EU-Stichtage zum Jahresende 2026: Acht Fristen vom 11. September bis zum 20. Januar

Zwischen dem 11. September 2026 und dem 20. Januar 2027 liegen acht EU-Stichtage, die den Mittelstand betreffen; bei den beiden vom September laufen die Pflichten seither weiter. Dieser Abschnitt ist der dichteste aus europäischen Regulierungsterminen, den ein Geschäftsjahr in diesem Jahrzehnt enthält. Das Risiko sitzt dabei weniger im Datum als im Lesen: Die meisten dieser Fristen knüpfen an ein Produkt, eine Umsatzzahl oder eine Funktion an, nicht an die Größe Ihres Unternehmens.

Dieser Beitrag legt die acht Termine auf eine Seite, in der Reihenfolge, in der sie kommen: was sich tatsächlich ändert, wen es trifft und welche Aufgabe daraus folgt. Jede Stelle verweist auf die ausführliche Analyse, die wir zum jeweiligen Thema veröffentlicht haben. Die Einordnung ist die für eine Geschäftsleitung, die entscheiden muss, was sie selbst trägt und was sie abgibt.

Die zwei Stichtage im September 2026

Am 11. September ist die Meldepflicht des Cyber Resilience Act scharf geworden. Hersteller von Produkten mit digitalen Elementen melden seither aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die Single Reporting Platform der ENISA, die am selben Tag in Betrieb ging: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach verfügbarer Abhilfe, bei schwerwiegenden Vorfällen binnen eines Monats. Zwei Verschärfungen fehlen in den meisten Zusammenfassungen. Die Pflicht erfasst Produkte, die vor Jahren verkauft wurden — der Stichtag liegt im Gesetz, nicht in Ihrem Auslieferungsdatum. Und Hersteller im Rechtssinne ist, wer das Produkt unter eigenem Namen in Verkehr bringt: Wer eine App oder ein Portal extern entwickeln lässt und unter seiner Marke ausliefert, meldet selbst, nicht der Dienstleister. Vertraglich regeln lässt sich, wer technisch erkennt und formuliert — nicht, wer rechtlich verpflichtet ist. Die vollständige Analyse steht in unserem Beitrag zur CRA-Meldepflicht.

Einen Tag später, am 12. September, begann die meistgemeldete Pflicht des Data Act — und die am häufigsten falsch gelesene. Artikel 3 Absatz 1 verlangt, dass vernetzte Produkte ab Werk so gebaut sind, dass ihre Daten standardmäßig, einfach, sicher und kostenfrei zugänglich sind. Der Stichtag gilt nur für Produkte, die nach ihm in Verkehr gebracht werden; die Bestandsflotte bleibt außen vor. Was für den Bestand dagegen seit dem 12. September 2025 gilt, ist Artikel 4: Wer Daten aus einem vernetzten Produkt nicht direkt entnehmen kann, kann sie seit September 2025 auf einfaches Verlangen herausverlangen, unentgeltlich, maschinenlesbar und unverzüglich, soweit keine Ausnahme nach Artikel 7 Absatz 1 greift. Diese Pflicht läuft seitdem weitgehend unbemerkt, und sie ist die, mit der die erste Anfrage ins Haus kommt. Die Details stehen in der Data-Act-Analyse.

Der gemeinsame Punkt der beiden September-Daten: Ein vergangener Stichtag senkt das Risiko nicht, er verändert die Frage. Vor dem Datum lautete sie, ob Sie vorbereitet sind. Danach lautet sie, ob der Prozess arbeitet. Wer die Registrierung auf der ENISA-Plattform oder die Beantwortung einer Datenanfrage noch nie geübt hat, übt jetzt unter Zeitdruck.

Der Kalender bis zum 20. Januar

Die acht Termine in der Reihenfolge des Kalenders:

20. Oktober 2026: eine Frist für die Mitgliedstaaten, nicht für Sie

Der 20. Oktober ist der einzige Termin in dieser Liste, an dem nichts von Ihrem Unternehmen verlangt wird. Artikel 50 der Maschinenverordnung gilt ab diesem Tag, und Absatz 2 verpflichtet die Mitgliedstaaten, der Kommission ihre Sanktionsregeln mitzuteilen. Deutschland hat seine Sanktionen schon festgelegt, im Maschinenverordnung-Durchführungsgesetz (MaschinenDG), verkündet am 5. Dezember 2025: Paragraf 9 sieht Bußgelder bis 10.000 Euro vor, bis 100.000 Euro unter anderem für unterlassene Korrekturmaßnahmen nach Artikel 10 Absatz 9, und gilt ab dem 20. Januar 2027.

