Drei Termine, die in Produkt-Roadmaps landen und nicht in Rechtsabteilungen. Zwei davon sind vier Wochen entfernt.
Ab 11. September 2026
CRA-Meldepflichten starten — 24 Stunden, nicht 24 Tage
Nach dem EU Cyber Resilience Act müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwere Vorfälle über die Single Reporting Platform melden: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen nach verfügbarer Abhilfe.
Das ist kein Security-Thema, sondern ein Thema der Produktorganisation. Vierundzwanzig Stunden bedeutet: benannte Rufbereitschaft, vorab geklärte Entscheidungsbefugnis zur Meldung und eine gepflegte Stückliste der Software über den gesamten Feldbestand — einschließlich der Geräte, die vor fünf Jahren ausgeliefert wurden und für die es kein Team mehr gibt. Wer im September anfängt, meldet die erste Schwachstelle aus einer Excel-Tabelle.
Data Act: Zugang „by design“ wird zur Hardware-Anforderung
Vernetzte Produkte und zugehörige Dienste, die nach diesem Datum erstmals in der EU in Verkehr gebracht werden, müssen so gestaltet sein, dass die erzeugten Daten dem Nutzer standardmäßig einfach, sicher und direkt zugänglich sind — strukturiert, maschinenlesbar und, wo technisch machbar, unentgeltlich.
Der Teil, den die meisten Roadmaps überlesen: Der Zugang muss konstruktiv vorgesehen sein, nicht nachgerüstet — und der Stichtag ist das Inverkehrbringen. Das trifft Produkte, die heute in der Serienentwicklung stehen und deren Werkzeuge bereits beauftragt sind. Strategisch ist das größer als die Compliance-Arbeit: Wer sein Aftermarket-Geschäft bisher damit geschützt hat, die Servicedaten zu besitzen, dem wird dieser Burggraben per Gesetz trockengelegt. Der Vorteil verschiebt sich vom Besitz der Daten zu ihrer besseren Interpretation.
AI-Act-Pflichten für Hochrisiko verschoben — erneut
Das AI-Omnibus verschiebt die Hochrisiko-Pflichten vom 2. August 2026 auf den 2. Dezember 2027 für eigenständige Systeme und auf den 2. August 2028 für KI, die in regulierte Produkte eingebettet ist; überlappende Anforderungen für eingebettete KI entfallen teilweise.
Zwei Jahre Luft klingen nach Entlastung. Praktisch ist es die zweite Verschiebung, und gegen ein bewegliches Datum zu planen ist teurer als gegen ein festes — Teams stoppen, starten neu und verlieren die Leute, die den Kontext hielten. Meine Empfehlung ist nicht, die Arbeit zu verschieben, sondern sie umzudeuten: technische Dokumentation, Datenverwaltung und Protokollierung als Entwicklungshygiene behandeln, die man ohnehin will. Dann ist der Termin gleichgültig.
