ITMR Regulatorik-Zeitstrahl
Regulatorik-Zeitstrahl für digitale Geschäftsmodelle
Der Checker ordnet zentrale Digitalregulierung nach Fristen, Geschäftsmodell und Umsetzungsdruck ein: AI Act, Digital Omnibus, Data Act, DSA, NIS-2/BSIG, CRA, BFSG, GPSR, DSGVO/TDDDG, E-Commerce, Claims und Produkt-Compliance.
Er hilft Unternehmen, Start-ups, Agenturen, Plattformen, SaaS-/Cloud-Anbietern, KI-Anbietern, Herstellern digitaler Produkte und E-Commerce-Teams dabei, kommende und bereits laufende Pflichten rechtlich zu priorisieren. Der Digital Omnibus zur KI (Verordnung (EU) 2026/1744) ist seit 27.07.2026 in Kraft und mit seinen Terminen eingearbeitet. Der Digital Omnibus zu Daten, DSGVO und Cookies wird verhandelt und bleibt ein Monitoring-Thema (Verhandlungsposition des Rates vom 21.10.2026; das Parlament hat noch keine Position). Einordnung von ITMR Rechtsanwälte zum Digital Omnibus.
Regulatorische Meilensteine von 2024 bis 2028
- läuft – Pflichten gelten
- in Kraft – Rechtsakt gilt, Pflichten später
- beschlossen – verabschiedet, Pflichten ab festem Datum
- kommt – fester Termin
- geplant – Entwurf / Verhandlung
Alle Meilensteine als Liste (Stand 24.10.2026)
- – DSA (VO (EU) 2022/2065) gilt vollständig für alle Vermittlungsdienste – läuft. DSA umsetzen
- – AI Act (VO (EU) 2024/1689): Verbote nach Art. 5 und KI-Kompetenz nach Art. 4 – läuft. AI-Act-Check
- – BFSG: Barrierefreiheitsanforderungen – läuft.
- – AI Act: Pflichten für Anbieter von GPAI-Modellen – läuft; Durchsetzung durch die Kommission seit 02.08.2026.
- – Data Act (VO (EU) 2023/2854): allgemeine Anwendung – läuft. Data-Act-Check
- – NIS-2-Umsetzungsgesetz (BGBl. 2025 I Nr. 301) in Kraft – läuft. NIS-2-Check
- – AI Act: allgemeiner Geltungsbeginn, u. a. Transparenzpflichten nach Art. 50 – läuft.
- – CRA (VO (EU) 2024/2847): Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle (Meldung) – läuft. CRA-Check
- – Data Act: Datenzugänglichkeit by design für neu in Verkehr gebrachte vernetzte Produkte – läuft.
- – EmpCo-Richtlinie (EU) 2024/825, umgesetzt durch das Dritte Gesetz zur Änderung des UWG (BGBl. 2026 I Nr. 43) – läuft. Green-Claims-Check
- – Digital Omnibus zur KI (VO (EU) 2026/1744): neue Verbote nach Art. 5 und Ende der Übergangsfrist für die Markierung nach Art. 50 Abs. 2 – kommt.
- – Produkthaftungsrichtlinie (EU) 2024/2853: Umsetzungsfrist; deutsches Gesetz zur Modernisierung des Produkthaftungsrechts beschlossen, Verkündung ausstehend – kommt.
- – AI Act: Hochrisiko-KI nach Anhang III (High-Risk, VO (EU) 2026/1744) – beschlossen, Pflichten ab diesem Datum. AI Act umsetzen
- – CRA: Hauptpflichten für Produkte mit digitalen Elementen – in Kraft, Pflichten ab diesem Datum.
- – AI Act: produktbezogene Hochrisiko-KI nach Anhang I (VO (EU) 2026/1744) – beschlossen, Pflichten ab diesem Datum. KI-Recht
- Ohne Termin – Digital Omnibus zu Daten, DSGVO und Cookies: Ratsposition vom 21.10.2026, Parlament noch ohne Position – geplant.
CRA-Meldepflichten vorbereiten
Die Zeitstrahlpunkte sind klickbar. Der orange Laufpunkt, die wandernde Linie, die pulsierenden Knoten und die aktiven Jahresbänder laufen per CSS- und JavaScript-Animation auf Desktop und Mobile.
Orientierung
So nutzen Sie den Regulatorik-Zeitstrahl
Grenzen Sie ein, ob es um Website, Shop, SaaS, Plattform, KI-System, Cloud oder Softwareprodukt geht.
Springen Sie direkt zu laufenden Pflichten, kurzfristigen Fristen oder geplanten Omnibus-Änderungen.
