Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 13. November 2025 vom Bundestag verabschiedet, am 20. November 2025 vom Bundesrat gebilligt und trat am 6. Dezember 2025 in Kraft, und zwar ohne allgemeine Übergangsfrist. Das BSI-Portal ging am 6. Januar 2026 online, die Registrierungsfrist endete am 6. März 2026.3 Betroffen sind rund 29.500 Einrichtungen in Deutschland; zum Stichtag hatte sich weniger als die Hälfte gemeldet.4 Die Bußgelder reichen für wesentliche Einrichtungen bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent, und die Geschäftsleitung haftet persönlich.5
Für das Datenschutzmanagement heißt das vor allem eines: Die Anforderungen an die Sicherheit der Verarbeitung nach Art. 32 DSGVO und die Pflichten aus dem BSIG überschneiden sich weitgehend. Wer beides getrennt dokumentiert, arbeitet doppelt.
Der sogenannte Digital Omnibus on AI wurde nach der Trilog-Einigung vom 7. Mai 2026, dem Parlamentsvotum vom 16. Juni 2026 und der Ratsannahme vom 29. Juni 2026 abgeschlossen.6 Er verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 und für produkteingebettete Systeme nach Anhang I auf den 2. August 2028.7
Wichtig ist die Abgrenzung: Verschoben wurden einzelne Pflichten, nicht die Verordnung. Der allgemeine Anwendungsbeginn zum 2. August 2026 und die Transparenzpflichten nach Art. 50 bleiben bestehen, ebenso die seit Februar 2025 geltende KI-Kompetenzpflicht und die Verbote nach Art. 5.8.
Der DSGVO-Teil des Omnibus-Pakets, das die Kommission am 19. November 2025 vorgestellt hat, ist anders als der KI-Teil noch nicht verabschiedet. Diskutiert werden unter anderem eine Präzisierung des Personenbezugs in Art. 4 Nr. 1, Änderungen am Auskunftsrecht sowie eine Meldepflicht nur noch bei voraussichtlich hohem Risiko mit verlängerter Frist von 96 Stunden.9 EDSA und EDSB haben die Vereinfachungsziele grundsätzlich unterstützt, zugleich aber erhebliche Bedenken angemeldet, insbesondere gegen die Neudefinition personenbezogener Daten.10
Bis zur Verabschiedung gilt die DSGVO unverändert. Wer jetzt Prozesse aufbaut, sollte sie so dokumentieren, dass spätere Anpassungen möglich sind, aber nicht auf eine Erleichterung warten, die noch nicht beschlossen ist.
Die achte Ausgabe des DLA Piper GDPR Fines and Data Breach Survey vom Januar 2026 zeigt ein stabiles, kein sinkendes Sanktionsniveau:
In Deutschland liegt das höchste bislang verhängte DSGVO-Bußgeld bei 45 Millionen Euro gegen die Vodafone GmbH, verhängt von der BfDI am 3. Juni 2025. Es setzt sich aus 15 Mio. Euro für mangelnde Kontrolle von Partneragenturen nach Art. 28 Abs. 1 DSGVO und 30 Mio. Euro für Sicherheitsmängel im Authentifizierungsprozess zusammen.16 Der 34. Tätigkeitsbericht der BfDI vom 6. Mai 2026 weist für 2025 zudem 11.824 Anfragen, 5.329 formelle Beschwerden, 80 Vor-Ort-Prüfungen und 40 schriftliche Audits aus.17
Bemerkenswert ist der Blick der Aufsicht auf die Leitungsebene: Bereits 2024 hatte die niederländische Behörde geprüft, ob Geschäftsführer persönlich für Verstöße haftbar gemacht werden können.18 Mit § 38 BSIG ist die persönliche Verantwortung der Geschäftsleitung im Cybersicherheitsrecht inzwischen gesetzlich verankert.
Fortsetzung
