NIS-2 · § 32 BSIG
Sicherheitsvorfall melden
Frühe Erstmeldung an das BSI binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat.
Startseite / Fristenkalender
Regulierung · Termine und Fristen · Stand 10. November 2026
Fristenkalender: NIS-2, DORA, CRA, AI Act und DSGVO
Welche Pflicht gilt seit wann, was kommt als Nächstes? Hier finden Sie die wichtigsten Termine für Unternehmen und Finanzinstitute in Deutschland. Zu jedem Termin steht, was zu tun ist und wobei wir Sie unterstützen.
Als Nächstes
Die kommenden Termine
-
Kennzeichnung KI-erzeugter Inhalte auch für Bestandssysteme
KI-Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und schon vor dem 2. August 2026 in Verkehr waren, müssen ihre Ausgaben maschinenlesbar kennzeichnen (Art. 50 Abs. 2 KI-VO; Übergangsfrist nach der Änderungsverordnung (EU) 2026/1744).
-
BAIT werden vollständig aufgehoben
Die BAIT gelten nur noch für Institute, die die IKT-Risikomanagement-Vorgaben der DORA nicht anwenden müssen. Mit Ablauf des 31. Dezember 2026 werden sie vollständig aufgehoben. Wer bisher noch nach BAIT arbeitet, sollte sein IKT-Risikomanagement jetzt auf DORA ausrichten. Zugleich ist der 31. Dezember voraussichtlich wieder Stichtag für das nächste Informationsregister; den Einreichungszeitraum gibt die BaFin bekannt.
DORA-Audit · Vercora mit Informationsregister · DORA-Schulungen
-
Hochrisiko-KI-Systeme nach Anhang III
Die Pflichten für eigenständige Hochrisiko-KI-Systeme, etwa im Personalwesen, bei der Kreditwürdigkeitsprüfung oder in kritischer Infrastruktur, gelten ab diesem Tag. Ursprünglich war der 2. August 2026 vorgesehen; die Änderungsverordnung (EU) 2026/1744 hat den Termin verschoben.
-
Cyber Resilience Act gilt vollständig
Produkte mit digitalen Elementen dürfen dann nur noch mit erfüllten Cybersicherheitsanforderungen nach Anhang I, Konformitätsbewertung und CE-Kennzeichnung in Verkehr gebracht werden. Dazu gehören eine Software-Stückliste (SBOM) und ein geregelter Umgang mit Schwachstellen.
CRA-Schulung: SBOM und Herstellerpflichten · Vercora mit SBOM-Verwaltung
-
Hochrisiko-KI in regulierten Produkten nach Anhang I
KI als Sicherheitsbauteil in Produkten, die bereits einer Produktregulierung unterliegen, zum Beispiel Maschinen oder Medizinprodukte, muss ab diesem Tag die Hochrisiko-Anforderungen erfüllen.
Bereits in Kraft
Diese Pflichten gelten schon
Ist einer dieser Termine bei Ihnen noch offen, besteht Handlungsbedarf. Der Readiness-Check zeigt in kurzer Zeit, wo Sie stehen.
-
Meldepflichten für Hersteller
Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform der ENISA (Art. 14 CRA): Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht 14 Tage nach Verfügbarkeit einer Korrektur beziehungsweise einen Monat nach der Meldung eines Vorfalls. Die Pflicht gilt auch für Produkte, die schon vorher auf dem Markt waren.
-
AI Act gilt allgemein, Transparenzpflichten
Die meisten Vorschriften der KI-Verordnung gelten, darunter die Transparenzpflichten nach Art. 50: Menschen müssen erkennen können, dass sie mit einem KI-System interagieren, und Deepfakes sind offenzulegen.
-
Regeln für Konformitätsbewertungsstellen
Die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen (Kapitel IV CRA) gelten. Hersteller wichtiger und kritischer Produkte sollten die Konformitätsbewertung frühzeitig planen.
