Jedes neue EU-Gesetz wird einzeln vorbereitet, einzeln verhandelt und einzeln durchgerechnet. Die Gesamtbelastung durch Regulierung im Mittelstand rechnet dagegen niemand aus. Genau das wurde mir im Oktober 2026 in Brüssel klar, wo ich mit dem Wirtschaftsbeirat Bayern zwei Tage lang Hintergrundgespräche führte: in der Kommission, im Parlament und bei Interessenvertretungen. Auf der Agenda standen der AI Act, NIS2, der Cyber Resilience Act und das sogenannte Omnibus-Paket.
Eine Antwort ohne Zögern
Im Parlament fragte ich eine Referentin, ob bei einem neuen Gesetz eigentlich jemand ausrechnet, was es einen Betrieb mit 50 Mitarbeitenden kostet.
Ihre Antwort kam sofort. KI müsse man ja nicht einsetzen. Außerdem sei allen Beteiligten klar gewesen, dass die Kommission für die Umsetzung kein Geld habe. Im Zweifel zahlten es eben die Unternehmer.
Dieser Satz ließ mich den ganzen Abend nicht los. Natürlich muss man KI nicht einsetzen. Ebenso wenig muss man telefonieren. Mit den Kunden wird es dann nur schwierig.
Laut Bitkom nutzen bereits 57 Prozent der Unternehmen ab 20 Beschäftigten KI, und 61 Prozent glauben, dass Betriebe ohne KI keine Zukunft haben. In den meisten Häusern ist die Frage, ob man KI einsetzt, also längst beantwortet.
Auch wir sind betroffen
Beim DIKT, unserem kleinen Beratungsunternehmen, arbeiten seit einigen Wochen ebenfalls KI-Agenten mit, und zwar für CRM, Angebote und Reisekosten. Damit gilt für uns, was seit Februar 2025 für jedes Unternehmen mit KI-Einsatz gilt: Wir müssen nachweisbar sicherstellen, dass unsere Mitarbeitenden damit umgehen können. So verlangt es Artikel 4 des AI Act.
Die Alternative wäre, auf KI zu verzichten. So jedenfalls habe ich die Empfehlung der Referentin verstanden.
Regulierung im Mittelstand: Ein „Ökosystem” aus zwanzig Gesetzen
Eine Vertreterin des Branchenverbands Bitkom zeigte uns eine Folie mit dem Titel „Regulierung als Ökosystem”. Darauf waren knapp zwanzig Kästen zu sehen: AI Act, NIS2, Cyber Resilience Act, Cyber Security Act, DORA, Datenschutz-Grundverordnung, eIDAS, KRITIS-Dachgesetz, das deutsche Umsetzungsgesetz und einige mehr.
Die Kästen überlappen sich teilweise. DORA verdeckt etwa das KRITIS-Dachgesetz zur Hälfte, sodass man es kaum lesen kann. Und ganz links am Rand steht bereits der nächste Kasten: NIS-3, versehen mit einem Fragezeichen.
Bildunterschrift: Bitkom-Folie „Regulierung als Ökosystem”
Ökosystem ist ein freundliches Wort. Schließlich regelt sich in einem Ökosystem vieles von selbst. Hier regelt sich dagegen gar nichts von selbst.
Hinzu kommt eine weitere Zahl von Bitkom. Demnach rechnen 93 Prozent der vom AI Act betroffenen Unternehmen mit hohem oder sehr hohem Umsetzungsaufwand. Und das gilt allein für dieses eine Gesetz, also für einen von knapp zwanzig Kästen.
Regulierung als Ökosystem
Was das im Ernstfall bedeutet
Nehmen wir einen Maschinenbauer mit 120 Beschäftigten, der unter NIS2 fällt und vernetzte Steuerungen herstellt. Eines Tages wird er angegriffen.
Nach NIS2 muss er dem BSI innerhalb von 24 Stunden eine Frühwarnung schicken. Nutzen die Angreifer dabei eine Schwachstelle in seinem eigenen Produkt aus, verlangt der Cyber Resilience Act seit dem 11. September 2026 eine zweite Frühwarnung, ebenfalls binnen 24 Stunden, über die Plattform der ENISA. Sind zudem Kundendaten betroffen, kommt die Datenschutzbehörde mit einer Frist von 72 Stunden hinzu. Gleichzeitig wollen Kunden, Belegschaft, Hausbank und Versicherer wissen, was los ist.
In einem Unternehmen dieser Größe schreibt all das oft ein und derselbe Mensch. Häufig ist es genau derjenige, der am Montag noch das Druckerproblem in der Buchhaltung gelöst hat.
Die Lösung kommt später als die Frist
Brüssel kennt das Problem durchaus. Deshalb sieht das Omnibus-Paket einen zentralen Meldepunkt vor: einmal melden, automatisch an alle verteilt. Allerdings ändert das nichts daran, was gemeldet werden muss und bis wann. Außerdem soll der Meldepunkt erst 18 Monate nach Inkrafttreten starten, notfalls sogar erst nach 24 Monaten. Und in den laufenden Verhandlungen schrumpft er Stück für Stück.
Die Fristen bleiben also bei 24 Stunden. Das Portal, das diese 24 Stunden erleichtern soll, kommt dagegen erst in bis zu zwei Jahren.
93 Prozent gegen 160 Milliarden: Das eigentliche Dilemma
Vom selben Verband stammt noch eine zweite Zahl. Cyberangriffe haben der deutschen Wirtschaft in diesem Jahr mindestens 160,4 Milliarden Euro Schaden verursacht.
93 Prozent sagen also: zu viel Aufwand. 160 Milliarden sagen hingegen: zu wenig Schutz. Beide Zahlen stimmen, und genau darin liegt das Dilemma.
Diese Regeln haben ihre Gründe. Zudem arbeiten die Menschen, mit denen wir in Brüssel gesprochen haben, ernsthaft an Vereinfachungen. Nur sitzt dort niemand, der am Montagmorgen die Meldung schreiben muss.
Was Sie jetzt konkret tun können
Warten Sie nicht darauf, dass jemand die Summe für Sie ausrechnet. Nehmen Sie sich stattdessen eine Stunde Zeit mit den Menschen, die im Ernstfall die Meldungen schreiben würden, und klären Sie zwei Fragen:
- Welche dieser Regeln gelten für uns, und wer hat das geprüft? Das BSI teilt Ihnen nicht mit, ob Sie unter NIS2 fallen. Das müssen Sie selbst herausfinden.
- Wer meldet im Ernstfall was, an wen und bis wann? Und wer vertritt diese Person, wenn sie im Urlaub ist?
Bei jeder neuen Regel, die auf Ihrem Tisch landet, lohnt sich außerdem eine dritte Frage: Wer bei uns übernimmt das, und vor allem, was tut diese Person dafür nicht mehr?
Diese Frage habe ich aus Brüssel mitgenommen.
PS: Damit niemand glaubt, Brüssel bestehe nur aus Regulierung: Muscheln und Fritten waren das einzige Brüsseler Paket der Woche, über dessen Umfang sich niemand beschwert hat.
Dr. Nikolai A. Behr CSP® ist Keynote Speaker, Kommunikationsexperte und Medientrainer für Führung, Vertrauen und empathische Kommunikation in Zeiten von Wandel und KI.