Regulatorik Newsletter + Einladung Webinar "NIS-2 ist Chefsache"
19.08.2026 | Bank- und Prozessrecht
Die Themen:
- NIS-2 Richtlinie – Cybersicherheit ist Chefsache
- Cyber Resilience Act: Die entscheidenden Fristen rücken näher
- Rechtsschutzdefizit bei delegierten Rechtsakten im europäischen Bankenaufsichtsrecht?
- Neue EU-Produkthaftungsrichtlinie: Die eigentliche Revolution liegt im Prozessrecht
- 50 der EU-KI-Verordnung: Ab jetzt geltende Transparenz- und Kennzeichnungspflichten
- European Sustainability Reporting Standards (ESRS) vom 03.07.2026: Die neuen europäischen Nachhaltigkeitsstandards werden deutlich schlanker
- EU-Verordnung zur Kontrolle drittstaatlicher Subventionen (Foreign Subsidies Regulation – „FSR“)
- CSRD-Umsetzung in Deutschland: Weitreichende Erleichterungen zeichnen sich ab
- EU-Kleinanlegerstrategie (Retail Investment Strategy)
NIS-2 Richtlinie – Cybersicherheit ist Chefsache
Das BSIG ist seit dem 06.12.2025 in Kraft und seitdem gelten für die betroffenen Unternehmen sämtliche gesetzliche Pflichten. U.a. mussten sich betroffene Unternehmen bis zum 06.03.2026 registrieren. Jedoch erfolgte lediglich ein Dritter der erwarteten Registrierungen bis zum Ende der gesetzlichen Frist. Der Gesetzgeber schaltete daraufhin in deutschen Zeitungen Anzeigen mit dem Hinweis auf das geltende Gesetz. Die Aufsichtsbehörden setzten eine Nachfrist zur Registrierung, die am 31.07.2026 endete.
Dennoch bleibt die Registrierungsquote weiterhin hinter den Erwartungen des Gesetzgebers und der Behörde zurück. Erwartet wurde eine Registrierung von ca. 29.500 Unternehmen, zum 30.06.2026 haben sich laut BSI lediglich 17.729 Unternehmen registriert. Da die erwartete Anzahl der Registrierungen auch Ende Juli nicht erreicht wurde, hat das Innenministerium das Statistische Bundesamt beauftragt, die Zahl der registrierungspflichtigen Stellen nochmals zu überprüfen.
Die schleppende Registrierung hängt auch damit zusammen, dass eine rechtssichere Prüfung der Betroffenheit insbesondere bei Konzernstrukturen Schwierigkeiten bereitet. Dabei ist jedoch festzuhalten, dass bereits die unterlassene Registrierung bußgeldbewährt ist, unabhängig von dem Prüfungsaufwand der Unternehmen. Kommen Unternehmen zu dem Schluss, nicht unter die Regulierung zu fallen, sollten sie in jedem Fall das Ergebnis ihrer Prüfung ausreichend dokumentieren und aufbewahren, um im Falle einer Auseinandersetzung mit dem BSI die ausreichende Prüfung belegen zu können.
Die Registrierungspflicht ist nur eine von einer Vielzahl von Pflichten, die die betroffenen Unternehmen umsetzen müssen. Betroffene Unternehmen müssen u.a. Risikomanagementmaßnahmen etablieren und ein Meldewesen einrichten, um Sicherheitsvorfälle innerhalb der kurzen Fristen melden zu können. Auch die unterlassene Umsetzung dieser Pflichten sind bußgeldbewährt.
Die Einhaltung sämtlicher Pflichten ist dabei Aufgabe der Geschäftsleitung. Entstehen dem Unternehmen Schäden aufgrund unterlassener Umsetzung des Pflichtenkatalogs, haftet die Geschäftsführung dem Unternehmen persönlich. Daher gilt: Cybersicherheit ist Chefsache und sollte nicht von Geschäftsleitern als lästige Pflicht betrachtet werden.
Diese Fragen vertiefen wir am Mittwoch, 26. August 2026, 10 Uhr, 30 Minuten, in unserem kostenlosen Webinar „NIS-2 ist Chefsache“ per Microsoft Teams: Wie nach dem BSIG die Betroffenheit geprüft wird und woran Sie erkennen, ob Ihr Fall klar oder komplex ist; was die Pflicht zur Geschäftsleiterschulung beinhaltet; und welche nächsten Schritte sinnvoll sind. Mit Zeit für Ihre Fragen. Referentinnen sind Larissa Normann und Bettina Zerelles.
Teilnahme ohne Anmeldung – einfach zur genannten Zeit dem Teams-Meeting beitreten: https://www.linkedin.com/events/7478055931700977664?viewAsMember=true
Bettina Zerelles, Frankfurt am Main
Cyber Resilience Act: Die entscheidenden Fristen rücken näher
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist das erste europäische Gesetz, das verbindliche Cybersicherheitsanforderungen direkt an Produkte knüpft – nicht an Unternehmen oder Infrastrukturen, sondern an die Produkte selbst. Die Idee dahinter ist simpel: Wer ein Produkt auf den Markt bringt, das sich mit dem Internet oder anderen Geräten verbindet, trägt Verantwortung dafür, dass dieses Produkt keine Einfallstore für Angreifer öffnet. Seit dem 10. Dezember 2024 ist die Verordnung in Kraft; ihre Pflichten greifen jedoch gestaffelt. Wer Produkte mit digitalen Elementen herstellt, einführt oder in der EU vertreibt, sollte jetzt handeln – denn die erste wirklich spürbare Frist ist bereits in wenigen Wochen erreicht.
Wen betrifft der CRA?
