Wenn ein IT-Team an einem Montagmorgen entdeckt, dass sein Cloud-Anbieter seine Datenschutzbedingungen geändert hat, um einer neuen europäischen Vorschrift zu entsprechen, hört die technologische Wachsamkeit auf, ein Luxus zu sein. Die IT-Nachrichten in diesem Jahr sind geprägt von einer regulatorischen Beschleunigung, die direkt die Architekturentscheidungen, die Lieferverträge und die Sicherheit digitaler Produkte betrifft.
Cyber Resilience Act und Produkt-Sicherheitsanforderungen ab 2026
Die Wettbewerber sprechen viel über Cybersicherheit im Allgemeinen. Wir werden über einen spezifischen Text sprechen, der die Spielregeln für Softwarehersteller und Hersteller von vernetzten Geräten ändert: den Cyber Resilience Act (CRA).
Seit dem 11. September 2026 sind die Meldepflichten des CRA in Kraft. Konkret muss jeder Herausgeber oder Hersteller, der ein digitales Produkt in der Europäischen Union vertreibt, aktiv ausgenutzte Schwachstellen innerhalb festgelegter Fristen melden.
Der CRA hört hier nicht auf. Er legt einen Kurs auf Sicherheitsanforderungen “von vornherein” fest, mit einer verpflichtenden CE-Kennzeichnung und umfassenden Verpflichtungen ab Dezember 2027. Um die IT-Nachrichten auf Bargento zu verfolgen, kann man die regulatorischen Fristen im Auge behalten, die die Entwicklungszyklen beeinflussen.
Für ein Produktteam bedeutet dies, Sicherheit bereits in der Entwurfsphase zu integrieren, die Softwarekomponenten (SBOM) zu dokumentieren und einen Meldeprozess vorzusehen. Die Rückmeldungen variieren hinsichtlich der tatsächlichen Belastung, die dies je nach Unternehmensgröße darstellt, aber der Zeitplan bleibt unverändert.
Cloud-Souveränität: Vom strategischen Diskurs zur regulatorischen Verpflichtung
Seit Jahren hörte man den Begriff “digitale Souveränität” ohne direkte operationale Konsequenzen. Das ist nicht mehr der Fall.
Die Europäische Kommission hat am 3. Juni 2026 einen Vorschlag für den Cloud and AI Development Act veröffentlicht. Dieser Text führt einen einheitlichen Rahmen zur Bewertung der “Souveränität” von Cloud-Diensten ein, mit direkten Auswirkungen auf öffentliche Aufträge und die Hosting-Entscheidungen von Unternehmen, die mit dem öffentlichen Sektor arbeiten.
In der Praxis bedeutet dies, dass bei der Teilnahme an einer öffentlichen Ausschreibung oder der Verarbeitung sensibler Daten für eine europäische Institution die Wahl des Cloud-Anbieters formalisierte Souveränitätskriterien erfüllen muss. Es ist keine Präferenz mehr, sondern ein regulatorisches Bewertungsraster.
Was das für IT-Architekten bedeutet
Teams, die ihre Infrastruktur auf einem amerikanischen Hyperscaler aufgebaut haben, sind nicht verloren, müssen aber ihre Datenflüsse kartieren und die betroffenen Workloads identifizieren. Multicloud wird zu einer regulatorischen Notwendigkeit, nicht zu einer technischen Wahl.
Mehrere europäische Anbieter positionieren Angebote zur “Geopatriation”, einem Begriff, der die Rückführung von Daten und Prozessen in rechtlich europäische Infrastrukturen bezeichnet. Die Bewegung hat begonnen, die Migrationsfristen bleiben jedoch der kritische Punkt.
DORA und ICT-Drittanbieter-Risiko: Lieferverträge unter Kontrolle
Die Verordnung DORA (Digital Operational Resilience Act), die seit dem 17. Januar 2025 gilt, zeigt 2026 ihre ersten konkreten Auswirkungen. Die Aufsichtsbehörden intensivieren ihre Kontrollen über das ICT-Drittanbieter-Risiko und die damit verbundenen Vertragsklauseln.
Für Unternehmen im Finanzsektor (und deren Technologieanbieter) bedeutet dies präzise Anforderungen:
- Verträge mit kritischen ICT-Anbietern müssen Klauseln zur operationale Resilienz, zum Prüfungsrecht und zur dokumentierten Ausstiegsstrategie enthalten
- Resilienztests (einschließlich fortgeschrittener Penetrationstests) müssen auch die Abhängigkeiten von Dritten abdecken, nicht nur die internen Systeme
- Ein zentralisiertes Register der Drittanbieter von ICT muss geführt und auf Anfrage den Regulierungsbehörden übermittelt werden
Außerhalb des Finanzsektors schafft DORA einen Präzedenzfall. Die Best Practices, die es zur Verwaltung von IT-Anbietern vorschreibt, verbreiten sich als Marktstandard. Ein Cloud-Vertrag ohne dokumentierte Ausstiegsklausel wird zu einem Warnsignal.
Europäischer AI Act: Der reale Zeitplan nach dem Digital Omnibus
Der AI Act hat viel Aufsehen erregt, aber sein Zeitplan hat sich geändert. Das Inkrafttreten des Digital Omnibus zur KI am 27. Juli 2026 hat einige Verpflichtungen im Zusammenhang mit Hochrisiko-KI-Systemen verschoben.
Einige wichtige Anforderungen sind jedoch seit dem 2. August 2026 anwendbar. Für die Teams, die künstliche Intelligenz in der Produktion einsetzen, konzentriert sich die operationale Priorität auf drei Punkte:
- Die Klassifizierung des Risikoniveaus jedes eingesetzten KI-Systems gemäß dem durch den Digital Omnibus aktualisierten Raster
- Die technische Dokumentation und die Nachvollziehbarkeit algorithmischer Entscheidungen für als hochriskant eingestufte Systeme
- Die Implementierung einer effektiven, nicht symbolischen menschlichen Aufsicht über automatisierte Entscheidungsprozesse
Diese teilweise Verschiebung sollte kein falsches Gefühl der Sicherheit erzeugen. Unternehmen, die auf die endgültigen Fristen warten, um sich konform zu zeigen, häufen eine Compliance-Schuld an, die kostspielig abzubauen sein wird.
Verbindung zur Daten- und Cloud-Strategie
Der AI Act, der Cloud and AI Development Act und DORA sind keine isolierten Texte. Sie bilden ein regulatorisches Ökosystem, in dem die Entscheidungen über Hosting, Outsourcing und Datenverwaltung miteinander verflochten sind. Eine Cloud-Architekturentscheidung, die ohne Berücksichtigung der drei Texte getroffen wird, ist einer Kaskadeneinstufung ausgesetzt.
Für die CIOs und Compliance-Verantwortlichen ist die Wachsamkeit über die IT-Nachrichten kein technologisches Neugier-Exerzieren mehr. Es ist ein Risikomanagement-Tool. Die in diesem Jahr veröffentlichten europäischen Texte zeichnen die operationale Einschränkungen in Bezug auf Cloud, Produktsicherheit, Lieferverträge und den Einsatz von KI neu. Jedes Quartal bringt seine konkreten Fristen mit sich, und die Teams, die diese antizipieren, haben einen Vorsprung gegenüber denen, die sie erleiden.
