Regulatorisches Update · Stand 09.10.2026
Was sich für deine Finanzfunktion konkret ändert.
Sechs Änderungen für Cybersicherheit, Steuern, Haftung und Berichterstattung – im Lehrgang in den Modulen 3 und 4 eingeordnet, mit klarer Trennung von bisheriger und neuer Regelung.
Bisherige und neue Regelung im Vergleich
| Bisherige Regelung |
Neue Regelung |
| NIS2-Umsetzung: Cybersicherheit als Pflicht der GeschäftsleitungVerbindliche IT-Sicherheitspflichten trafen nach dem BSIG in der bis 05.12.2025 geltenden Fassung im Wesentlichen Betreiber Kritischer Infrastrukturen. Eine ausdrückliche Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung sah das Gesetz nicht vor. |
Seit 06.12.2025Mit dem NIS2-Umsetzungsgesetz gilt das neue BSIG für besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Die Geschäftsleitung setzt die Risikomanagementmaßnahmen nach § 30 BSIG um und überwacht ihre Umsetzung, haftet der Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts und nimmt regelmäßig an Schulungen teil (§ 38 Abs. 1 bis 3 BSIG). |
| Cyber Resilience Act: Produkte mit digitalen ElementenFür die Cybersicherheit von Hard- und Software, die auf den Markt gebracht wird, gab es keine horizontalen EU-Vorgaben; maßgeblich waren einzelne Produktvorschriften. |
Meldepflichten seit 11.09.2026 · alle Pflichten ab 11.12.2027Die VO (EU) 2024/2847 verpflichtet Hersteller von Produkten mit digitalen Elementen seit dem 11.09.2026, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden (Art. 14). Ab dem 11.12.2027 gelten die übrigen Anforderungen, etwa an Sicherheit durch Technikgestaltung und Schwachstellenmanagement. Betroffen sind Unternehmen, die solche Produkte herstellen oder in Verkehr bringen. |
| E-Rechnung im Inland (B2B)Seit 01.01.2025 müssen inländische Unternehmer E-Rechnungen empfangen können (§ 14 Abs. 1 UStG). Für die Ausstellung gelten Übergangsregelungen; Papier- und sonstige elektronische Rechnungen bleiben vorerst zulässig. |
Ab 01.01.2027 · ab 01.01.2028Nach § 27 Abs. 38 UStG müssen Unternehmer, deren Gesamtumsatz im Vorjahr mehr als 800.000 € betrug, ab dem 01.01.2027 E-Rechnungen ausstellen. Ab dem 01.01.2028 gilt die Ausstellungspflicht für alle inländischen B2B-Umsätze. Rechnungsprozesse, Archivierung und Kontrollen gehören zur Tax-Compliance der Finanzfunktion. |
| Verbandsgeldbuße nach § 30 OWiGDie Geldbuße gegen das Unternehmen beträgt nach § 30 Abs. 2 OWiG bis zu 10 Mio. € bei vorsätzlicher und bis zu 5 Mio. € bei fahrlässiger Straftat einer Leitungsperson. Gesetzliche Bemessungskriterien fehlen; ein Compliance-System kann nach der Rechtsprechung mildernd wirken (BGH, Urteil vom 09.05.2017, 1 StR 265/16). |
Gesetzentwurf · nicht verabschiedetDer Regierungsentwurf zur Umsetzung der Umweltstrafrechtsrichtlinie (EU) 2024/1203 (BT-Drs. 21/6133) hebt das Höchstmaß der Verbandsgeldbuße für alle Anknüpfungstaten auf 40 Mio. € bei Vorsatz und 20 Mio. € bei Fahrlässigkeit an und nennt erstmals Bemessungskriterien, darunter Compliance-Maßnahmen (§ 30 Abs. 2a OWiG-E). Nach der ersten Lesung am 11.06.2026 ist das Gesetz zum Stand dieser Seite nicht verabschiedet. |
| KI-Verordnung: Fristen und KI-Kompetenz geändertArt. 4 VO (EU) 2024/1689 verlangte seit 02.02.2025, nach besten Kräften sicherzustellen, dass das Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III sollten ab 02.08.2026 gelten. |
Seit 27.07.2026Die VO (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI) verschiebt die Pflichten für Hochrisiko-KI nach Anhang III auf den 02.12.2027. Nach der Neufassung von Art. 4 ergreifen Anbieter und Betreiber Maßnahmen, die die Entwicklung der KI-Kompetenz ihres Personals unterstützen. Die Verbote nach Art. 5 gelten bereits seit 02.02.2025. |
| Nachhaltigkeitsberichterstattung (CSRD)Die RL (EU) 2022/2464 sah eine gestaffelte Berichtspflicht für alle großen Unternehmen vor. Deutschland hat sie bislang nicht umgesetzt; große kapitalmarktorientierte Unternehmen mit mehr als 500 Arbeitnehmern geben weiter die nichtfinanzielle Erklärung nach §§ 289b ff. HGB ab. |
EU: seit 18.03.2026 · DE: Umsetzung offenDie Änderungsrichtlinie (EU) 2026/470 (Omnibus I), in Kraft seit 18.03.2026, beschränkt die Berichtspflicht auf Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. € Nettoumsatz. Die Mitgliedstaaten setzen sie bis 19.03.2027 um. Das deutsche CSRD-Umsetzungsgesetz ist zum Stand dieser Seite nicht verkündet; bis dahin gilt das bisherige HGB. |
Rechtsgrundlagen: BSIG · §§ 28, 30, 38 zur Umsetzung der NIS2-RL (EU) 2022/2555 · Cyber Resilience Act · VO (EU) 2024/2847, Art. 14 · UStG · §§ 14, 27 Abs. 38 · OWiG · §§ 30, 130 · Regierungsentwurf BT-Drs. 21/6133 · KI-Verordnung · VO (EU) 2024/1689, Art. 4, 5, Anhang III, geändert durch VO (EU) 2026/1744 · CSRD · RL (EU) 2022/2464, geändert durch RL (EU) 2026/470 · HGB · §§ 48, 49, 289b ff. · AktG · §§ 91, 93 · GmbHG · § 43 · AO · §§ 34, 69 · StaRUG · § 1 · InsO · § 18. Ob und in welchem Umfang die Pflichten dein Unternehmen treffen, hängt von Rechtsform, Größe, Kapitalmarktorientierung und Tätigkeitsbereich ab.
Dein Praxistransfer: Prüfe für jede der sechs Änderungen, ob dein Unternehmen betroffen ist, und benenne einen Verantwortlichen – beginnend mit NIS2-Einstufung, Meldepflichten nach dem Cyber Resilience Act und E-Rechnung zum 01.01.2027. Nimm die Ergebnisse in dein Risiko-Cockpit auf.