Die IT-Landschaft von 2026 wird durch neue europäische Vorschriften und eine technische Beschleunigung neu gestaltet, die sowohl große Unternehmen als auch KMU betrifft. Zwei Achsen strukturieren die kommenden Entscheidungen: die regulatorische Konformität, die zu einer operativen Voraussetzung geworden ist, und die kontrollierte Integration von Künstlicher Intelligenz in die Geschäftsprozesse.
Cyber Resilience Act: Was die CE-Cyber-Kennzeichnung für digitale Produkte ändert
Die Verordnung (EU) 2024/2847, auch bekannt als Cyber Resilience Act, setzt einen verbindlichen Zeitplan. Ab dem 11. September 2026 muss jeder Hersteller eines Produkts mit digitalen Elementen, das in der EU verkauft wird, innerhalb von 24 Stunden jede aktiv ausgenutzte Schwachstelle oder jedes schwerwiegende Ereignis melden. Die Geldstrafe kann bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes betragen.
Der nächste Stichtag, der auf den 11. Dezember 2027 festgelegt ist, betrifft die Markteinführung: Heimrouter, vernetzte Kameras und SaaS-Software müssen alle Anforderungen an die Cybersicherheit erfüllen und ein CE-“Cyber”-Label tragen. Wir empfehlen, jetzt bereits Informationen über Digitale Naïve in der Informatik zu suchen, um das Ausmaß der branchenspezifischen Verpflichtungen zu messen.
Zu den erwarteten Lieferungen gehört die Erstellung eines SBOM (Software Bill of Materials), das alle Softwareabhängigkeiten, einschließlich Open Source, detailliert auflistet. Dies stellt eine große Herausforderung für Herausgeber dar, die ihre Komponenten-Kette noch nie dokumentiert haben. Die DevSecOps-Teams müssen diese Kartierung in ihren CI/CD-Pipeline weit vor dem Stichtag integrieren.
AI Act und generative Modelle: bereits geltende Verpflichtungen für Unternehmen
Der Zeitplan des europäischen AI Act wird oft missverstanden. Die verbotenen Praktiken (kognitive Manipulation, soziale Bewertung) sind seit dem 2. Februar 2025 wirksam. Die Verpflichtungen für grundlegende generative KI-Modelle (GPAI, wie GPT oder Mistral) gelten seit dem 2. August 2025.
Die Verpflichtungen für Hochrisikomodelle werden auf den 2. August 2028 verschoben. Diese Verzögerung schafft eine Grauzone: Ein KMU, das einen Kundenservice-Chatbot einführt, verwendet ein bereits reguliertes GPAI-Modell, könnte jedoch vor zwei Jahren nicht den “Hochrisiko”-Anforderungen unterliegen. Wir beobachten, dass diese Asymmetrie einige Strukturen dazu drängt, die gesamte Konformität hinauszuzögern, was einem Wettlauf gegen einen unsicheren politischen Zeitplan gleichkommt.
- Die Herkunft der Trainingsdaten, die vom integrierten GPAI-Modell verwendet werden, auch über eine Drittanbieter-API, zu dokumentieren
- Ein Register der KI-Anwendungsfälle innerhalb der Organisation einzurichten, wobei die Risikoniveaus unterschieden werden
- Ein internes Konformitätsaudit bis Ende 2027 für Systeme vorzusehen, die in die Kategorie “Hochrisiko” fallen könnten
Die Hauptschwierigkeit bleibt die Identifizierung der in SaaS-Tools eingebetteten KI-Komponenten, die das Unternehmen nutzt, ohne die Architektur zu beherrschen. Ein CRM, das durch generative KI erweitert wird, kann je nach Nutzung unterschiedlichen Verpflichtungen unterliegen.
NIS 2 und DORA: Cybersicherheit wird zur geschäftlichen Verpflichtung für KMU
NIS 2 erweitert den Anwendungsbereich der betroffenen Entitäten erheblich im Vergleich zur vorherigen Richtlinie. Sektoren wie Abfallwirtschaft, Herstellung von Medizinprodukten oder Postdienste fallen nun unter den Anwendungsbereich. Für ein industrielles KMU, das noch nie einen CISO hatte, stellt die Verpflichtung zur Incident-Meldung und Risikomanagement in der Lieferkette einen Paradigmenwechsel dar.