Kurz gesagt: sehr viele Unternehmen. Der CRA gilt für alle Produkte, die eine digitale Komponente haben und sich mit einem Gerät oder Netzwerk verbinden – ob physisch oder drahtlos. Dazu zählen vernetzte Maschinen, Steuerungssysteme, eingebettete Software und klassische Unternehmenssoftware gleichermaßen. Ausgenommen sind lediglich Produkte, die bereits unter vergleichbar strenge Sonderregelungen fallen, etwa Medizinprodukte oder Luftfahrzeuge.
Wichtig ist auch: Der CRA richtet sich nicht nur an Hersteller. Auch Importeure und Händler treffen eigene Pflichten – etwa zur Prüfung, ob ein Produkt den Anforderungen entspricht, bevor es in der EU in Verkehr gebracht wird. Wer Produkte aus Drittstaaten bezieht und in der EU vertreibt, sollte daher frühzeitig klären, ob und in welchem Umfang ihn die Verordnung als Importeur oder Inverkehrbringer trifft.
Die Fristen im Einzelnen
Seit dem 11. Juni 2026 gelten die Regeln zu den sogenannten notifizierten Stellen – also den unabhängigen Prüforganisationen, die bestimmte Produkte vor dem Marktzugang zertifizieren müssen. Wer eine solche Prüfung benötigt, sollte die Auswahl einer geeigneten Stelle und die Einleitung des Zertifizierungsverfahrens nicht weiter aufschieben.
Ab dem 11. September 2026 treten die Meldepflichten des CRA in Kraft. Die Hauptlast trifft die Hersteller: Sie sind verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden nach Bekanntwerden an die EU-Cybersicherheitsbehörde ENISA und die zuständige nationale Behörde, in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI), zu melden. Nach 72 Stunden folgt eine detailliertere Folgemeldung; der abschließende Bericht ist bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme, bei schwerwiegenden Sicherheitsvorfällen spätestens einen Monat nach der Folgemeldung einzureichen.
Technisch erfolgt die Meldung nicht separat an BSI und ENISA, sondern über einen einzigen digitalen Endpunkt: die Single Reporting Platform (SRP) der ENISA. Dort wählt der Hersteller sein nationales CSIRT aus – für Deutschland das BSI – und die Meldung wird automatisch gleichzeitig an beide Stellen weitergeleitet. Das BSI wurde durch das CRA-Durchführungsgesetz zudem offiziell als Marktüberwachungsbehörde für Deutschland benannt. Eine Ausnahme gilt für Produkte, die gleichzeitig als Hochrisiko-KI-System unter den AI Act fallen: In diesen Fällen ist in Deutschland die Bundesnetzagentur die zuständige Behörde.
Aber auch Importeure und Händler sind in diesen Prozess eingebunden: Sie treffen zwar keine eigenständige Meldepflicht gegenüber den Behörden, sind jedoch verpflichtet, den Hersteller unverzüglich zu informieren, sobald ihnen eine Schwachstelle oder ein Sicherheitsvorfall bekannt wird. Wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder so verändert, dass seine Konformität mit dem CRA beeinträchtigt werden könnte, gilt rechtlich als Hersteller – und haftet dann auch entsprechend.
Das klingt zunächst nach einem überschaubaren bürokratischen Aufwand. In der Praxis ist es jedoch vor allem eine operative Herausforderung: Die 24-Stunden-Frist lässt kaum Spielraum. Wer erst dann beginnt, intern zu klären, wer zuständig ist, wie ein Vorfall bewertet wird und auf welchem Weg die Meldung erfolgt, wird diese Anforderung nicht erfüllen können. Das gilt für Hersteller ebenso wie für Importeure und Händler: Auch sie müssen sicherstellen, dass Informationen über Schwachstellen und Vorfälle intern erkannt und ohne Verzug an den Hersteller weitergeleitet werden – denn wenn dessen 24-Stunden-Frist läuft, zählt jede Stunde.
Ab dem 11. Dezember 2027 müssen alle materiellen Anforderungen des CRA erfüllt sein. Das ist der eigentliche Kern der Verordnung und stellt die größte Herausforderung dar. Im Einzelnen bedeutet das:
- Grundlegende Cybersicherheitsanforderungen (Anhang I, Teil I): Produkte müssen so konzipiert und entwickelt sein, dass sie ein dem Risiko angemessenes Sicherheitsniveau aufweisen. Dazu gehören unter anderem ein sicherer Standardzustand, Schutz vor unbefugtem Zugriff, Datenverschlüsselung und die Möglichkeit zur sicheren Aktualisierung.
- Schwachstellenmanagement (Anhang I, Teil II): Hersteller müssen Schwachstellen über den gesamten Lebenszyklus eines Produkts hinweg systematisch identifizieren, dokumentieren und beheben. Sicherheitsupdates müssen für einen definierten Zeitraum bereitgestellt werden.
- Technische Dokumentation: Für jedes Produkt ist eine umfassende technische Dokumentation zu erstellen, die Behörden auf Verlangen vorgelegt werden kann.
- Konformitätsbewertung und CE-Kennzeichnung: Je nach Produktkategorie ist eine Selbstbewertung oder eine externe Prüfung durchzuführen; anschließend ist eine EU-Konformitätserklärung auszustellen und das CE-Kennzeichen anzubringen..
Was sollten Unternehmen jetzt tun?
Die Frist bis Ende 2027 ist knapper als sie wirkt. Denn „Security by Design“ – also Cybersicherheit als fester Bestandteil der Produktentwicklung von Anfang an – lässt sich nicht nachträglich in fertige Produkte einbauen, ohne erheblichen Aufwand zu verursachen.