Praktisch heißt das: Wer eine Maschine oder eine Anlage für 2027 in der Pipeline hat, sollte Paragraf 9 MaschinenDG kennen, bevor der erste Vertragspartner danach fragt. Die Details zur Verordnung stehen in unserer Analyse zur Maschinenverordnung.

2. Dezember 2026: die Frist, die bei Ihrem Anbieter endet

Am 2. Dezember endet die Übergangsfrist für die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte. Artikel 50 Absatz 2 der KI-Verordnung verlangt, dass die Ausgaben generativer Systeme technisch als KI-erzeugt markiert sind; Systeme, die vor dem 2. August 2026 bereits im Markt waren, hat der Digital Omnibus bis zu diesem Datum freigestellt. Die Pflicht liegt beim Anbieter des Systems, nicht bei Ihnen als Nutzer.

Relevant wird der Tag für Sie über eine Nebenbedingung: Er entscheidet, ob die Werkzeuge in Ihrem Stack rechtzeitig liefern. Die Frage — markiert Ihr Generator seine Ausgaben maschinenlesbar, und ab wann — gehört jetzt in eine E-Mail an Ihre Anbieter, nicht in eine Sitzung kurz vor dem Stichtag. Nicht zu verwechseln mit dem, was schon gilt: Die Offenlegungspflicht des Artikels 50 Absatz 1, dass etwa ein Chatbot sich als KI zu erkennen gibt, läuft seit dem 2. August. Sie trifft den Anbieter des Systems; wer einen Chatbot entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist selbst Anbieter (Artikel 3 Nummer 3). Die Trennung steht in unserem Beitrag zur Kennzeichnungspflicht.

9. Dezember 2026: ab wann ein nicht geliefertes Update haftet

Am 9. Dezember wird Software ein Produkt. Artikel 4 der Richtlinie (EU) 2024/2853 zählt sie ausdrücklich zu den Sachen, für die verschuldensunabhängig gehaftet wird — und Artikel 11 Absatz 2 schaltet für einen Fall den Einwand ab, mit dem bisher fast jede Softwarehaftungs-Diskussion endete: dass das Produkt beim Inverkehrbringen fehlerfrei war. Geht die Fehlerhaftigkeit auf ein fehlendes, zur Aufrechterhaltung der Sicherheit erforderliches Update zurück, und unterliegt das der Kontrolle des Herstellers, entlastet der Auslieferungsstand nicht mehr. Kontrolle definiert Artikel 4 Nummer 5 als die Fähigkeit, Updates zu liefern — nicht deren Ausübung.

Die Grenzen sind genauso konkret: Anspruchsberechtigt ist nur eine natürliche Person; ein Unternehmen kann deren Anspruch nur geltend machen, wenn er aufgrund von Unionsrecht, nationalem Recht oder eines Vertrags auf das Unternehmen übergegangen ist. Ersatzfähig sind Personenschäden, Sachschäden außerhalb rein beruflich genutzter Sachen und die Vernichtung nicht beruflich genutzter Daten. Ein reiner B2B-Schaden bleibt außen vor. Nach unserer Auslegung gilt aber jede Lizenz, die Sie nach dem Stichtag neu vergeben, als neu in Verkehr gebracht; ausdrücklich regelt die Richtlinie das nicht. Und jede wesentliche Änderung startet die Zehnjahresfrist von vorn. Ab Dezember ist die Frage, ob Sie für eine alte Version noch ein Sicherheitsupdate liefern, keine Supportentscheidung mehr, sondern eine Haftungsentscheidung. Die vollständige Einordnung steht im Beitrag zur Produkthaftung.