DORA hingegen zielt auf den Finanzsektor mit einem Ansatz für digitale operationale Resilienz. IT-Dienstleister, die Banken oder Versicherungen bedienen, unterliegen selbst verstärkten vertraglichen Anforderungen.
Der Kaskadeneffekt ist der Punkt, den es zu beobachten gilt. Ein Cloud-gehosteter Buchhaltungssoftware-Anbieter, der einer regionalen Krankenkasse Dienstleistungen erbringt, muss seine DORA-Konformität gegenüber seinem Kunden nachweisen. Die IT-Subunternehmerkette wird zu einem Träger direkter rechtlicher Verantwortung.
Digitale Reife von französischen KMU: reale Hemmnisse und unterschätzte Hebel
Die Digitalisierung von KMU bleibt sehr ungleichmäßig. Die am besten dokumentierten Hemmnisse sind nicht technischer, sondern organisatorischer Natur: Widerstand gegen Veränderungen der Teams vor Ort, fehlender Sponsor im Vorstand, IT-Budget wird als Kostenstelle und nicht als Managementhebel wahrgenommen.
Unternehmen, die ihren Übergang erfolgreich gestalten, teilen ein gemeinsames Merkmal: Sie beginnen mit einem konkreten Anwendungsfall, der in weniger als drei Monaten messbar ist. Die Automatisierung der Verarbeitung von Lieferantenrechnungen beispielsweise liefert schnell sichtbare Ergebnisse und erzeugt einen positiven Effekt auf die Teams.
- Eine interne digitale Referenzperson, auch in Teilzeit, zu benennen, um die Rückmeldungen vor Ort zu zentralisieren
- SaaS-Tools mit Unterstützung bei der Einführung zu bevorzugen, anstatt maßgeschneiderte Lösungen, die lange dauern, um implementiert zu werden
- Die kontinuierliche Schulung in neuen digitalen Praktiken in den Kompetenzentwicklungsplan zu integrieren
- Die Effizienz jedes implementierten Tools anhand eines konkreten Geschäftswerts (Bearbeitungszeit, Fehlerquote, Kundenzufriedenheit) zu messen
Die Auslagerung von IT-Dienstleistungen gewinnt an Boden in Unternehmen mit weniger als 250 Mitarbeitern. Die Inanspruchnahme eines Managed Service Providers ermöglicht es, Wartung, Überwachung und regulatorische Konformität abzudecken, ohne ein komplettes IT-Team einstellen zu müssen.
Energiewende und Green IT: ein Kriterium für die Auswahl von Hardware und Software
Die Reduzierung des Energieverbrauchs des IT-Parks ist kein Marketingargument mehr. Die Richtlinien für verantwortungsbewusste Beschaffung berücksichtigen nun die Lebensdauer der Materialien, die Reparierbarkeit und den Stromverbrauch der Geräte im Betrieb.
Auf der Softwareseite reduziert die ökologische Anwendungsentwicklung den Serverressourcenverbrauch und verlängert die Lebensdauer der Client-Hardware. Eine optimierte Webanwendung verbraucht weniger Bandbreite, beansprucht weniger die CPU und läuft auf älteren Maschinen, was den Austausch des Parks hinauszögert.
Die Wahl eines Cloud-Anbieters mit dokumentierter PUE (Power Usage Effectiveness) und überprüfbarem Energiemix wird zu einem Auswahlkriterium, das ebenso wichtig ist wie Latenz oder Preis pro Gigabyte. Öffentliche Ausschreibungen integrieren zunehmend diese Anforderungen in ihre Lastenhefte.
Die kommenden Monate konzentrieren eine seltene regulatorische Dichte in der Informatik. Cyber Resilience Act, AI Act, NIS 2, DORA: Jeder Text verlangt konkrete Lieferungen, präzise Fristen und hohe finanzielle Strafen. Für KMU wie für große Unternehmen bestimmt die regulatorische Konformität nun den Marktzugang, nicht nur das Risikomanagement.