Ein sinnvoller erster Schritt ist die Bestandsaufnahme: Welche Produkte fallen überhaupt unter den CRA? Handelt es sich um Standardprodukte oder um Produkte wichtiger bzw. kritischer Kategorien – denn davon hängt ab, welches Prüfverfahren durchlaufen werden muss. Parallel dazu sollten die für die Meldepflichten erforderlichen internen Strukturen aufgebaut werden: Wer ist verantwortlich? Über welche Kanäle wird gemeldet? Wie wird dokumentiert? Diese Fragen müssen mit höchster Dringlichkeit beantwortet werden.
Larissa Normann, Frankfurt am Main
Rechtsschutzdefizit bei delegierten Rechtsakten im europäischen Bankenaufsichtsrecht?
Das europäische Aufsichtsrecht ist vielfach dadurch gekennzeichnet, dass die Rechtsgrundlagen auf verschiedenen Ebenen durch verschiedene Normgeber im Wege des sog. Lamfalussy-Verfahrens erlassen werden. Dabei wird die Rechtsetzung schrittweise und in begrenztem Rahmen auf untergeordnete Ebenen delegiert, wobei die Detailtiefe zunimmt. Damit soll der Komplexität der Materie Rechnung getragen werden und eine schnelle Anpassung an sich verändernde Anforderungen gewährleistet werden.
Ein typisches Beispiel für diese Regelungstechnik stellen die Rechtsakte im Zusammenhang mit der Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) dar. Die Verordnung selbst wurde von dem Europäischen Parlament und dem Rat der Europäischen Union erlassen. In Art. 30 Abs. 5 wird der Europäischen Kommission die Kompetenz übertragen, die Verordnung durch die Annahme technischer Regulierungsstandards zu ergänzen, die wiederum die in Erwägungsgrund (7) genannten Europäischen Aufsichtsbehörden erarbeiten sollten. Ziel dieser technischen Regulierungsstandards ist ausdrücklich (allein) die Präzisierung der in Art. 30 Abs. 2 lit. a DORA genannten Aspekte, die ein Finanzunternehmen bei der Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen bestimmen und bewerten muss (vgl. Art. 30 Abs. 5 DORA).
Von dieser delegierten Kompetenz hat die Kommission auch Gebrauch gemacht und die Delegierte Verordnung (EU) 2025/532 (RTS Sub) erlassen. Vor der Annahme des von den Europäischen Aufsichtsbehörden erstellten Entwurfs für die RTS Sub hat die Kommission indes festgestellt, dass dieser teilweise den von Art. 30 Abs. 5 DORA vorgegebenen Ermächtigungsrahmen sprengte (vgl. Schreiben der Europäischen Kommission vom 21.01.2025 (Ref. Ares(2025)457298 – 21/01/2025) und ihn daher nicht vollständig angenommen.
Gleichwohl beinhaltet der RTS Sub nach wie vor Elemente, die wohl nicht von der gemäß Art. 30 Abs. 5 DORA delegierten Gesetzgebungskompetenz umfasst sind. So enthält Art. 4 RTS Sub Vorgaben an den Inhalt der vertraglichen Vereinbarung zwischen dem Finanzunternehmen und seinem IKT-Drittdienstleister für den Fall einer Unterauftragsvergabe bestimmter Dienstleistungen. Die für eine solche Vereinbarung wesentlichen Vertragsbestimmungen ergeben sich jedoch abschließend aus Art. 30 DORA. Die Delegation einer Ergänzungskompetenz auf die Europäische Kommission im Hinblick auf die Anforderungen an den Vertragsinhalt ist in Art. 30 Abs. 5 DORA – wie oben dargestellt – nicht vorgesehen. Es erscheint nicht recht nachvollziehbar, dass die Kommission dies vor Annahme der RTS Sub unbeanstandet gelassen hat.
Eine ähnliche Problematik resultiert aus der Delegierten Verordnung (EU) 2024/1773 (RTS TPPol). Gemäß Art. 28 Abs. 10 DORA sollte die RTS TPPol dazu dienen, den Inhalt der (finanzunternehmensinternen) Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen zu spezifizieren. Tatsächlich enthält die RTS TPPol nach dem Verständnis der Aufsichtsbehörden ebenfalls unmittelbar Anforderungen an den Inhalt der vertraglichen Vereinbarungen zwischen einem Finanzunternehmen und ihrem IKT-Drittdienstleister.
Es ist also zu konstatieren, dass die Europäischen Aufsichtsbehörden über den vorgegebenen Ermächtigungsrahmen hinausgehend die Installation rechtlicher Anforderungen an den Normadressaten erreicht haben. Dies erfordert im Grunde klar definierte und umfassende Rechtsschutzmöglichkeiten gegen darauf basierende Einzelrechtsakte. Ob diese indes tatsächlich bestehen, ist wohl zu bezweifeln. Der gerichtliche Rechtsschutz ist vielmehr erheblich eingeschränkt (so auch Berger/Cichon, WM 2026, 49).
Michael Dreyer, Frankfurt am Main
Neue EU-Produkthaftungsrichtlinie: Die eigentliche Revolution liegt im Prozessrecht
Mit der neuen EU-Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853) hat der europäische Gesetzgeber das Produkthaftungsrecht grundlegend modernisiert. Die bisherige Richtlinie aus dem Jahr 1985 wird den technologischen Entwicklungen insbesondere im Bereich digitaler Produkte, Software, künstlicher Intelligenz und vernetzter Systeme nicht mehr gerecht. Die Mitgliedstaaten müssen die Richtlinie bis zum 9. Dezember 2026 in nationales Recht umsetzen.
