, sogar eine IP-Adresse.
Wenn ein Datenleck Menschen gefährdet, muss das Unternehmen, das für die Daten verantwortlich ist, die Aufsichtsbehörde innerhalb von 72 Stunden informieren. Ein Unternehmen, das Daten nur für einen Kunden verarbeitet, etwa eine Agentur, muss diesen Kunden informieren.
Was ist ein Small Mid Cap?
Was ein Small Mid Cap ist.
Die EU sortiert Unternehmen schon nach Grösse: Kleinstunternehmen unter 10 Mitarbeitenden, kleine unter 50, mittlere unter 250. Ein Small Mid Cap liegt knapp über mittel. Die neuen Regeln weiten die leichtere Behandlung, die kleine Unternehmen bekommen, auf diese Firmen aus.
Die genaue Grenze unterscheidet sich je nach Gesetz und wurde noch festgelegt. Im getrennten Vorschlag zu den Dokumentationspflichten schlug die Kommission weniger als 750 Mitarbeitende vor, das Parlament verlangte weniger als 1’000. Ein Team von zehn oder dreissig ist in jeder Fassung ein kleines Unternehmen.
Was das Vereinfachungspaket ändern würde.
Zwei Listen, getrennt gehalten. Die erste enthält, was der KI-Teil schon geändert hat, weil er angenommen ist. Die zweite enthält, was der Datenteil vorschlägt, und nichts davon bindet bisher jemanden.
das VereinfachungspaketGesetz und Vorschläge
Gesetz, in Kraft seit dem 27. Juli 2026
- Die Regeln für KI-Einsatz mit hohem Risiko beginnen am 2. Dezember 2027. Die Regeln für KI, die in regulierte Produkte eingebaut ist, beginnen am 2. August 2028.
- Die leichteren Regeln, die kleine Unternehmen bekommen, reichen jetzt auch bis zu Small Mid Caps.
- Die Pflicht, Mitarbeitende beim Verständnis der KI zu unterstützen, die sie nutzen, ist einfacher, und die Kommission und die Mitgliedstaaten übernehmen dabei eine stärkere Rolle.
Noch ein Vorschlag, kein Gesetz
- Eine Stelle, um einen Vorfall zu melden, statt einer pro Gesetz. Die Kommission erwartet, dass sich der Meldeaufwand für die meisten Organisationen etwa halbiert. Berichten über die Position des Rats zufolge will er eine Anlaufstelle in jedem Mitgliedstaat, dazu eine Informationsstelle auf EU-Ebene.
- Die Datenschutzaufsicht nur über Lecks informieren, die voraussichtlich ein hohes Risiko bergen, innerhalb von 96 statt 72 Stunden. Jedes Leck wird weiterhin festgehalten.
- Cookies: eine Möglichkeit, alle mit einem einzigen Schritt abzulehnen, Browser-Einstellungen, die mindestens sechs Monate respektiert werden, und eine Ausnahme für Verwendungen mit geringem Risiko wie das Zählen von Besuchen.
- Ein Unternehmen darf KI mit personenbezogenen Daten trainieren, gestützt auf «berechtigtes Interesse», und die Person behält ein unbedingtes Widerspruchsrecht.
- Drei Datengesetze werden im Data Act zusammengeführt, sodass es ein Regelwerk für nicht personenbezogene Daten gibt statt drei.
Der Vorschlag definiert auch «personenbezogene Daten» neu. Informationen, die so unkenntlich gemacht wurden, dass sich kein Name daraus lesen lässt, würden für einen Empfänger, der die Person nicht identifizieren kann, nicht mehr als personenbezogene Daten gelten. Die Datenschutzaufsichtsbehörden der EU unterstützen in einer gemeinsamen Stellungnahme vom 11. Februar 2026 die Schwelle für hohes Risiko und die 96 Stunden. Sie fordern die Gesetzgeber nachdrücklich auf, die neue Definition nicht anzunehmen.
Berichten über seine Position vom Oktober zufolge will der Rat die Schwelle für hohes Risiko und die 96 Stunden beibehalten und eine EU-weite Anlaufstelle durch eine pro Land ersetzen. Die Ausschüsse des Parlaments haben noch nicht abgestimmt. Rechne damit, dass sich der Text noch einmal ändert, bevor etwas angenommen wird.
Wenn du aus der Schweiz arbeitest.
Die Schweiz gehört nicht zur EU, und die DSGVO ist für die Schweiz nicht bindend. Das Schweizer Recht hat eigene Regeln: das revidierte Datenschutzgesetz (DSG), seit dem 1. September 2023 in Kraft und so geschrieben, dass es zu den Standards der EU und des Europarats passt.
