Praxisnahe Ratgeber zu den EU-Vorschriften
KI-Verordnung, DSGVO, NIS-2 und Cyberresilienz-Verordnung — geschrieben für Gründungsteams, Produkt- und Compliance-Verantwortliche in Startups und KMU. Jede Aussage stützt sich auf den Text des Amtsblatts der EU und verlinkt ihn.
Hier stehen 19 Ratgeber auf Deutsch. Die vollständige Bibliothek mit 33 Ratgebern gibt es auf Englisch.
Praxis
-
Änderungen an den Bedingungen Ihrer Lieferanten im Blick behalten
Lieferanten ändern Bedingungen, AVVs, Unterauftragsverarbeiter und Sicherheitsseiten, ohne es Ihnen zu sagen. Was wesentlich ist und wie Sie belegen, dass Sie es sahen.
-
Den Sicherheitsfragebogen eines Kunden als kleines Unternehmen beantworten
Warum Kunden Sicherheitsfragebögen schicken, wie ein kleines Unternehmen den Bestand einmal aufbaut und wiederverwendet, was es nie versprechen darf und wer genehmigt.
-
SLAs für kleine Unternehmen: was Sie wirklich verlangen sollten
Was ein SLA einem kleinen Unternehmen bieten sollte: Verfügbarkeitszahlen mit Aussagekraft, Gutschriften, Wartungsfenster, Supportstufen und Kontaktwege.
KI-Verordnung
-
Artikel 5: die zehn verbotenen Praktiken im KI-Bereich
Art. 5 der KI-Verordnung verbietet zehn KI-Praktiken ganz: acht seit Februar 2025, zwei weitere ab Dezember 2026. Was verboten ist und welche engen Ausnahmen gelten.
-
Betreiberpflichten nach Artikel 26 der KI-Verordnung erklärt
Die meisten Unternehmen sind Betreiber, nicht Anbieter. Art. 26 der KI-Verordnung regelt ihre Pflichten: menschliche Aufsicht, Protokolle, Transparenz.
-
Ist mein KI-System ein Hochrisiko-KI-System?
Ein Entscheidungsbaum für die Einstufung von KI-Systemen nach Art. 6 und Anhang III der KI-Verordnung, mit Beispielen aus SaaS, Personalwesen, Finanzen und Gesundheit.
-
KI-Kompetenz nach Artikel 4 — was die KI-Verordnung verlangt
Art. 4 der KI-Verordnung, 2026 neu gefasst: Jeder Anbieter und Betreiber unterstützt die KI-Kompetenz seines Personals. Was das heißt, wie Sie es belegen.
-
KI-Verordnung: die Compliance-Checkliste für KMU
Praktische Checkliste mit Quellenangaben für europäische Start-ups und KMU, die KI-Systeme nutzen oder entwickeln. Für Produkt- und Betriebsteams, nicht für Juristen.
-
Fristen der KI-Verordnung 2026 — was wann gilt
Der Zeitplan der KI-Verordnung nach dem Omnibus: Verbote (Februar 2025), GPAI (August 2025), Hochrisiko (Dezember 2027), regulierte Produkte (August 2028).
-
Transparenzpflichten für Chatbots und KI-generierte Inhalte
Transparenz nach Art. 50 der KI-Verordnung: wann Nutzer erfahren müssen, dass sie mit KI sprechen, wie Sie Deepfakes kennzeichnen und welcher Hinweis reicht.
DSGVO
-
So lesen Sie den Auftragsverarbeitungsvertrag eines Lieferanten
Was ein AVV nach Art. 28 Abs. 3 DSGVO enthalten muss, was Schweigen zu einem Punkt bedeutet und was Sie den Lieferanten fragen, bevor Sie sich darauf verlassen.
-
Unterauftragsverarbeiter: was ein Lieferant mitteilen muss und wann
Art. 28 Abs. 2 und 4, Art. 30 Abs. 1 Buchst. d DSGVO: welche Genehmigung ein Lieferant braucht, welche Mitteilung Ihnen zusteht, Ihr Einspruchsrecht, Ihr Verzeichnis.
NIS-2
Cyberresilienz-Verordnung
-
Artikel 14 CRA: Die Meldepflicht gilt seit dem 11. September 2026
Die Meldepflicht des CRA gilt 15 Monate vor dem Rest: Frühwarnung binnen 24 Stunden, Meldung binnen 72 — und melden können Sie nur, was Sie sehen.
-
Eine CRA-Checkliste, die Sie wirklich abarbeiten können
Sechs Prüfungen hinter der Meldepflicht, die seit dem 11. September 2026 gilt, jede mit dem ersten konkreten Schritt — und dem, was die Verordnung verlangt.
-
CRA-Produktklassen: Standard, wichtig (Klasse I und II), kritisch
Die Produktklasse entscheidet, ob Sie selbst bewerten dürfen oder eine notifizierte Stelle brauchen. Maßgeblich ist die Funktion, nicht die Branche — mit zwei Fallen.
-
Cyberresilienz-Verordnung: der Zeitplan bis 2027
Der CRA gilt ab 11. Dezember 2027 für Produkte mit digitalen Elementen. Was er verlangt, seit wann gemeldet wird und wann die CE-Kennzeichnung kommt.
-
Gilt die Cyberresilienz-Verordnung für Sie?
Der CRA erfasst Produkte mit digitalen Elementen, die in der EU geschäftlich bereitgestellt werden. Drei Fragen entscheiden — die zu SaaS wird oft verkannt.