Der Anwendungsbereich der Produkthaftung wird künftig erheblich erweitert. Erfasst werden nicht mehr nur körperliche Gegenstände, sondern ausdrücklich auch Software, einschließlich Software-Updates, sowie bestimmte digitale Herstellungsdateien. Zudem werden neue Wirtschaftsakteure in den Kreis der potenziell Haftenden einbezogen, etwa Fulfillment-Dienstleister oder unter bestimmten Voraussetzungen Anbieter von Online-Marktplätzen. Gleichzeitig wird der Produktbegriff an die Anforderungen der digitalen Wirtschaft angepasst und trägt damit den zunehmenden Vernetzungen und fortlaufenden Produktänderungen Rechnung.
Besonders praxisrelevant sind die neuen Beweisregeln. Um dem Informationsgefälle zwischen Geschädigten und Herstellern zu begegnen, sieht die Richtlinie erstmals einen Anspruch auf gerichtliche Offenlegung relevanter Beweismittel vor. Können Geschädigte ihren Anspruch schlüssig darlegen, kann das Gericht Hersteller zur Vorlage technischer Unterlagen verpflichten, soweit dies erforderlich und verhältnismäßig ist. Dabei sollen die Gerichte die Befugnis erhalten, spezifische Maßnahmen zu ergreifen, die erforderlich sind, um die Vertraulichkeit dieser Informationen zu wahren, wenn diese im Laufe des Gerichtsverfahrens oder danach verwendet werden oder auf sie Bezug genommen wird.
Kommt ein Unternehmen einer Anordnung zur Offenlegung relevanter Beweismittel nicht nach, wird die Fehlerhaftigkeit des Produkts gesetzlich vermutet. Daneben wird auch der Kausalzusammenhang zwischen der Fehlerhaftigkeit des Produkts und des Schadens vermutet, wenn festgestellt wurde, dass das Produkt fehlerhaft und der entstandene Schaden seiner Art nach typischerweise auf den betreffenden Fehler zurückzuführen ist. Darüber hinaus erleichtert die Richtlinie den Nachweis der Fehlerhaftigkeit und des Kausalzusammenhangs, insbesondere bei technisch oder wissenschaftlich komplexen Produkten. Für Unternehmen bedeutet dies eine deutliche Verschiebung der prozessualen Ausgangslage zugunsten der Anspruchsteller.
Die neuen Regelungen verdeutlichen, dass eine sorgfältige technische Dokumentation, belastbare Qualitäts- und Compliance-Prozesse sowie eine lückenlose Dokumentation von Produktentwicklungen und Software-Updates künftig noch stärker in den Fokus rücken werden. Unternehmen sollten bereits heute prüfen, ob ihre Dokumentations- und Risikomanagementsysteme den künftigen Anforderungen genügen. Eine frühzeitige Anpassung reduziert nicht nur Haftungsrisiken, sondern verbessert zugleich die Verteidigungsmöglichkeiten im Streitfall.
Jennifer Stuppy, Frankfurt am Main
Art. 50 der EU-KI-Verordnung: Ab jetzt geltende Transparenz- und Kennzeichnungspflichten
Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 der EU-KI-Verordnung („KI-VO“). Zugleich hat der europäische Gesetzgeber mit der sogenannten „Digital Omnibus“-Verordnung einzelne Anwendungsfristen der KI-VO angepasst. Für Unternehmen ist daher zwischen den bereits anwendbaren Transparenzpflichten und den zeitlich verschobenen Anforderungen an bestimmte Hochrisiko-KI-Systeme zu differenzieren.
Art. 50 KI-VO erfasst unterschiedliche Transparenzanforderungen und unterscheidet insbesondere zwischen KI-Systemen, die unmittelbar mit natürlichen Personen interagieren, und KI-generierten bzw. manipulierten Inhalten. Betreiber von KI-Systemen, die unmittelbar mit natürlichen Personen interagieren, haben grundsätzlich darüber zu informieren, dass die Interaktion mit einem KI-System erfolgt. Dies betrifft etwa Chatbots im Kundenservice. Eine Information ist entbehrlich, wenn sich aus den Umständen und dem Nutzungskontext ohne Weiteres ergibt, dass es sich um eine Interaktion mit einem KI-System handelt.
Darüber hinaus treffen Anbieter bestimmter KI-Systeme Pflichten zur technischen und maschinenlesbaren Kennzeichnung KI-generierter Inhalte. Für Betreiber ist insbesondere die Veröffentlichung von Deepfakes relevant: Werden Bild-, Audio- oder Videoinhalte künstlich erzeugt oder manipuliert und veröffentlicht, sind diese grundsätzlich entsprechend offenzulegen. Vergleichbare Pflichten gelten für bestimmte KI-generierte oder manipulierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Eine Ausnahme besteht insbesondere für Inhalte, die einer wirksamen menschlichen Überprüfung bzw. redaktionellen Kontrolle unterzogen wurden und für die eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.
Für die Auslegung und praktische Umsetzung von Art. 50 stehen inzwischen zwei wesentliche Orientierungshilfen zur Verfügung: die am 20. Juli 2026 veröffentlichten Leitlinien der Europäischen Kommission zu den Transparenzpflichten nach Art. 50 sowie der am 10. Juni 2026 veröffentlichte Verhaltenskodex zur Transparenz von KI-generierten Inhalten. Die Leitlinien konkretisieren insbesondere den Anwendungsbereich des Art. 50 und erläutern zentrale Begriffe, Ausnahmen und Anwendungsfälle. Der Verhaltenskodex befasst sich demgegenüber schwerpunktmäßig mit der Kennzeichnung und Erkennbarkeit KI-generierter bzw. manipulierter Inhalte und enthält insbesondere Vorgaben für maschinenlesbare Kennzeichnungen sowie für die Kennzeichnung von Deepfakes und bestimmten KI-generierten Texten. Die Anwendung des Kodex ist freiwillig. Die Europäische Kommission und der KI-Ausschuss haben ihn jedoch als geeignetes Instrument zur Erfüllung der einschlägigen Transparenzpflichten anerkannt. Unternehmen, die den Kodex nicht anwenden, sollten daher sicherstellen, dass die gewählten alternativen Maßnahmen ein vergleichbares Schutzniveau gewährleisten und ihre Geeignetheit im Bedarfsfall nachvollziehbar dargelegt werden kann.
