Dies ist die erste Ausgabe von Compliance Delta. Der Dienst verfolgt Änderungen an NIS-2, DORA, dem Cyber Resilience Act und dem EU AI Act und ordnet sie dort ein, wo sie Arbeit verursachen: an den konkreten Anforderungen, die Sie bereits umgesetzt haben. Jeder Vorgang wird nach demselben Schema behandelt, einschließlich der Frage, ob überhaupt etwas zu tun ist.
Die betroffenen Anforderungen werden über Bezeichner des Brain-Media Audit Model benannt, etwa NIS2-023-MELDUNG. Diese Bezeichner sind stabil und dauerhaft auflösbar, so wie CVE-Nummern einzelne Schwachstellen benennen.
Auf einen Blick
Sofort: Die CRA-Meldepflichten sind seit heute anwendbar und erfassen auch Bestandsprodukte.
Zeitnah: Rund 12.000 nach BSIG registrierungspflichtige Einrichtungen sind weiterhin nicht registriert.
Nur Umplanung: Die Omnibus-Verordnung verschiebt Fristen im AI Act, ändert aber keine inhaltliche Anforderung.
Vorgang 1: CRA-Meldepflichten sind anwendbar
Was ist passiert. Mit dem heutigen Tag gilt Art. 14 der Verordnung (EU) 2024/2847. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in drei Stufen melden: Frühwarnung binnen 24 Stunden nach Kenntniserlangung, technische Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen nach Verfügbarkeit einer Abhilfemaßnahme beziehungsweise binnen eines Monats bei schwerwiegenden Vorfällen.
Verfahrensstand. Anwendbar. Kein Entwurf, keine Übergangsfrist.
Was daran häufig übersehen wird. Art. 69 Abs. 3 CRA erstreckt die Meldepflicht ausdrücklich auf Produkte, die vor dem heutigen Tag in Verkehr gebracht wurden. Ein Router aus 2022, eine seit Jahren ausgelieferte Firmware, eine Steuerung im Feld: alles erfasst. Die verbreitete Annahme, die Pflicht gelte erst für Produkte ab September 2026, ist falsch.
Der zweite Punkt betrifft den Meldeweg. Meldungen laufen ausschließlich über die Single Reporting Platform der ENISA. Eine E-Mail an eine nationale Behörde erfüllt die Pflicht nicht. Nach Art. 14 Abs. 7 CRA bestimmt sich das zuständige koordinierende CSIRT nach der Hauptniederlassung des Herstellers.
Die Plattform geht am selben Tag in Betrieb, an dem die Pflicht beginnt. Anfang September war sie noch nicht erreichbar und es lag keine öffentliche Adresse vor. Eine Programmierschnittstelle steht zum Start nicht bereit, Meldungen erfolgen über ein Webformular. Die automatisierte Übergabe aus dem eigenen Schwachstellenmanagement scheidet damit vorerst aus. Freiwillige Meldungen schaltet die ENISA erst nach dem heutigen Tag frei.
Bußgeldrahmen. Art. 64 Abs. 2 CRA sieht für Verstöße gegen die Meldepflicht bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Damit steht ein Meldeversäumnis auf derselben Stufe wie das Inverkehrbringen eines unsicheren Produkts.
Betroffene Anforderungen.
| Bezeichner | Gegenstand | Delta |
|---|---|---|
CRA-002a-CVE | CVE-Prozess mit ENISA-Meldepflicht | Bewertung erneut prüfen |
CRA-002c-CVD | Coordinated Vulnerability Disclosure | Bewertung erneut prüfen |
CROSS-INCIDENT-001 | Harmonisierter Meldeprozess über alle Rechtsakte | Bewertung erneut prüfen |
Einordnung. Wer diese drei Anforderungen bisher als erfüllt bewertet hat, sollte die Bewertung erneut prüfen. Der Grund ist nicht der Prozess selbst, sondern die Zuordnung: Registrierung auf der Plattform, benanntes koordinierendes CSIRT, Herstellerrolle im Sinne des CRA und die Frage, wer am Wochenende innerhalb von 24 Stunden entscheidet. Diese vier Punkte entscheiden über die Einhaltung der Frist, nicht die technische Erkennung.
Vier Fragen für heute
Wer erklärt eine Schwachstelle für aktiv ausgenutzt? Wer entscheidet innerhalb von 24 Stunden über die Meldung? Wer hat Zugang zur Meldeplattform, und zwar mehr als eine Person? Und wer übernimmt das am Wochenende? Wenn eine dieser Fragen offen ist, ist das kein Compliance-Problem, sondern ein Organisationsproblem.
Vorgang 2: NIS-2-Registrierung, aktueller Stand
Was ist passiert. Das BSI hat den Registrierungsstand nach § 33 BSIG aktualisiert. Bis zum 30. Juni 2026 waren 17.729 Einrichtungen im BSI-Portal registriert, davon 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Von den besonders wichtigen Einrichtungen sind 1.342 zugleich KRITIS. Einschließlich der Registrierungen von Nebenniederlassungen und grenzüberschreitender Registrierungen liegt die Gesamtzahl bei 17.945. Die nächste Aktualisierung ist für den 31. Oktober 2026 angekündigt.
Verfahrensstand. Geltendes Recht. Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten, die Registrierungsfrist lief am 6. März 2026 ab. Materielle Übergangsfristen gibt es nicht.
Einordnung. Gemessen an den rund 29.500 Einrichtungen, die der Gesetzgeber als betroffen annimmt, fehlen etwa 12.000 Registrierungen. Die Quote liegt damit bei knapp 60 Prozent und ist deutlich besser, als die Zahlen aus dem Frühjahr vermuten ließen. Das relativiert die verbreitete Erzählung vom Totalausfall, ändert aber nichts an der Lage der Nachzügler.
