Regulatorisches Update · Stand 15.10.2026
Was sich für die kaufmännische Leitung konkret ändert.
Sechs Änderungen für Cybersicherheit, Rechnungswesen, KI, Berichterstattung und Unternehmenssanktionen – im Lehrgang in den Modulen 3 und 4 eingeordnet, mit klarer Trennung von bisheriger und neuer Regelung.
Bisherige und neue Regelung im Vergleich
| Bisherige Regelung |
Neue Regelung |
| NIS2-Umsetzung: Cybersicherheit als Pflicht der GeschäftsleitungVerbindliche IT-Sicherheitspflichten trafen nach dem BSIG in der bis 05.12.2025 geltenden Fassung vor allem Betreiber Kritischer Infrastrukturen. Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung regelte das Gesetz nicht ausdrücklich. |
Seit 06.12.2025Das NIS2-Umsetzungsgesetz hat das BSIG neu gefasst; es erfasst besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Die Geschäftsleitung setzt die Risikomanagementmaßnahmen nach § 30 BSIG um, überwacht ihre Umsetzung, haftet der Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts und nimmt regelmäßig an Schulungen teil (§ 38 BSIG). Ob dein Unternehmen betroffen ist, hängt von Sektor und Größe ab. |
| E-Rechnung im Inland (B2B)Seit 01.01.2025 müssen inländische Unternehmer E-Rechnungen empfangen können (§ 14 Abs. 1 UStG). Für die Ausstellung gelten Übergangsregelungen; Papier- und sonstige elektronische Rechnungen sind vorerst weiter zulässig. |
Ab 01.01.2027 · ab 01.01.2028Nach § 27 Abs. 38 UStG müssen Unternehmer, deren Gesamtumsatz im Vorjahr mehr als 800.000 € betrug, ab dem 01.01.2027 E-Rechnungen ausstellen. Ab dem 01.01.2028 gilt die Ausstellungspflicht für alle inländischen B2B-Umsätze. Rechnungsprozess, Archivierung und Kontrollen gehören zur Tax-Compliance der Finanzfunktion. |
| Cyber Resilience Act: Produkte mit digitalen ElementenFür die Cybersicherheit von Hard- und Software, die auf den Markt gebracht wird, gab es keine horizontalen EU-Vorgaben; maßgeblich waren einzelne Produktvorschriften. |
Seit 11.09.2026 · ab 11.12.2027Die VO (EU) 2024/2847 verpflichtet Hersteller von Produkten mit digitalen Elementen seit dem 11.09.2026, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden (Art. 14). Ab dem 11.12.2027 gelten die übrigen Anforderungen (Art. 71 Abs. 2). Betroffen sind Unternehmen, die solche Produkte herstellen oder in Verkehr bringen. |
| KI-Verordnung: Fristen und KI-Kompetenz geändertArt. 4 VO (EU) 2024/1689 verlangte seit 02.02.2025, nach besten Kräften sicherzustellen, dass das Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III sollten ab 02.08.2026 gelten. |
Seit 27.07.2026Die VO (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI) verschiebt die Pflichten für Hochrisiko-KI nach Anhang III – im Unternehmen etwa KI zur Auswahl von Bewerbern (Anhang III Nr. 4) – auf den 02.12.2027. Nach der Neufassung von Art. 4 ergreifen Anbieter und Betreiber Maßnahmen, die die Entwicklung der KI-Kompetenz ihres Personals unterstützen. Die Verbote nach Art. 5 gelten seit 02.02.2025, weitere Verbote ab dem 02.12.2026. |
| Nachhaltigkeitsberichterstattung (CSRD)Die RL (EU) 2022/2464 sah eine gestaffelte Berichtspflicht für alle großen Unternehmen vor. Deutschland hat sie nicht fristgerecht umgesetzt; große kapitalmarktorientierte Unternehmen mit mehr als 500 Arbeitnehmern geben weiter die nichtfinanzielle Erklärung nach §§ 289b ff. HGB ab. |
EU: seit 18.03.2026 · DE: Umsetzung offenDie Änderungsrichtlinie (EU) 2026/470 (Omnibus I) beschränkt die Berichtspflicht auf Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. € Nettoumsatz, spätestens für Geschäftsjahre ab dem 01.01.2027. Die Mitgliedstaaten setzen sie bis 19.03.2027 um. Das deutsche CSRD-Umsetzungsgesetz befindet sich im parlamentarischen Verfahren; den Stand ordnen wir am jeweiligen Termin ein. |
| Verbandsgeldbuße nach § 30 OWiGDie Geldbuße gegen das Unternehmen beträgt nach § 30 Abs. 2 OWiG bis zu 10 Mio. € bei vorsätzlicher und bis zu 5 Mio. € bei fahrlässiger Straftat einer Leitungsperson. Gesetzliche Bemessungskriterien fehlen. |
Gesetzentwurf · Kabinettsbeschluss 29.04.2026Der Regierungsentwurf zur Umsetzung der Umweltstrafrechtsrichtlinie (EU) 2024/1203 hebt das Höchstmaß der Verbandsgeldbuße für alle Anknüpfungstaten auf 40 Mio. € bei Vorsatz und 20 Mio. € bei Fahrlässigkeit an und regelt erstmals Kriterien für die Bemessung (§ 30 Abs. 2a OWiG-E). Den Stand des Gesetzgebungsverfahrens ordnen wir am jeweiligen Termin ein. |
Rechtsgrundlagen: BSIG · §§ 28, 30, 38 zur Umsetzung der NIS2-RL (EU) 2022/2555 · UStG · §§ 14, 27 Abs. 38 · Cyber Resilience Act · VO (EU) 2024/2847, Art. 14, 71 · KI-Verordnung · VO (EU) 2024/1689, Art. 4, 5, Anhang III, geändert durch VO (EU) 2026/1744 · CSRD · RL (EU) 2022/2464, geändert durch RL (EU) 2026/470 · OWiG · §§ 9, 30, 130 · Regierungsentwurf zum Umweltstrafrecht (Kabinettsbeschluss 29.04.2026) · HGB · §§ 48, 49, 289b ff. · AktG · §§ 91, 93 · GmbHG · § 43 · AO · §§ 34, 35, 69 · StaRUG · § 1 · InsO · § 18. Ob und in welchem Umfang die Pflichten dein Unternehmen treffen, hängt von Rechtsform, Größe, Kapitalmarktorientierung, Tätigkeitsbereich und deiner Stellung im Unternehmen ab.
Dein Praxistransfer: Prüfe für jede der sechs Änderungen, ob dein Unternehmen betroffen ist, und benenne einen Verantwortlichen – beginnend mit NIS2-Einstufung und E-Rechnung. Nimm die Ergebnisse in deine Risikoinventur auf und lege fest, wann der Stand an die Geschäftsführung berichtet wird.