Mit der Verordnung (EU) 2026/1744 („Digital Omnibus on AI“) wurde der Anwendungszeitplan der KI-VO teilweise angepasst. Dies betrifft insbesondere die Vorschriften für eigenständige Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 i.V.m. Anhang III KI-VO, deren Anwendung vom 2. August 2026 auf den 2. Dezember 2027 verschoben wurde. Für Hochrisiko-KI-Systeme, die in regulierte Produkte nach Anhang I KI-VO integriert sind, verschiebt sich der maßgebliche Zeitpunkt vom 2. August 2027 auf den 2. August 2028. Die Verschiebungen sind erheblich, stellen jedoch keine generelle Verschiebung der Anwendbarkeit der KI-VO dar. Insbesondere Art. 50 KI-VO ist seit dem 2. August 2026 anwendbar. Eine begrenzte Übergangsregelung gilt allerdings für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 KI-VO: Für KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden, ist diese Verpflichtung erst ab dem 2. Dezember 2026 einzuhalten.
Für Unternehmen ergeben sich damit unterschiedliche Compliance-Zeitpläne. Während bei bestimmten Hochrisiko-KI-Systemen zusätzliche Vorbereitungszeit gewonnen wurde, sind die Transparenzanforderungen des Art. 50 bereits umzusetzen. Unternehmen sollten daher zunächst ihre eingesetzten KI-Systeme und deren konkrete Einsatzszenarien erfassen und insbesondere prüfen, ob Chatbots oder sonstige interaktive KI-Anwendungen eingesetzt oder KI-generierte Inhalte extern veröffentlicht werden. Für relevante Anwendungen sollten klare Prozesse und Verantwortlichkeiten für die erforderliche Kennzeichnung festgelegt werden. Dabei sollte insbesondere dokumentiert werden, wann eine Kennzeichnung erforderlich ist, welche technischen Kennzeichnungsmechanismen zum Einsatz kommen und wie deren ordnungsgemäße Umsetzung sichergestellt wird. Soweit eine menschliche Überprüfung oder redaktionelle Kontrolle eine Ausnahme von der Kennzeichnungspflicht begründet, sollte auch dieser Prozess nachvollziehbar dokumentiert werden. Die durch den Digital Omnibus gewonnene zusätzliche Vorbereitungszeit für bestimmte Hochrisiko-KI-Systeme sollte zugleich genutzt werden, um die weiteren Anforderungen der KI-VO strukturiert vorzubereiten und in die bestehende KI-Governance und Compliance-Organisation zu integrieren.
Luisa Nordhäußer, Frankfurt am Main
luisa.nordhaeusser@goehmann.de
European Sustainability Reporting Standards (ESRS) vom 03.07.2026: Die neuen europäischen Nachhaltigkeitsstandards werden deutlich schlanker
Die European Sustainability Reporting Standards (ESRS) sind die verbindlichen Vorgaben der Nachhaltigkeitsberichterstattung und bilden den inhaltlichen Kern der Corporate Sustainability Reporting Directive (CSRD). Im Rahmen der CSRD erarbeitete die Europäische Kommission gemeinsam mit der EFRAG (European Financial Reporting Advisory Group) die Standards, die bereits im Juli 2023 angenommen wurden. Sie legen fest, welche Nachhaltigkeitsinformationen Unternehmen veröffentlichen müssen und schaffen damit einen europaweit einheitlichen Berichtsrahmen für Umwelt-, Sozial- und Governance-Themen. Die Europäische Kommission hat nun, nach den ersten Erfahrungen mit der Umsetzung der bereits bestehenden ESRS, die Standards grundlegend überarbeitet. Denn viele Unternehmen kritisierten die ursprünglichen ESRS als zu umfangreich und ressourcenintensiv. Insbesondere mittelgroße Unternehmen standen vor erheblichen Herausforderungen bei der Datenerhebung und Dokumentation dieser Daten. Ziel der Reform ist es, den Berichts- und Verwaltungsaufwand für Unternehmen deutlich zu reduzieren, ohne den wesentlichen Kern der Nachhaltigkeitsberichterstattung zu verlieren.
Die Überarbeitung der ESRS steht unter dem Motto „weniger Bürokratie, mehr Wesentlichkeit“. Getreu diesem Motto betrifft die bedeutendste Neuerung den Umfang der Berichterstattung. Denn die Europäische Kommission hat zahlreiche Berichtspflichten für die Unternehmen gestrichen oder freiwillig ausgestaltet. Ziel hiervon ist es, Doppelungen zu vermeiden und Unternehmen stärker auf wesentliche Informationen zu konzentrieren. Wesentliche Informationen sind insbesondere solche, die für die Adressaten der Berichterstattung tatsächlich relevant sind. Die Berichterstattung soll dadurch verständlicher und effizienter werden. Die Zahl der Datenpunkte sinkt von über 1.000 auf rund 320 – ein Rückgang von mehr als 60%, wodurch Unternehmen Berichtskosten einsparen können. Trotz der Vereinfachungen in den Berichtspflichten bleibt die doppelte Wesentlichkeitsanalyse das zentrale Prinzip der ESRS. Das bedeutet, dass Unternehmen weiterhin beurteilen müssen, welche Nachhaltigkeitsthemen wesentliche Auswirkungen auf Umwelt und Gesellschaft haben (Impact Materiality) und welche Nachhaltigkeitsthemen wesentliche finanzielle Risiken oder Chancen für das Unternehmen darstellen (Financial Materiality). Neu ist jedoch, dass die Durchführung dieser Wesentlichkeitsanalyse eindeutiger beschrieben und stärker standardisiert wurde. Unternehmen sollen sich auf tatsächlich wesentliche Themen konzentrieren und nicht mehr vorsorglich möglichst viele Informationen offenlegen. Neben der Reduzierung der Datenpunkte wurden durch klarere Definitionen, eine vereinfachtere Struktur und mehr Flexibilität bei den einzelnen Offenlegungspflichten inhaltliche Anpassungen vorgenommen. Dadurch soll die Anwendung der ESRS insbesondere für Unternehmen erleichtert werden, die erstmals einen Nachhaltigkeitsbericht erstellen.