-
Informationsregister 2026 bei der BaFin eingereicht
Finanzunternehmen reichten ihr Informationsregister zu den vertraglichen Vereinbarungen mit IKT-Drittdienstleistern vom 9. bis 30. März 2026 ein, Stichtag 31. Dezember 2025 (Art. 28 Abs. 3 DORA). Das Register ist laufend aktuell zu halten und jährlich einzureichen.
Vercora mit Informationsregister · Schulung Auslagerungsbeauftragter
-
Registrierung beim BSI
Besonders wichtige und wichtige Einrichtungen mussten sich binnen drei Monaten nach Inkrafttreten beim BSI registrieren (§ 33 BSIG). Nach Angaben des BSI wurden Nachmeldungen bis zum 31. Juli 2026 ohne sofortige Maßnahmen hingenommen. Die Pflicht besteht fort: Wer noch nicht registriert ist, sollte das unverzüglich nachholen.
-
NIS-2-Umsetzungsgesetz in Kraft
Das neue BSIG gilt. Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen (§ 30), erhebliche Sicherheitsvorfälle melden (§ 32), und die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38).
NIS2 as a Service · NIS-2-Geschäftsleitungsschulung · Vercora
-
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen unter anderem technische Dokumentation bereitstellen und das Urheberrecht beachten.
-
Verbotene KI-Praktiken und KI-Kompetenz
Bestimmte KI-Praktiken sind verboten (Art. 5). Anbieter und Betreiber von KI-Systemen sorgen dafür, dass ihr Personal über ausreichende KI-Kompetenz verfügt (Art. 4).
-
DORA gilt
Die Verordnung (EU) 2022/2554 gilt unmittelbar für Finanzunternehmen: IKT-Risikomanagement, Meldung schwerwiegender IKT-Vorfälle, Resilienztests, Management des IKT-Drittparteienrisikos. Das Leitungsorgan trägt die Verantwortung und hält sein Wissen durch regelmäßige Schulungen aktuell (Art. 5 Abs. 4). VAIT, ZAIT und KAIT sind mit Ablauf des 16. Januar 2025 entfallen.
DORA-Audit · DORA-Schulungen · DORA-Verhältnismäßigkeitsrechner
Laufende Pflichten
Fristen, die mit jedem Vorfall neu beginnen
Diese Pflichten haben kein festes Datum. Sie greifen, sobald etwas passiert, oder kehren regelmäßig wieder.
DORA · Art. 19
IKT-Vorfall melden
Schwerwiegende IKT-bezogene Vorfälle an die Aufsicht melden: Erst-, Zwischen- und Abschlussmeldung nach den Fristen der technischen Standards.
DSGVO · Art. 33
Datenpanne melden
Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden an die Aufsichtsbehörde melden, außer das Risiko für Betroffene ist gering.
BSIG · DORA · DSGVO
Regelmäßig schulen
Geschäftsleitung (§ 38 Abs. 3 BSIG, Art. 5 Abs. 4 DORA), alle Beschäftigten (Art. 13 Abs. 6 DORA) und Datenschutz-Sensibilisierung (Art. 39 DSGVO), jeweils mit Nachweis.
Stand: 10. November 2026. Der Kalender ist eine Orientierungshilfe und ersetzt keine Rechtsberatung; ob und ab wann eine Pflicht für Sie gilt, hängt von Ihrer Einstufung ab. Grundlagen: Verordnung (EU) 2022/2554 (DORA), Verordnung (EU) 2024/2847 (CRA), Verordnung (EU) 2024/1689 (KI-Verordnung) mit Änderungsverordnung (EU) 2026/1744, BSIG in der Fassung des NIS2UmsuCG, Mitteilungen von BSI, BaFin und Deutscher Bundesbank.
Welche Fristen betreffen Sie?
Im Erstgespräch ordnen wir Ihre Einstufung ein und zeigen, welche Termine für Sie zählen und was bis dahin zu tun ist.