Stichtage und Termine
Wann welche Pflicht greift, mit der Fundstelle daneben. Denn nicht jeder Termin, der als Frist herumgereicht wird, steht auch in einem Gesetz.
Stand: 10.09.2026
- Gesetzliche Frist
- Steht so im Normtext.
- Übergangsregelung
- Gilt nur für Altfälle, Zuschnitt genau prüfen.
- Behördliche Nachfrist
- Aussage über die Vollzugspraxis, keine Rechtslage.
Kommende Termine
2026
- 27.10.2026 Dienstag
it-sa Expo&Congress, Nürnberg
Drei Messetage bis zum 29. Oktober im Messezentrum Nürnberg. Auf dieser Messe erscheint auch die Methodik von Grundschutz++, siehe den Eintrag darunter.
- 27.10.2026 Dienstag
Grundschutz++: Methodik wird auf der it-sa veröffentlicht
Das BSI stellt die Methodik-Grundschutz++ auf der it-sa 2026 in Nuernberg der Community zur Anwendung bereit. Der Anwenderkatalog loest das IT-Grundschutz-Kompendium ab und liegt maschinenlesbar in der Stand-der-Technik-Bibliothek. Die mit WiBA erprobten Checklisten werden fester Bestandteil. Kein Rechtstermin, sondern die Planung des BSI.
- 02.12.2026 Mittwoch
KI-Verordnung: Kennzeichnung durch Anbieter von Bestandssystemen
Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und die ihr System vor dem 2. August 2026 in Verkehr gebracht haben, müssen bis zu diesem Tag die maschinenlesbare Kennzeichnung umsetzen. Die Frist gilt Anbietern und ihren Verfahren, nicht dem nachträglichen Auszeichnen älterer Inhalte.
2027
- 01.01.2027 Freitag
Grundschutz++ wird zertifizierbar
Ab diesem Tag koennen Zertifizierungsantraege fuer ISO 27001 auf Basis von Grundschutz++ gestellt werden, ebenso fuer die Zertifizierung zum GS++-Berater und zum GS++-Auditteamleiter. Kein Rechtstermin, sondern die Planung des BSI.
- 12.01.2027 Dienstag
Datenverordnung: Wechselentgelte entfallen
Anbieter von Datenverarbeitungsdiensten dürfen für den Vollzug eines Anbieterwechsels keine Entgelte mehr erheben. Bis dahin sind ermäßigte Entgelte zulässig, begrenzt auf die tatsächlich entstehenden Kosten.
- 14.01.2027 Donnerstag
Maschinenverordnung: Geltungsbeginn mit Cybersicherheitsanforderungen
Die Maschinenverordnung löst die Maschinenrichtlinie ab und verlangt erstmals ausdrücklich Schutz vor Korrumpierung sowie Sicherheit und Zuverlässigkeit von Steuerungssystemen. Für Betreiber ist das vor allem eine Beschaffungsfrage: Maschinen, die ab diesem Tag in Verkehr gebracht werden, müssen die Anforderungen erfüllen und in der EU-Konformitätserklärung nachweisen.
- 26.07.2027 Montag
CSDDD: Umsetzungsfrist der Mitgliedstaaten
Bis zu diesem Tag müssen die Mitgliedstaaten die EU-Lieferkettenrichtlinie in nationales Recht überführt haben. Häufig zitiert wird noch der 26. Juli 2026: So stand es in der ursprünglichen Richtlinie, bis die „Stop-the-clock"-Richtlinie (EU) 2025/794 die Frist um ein Jahr verschob. Die Erstanwendung für die größte Unternehmensgruppe rutschte damit von Juli 2027 auf Juli 2028.
- 12.09.2027 Sonntag
Datenverordnung: Altverträge über Datenverarbeitungsdienste
Kapitel IV greift ab diesem Tag auch für Verträge, die am oder vor dem 12. September 2025 geschlossen wurden, sofern sie unbefristet sind oder frühestens am 11. Januar 2034 enden. Ein guter Anlass, das Vertragsverzeichnis nach genau diesen beiden Merkmalen zu durchsuchen.
- 02.12.2027 Donnerstag
KI-Verordnung: Hochrisiko-Pflichten nach Anhang III
Ursprünglich für den 2. August 2026 vorgesehen, im Juli 2026 verschoben. Betroffen sind acht Bereiche, unter anderem Biometrie, kritische Infrastruktur, Beschäftigung und Zugang zu wesentlichen Diensten. Die Verschiebung ist Vorbereitungszeit, keine Pause.
- 11.12.2027 Samstag
Cyber Resilience Act gilt vollständig
Ab diesem Tag dürfen Produkte mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn sie die grundlegenden Cybersicherheitsanforderungen erfüllen, samt Konformitätsbewertung, CE-Kennzeichnung und Unterstützungszeitraum für Sicherheitsaktualisierungen.
2028
- 02.08.2028 Mittwoch
KI-Verordnung: Hochrisiko-KI in regulierten Produkten
Für KI-Systeme, die als Sicherheitsbauteil in Produkten nach Anhang I stecken, gilt der spätere Termin. Auch dieser wurde im Juli 2026 verschoben, von 2027 auf 2028.