Grundsätzlich bleibt für Unternehmen weiterhin – auch wenn die ESRS schlanker geworden sind – die Nachhaltigkeitsberichterstattung ein wichtiges Thema. Unternehmen sollten insbesondere ihre bestehende Wesentlichkeitsanalyse im Licht der präzisierten Vorgaben überprüfen und ihre Berichte auf die reduzierte Zahl an Datenpunkten anpassen. Eine frühzeitige Reaktion auf die neuen Anforderungen, kann den zukünftigen Berichtsaufwand deutlich auf das Wesentliche reduzieren, dadurch schlankere Nachhaltigkeitsberichte fördern, und gleichzeitig die Qualität der Nachhaltigkeitsinformationen verbessern.
Fazit & Ausblick
Die Überarbeitung der ESRS stellen einen deutlichen Kurswechsel in der europäischen Nachhaltigkeitsberichterstattung dar. Mit der Überarbeitung der ESRS verfolgt die Europäische Kommission einen pragmatischeren Ansatz.
Ab dem Geschäftsjahr 2027 sind die Standards verpflichtend, bis dahin können Unternehmen freiwillig entscheiden, ob sie die Standards anwenden. Die überarbeiteten Standards wurden als delegierte Rechtsakte zunächst an das Europäische Parlament und den Rat zur Prüfung übermittelt. Rechtswirksam werden die neuen Standards erst nach Abschluss des Prüfungsverfahrens, welches eine Prüfungsfrist von zwei Monaten mit optionaler Verlängerung von wiederum zwei Monaten vorsieht, und nach der anschließenden Veröffentlichung im Amtsblatt.
Greta Luckhardt, Frankfurt am Main
EU-Verordnung zur Kontrolle drittstaatlicher Subventionen (Foreign Subsidies Regulation – „FSR“)
Update: Verschärfte Vollzugspraxis der EU-Kommission
Die EU-Verordnung zur Kontrolle drittstaatlicher Subventionen (Foreign Subsidies Regulation – „FSR“, VO (EU) Nr. 2022/2560) gilt seit dem 12. Juli 2023 und ermöglicht der EU-Kommission die Prüfung finanzieller Zuwendungen aus Drittstaaten, die Unternehmen mit wirtschaftlicher Tätigkeit im EU-Binnenmarkt erhalten. Anmeldepflichten bestehen bei Unternehmenszusammenschlüssen und öffentlichen Vergabeverfahren oberhalb bestimmter Schwellenwerte; darüber hinaus kann die Kommission auch von Amts wegen („ex officio“) unabhängig von den Schwellenwerten tätig werden. Erste Erfahrungen aus der Anwendungspraxis zeigten, dass die EU-Kommission von den ihr durch die FSR eröffneten Prüfinstrumenten bereits umfangreich Gebrauch macht und dabei insbesondere Zuwendungen an chinesische Unternehmen kritisch prüft. Seither hat sie ihre Vollzugspraxis erheblich intensiviert.
Mittlerweile zeigt sich, dass die EU-Kommission sämtliche FSR-Instrumente umfassend anwendet – von der Anmeldeprüfung über die Ex-officio-Untersuchung und die unangekündigte Durchsuchung bis hin zum sog. „Call-in“ unterhalb der Schwellenwerte. Die Zahl der Verfahren liegt dabei deutlich über den ursprünglichen Erwartungen der EU-Kommission: Bis Mai 2026 wurden bereits 273 M&A-Verfahren angemeldet; im Bereich öffentlicher Vergabeverfahren waren über 5.150 Einreichungen in 863 Vergabeverfahren zu verzeichnen.
Bei Unternehmenszusammenschlüssen hat die EU-Kommission drei vertiefte Prüfungen eingeleitet; zwei wurden mit Auflagen abgeschlossen. Auch im Vergabebereich hat sie mittlerweile mehrere eingehende Prüfungen durchgeführt. In der Folge sahen die betroffenen Unternehmen überwiegend von einer weiteren Beteiligung an der Ausschreibung ab bzw. die Beteiligung wurde nach einem Austausch des relevanten Unterauftragnehmers seitens der EU-Kommission genehmigt. Parallel hat die EU-Kommission ihr Instrumentarium der Prüfung von Amts wegen mehrfach eingesetzt und dabei auch nicht vor unangekündigten Durchsuchungen zurückgeschreckt. Erstmals machte sie im November 2025 zudem von ihrer Befugnis Gebrauch, im Vergabebereich unterhalb der Schwellenwerte eine nachträgliche Anmeldung zu verlangen („Call-in“); dies führte im konkreten Fall zum Ausschluss des betroffenen Bieters.
