Der regulatorische Wendepunkt, den wir im Juli 2026 überschritten haben
Der Juli 2026 war kein ruhiger Monat für die Digitalregulierung.
Die erste große Audit-Frist von NIS2 ist Anfang des Monats verstrichen - der erste formelle Test, ob europäische Organisationen die von der Richtlinie geforderten Cybersicherheitsmaßnahmen umgesetzt haben. Die Pflichten der EU-KI-Verordnung für Hochrisiko-KI-Systeme sind im August anwendbar geworden, nach einer Umsetzungsfrist, die in diesem Monat endete. DORA gilt seit Januar vollumfänglich, und die ersten aufsichtlichen Prüfungen der IKT-Risikomanagementprogramme von Finanzunternehmen laufen.
Für die Organisationen, die das erste Halbjahr 2026 mit Vorbereitung verbracht haben, war der Juli ein Moment der Bestätigung. Für die beträchtliche Zahl derer, die das nicht getan haben, war er eine Stunde der Wahrheit.
Das verrät die Compliance-Aktivität dieses Monats darüber, wohin sich der Markt bewegt.
Drei Dinge, die der Juli bestätigt hat
1. Die Dokumentationslücke ist real. In den Prüfungen zu NIS2, DORA und der EU-KI-Verordnung lautet der beständigste Befund: Organisationen haben Sicherheitsmaßnahmen umgesetzt, können dies aber nicht nachweisen. Zugriffskontrollen sind vorhanden, doch die Audit-Logs, die sie dokumentieren, sind veränderbar. Risikobewertungen wurden durchgeführt, doch die Daten, auf denen sie beruhen, werden keiner Integritätsprüfung unterzogen. Trainingsdaten wurden kuratiert, doch es gibt keinen mit Zeitstempel belegten Nachweis, wann sie zusammengestellt wurden.
Bei Compliance geht es nicht mehr darum, was Sie getan haben. Es geht darum, was Sie nachweisen können.
2. Die KI-Governance holt den KI-Einsatz ein. Seit drei Jahren ist die KI-Einführung in Unternehmen schneller vorangeschritten als die Governance. Die Anwendungsfrist der EU-KI-Verordnung im Juli ist der erste große regulatorische Moment, in dem diese Lücke formelle Durchsetzungsfolgen hat. Organisationen, die KI-Governance als bloßes Häkchen auf der IT-Compliance-Liste behandelt haben, stellen fest, dass sie Investitionen in Infrastruktur erfordert.
3. Datenintegrität ist der gemeinsame Nenner. Jedes Regelwerk, das in diesem Monat im Fokus stand - NIS2, DORA, EU-KI-Verordnung, DSGVO - hat Datenintegrität als technisches Fundament. Am effizientesten managen jene Organisationen ihre Compliance, die dies früh erkannt und eine gemeinsame Infrastruktur für Datenintegrität aufgebaut haben statt getrennter Compliance-Silos.
Worauf Sie sich im August und danach konzentrieren sollten
Für Organisationen, die bei einem der drei Regelwerke im Rückstand sind:
Beginnen Sie mit einer Infrastruktur für Datenintegrität. Diese Investition zahlt sich in allen drei Regelwerken gleichzeitig aus. Eine kryptografische Ebene zur Integritätsprüfung, angewendet auf Ihre kritischsten Datenbestände, erfüllt die Anforderungen an das technische Fundament von NIS2, DORA und der EU-KI-Verordnung in einem einzigen Aufbau.
Schließen Sie die Dokumentationslücke vor dem Audit. Wenn Sie Sicherheitsmaßnahmen umgesetzt haben, sie aber nicht nachweisen können, hat das Nachweisproblem Priorität. Kryptografische Audit-Trails, integritätsgeprüfte Nachweispakete und manipulationsresistente Protokollierung sollten auf Ihrer Liste der Sofortmaßnahmen stehen.
Gleichen Sie Ihre KI-Systeme mit den Hochrisikokategorien ab. Wenn Sie unsicher sind, ob einer Ihrer KI-Einsätze nach der EU-KI-Verordnung als Hochrisiko-KI-System gilt, sollte diese Bewertung in diesem Monat erfolgen, nicht erst bei der nächsten Quartalsüberprüfung.
Die Compliance-Ressourcen für Unternehmen von ROOTKey decken alle drei Regelwerke ab. Der NIS2-Compliance-Simulator liefert Ihnen eine Bereitschaftsbewertung in 15 Minuten. Starten Sie die Bewertung noch heute.
- Juli 2026: erster Audit-Zyklus von NIS2, aufsichtliche Prüfungen nach DORA laufen, das Anwendungsfenster der EU-KI-Verordnung für Hochrisikosysteme schließt sich.
- Die häufigste Compliance-Lücke in allen drei Regelwerken: Organisationen, die Maßnahmen umgesetzt haben, sie aber nicht nachweisen können.
- Eine Infrastruktur für Datenintegrität ist das gemeinsame technische Fundament von NIS2, DORA und der EU-KI-Verordnung.
- Für August: Schließen Sie die Dokumentationslücke, führen Sie die Bewertung zur KI-Risikoklassifizierung zu Ende und beginnen Sie mit dem Aufbau kryptografischer Audit-Trails.
- Folgen Sie unserem Blog für monatliche Compliance-Rückblicke - und lesen Sie alle Beiträge, die wir im Juli veröffentlicht haben, für vertiefende Analysen zu jedem Thema.