1. Januar 2027: die E-Rechnung hängt am Umsatz des Jahres 2026

Die Versandpflicht für E-Rechnungen beginnt am 1. Januar 2027 für jedes inländische Unternehmen, dessen Gesamtumsatz 2026 die 800.000 Euro übersteigt. Entscheidend ist die Zahl, und sie ist nicht die aus Ihrer Buchhaltung: Paragraf 19 Absatz 2 UStG bemisst den Gesamtumsatz nach vereinnahmten Entgelten — dem Zufluss, nicht der Fakturierung — und lässt Umsätze mit Wirtschaftsgütern des Anlagevermögens ausdrücklich außen vor. Wer 2026 eine Maschine oder einen Firmenwagen verkauft hat, trägt den Erlös in der Gewinnermittlung, nicht in dieser Zahl. In einem Korridor von etwa zehn Prozent um die Schwelle entscheidet das, ob Ihr Stichtag der Januar 2027 oder der Januar 2028 ist.

Zwei Entlastungen werden regelmäßig übersehen. Unter der Schwelle dürfen Sie bis Ende 2027 auf Papier abrechnen, mit Zustimmung des Empfängers auch in einem anderen elektronischen Format. Und wer Rechnungen per EDI übermittelt, hat unabhängig vom Umsatz bis Ende 2027 Zeit — die praktisch wichtigste Übergangsregel für Zulieferer mit gewachsenen EDI-Strecken, geregelt in Paragraf 27 Absatz 38 UStG. Ab dem 1. Januar 2028 gilt die Pflicht für alle; ausgenommen bleiben Rechnungen von Kleinunternehmern, Kleinbetragsrechnungen bis 250 Euro und Fahrausweise. Die Frage an die Steuerberatung — wie hoch ist unser Gesamtumsatz nach Paragraf 19 Absatz 2 — ist in Minuten beantwortet und gehört vor den Jahreswechsel. Die Details stehen im Beitrag zur E-Rechnung.

12. Januar 2027: der Wechsel des Cloud-Anbieters kostet kein Wechselentgelt mehr

Ab dem 12. Januar dürfen Anbieter von Cloud- und SaaS-Diensten keine Wechselentgelte mehr verlangen, wenn ein Kunde zu einem anderen Anbieter oder in die eigene IT-Infrastruktur wechselt. So steht es in Artikel 29 Absatz 1 des Data Act, und nach Artikel 2 Nummer 36 umfasst das Verbot ausdrücklich die Entgelte für die Datenübertragung. Bis dahin dürfen die Entgelte die unmittelbaren Kosten des Wechsels nicht übersteigen. Erlaubt bleiben laufende Gebühren bis zum Vertragsende, verhältnismäßige Sanktionen bei vorzeitiger Kündigung eines Vertrags mit fester Laufzeit und Entgelte für die Datenübertragung bei paralleler Nutzung mehrerer Dienste, gedeckelt auf die Kosten (Artikel 34 Absatz 2).

Zwei Punkte gehen leicht unter. Kapitel VI kennt keine Ausnahme nach Unternehmensgröße, das Verbot trifft also einen Mittelständler, dessen Kundenportal als Datenverarbeitungsdienst gilt, ebenso wie den Hyperscaler. Und weil Artikel 50 für dieses Kapitel keine Übergangsregel vorsieht, gilt es auch für Verträge, die vor dem 12. September 2025 geschlossen wurden. Als Kunde prüfen Sie Ihre Cloud- und SaaS-Verträge auf Ausstiegs- und Exportpreise, als Anbieter nehmen Sie diese bis zu diesem Tag aus den Preisblättern. Was weiter kostet und warum der deutsche Bußgeldkatalog Artikel 29 selbst nicht nennt, steht im Beitrag zu den Wechselentgelten.

20. Januar 2027: die Verordnung ersetzt die Richtlinie ohne allgemeine Übergangsfrist

Am 20. Januar wird die Maschinenrichtlinie 2006/42/EG aufgehoben, und die Verordnung (EU) 2023/1230 gilt vollständig. Es gibt keine allgemeine Übergangsfrist; der Stichtag hängt an der einzelnen Maschine. Was vorher rechtmäßig in Verkehr gebracht wurde, bleibt unter der Richtlinie und muss nicht umkonformiert werden, solange es nicht wesentlich verändert wird. Neu ist, dass Software ausdrücklich als Sicherheitsbauteil zählt, mit zwei Einschränkungen, die in den meisten Zusammenfassungen fehlen: Das Bauteil muss gesondert in Verkehr gebracht werden, und es darf für die Funktion des Produkts selbst nicht erforderlich sein oder muss sich für den Betrieb durch normale Bauteile ersetzen lassen. Steuerungssoftware, die untrennbar zur Maschine gehört, ist damit kein eigenständiges Sicherheitsbauteil; ein separat verkauftes Sicherheitsmodul ist es.