Die intensive Nutzung sämtlicher Instrumente wurde von betroffenen Unternehmen und Verbänden teils als unverhältnismäßig kritisiert; gerichtliche Anträge auf einstweiligen Rechtsschutz gegen Durchsuchungen und Auskunftsanordnungen blieben bislang jedoch erfolglos.
Zur Verbesserung der Transparenz hat die EU-Kommission ihre Leitlinien nach Art. 46 FSR weiterentwickelt. Die Leitlinien vom 09. Januar 2026 konkretisieren die zweistufige Prüfung über das Vorliegen einer Wettbewerbsverzerrung, die Abwägungsprüfung zwischen den Auswirkungen der Subventionen sowie die Kriterien für die Ausübung der Call-in-Befugnisse unterhalb der Schwellenwerte. In ihrem ersten Überprüfungsbericht vom 14. Juli 2026 hält die EU-Kommission strukturelle Änderungen an der FSR zwar nicht für angezeigt, erwägt aber verfahrensbezogene Erleichterungen, um den Verwaltungsaufwand bei der Erhebung von Daten zu drittstaatlichen Zuwendungen zu verringern.
Die aktuelle Fallpraxis bestätigt das „scharfe Schwert“ der FSR. Unternehmen sollten mögliche Anknüpfungspunkte an FSR-Tatbestände daher weiterhin frühzeitig und fortlaufend prüfen; Kreditgeber und sonst beteiligte Finanzinstitute sollten ein entsprechendes Compliance-Frühwarnsystem nachhalten. Die zunehmende Ex-officio-Praxis und die wiederholte Nutzung von Durchsuchungen zeigen zudem, dass Compliance-Strukturen – einschließlich einer „Dawn-Raid“-Bereitschaft und laufender Dokumentation drittstaatlicher Zuwendungen – unabhängig von einer bestimmten Transaktion etabliert werden sollten.
Dr. Lara Herrlich, Frankfurt am Main
CSRD-Umsetzung in Deutschland: Weitreichende Erleichterungen zeichnen sich ab
Die Änderungen der Corporate Sustainability Reporting Directive (CSRD) sind am 18. März 2026 mit der Änderungsrichtlinie (EU) 2026/470 in Kraft getreten. Sie führen insbesondere zu einer erheblichen Verengung des Anwendungsbereichs der CSRD, einer Begrenzung der Informationsanforderungen entlang der Wertschöpfungskette sowie zu Erleichterungen bei der Prüfung der Nachhaltigkeitsberichterstattung. Die geänderten Vorgaben sind von den Mitgliedstaaten bis zum 19. März 2027 in nationales Recht umzusetzen.
Der deutsche Gesetzgeber hatte hierzu bereits im September 2025 einen Entwurf für ein CSRD-Umsetzungsgesetz vorgelegt. Ende März 2026 brachten die Regierungsfraktionen einen gemeinsamen Änderungsantrag ein, mit dem insbesondere die zwischenzeitlich auf europäischer Ebene beschlossenen Änderungen in den nationalen Umsetzungsrahmen überführt werden sollen. Am 13. April 2026 fand hierzu eine öffentliche Anhörung im Rechtsausschuss des Deutschen Bundestages statt. Die bislang vorliegenden Gesetzgebungsvorschläge lassen bereits erkennen, in welchem Umfang Unternehmen künftig von den europarechtlich angelegten Erleichterungen bei der Nachhaltigkeitsberichterstattung profitieren könnten.
Deutlich eingeschränkter Anwendungsbereich
Eine wesentliche Änderung betrifft den Kreis der künftig berichtspflichtigen Unternehmen. Für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen, soll die Pflicht zur Nachhaltigkeitsberichterstattung grundsätzlich nur noch Unternehmen treffen, die sowohl Nettoumsatzerlöse von mehr als EUR 450 Mio. als auch mehr als 1.000 Beschäftigte aufweisen. Entsprechendes soll für Mutterunternehmen großer Gruppen auf konsolidierter Basis gelten. Kleine und mittlere Unternehmen (KMU) sollen grundsätzlich aus dem Anwendungsbereich herausfallen. Ihnen steht jedoch die Möglichkeit offen, freiwillig nach dem vereinfachten VSME-Standard zu berichten. Zugleich soll verhindert werden, dass größere Unternehmen die Entlastung der KMU durch eine mittelbare Ausweitung der Informationsanforderungen entlang der Wertschöpfungskette unterlaufen. Informationen, die über die im VSME-Standard vorgesehenen Angaben hinausgehen, sollen künftig grundsätzlich nicht mehr von KMU abgefragt werden dürfen.
Darüber hinaus sieht der Änderungsantrag vor, Unternehmen der sogenannten ersten CSRD-Welle, die die neuen Schwellenwerte nicht erreichen, bereits für die Geschäftsjahre 2025 und 2026 von der Berichtspflicht auszunehmen. Der Kreis der unmittelbar von der CSRD erfassten Unternehmen würde sich damit erheblich verkleinern.
Begrenzung der Informationsanforderungen entlang der Wertschöpfungskette
Für Unternehmen mit bis zu 1.000 Beschäftigten sieht der Änderungsvorschlag eine Begrenzung der Informationsanforderungen entlang der Wertschöpfungskette („Value-Chain-Cap“) vor. Danach sollen kleinere Unternehmen die Übermittlung von Nachhaltigkeitsinformationen an berichtspflichtige Geschäftspartner künftig verweigern können, soweit diese über die in den freiwillig anwendbaren Standards vorgesehenen Angaben hinausgehen. Damit wird der mittelbare Berichts- und Informationsdruck auf kleinere Zulieferer innerhalb der Wertschöpfungskette gezielt begrenzt. Zugleich soll dem sogenannten „Trickle-Down-Effekt“ entgegengewirkt werden, bei dem umfangreiche Informationsanforderungen über berichtspflichtige Unternehmen an nicht unmittelbar von der CSRD erfasste Geschäftspartner und insbesondere kleinere Zulieferer weitergereicht werden.
