Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden – auch für bereits verkaufte Produkte.
Mit dem NIS-2-Umsetzungsgesetz gelten seit dem 6. Dezember 2025 erweiterte Cybersicherheitspflichten für viele Unternehmen – inklusive Registrierung, Meldepflichten und Verantwortung der Geschäftsleitung.
Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act. Finanzunternehmen müssen IKT-Risiken umfassend steuern – mit Folgen auch für Cloud- und Softwareanbieter und deren Verträge.
Die Verordnung (EU) 2024/1860 verlängert die IVDR-Übergangsfristen bis 2027–2029 und führt eine Pflicht ein, Lieferunterbrechungen kritischer Produkte sechs Monate im Voraus anzukündigen.