Fokussieren Sie auf KI, Datenrecht, Cybersecurity, Plattformrecht, Barrierefreiheit oder Verbraucherrecht.
Ermitteln Sie eine erste Risikostufe und konkrete nächste Prüfpunkte.
Kopieren Sie den Kurzüberblick und nutzen Sie ihn für die strukturierte ITMR-Anfrage.
Leistungsumfang
Was dieser Check leistet
Der Zeitstrahl ersetzt keine Einzelfallprüfung. Er macht aber sichtbar, welche regulatorischen Themen schon laufen, welche Fristen in den nächsten Monaten wichtig werden und welche Unterlagen typischerweise für eine rechtliche Prüfung gebraucht werden. Wie wir die anstehenden Pflichten in einen Umsetzungsplan übersetzen, erläutern wir unter EU Digital Acts Audit und im Bereich IT-Compliance.
- Einordnung nach Geschäftsmodell, Rolle, Produkt- und Datenbezug.
- Priorisierung von Fristen und Umsetzungsdruck.
- Schnittstellen zwischen AI Act, Digital Omnibus, Data Act, DSA, NIS-2, CRA, BFSG, DSGVO/TDDDG, Produkt-Compliance und Verbraucherrecht.
- Kopierbarer Kurzüberblick für interne Abstimmung oder anwaltliche Anfrage.
Scope, Relevanz und Grenzen
Wichtige Einordnung vor der Nutzung
Welche Unternehmen sind besonders betroffen?
Besonders relevant ist der Zeitstrahl für digitale Geschäftsmodelle mit KI-Funktionen, personenbezogenen Daten, Plattform- oder Marktplatzfunktionen, Cloud-/SaaS-Leistungen, vernetzten Produkten, Softwareprodukten, B2C-Abos, Online-Shops, Tracking, Werbeclaims oder produktbezogenen Sicherheits- und Updatepflichten.
Wie ist der Digital Omnibus berücksichtigt?
Der Digital Omnibus zur KI (Verordnung (EU) 2026/1744) ist seit 27.07.2026 in Kraft. Hochrisiko-Pflichten nach Anhang III gelten ab 02.12.2027, für produktbezogene Hochrisiko-KI nach Anhang I ab 02.08.2028. Der Digital Omnibus zu Daten, DSGVO und Cookies wird noch verhandelt und bleibt ein Monitoring-Thema. Operativ sollten Unternehmen trotzdem Inventar, Rollen, Risikoklassifizierung, Daten- und Dokumentationsprozesse vorbereiten.
Warum stehen manche Pflichten als „laufend“?
Einige Pflichten sind bereits anwendbar, etwa DSGVO/TDDDG, DSA, BFSG, GPSR, AI-Act-Verbotstatbestände und KI-Kompetenz, Data-Act-Grundpflichten sowie nach Auditstand das deutsche NIS-2-/BSIG-Umsetzungsgesetz (in Kraft seit 06.12.2025). Sie sind keine künftigen Projekttermine, sondern laufende Compliance-Anforderungen.
Wo liegen die Grenzen?
Der Checker bewertet keine konkrete Rechtslage abschließend. Je nach Branche, Unternehmensgröße, Rolle als Anbieter, Betreiber, Hersteller, Plattform, Dateninhaber oder Auftragsverarbeiter können Pflichten stark abweichen. Fristen und Omnibus-Änderungen sollten vor verbindlichen Entscheidungen am finalen Normtext und an Behördenleitlinien geprüft werden.
Interaktive Fristenliste
Fristen- und Pflichtenkette
Filtern Sie nach Profil und Thema. Ein Klick auf einen Meilenstein öffnet die Detailkarte und synchronisiert den animierten Zeitstrahl.
CRA-Meldepflichten vorbereiten
Wer sollte reagieren?
Nächste Schritte
Interaktiver Kurzcheck
Welche Regulatorik hat für Sie Priorität?
Beantworten Sie die folgenden Schritte. Das Ergebnis ist eine vorläufige Risikoeinordnung für die weitere Prüfung und aktualisiert zusätzlich den animierten Zeitstrahl.
