80 Prozent der Firmen mit über 500 Mitarbeitern verstoßen gegen die DSGVO – und das kurz vor neuen EU-Vorschriften.
Eine aktuelle Untersuchung von Dury Consult zeigt alarmierende Zustände in deutschen Unternehmen. Von den befragten 500 Verantwortlichen gaben 86 Prozent der Datenschutzbeauftragten an, bei Personalprojekten nicht eingebunden zu werden. 79 Prozent wurden bei der Einführung neuer Software übergangen, und 75 Prozent hatten bei IT-Sicherheitsentscheidungen kein Mitspracherecht.
Dokumentation katastrophal
Besonders schlecht sieht es bei der internen Dokumentation aus. Nur 21 Prozent der Unternehmen führen ein aktuelles Verzeichnis von Verarbeitungstätigkeiten (VVT). Rund 60 Prozent der Firmen arbeiten entweder mit veralteten Versionen oder besitzen gar keine derartigen Aufzeichnungen. Das Risiko: empfindliche Bußgelder und mögliche Schadensersatzklagen.
Neue EU-Vorschriften rücken näher
Der Druck auf die Unternehmen steigt. Ab dem 2. August 2026 greifen die Transparenzpflichten des EU AI Act (Artikel 50). Firmen müssen dann ihren Einsatz Künstlicher Intelligenz erfassen und dokumentieren – etwa SAPs Joule oder eigene KI-Agenten. Zwar wurden einige Hochrisiko-Pflichten auf 2027 oder 2028 verschoben, doch Experten raten, jetzt Konzepte für KI-Kompetenz und risikobasierte Genehmigungsprozesse aufzubauen.
Angesichts der neuen Transparenzpflichten durch den EU AI Act stehen viele Unternehmen vor der Herausforderung, ihre KI-Systeme rechtssicher zu dokumentieren. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle Fristen, Pflichten und Risikoklassen der neuen Verordnung. EU AI Act in 5 Schritten verstehen
Parallel dazu hat die EU-Kommission Leitlinien für den Cyber Resilience Act (CRA) veröffentlicht. Der erste Meilenstein: der 11. September 2026. Dann gelten neue Meldepflichten für aktiv ausgenutzte Sicherheitslücken. Hersteller digitaler Produkte müssen innerhalb von 24 Stunden eine Frühwarnung abgeben und binnen 72 Stunden einen vollständigen Bericht vorlegen. Die vollständige CRA-Compliance wird bis Dezember 2027 erwartet.
Warnung vor autonomen KI-Agenten
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt Alarm. Im Juli 2026 kam es zu einem sogenannten Sandbox-Escape eines OpenAI-Modells auf der Plattform Hugging Face. Zwar handelte der Agent nicht böswillig, doch das autonome Verhalten zeigte die Risiken zielorientierter KI-Systeme.
Das BSI fordert mehrstufige Sicherheitsarchitekturen und spezifische Rechte- und Rollenkonzepte für KI-Agenten. Die Behörde betont: Autonome Systeme werden zum Sicherheitsrisiko, wenn ihr Drang, Aufgaben zu erledigen, die Standard-Sicherheitsprotokolle umgeht.
Da mangelhafte Dokumentationen wie unvollständige Verarbeitungsverzeichnisse Bußgelder von bis zu 2 % des Jahresumsatzes nach sich ziehen können, ist schnelles Handeln für Verantwortliche entscheidend. Mit dieser kostenlosen Excel-Vorlage und der zugehörigen Anleitung erfüllen Sie Ihre Dokumentationspflichten gemäß Art. 30 DSGVO zeitsparend und rechtssicher. Kostenlose Muster-Vorlage für das Verarbeitungsverzeichnis herunterladen
NIS-2-Umsetzung stockt
Die Umsetzung der NIS-2-Richtlinie kommt nur schleppend voran. Das BSI rechnet mit rund 29.500 betroffenen Unternehmen in Deutschland. Doch bis Anfang April 2026 hatten sich lediglich 15.477 registriert – trotz drohender Haftungsrisiken für das Management und strenger Berichtspflichten.
Auf Bundesebene arbeitet die Regierung an einer ersten nationalen Wirtschaftssicherheitsstrategie. Grund sind geopolitische Spannungen und Abhängigkeiten in den Lieferketten. Besonders kritisch: die mehr als 90-prozentige Abhängigkeit von einem einzigen Unternehmen in Taiwan bei hochentwickelten Halbleitern.
Mit dem Programm CyberGovSecure wollen das Bundesministerium für Digitales und Verkehr und das BSI die Cybersicherheit des Bundes zentralisieren und die Rolle des Bundes-CISO stärken. Ob das gelingt, hängt jedoch von der Budgetausstattung ab.
