Umsetzung der neuen EU-Verordnungen und Richtlinien mit Menold Bezler

Die europäische Gesetzgebung rund um Daten, Künstliche Intelligenz, IT- und Datensicherheit wird seit einiger Zeit deutlich ausgeweitet. Dabei stellt es für Unternehmen und öffentliche Stellen durchaus eine Herausforderung dar, einen Überblick über die diversen Pflichten, Umsetzungsfristen und möglichen Rechtsfolgen einschließlich potentieller Bußgelder zu bewahren.

Deshalb zunächst eine grobe Übersicht über die wichtigsten Regelwerke:

Artificial Intelligence Act (sog. KI-Verordnung)

Diese Verordnung legt erstmals ein umfassendes Regelwerk für den Einsatz von KI-Systemen in der Europäischen Union vor. Sie verfolgt das Ziel, eine «vertrauenswürdige KI» zu fördern, Risiken zu steuern sowie Sicherheit, Grundrechte und Menschenzentriertheit sicherzustellen. Je nach Risiko-Kategorie des KI-Systems gelten unterschiedliche Pflichten – von Transparenzanforderungen bis hin zu einem Verbot bestimmter KI-Anwendungen.

Data Act

Ziel dieser Verordnung ist es, den Datenaustausch und die Nutzbarkeit von Daten – insbesondere Industriedaten – im EU-Binnenmarkt zu verbessern. Sie trifft vor allem Unternehmen, die vernetzte Produkte herstellen oder vertreiben und schafft rechtliche Rahmenbedingungen dafür, wer unter welchen Bedingungen Daten nutzen darf.

Digital Services Act

Diese Verordnung richtet sich an Betreiber digitaler Dienste – Plattformen, Marktplätze, App-Stores etc. – und hat das Ziel, einen sicheren digitalen Raum zu schaffen, in dem Grundrechte gewahrt sind und zugleich Fairness und Wettbewerbsfähigkeit gefördert werden.
Sie enthält Anforderungen etwa zur Transparenz, Risikobewertung, Umgang mit illegalen Inhalten, Verantwortlichkeit von Plattformen.

NIS2 Directive einschließlich des aktuellen Umsetzungsgesetzes

Diese EU-Richtlinie richtet sich an Betreiber wesentlicher und wichtiger Dienste im öffentlichen und privaten Sektor und hat zum Ziel, ein hohes gemeinsames Niveau der Cybersicherheit in der EU zu erreichen. Zu den Pflichten gehören u. a. Sicherheits- und Risikomanagement-Maßnahmen sowie Meldepflichten bei Cybervorfällen.

Cyber Resilience Act (CRA)

Diese Verordnung zielt darauf ab, Hard- und Softwareprodukte mit digitalen Elementen auf dem EU-Markt stärker hinsichtlich Cybersicherheit zu regulieren. Hersteller, Importeure und Distributoren tragen damit verstärkt Verantwortung für Sicherheit „by design“ und den gesamten Lebenszyklus der Produkte. Das soll dafür sorgen, dass Produkte – ob vernetzt oder als Software – von Anfang an mit Blick auf Sicherheit konzipiert und betrieben werden.

Unsere Rolle als IT- und Datenschutzreferat

Mit unserem Team aus insgesamt acht Juristen unterstützt unser Referat „IT- und Datenschutz“ Unternehmen und öffentliche Stellen dabei, diese gesetzlichen Vorgaben praxisorientiert, risikobewusst und zugleich umsetzbar in die Organisations- und Systemstruktur einzubetten.

Je nach konkretem Bedarf erbringen wir dabei folgende Leistungen:

Gesetzes- und Pflichtencheck: Wir analysieren, welche Verordnung oder Richtlinie für Sie relevant ist (z. B. KI-Verordnung bei Einsatz von KI-Systemen, NIS2 bei kritischen Infrastrukturen, Data Act bei Datenwirtschaft) und welche Pflichten daraus konkret folgen.
Gap-Analyse und Risikobewertung: Wir prüfen den aktuellen Stand Ihrer Organisation im Vergleich zu den Vorgaben (z. B. Datenzugang, Transparenz, Meldepflichten, Risikomanagement) und identifizieren die wesentlichen Lücken und Risiken.
Pragmatische Umsetzungsstrategie: Basierend auf der Risikoanalyse entwickeln wir eine priorisierte Roadmap und begleiten Sie bei der Umsetzung – mit Fokus auf pragmatische Lösungen, die nicht nur rechtlich korrekt, sondern auch betriebs- und technologiegerecht sind.
Beratung zu Technik, Prozessen und Governance: Wir unterstützen Sie bei der Gestaltung von Prozessen, Verantwortlichkeiten, technischen Maßnahmen (z. B. Datenschutz, Sicherheit, Monitoring), sowie bei der Schulung von Mitarbeitenden.
Begleitung bei Dokumentation und Nachweisführung: Da viele der Gesetze Nachweispflichten beinhalten (z. B. bei KI-Systemen, Produktsicherheit, Cyber-Vorfallmeldepflichten), helfen wir Ihnen beim Aufbau der nötigen Dokumentation und Audit-Nachweise.
Kontinuierliches Monitoring und Anpassung: Die Gesetzeslage und Technologieumgebung ändern sich rasch – daher begleiten wir Sie über die Erstimplementierung hinaus mit einem Blick auf Weiterentwicklung, Compliance Monitoring und Aktualisierung der Maßnahmen.

Risikobewusstsein und Pragmatismus als Schlüssel zur Umsetzung

Eine Gesetzeslage, die viele Vorgaben und teils abstrakte Anforderungen enthält, kann leicht in theoretische „Checklisten-Fallen“ münden, die im Alltag kaum praktikabel sind. Wenn Organisationen jedoch versuchen, jede Einzelanforderung „perfekt“ zu erfüllen, kann das zu Blockaden führen – statt echter Umsetzung entsteht Papierkram ohne Wirkung.

Wir unterstützen dabei mit einem pragmatischen Ansatz:

Fokus auf die wirklich relevanten Risiken und Prioritäten für die Organisation – nicht jede Regel hat gleich hohe Relevanz.
Technische und organisatorische Maßnahmen so wählen, dass sie mit dem Betrieb kompatibel sind und nicht die Handlungsfähigkeit behindern.
Prozesse so gestalten, dass sie in den Alltag integrierbar sind, Mitarbeitende verstehen, was im Alltag erforderlich ist.
Nachweisführung so einfach wie möglich halten – solange die wesentlichen Anforderungen abgedeckt sind.
Flexibilität bewahren: Gesetzeslage, Technik, Bedrohungslage ändern sich – daher sollten Maßnahmen anpassbar sein.

Fazit

Die regulatorische Landschaft in der EU verändert sich gerade deutlich. Mit den genannten Gesetzen werden branchenübergreifend neue Anforderungen etabliert. Für Unternehmen und öffentliche Stellen heißt das: Es ist nicht mehr ausreichend, „nur“ datenschutzkonform und sicher zu sein – es gilt, Daten- und KI-Governance sowie Cyber-Resilienz systematisch und praxisnah zu verankern.

Als IT- und datenschutzrechtliches Referat sehen wir unsere Aufgabe darin, Ihnen nicht lediglich eine Liste von Anforderungen zu übergeben, sondern Sie konkret und pragmatisch dabei zu begleiten, diese Vorgaben in Ihrer Organisation umzusetzen – mit einem risikoorientierten Ansatz, der umsetzbar ist und Mehrwert schafft.