Vorläufiges Ergebnis
Risikostufe
Wahrscheinliche Einordnung
Gründe für die Einstufung
Empfohlene nächste Prüfpunkte
Sinnvoll vorzubereitende Unterlagen
Matrix
Typische Fristen, Risiken und Maßnahmen
| Datum / Status | Regelwerk | Einordnung | Typische Sofortmaßnahme |
|---|---|---|---|
| laufend | DSGVO / TDDDG | Tracking, Betroffenenrechte, AVV, DSFA und Datenpannenprozesse sind dauerhafte Pflichten. | VVT, TOM, Consent-Logs, DSAR- und Breach-Runbooks prüfen. |
| seit 17.02.2024 | DSA | Vermittlungsdienste, Hosting, Plattformen und Marktplätze benötigen Rollen- und Prozessklarheit. | Notice-and-Action, Moderation, Kontaktstellen und Transparenzpflichten prüfen. |
| seit 02.02.2025 | AI Act | Verbotene KI-Praktiken und KI-Kompetenz sind operative Pflichten. | KI-Inventar, Use-Case-Sperre, Schulungsnachweise und Vendor Review starten. |
| seit 28.06.2025 | BFSG | Barrierefreiheit kann für E-Commerce, Apps, digitale Dienstleistungen und Hardware relevant sein. | Accessibility-Audit, Erklärung, Feedbackprozess und Release-Gates aufsetzen. |
| seit 12.09.2025 | Data Act | Datenzugang, Cloud-Switching und faire Vertragsbedingungen sind für datengetriebene Modelle relevant. | Datenkatalog, Anfrageprozess, Verträge und Geschäftsgeheimnisschutz prüfen. |
| seit 06.12.2025 | NIS-2 / BSIG | Nach Auditstand ist die deutsche Umsetzung in Kraft (NIS-2-Umsetzungsgesetz, BGBl. 2025 I Nr. 301, seit 06.12.2025); Betroffenheit und Detailpflichten bleiben konkretisierungsbedürftig. | Sektor-/Größenprüfung, Managementbeschluss, Risikomanagement und Meldewege vorbereiten. |
| 11.09.2026 | CRA | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle werden relevant. | PSIRT, Vulnerability Disclosure, SBOM, Incident-Workflow und Zuständigkeiten testen. |
| 12.09.2026 | Data Act Art. 3(1) | Neue vernetzte Produkte und verbundene Dienste brauchen Datenzugänglichkeit by design. | Produktarchitektur, Schnittstellen, Nutzerinformationen und DSGVO-Gates prüfen. |
| 27.09.2026 | EmpCo / UWG | Strengere Vorgaben zu Umweltclaims, Nachhaltigkeitslabels, Haltbarkeit, Updates und Reparierbarkeit. | Claim-Dossier, Freigabeprozess, Produktinformationen und Kampagnen prüfen. |
| 02.12.2026 | AI-Omnibus (VO (EU) 2026/1744) | Neue Verbote nach Art. 5 für KI-Systeme zu nicht einvernehmlichen intimen Inhalten und Darstellungen sexuellen Missbrauchs von Kindern; Ende der Übergangsfrist für die maschinenlesbare Markierung nach Art. 50 Abs. 2 bei vor dem 02.08.2026 in Verkehr gebrachten Systemen. | Markierung, Missbrauchstests, technische Sperren und Content-Policy umsetzen. |
| 09.12.2026 | Produkthaftung | Neue Produkthaftungsrichtlinie muss in Produkt-, Software-, Update- und Dokumentationsprozesse eingeplant werden. | Release-/Update-Historie, technische Dokumentation, Haftungsmatrix und Versicherung prüfen. |
| 02.12.2027 | AI-Omnibus / AI Act | Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-KI nach Art. 6 Abs. 2 und Anhang III (VO (EU) 2026/1744). | Risikoklassifizierung, FRIA/DSFA-Schnittstelle, technische Doku und Monitoring vorbereiten. |
| 11.12.2027 | CRA | Hauptpflichten für Produkte mit digitalen Elementen werden umfassend anwendbar. | Secure SDLC, Konformität, CE, SBOM, Supportzeitraum und Updateprozesse finalisieren. |
| 02.08.2028 | AI-Omnibus / AI Act | Kapitel III Abschnitte 1 bis 3 gelten für produktbezogene Hochrisiko-KI nach Art. 6 Abs. 1 und Anhang I (VO (EU) 2026/1744); Schnittstelle zu sektoralen Produktvorschriften prüfen. | Produktrecht, Konformitätsbewertung und AI-Act-Dokumentation zusammenführen. |
Nächste sinnvolle Schritte
Verwandte ITMR-Checker und Anschlussprüfungen
Regulatorische Roadmap prüfen lassen?
Schildern Sie kurz Geschäftsmodell, Produkt, betroffene Regelwerke, Fristen und vorhandene Unterlagen. Bei konkreten Fristsachen sollte die Frist am Anfang der Nachricht stehen.