2030
- 27.06.2030 Donnerstag
Barrierefreiheitsstärkungsgesetz: Ende der Übergangsfrist für Bestandsprodukte
Dienstleistungserbringer dürfen bis zu diesem Tag Produkte weiterverwenden, die sie bereits vor dem 28. Juni 2025 rechtmäßig eingesetzt haben. Danach nicht mehr. Auch Altverträge über Dienstleistungen laufen spätestens an diesem Tag aus, selbst wenn sie länger geschlossen waren. Für Selbstbedienungsterminals gilt eine eigene Frist bis zum Ende ihrer wirtschaftlichen Nutzungsdauer, höchstens fünfzehn Jahre.
Wie diese Liste zu lesen ist
Produktbezogene Einordnung, keine Rechtsberatung. Maßgeblich ist immer der verlinkte Normtext. Ob eine Pflicht Sie trifft, hängt von Ihrer Branche, Größe und Rolle ab, und diese Prüfung nimmt Ihnen kein Kalender ab.
Bereits vergangen
Bleiben stehen, weil die eigene Chronologie oft wichtiger ist als der nächste Termin.
2026
- 12.09.2026
Datenverordnung: Zugang zu Daten vernetzter Produkte
Vernetzte Produkte, die NACH diesem Tag in Verkehr gebracht werden, müssen so gestaltet sein, dass Nutzer auf die erzeugten Daten standardmäßig, unentgeltlich, maschinenlesbar und, soweit möglich, unmittelbar zugreifen können. Der Wortlaut sagt „nach dem 12. September 2026", der Stichtag ist also der Folgetag. Für früher in Verkehr gebrachte Produkte gilt die Pflicht nicht. Die Informationspflicht vor Vertragsschluss (Art. 3 Abs. 2) gilt dagegen bereits seit 12.09.2025.
- 11.09.2026
Cyber Resilience Act: Meldepflichten der Hersteller
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, gleichzeitig an das zuständige CSIRT und die ENISA. Die Pflicht greift lange vor der vollen Geltung der Verordnung und gilt auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
- 08.09.2026
DIGITAL X Köln, isidaten vor Ort
Alle drei Gründer sind auf der Partnerfläche der Deutschen Telekom: die Informationssicherheits-, die Datenschutz- und die IT-Leitungs-Perspektive an einem Tisch.
- 02.08.2026
KI-Verordnung: allgemeiner Geltungsbeginn
Die Transparenzpflichten aus Artikel 50 gelten seit diesem Tag und treffen fast jeden, der KI im Außenkontakt einsetzt: Offenlegung beim Chatbot, maschinenlesbare Kennzeichnung erzeugter Inhalte. Die Hochrisiko-Pflichten wurden dagegen kurz zuvor verschoben.
- 31.07.2026
NIS2: Ende der BSI-Nachfrist für die Registrierung
Dieser vielzitierte Termin stand in keinem Gesetz. Er war eine Nachfrist des BSI für ausstehende Registrierungen, also eine Aussage über die Vollzugspraxis. Die gesetzliche Frist war der 6. März 2026, und die eigentlichen Pflichten hingen ohnehin nie an der Registrierung.
- 11.06.2026
Cyber Resilience Act: Kapitel über notifizierte Stellen
Die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen gelten seit diesem Tag. Für Hersteller ist das vor allem ein Signal: Die Prüfinfrastruktur wird jetzt aufgebaut, bevor die Produktanforderungen greifen.
- 16.03.2026
KRITIS-Dachgesetz tritt in Kraft
Erstmals sektorenübergreifende Mindestvorgaben für den physischen Schutz kritischer Anlagen, die Umsetzung der CER-Richtlinie (EU) 2022/2557. Dieser Eintrag nennt bewusst keine Folgefrist: Die Pflichten hängen nicht an einem bundesweiten Stichtag, sondern an der eigenen Registrierung. Registriert wird spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt (§ 8 Abs. 1); die Risikoanalyse nach § 12 gilt dann erstmals neun Monate, Resilienzplan und Meldepflichten nach §§ 13, 18 und 20 erstmals zehn Monate nach der Registrierung (§ 8 Abs. 7). Vorfälle sind binnen 24 Stunden zu melden, der ausführliche Bericht folgt binnen eines Monats (§ 18 Abs. 1).
- 06.03.2026
NIS2: gesetzliche Frist zur Registrierung
Registrierung spätestens drei Monate nach erstmaligem Eintritt in den Anwendungsbereich. Für alle, die beim Inkrafttreten des Umsetzungsgesetzes schon betroffen waren, lief die Frist an diesem Tag ab. Wer sich später einträgt, ist nicht pünktlich, sondern verspätet.
2025
- 06.12.2025
NIS2-Umsetzungsgesetz tritt in Kraft
Ohne Übergangsfrist. Ab diesem Tag laufen die Pflichten zu Risikomanagement, Meldewesen und Nachweisführung, unabhängig davon, ob eine Registrierung erfolgt ist.
- 12.09.2025
Datenverordnung: Geltungsbeginn
Seit diesem Tag gilt die Verordnung. Kapitel IV über missbräuchliche Vertragsklauseln greift für Verträge, die danach geschlossen wurden, Altverträge folgen im September 2027.
Wer verfolgt das bei Ihnen?
Diese Liste führen wir von Hand. Im Rechtskataster übernimmt das ein Quellen-Watcher, der die amtlichen Fundstellen beobachtet und meldet, wenn eine neue Fassung vorliegt.