Dauerhaft begrenzte Prüfungssicherheit
Auch für die Prüfung der Nachhaltigkeitsberichterstattung sieht der Änderungsvorschlag eine wesentliche Erleichterung vor. Die Prüfung soll künftig dauerhaft auf Grundlage einer begrenzten Prüfungssicherheit erfolgen. Eine spätere Überleitung zu einer Prüfung mit hinreichender Prüfungssicherheit ist demgegenüber nicht mehr vorgesehen. Für die betroffenen Unternehmen dürfte dies insbesondere zu einer dauerhaften Begrenzung des Prüfungsumfangs und damit zu einer spürbaren Reduzierung des mit der Nachhaltigkeitsberichterstattung verbundenen Prüfungsaufwands führen.
Ausblick
Der Gesetzgebungsprozess ist noch nicht abgeschlossen. Nach der weiteren Beratung im Rechtsausschuss stehen die zweite und dritte Lesung im Bundestag an.
Es bleibt damit abzuwarten, in welcher konkreten Ausgestaltung der deutsche Gesetzgeber die auf europäischer Ebene beschlossenen Erleichterungen in nationales Recht überführt.
Pascal Schäfer, Frankfurt am Main
EU-Kleinanlegerstrategie (Retail Investment Strategy)
Mit der EU-Kleinanlegerstrategie (Retail Investment Strategy) verfolgt die Europäische Union das Ziel, den Anlegerschutz zu stärken und die Beteiligung von Kleinanlegern an den europäischen Kapitalmärkten zu fördern. Kleinanleger sollen hierbei stärker in den europäischen Kapitalmarkt eingebunden werden, um langfristig Vermögen aufzubauen. Hierzu sollen insbesondere Transparenz, Beratungsqualität und das Preis-Leistungs-Verhältnis von Anlageprodukten verbessert werden. Durch diese Vorgaben soll den Verbrauchern der Zugang zu den europäischen Kapitalmärkten erleichtert und die EU-Finanzmärkte wettbewerbsfähiger gemacht werden.
Für Banken, Wertpapierinstitute und Vermittler zeichnet sich bereits jetzt ab, dass die EU-Kleinanlegerstrategie zu umfassenden Anpassungen in Vertrieb, Produktgovernance und Compliance führen wird, auch wenn das Gesetzgebungsverfahren auf europäischer Ebene noch nicht abgeschlossen ist.
Im Mittelpunkt der geplanten Änderungen stehen insbesondere:
- „Value for Money“-Ansatz: Kosten und Gebühren eines Finanzprodukts sollen in einem angemessenen Verhältnis zu dessen Nutzen stehen. Wertpapierfirmen sollen hierbei verpflichtet werden, sämtliche Kosten und Gebühren kenntlich zu machen, die Anlegern im Zusammenhang mit den von ihnen empfohlenen Anlageprodukten entstehen. Hierfür sind europaweite Vergleichsmaßstäbe vorgesehen.
- Strengere Vorgaben bzgl. Provisionen: Ein ursprünglich geplantes weitreichendes Provisionsverbot ist inzwischen nicht mehr vorgesehen. Stattdessen werden strengere Vorgaben für die Rechtfertigung und Offenlegung von Provisionen und Gebühren erwartet. Es sollen Schutzvorkehrungen zur Vermeidung von Interessenkonflikten eingeführt werden.
- Stärkung des „Best Interest“-Prinzips: Anlageempfehlungen sollen nachweislich im besten Interesse des Kunden erfolgen. Dies dürfte höhere Anforderungen an Beratungsprozesse und Dokumentation mit sich bringen.
- Überarbeitung der Kundeninformationen: Standardisierte Kundeninformationen sollen verständlicher, digitaler und stärker auf die wesentlichen Informationen ausgerichtet werden.
- Finanzkompetenz und „Finfluencer“: Es sollen neue Bestimmungen eingeführt werden, um Maßnahmen im Bereich der Finanzkompetenz zu fördern. So werden die Mitgliedstaaten dazu angehalten, Anlegern dabei zu helfen, die mit Investitionen verbundenen Risiken und Vorteile besser zu verstehen und die erhaltene Finanzberatung kritisch zu bewerten. Hierbei werden insbesondere auch die Tätigkeiten von sog. „Finanz-Influencern“ bzw. „Finfluencern“ ins Visier genommen, die (teils oberflächliche) Finanzberatung über soziale Medien anbieten.
Die Europäische Kommission legte ihren Vorschlag zur EU-Kleinanlegerstrategie im Mai 2023 vor. Im Dezember 2025 erzielten der Rat und das Europäische Parlament über die EU-Kleinanlegerstrategie eine Einigung auf politischer Ebene. Die EU-Kleinanlegerstrategie befindet sich nunmehr im europäischen Gesetzgebungsverfahren. Nach der Veröffentlichung im Amtsblatt der EU haben die Mitgliedstaaten 24 Monate Zeit, um die neuen Vorschriften umzusetzen.
Fazit:
Die EU-Kleinanlegerstrategie entwickelt sich zu einem der zentralen Regulierungsprojekte im europäischen Wertpapierrecht. Zwar sind einige Detailfragen noch unklar, die Richtung zeichnet sich jedoch bereits ab: mehr Transparenz, strengere Anforderungen an Beratungen und Provisionen/Gebühren sowie eine stärkere regulatorische Kontrolle von Vertriebs- und Produktprozessen.
Florian Stritzke, Frankfurt am Main
