Der EU Data Act gilt bereits seit dem 12. September 2025 – die meisten Pflichten für Dateninhaber, Nutzer und Anbieter von Datenverarbeitungsdiensten sind seitdem in Kraft. Eine spezifische Verpflichtung hatte der Gesetzgeber bewusst mit einem Jahr Vorlauf versehen: Access by Design nach Art. 3 Abs. 1. Seit dem 12. September 2026 gilt sie für alle vernetzten Produkte, die ab diesem Datum neu in Verkehr gebracht werden.

Wer bereits bestehende Produkte im Markt hat, ist von der Neuregelung nicht rückwirkend betroffen. Wer aber jetzt ein neues vernetztes Produkt einführt, muss das Prinzip von Beginn an mitdenken – nicht nachträglich nachrüsten.

Was Access by Design konkret verlangt

Vernetzte Produkte und die mit ihnen verbundenen Dienste müssen so konzipiert und hergestellt werden, dass die dabei erzeugten Produktdaten und verbundenen Dienstdaten dem Nutzer standardmäßig einfach, sicher und unentgeltlich zugänglich sind – wo technisch relevant, direkt vom Gerät selbst. Der Zugang darf nicht erst über eine gesonderte Anfrage beim Hersteller erfolgen müssen, wenn er sich technisch bereits am Produkt realisieren ließe.

Das betrifft nicht nur klassische IoT-Geräte im engeren Sinn – und überschneidet sich in der Praxis mit dem Produktbegriff des Cyber Resilience Act, der für dieselbe Gerätewelt Sicherheitspflichten definiert. Der Data Act definiert "vernetzte Produkte" bewusst breit: Maschinen, Fahrzeuge, Haushaltsgeräte, medizinische Geräte, Wearables – alles, was Daten über seine Nutzung erzeugt und diese Daten an einen Dienst oder das Internet übermitteln kann.

Wichtige Abgrenzung

Access by Design betrifft nur Produkte, die nach dem 12. September 2026 erstmals in der EU in Verkehr gebracht werden. Für bereits im Markt befindliche Produkte gilt weiterhin die allgemeine Zugangspflicht aus Art. 4 – nur eben nicht zwingend "by Design", sondern auf Anfrage.

Stresstest · 20 Minuten

Welche Pflichten treffen Ihr Produkt tatsächlich?

Kostenloser Compliance-Stresstest für NIS-2, DORA, CRA und den EU AI Act. Ohne Anmeldung, Ergebnis sofort.

Stresstest starten →

Was das für die Produktentwicklung bedeutet

Wer aktuell neue vernetzte Produkte plant oder kurz vor der Markteinführung steht, sollte prüfen:

  • Welche Daten erzeugt das Produkt während der Nutzung, und welche davon sind unter den Data Act als "Produktdaten" oder "verbundene Dienstdaten" einzuordnen?
  • Ist ein direkter, standardmäßiger Zugangsweg technisch bereits vorgesehen, oder müsste der Nutzer aktiv beim Hersteller anfragen?
  • Sind die Datenformate so gestaltet, dass sie sich ohne unangemessenen Aufwand weiterverwenden lassen?

Die Übergangsfrist von einem Jahr war bewusst so bemessen, dass sie noch in laufende Entwicklungszyklen fällt – wer heute an einem Produkt arbeitet, das erst 2027 auf den Markt kommt, hatte genug Vorlauf, das Prinzip von Anfang an einzuplanen.

Einordnung ins Gesamtbild

Der Data Act ergänzt damit ein Muster, das sich auch bei anderen aktuellen EU-Regelwerken zeigt: Statt einer einzigen, harten Stichtagsregelung wird die Anwendbarkeit gestaffelt, mit längeren Übergangsfristen für die technisch anspruchsvolleren Verpflichtungen. Für Cloud-Wechselentgelte etwa läuft eine eigene, noch länger bemessene Übergangsfrist bis Januar 2027. Dasselbe Prinzip zeigt sich beim Digital Omnibus, der bestehende Fristen nachträglich verschiebt, und bei den gestaffelten Meldefristen von NIS-2, DORA und CRA.

Für Hersteller heißt das vor allem: Die Pflichten aus Data Act, CRA und – bei KI-gestützten Geräten – ISO 42001 und EU AI Act treffen dasselbe Produkt, nur aus verschiedenen Richtungen. Wer sie getrennt abarbeitet, prüft dieselbe Datenarchitektur mehrfach. Genau hier setzt Executable Compliance an: eine Anforderung, ein Nachweis, mehrere Frameworks. Verschiebungen wie diese verfolgt Compliance Delta laufend und ordnet sie den betroffenen BAM-Objekten zu.