Eine Schweizer Agentur kann die EU-Regel trotzdem zu spüren bekommen. Ein EU-Unternehmen, das personenbezogene Daten an einen Dienstleister ausserhalb der EU weitergibt, muss diesen Dienstleister vertraglich binden, sodass die EU-Pflichten in deinem Kundenvertrag ankommen. Und ein Unternehmen, das Menschen in der EU Dienste anbietet, fällt direkt unter das EU-Recht, egal welche Nationalität es hat und davon, ob diese Menschen zahlen.
Auf welche Seite deine eigene Arbeit fällt, hängt von den Fakten jedes Kunden ab. Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.
Was du diesen Monat tun kannst.
Nichts davon braucht ein neues Tool. Es braucht einen Nachmittag und eine Person, die sich darum kümmert.
- Schreib auf, welche personenbezogenen Daten von Kunden du hast, wo sie liegen und wer sie öffnen kann. Ein Kunde, der fragt, will zuerst diese Liste.
- Halte einen einseitigen Plan für ein Datenleck auf Papier fest: wer entscheidet, wer den Kunden informiert, wer festhält, was passiert ist. Kunden, die einer Aufsichtsbehörde melden müssen, arbeiten heute mit einer Frist von 72 Stunden, deshalb wollen sie deine Nachricht schnell.
- Wenn du Software oder vernetzte Geräte verkaufst, frag einen Anwalt, ob dich der Cyber Resilience Act zum Hersteller macht. Wenn ja, gilt die Meldung ausgenutzter Schwachstellen schon.
- Liste die KI-Tools auf, die dein Team nutzt, und schreib zwei Zeilen Regeln für die Mitarbeitenden: was hineinkommen darf und was nicht.
- Bewahre einen datierten Nachweis deiner Mac-Einstellungen auf, etwa Festplattenverschlüsselung, Bildschirmsperre und Updates. Kunden und Versicherer fragen oft danach.
Cybee hilft bei Teilen der letzten beiden. Es führt einen datierten Nachweis technischer Kontrollen auf den Macs, auf denen es läuft, und es listet die KI-Assistenten auf, die es auf jedem Mac findet. Das gibt dir Fakten für eine Kundenfrage. Es sorgt nicht dafür, dass ein Unternehmen eines dieser Gesetze einhält, und keines der vier gehört zu den zehn Frameworks, denen Cybee Mac-Einstellungen zuordnet.
Eine ausgearbeitete Antwort auf die Fragen eines Kunden zu deinen Macs findest du in So beantwortest du den Sicherheitsfragebogen eines Kunden. Wenn ein Kunde einen Prüfbericht verlangt, erklärt Braucht deine Agentur SOC 2?, was das bedeutet.
Was du dir merken solltest.
Bevor du einem Kunden eine Regel nennst, prüfe, ob sie Gesetz oder Vorschlag ist, und schreib das Datum daneben. Die Regeln in diesem Bereich ändern sich von Monat zu Monat, und eine datierte Notiz zeigt, dass du geprüft hast. Wo viel auf dem Spiel steht, frag einen Anwalt.
Quellen.
Von Cybee für kleine Teams geschrieben, aus offiziellen Seiten, die am 28.10.2026 gelesen wurden. Der Stand des Datenvorschlags kann sich jederzeit ändern, prüfe also die Seite des Parlaments, bevor du dich darauf verlässt.
- European Commission: AI Omnibus enters into force
- European Commission: AI Act, regulatory framework
- AI Act Service Desk: timeline of the AI Act
- European Commission: FAQ on the Digital package
- European Commission: An agile digital rulebook for the EU
- European Parliament Legislative Train: the Digital Omnibus proposal
- European Parliament: procedure file 2025/0360(COD)
- Council of the EU: position on the digital rulebook, 21 October 2026
- EDPB and EDPS: Joint Opinion 2/2026 on the Digital Omnibus
- European Parliament: simplified rules for small mid cap companies
- European Commission: SME definition
- European Commission: the NIS2 Directive
- European Commission: the referral of four member states to the Court of Justice over NIS2
- European Commission: the Cyber Resilience Act
- European Commission: Cyber Resilience Act reporting
- ENISA: the CRA single reporting platform is launched
- EDPB: Guidelines 3/2018 on the territorial scope of the GDPR
- Swiss Federal Office of Justice: the revised Data Protection Act
Wenn ein Kunde nach deinen Macs fragt.
Sieh dir eine Beispielantwort an, die Gerätefakten, auf denen sie beruht, und die Fragen, die noch bei deinem Team liegen.