Die Nichtregistrierung ist ein eigenständiger Bußgeldtatbestand nach § 65 BSIG. Wichtiger als das Bußgeld ist in der Praxis die Signalwirkung: Wer sich jetzt nachträglich registriert, dokumentiert Kooperationsbereitschaft. Wer bis zur nächsten Veröffentlichung Ende Oktober wartet, hat dieses Argument nicht mehr.
Betroffene Anforderungen. Keine. Die Registrierungspflicht selbst ist im Modell derzeit nicht als eigenes Objekt geführt, sondern Teil von NIS2-900-UMSETZUNGSPLAN. Das wird in einer der nächsten Modellversionen als eigenes Objekt nachgezogen.
Vorgang 3: Omnibus-Verordnung verschiebt die Hochrisiko-Fristen
Was ist passiert. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, die Digital-Omnibus-Verordnung zur KI, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Sie ändert die KI-Verordnung (EU) 2024/1689 und verschiebt den Geltungsbeginn der Pflichten für Hochrisiko-KI-Systeme: auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für KI, die in regulierte Produkte nach Anhang I eingebettet ist.
Verfahrensstand. Geltendes Recht. Die Verordnung trat abweichend von der üblichen Frist bereits am dritten Tag nach ihrer Veröffentlichung in Kraft, sechs Tage vor dem ursprünglichen Hochrisiko-Stichtag am 2. August 2026. Wäre die Veröffentlichung gescheitert, wären die Anhang-III-Pflichten unverändert anwendbar geworden.
Delta-Einordnung: keine Anforderung hat sich geändert. Das ist der entscheidende Punkt. Verschoben wurde ausschließlich der Zeitpunkt, ab dem die Pflichten durchsetzbar sind. Inhaltlich bleiben Risikomanagement, technische Dokumentation, Logging und menschliche Aufsicht, was sie waren.
Für BAM bedeutet das: Objekte wie AIACT-012-LOGGING, AIACT-014-OVERSIGHT und AIACT-026-BETREIBER bleiben unverändert. Wer sie als offen bewertet hat, hat mehr Zeit, aber keine geringere Aufgabe. Betroffen ist allein die Terminplanung, geführt in AIACT-900-OMNIBUS-FRIST.
Zwei Dinge, die in der Verschiebungsdebatte untergehen. Die Transparenzpflichten nach Art. 50 KI-VO sind vom Omnibus nicht erfasst und seit dem 2. August 2026 anwendbar. Und die Pflicht zur KI-Kompetenz nach Art. 4 wurde abgeschwächt: Statt sicherzustellen, ist die Kompetenz des Personals nunmehr zu fördern. Das ist eine inhaltliche Änderung, wenn auch eine entlastende, und betrifft AIACT-004-LITERACY.
Stresstest · 20 Minuten
Trägt Ihre Meldekette über alle vier Rechtsakte?
Kostenloser Compliance-Stresstest, unabhängig vom eigenen BAM-Einsatz.
Stresstest starten →Beobachtet, aber ohne Handlungsbedarf
Diese Rubrik nennt Vorgänge, über die berichtet wird, aus denen aber noch keine Pflicht folgt. Sie ist genauso wichtig wie der Rest, weil ein erheblicher Teil des Aufwands in Compliance-Abteilungen aus Verfahren entsteht, die noch gar nicht entschieden sind.
Der zweite Omnibus. Neben der KI-Verordnung liegt ein weiteres Omnibus-Paket vor, das Änderungen an DSGVO, ePrivacy, NIS-2 und dem Data Act vorsieht. Es ist ein eigenes Verfahren und mit der Digital-Omnibus-Verordnung zur KI nicht zu verwechseln. Solange es nicht abgeschlossen ist, legt BAM dafür keine Anforderungsobjekte an. Beobachtet wird es, übersetzt wird es nicht.
Die CRA-Hauptpflichten. Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation und die grundlegenden Anforderungen aus Anhang I greifen erst am 11. Dezember 2027. Wer heute die Meldekette aufsetzt, arbeitet an einer vorgezogenen Teilpflicht, nicht am gesamten CRA.
Nationale Umsetzungsebene im Modell. BAM bildet NIS-2 derzeit auf EU-Artikelebene ab, geprüft wird in Deutschland gegen das neugefasste BSIG. Ein Zuordnungsfeld je Objekt ist geplant, aber noch nicht vorhanden. Bis dahin gilt: Die Objekte sind fachlich richtig, die Fundstellenangabe ist es aus deutscher Prüfersicht nur mittelbar.
Zur nächsten Ausgabe
Compliance Delta erscheint anlassbezogen und öffentlich. Ein fester Rhythmus wird erst zugesagt, wenn er über mehrere Ausgaben gehalten wurde. Absehbare Themen: der Betrieb der ENISA-Meldeplattform in den ersten Wochen, die BSI-Zahlen zum 31. Oktober und der Fortgang des zweiten Omnibus-Verfahrens.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 14, 16, 64 und 69, EUR-Lex
- Single Reporting Platform und die zugehörige FAQ, ENISA
- CRA reporting obligations, Europäische Kommission
- NIS-2 in Zahlen, Stand 30.06.2026, BSI
- § 33 BSIG, Registrierungspflicht, Gesetze im Internet
- Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), EUR-Lex
- Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4 und 50, EUR-Lex
Compliance Delta ist keine Rechtsberatung. Der Dienst berichtet über Änderungen an Rechtsakten und stellt ihre Auswirkung auf ein veröffentlichtes Modell dar. Was daraus für eine konkrete Organisation folgt, ist damit nicht bewertet.