Kostenloses Tool
EU-Regulierungs-Check: welche Pflichten Ihr Unternehmen treffen
Sechs Fragen, fünf Gesetze, eine Ersteinschätzung: NIS2, AI Act, Cyber Resilience Act, Data Act und die E-Rechnungspflicht prallen 2026 aufeinander. Dieser Check ordnet ein, was Sie betrifft, und verlinkt den jeweiligen Vertiefungsartikel.
Ihr Unternehmen
Ersteinschätzung
EU AI Act
Teilweise / prüfenKI-Kompetenz seit Februar 2025, Transparenz seit August 2026, Hochrisiko ab Dezember 2027 (Anhang III) und August 2028 (Anhang I)Als Betreiber müssen Sie seit Februar 2025 die KI-Kompetenz Ihrer Mitarbeiter fördern (Art. 4); ein bestimmtes Niveau verlangt das Gesetz seit dem 27. Juli 2026 nicht mehr. Für Hochrisiko-Systeme nach Anhang III gelten Betreiberpflichten ab dem 2. Dezember 2027.
VertiefungsartikelE-Rechnungspflicht
Betrifft SieEmpfangspflicht seit 2025, Sendepflicht 2027/28Seit dem 1. Januar 2025 müssen Sie E-Rechnungen empfangen können. Senden müssen Sie sie ab dem 1. Januar 2027, wenn Ihr Gesamtumsatz 2026 über 800.000 Euro lag, sonst ab dem 1. Januar 2028. Per EDI dürfen Sie mit Zustimmung des Empfängers bis zum 31. Dezember 2027 ein anderes Format verwenden.
Vertiefungsartikel
Was dieser Check ist und was nicht
Eine Ersteinschätzung in sechs Fragen, keine Rechtsberatung. Die Schwellen folgen den belegten Fakten der verlinkten Artikel; im Zweifel zählt der Gesetzestext und die Beratung durch eine Kanzlei. Wofür der Check gedacht ist: zu wissen, welche der fünf Baustellen Sie überhaupt haben, bevor Sie Aufwand in die falsche stecken.
Häufige Fragen
Gilt NIS2 auch für kleine Unternehmen?
Meist nicht direkt, aber indirekt: Regulierte Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen und schicken ihren Zulieferern Fragebögen. Wer große Kunden in kritischen Sektoren hat, bekommt NIS2 über deren Anforderungen zu spüren, auch wenn das eigene Unternehmen nicht erfasst ist.
Wann treffen mich die AI-Act-Pflichten?
Die KI-Kompetenz aus Art. 4 gilt für Anbieter und Betreiber schon seit dem 2. Februar 2025; seit dem 27. Juli 2026 verlangt sie Maßnahmen, die die Kompetenz fördern, aber kein garantiertes Niveau. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50: Den Hinweis, dass ein Chatbot eine KI ist, muss der Anbieter einbauen; Betreiber müssen Deepfakes und KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung offenlegen. Wer KI unter eigenem Namen anbietet, trägt die Anbieterpflichten. Für Hochrisiko-Systeme nach Anhang III gelten die Pflichten von Anbietern und Betreibern ab dem 2. Dezember 2027.
Betrifft der CRA reine Software?
Ja, wenn die Software als Produkt auf den EU-Markt kommt; reine Cloud- und SaaS-Angebote fallen grundsätzlich nicht darunter. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung unverzüglich, spätestens 24 Stunden ab Kenntnis; Meldung unverzüglich, spätestens 72 Stunden ab Kenntnis. Alle übrigen Pflichten gelten ab dem 11. Dezember 2027, auch die leichteren für Einführer und Händler.
Was ist die E-Rechnungspflicht konkret?
Empfangen können müssen Sie E-Rechnungen seit Januar 2025, ohne Zustimmung zum Format, auch wenn Sie selbst keine Rechnungen an Unternehmen stellen. Senden müssen Sie sie ab 2027, wenn Ihr Gesamtumsatz im Vorjahr 800.000 Euro überstieg, sonst ab 2028. Per EDI dürfen Sie mit Zustimmung des Empfängers bis zum 31. Dezember 2027 ein anderes Format verwenden. Wer heute noch PDFs als „Rechnung" verschickt, sollte die Umstellung nicht auf das letzte Jahr schieben.
Fünf Baustellen, eine Priorität
Der Check zeigt, was Sie trifft. In welcher Reihenfolge sich die Pflichten für Ihr Unternehmen rechnen, klärt ein Erstgespräch schneller als jede Checkliste.
Erstgespräch buchen