Nicht jedes Unternehmen ist von allen drei EU-Gesetzen gleich betroffen. Wer das nicht weiß, reagiert entweder auf alles – oder auf nichts. Beides ist

Nicht jedes Unternehmen ist von allen drei EU-Gesetzen gleich betroffen. Wer das nicht weiß, reagiert entweder auf alles – oder auf nichts. Beides ist falsch. Hier eine Orientierung ohne Juristendeutsch. NIS2 – betrifft Sie wenn: Ihr Unternehmen mehr als 50 Mitarbeiter beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz erzielt, und in einem der 18 regulierten Sektoren tätig ist. Dazu gehören Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, Lebensmittelproduktion, Abfallwirtschaft, verarbeitendes Gewerbe, Post- und Kurierdienste, Chemie, Forschung und weitere. Wer unter den Schwellenwerten liegt, ist formal nicht direkt betroffen – kann aber indirekt über Lieferantenanforderungen seiner Kunden mit den Anforderungen konfrontiert werden. Die Registrierungsfrist beim BSI war der 6. März 2026. Wer noch nicht registriert ist, sollte das sofort nachholen. Cyber Resilience Act – betrifft Sie wenn: Ihr Unternehmen Produkte mit digitalen Elementen herstellt oder in der EU verkauft. Das umfasst Hardware mit Software, reine Softwareprodukte, vernetzte Geräte, Apps und digitale Komponenten. Wer solche Produkte nur intern nutzt aber nicht selbst herstellt oder verkauft, ist nicht direkt betroffen – wohl aber indirekt, weil die Anforderungen durch die Lieferkette wandern. Ab September 2026 gelten Meldepflichten bei Schwachstellen. EU AI Act – betrifft Sie wenn: Ihr Unternehmen KI-Systeme entwickelt, in Verkehr bringt oder in bestimmten Hochrisikobereichen einsetzt. Hochrisikobereiche sind unter anderem Personalentscheidungen, Kreditvergabe, biometrische Identifizierung, kritische Infrastruktur und Bildung. Wer KI nur als Werkzeug nutzt – zum Beispiel einen KI-Assistenten für Texte oder Auswertungen – fällt meistens nicht in die Hochrisikokategorie. Aber: Ab August 2026 gelten erste Transparenzpflichten. Wer KI in irgendeiner Form einsetzt, sollte prüfen wo er im Risikogefüge des Gesetzes steht. Was bedeutet das in der Praxis? Ein produzierender Mittelständler mit 80 Mitarbeitern der Maschinen mit Software herstellt und KI für die Qualitätskontrolle nutzt, ist wahrscheinlich von allen drei Gesetzen betroffen – direkt oder indirekt. Ein Handwerksbetrieb mit 15 Mitarbeitern der keine digitalen Produkte herstellt und keine KI in Hochrisikobereichen einsetzt, ist formal von keinem der drei direkt betroffen – aber über Kundenanforderungen möglicherweise trotzdem mit NIS2-Themen konfrontiert. Die wichtigste Erkenntnis: Nicht jeder braucht alles. Aber jeder sollte einmal geprüft haben ob und wo er betroffen ist. Das dauert keine Woche. Die Konsequenzen des Nichtwissens dauern länger.