Die zweite Neuerung sitzt in Artikel 18: Wer eine wesentliche Veränderung vornimmt, gilt als Hersteller — mit allen Pflichten, auf eigene Verantwortung. Artikel 3 Nummer 16 definiert wesentlich über drei kumulative Merkmale, und das dritte filtert die meisten Updates heraus: Eine Veränderung, die keine neue Schutzeinrichtung und keine zusätzliche Stabilitätsmaßnahme nötig macht, ist keine wesentliche. Die Verordnung macht Ihre Instandhaltung nicht zum Hersteller; sie erfasst den Umbau einer Maschine zu etwas, das ihr Hersteller nie vorgesehen hat — und dieser Umbau kann rein in Software bestehen. Was konkret zu tun ist, steht in der Analyse zur Maschinenverordnung.

Die Pflichten ohne Kalenderdatum, die trotzdem laufen

Neben den acht Terminen laufen drei Regime ohne Stichtag. Das sichtbarste ist NIS2: Zum 30. September 2026 waren 20.141 Einrichtungen beim BSI registriert, der Gesetzgeber kalkulierte mit rund 30.000. Die Lücke sitzt vor allem bei den wichtigen Einrichtungen, dem Korridor ab 50 Beschäftigten, zu dem die Anlage 2 des BSIG ausdrücklich auch den Maschinenbau zählt. Für die Geschäftsleitung entscheiden zwei Paragrafen: Paragraf 38 legt Umsetzung und Überwachung der Maßnahmen auf die Leitungsebene und verlangt deren eigene regelmäßige Schulung; und die Lieferketten-Klausel schickt die Fragebögen der regulierten Kunden an Zulieferer, die selbst weit unter jeder Schwelle liegen. Die Details stehen in der NIS2-Analyse.

Die zweite laufende Pflicht ist die KI-Kompetenz aus Artikel 4 der KI-Verordnung. Sie gilt seit Februar 2025, seit dem 27. Juli 2026 in der abgeschwächten Fassung der Verordnung (EU) 2026/1744 (verlangt sind Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen, kein bestimmtes Niveau), und trifft Sie unabhängig davon, ob Sie KI freigegeben haben, denn betreiben im Sinne der Verordnung tut, wer KI in seinem Verantwortungsbereich einsetzt. In einem Betrieb, in dem zwei Drittel der KI-Nutzenden an der Policy vorbei arbeiten, ist das keine Klausel für den Stack, sondern eine für die Schulung; die Zahlen dazu stehen im Beitrag zur Shadow-KI. Und seit dem 2. August gilt nach unserer Lesart formal das Recht auf Erläuterung des Artikels 86: Betroffene können eine klare Erläuterung verlangen, wenn eine Entscheidung auf Grundlage eines Hochrisiko-KI-Systems nach Anhang III (ohne kritische Infrastruktur) rechtliche oder ähnlich erhebliche Auswirkungen auf sie hat. Praktisch greift es erst ab dem 2. Dezember 2027, denn nach dem vom Omnibus geänderten Artikel 111 Absatz 2 gilt die Verordnung für Hochrisiko-Systeme, die vor diesem Tag in Verkehr gebracht oder in Betrieb genommen wurden, nur, wenn ihre Konzeption danach erheblich verändert wird. Hochrisiko-Systeme, die Behörden verwenden sollen, müssen die Anforderungen nach demselben Absatz in jedem Fall bis zum 2. August 2030 erfüllen.

Über die acht Stichtage und drei Dauerpflichten läuft ein ähnliches Muster: Die meisten knüpfen nicht an die Größe Ihres Unternehmens an, sondern an ein Produkt, an eine Umsatzzahl, an eine Funktion oder an die Frage, wer entscheidet. Ausnahmen sind die Konstruktionspflicht und die Herausgabepflicht des Data Act, die nach Artikel 7 Absatz 1 nicht für vernetzte Produkte und verbundene Dienste von Kleinst- und Kleinunternehmen ohne größere Partner- oder verbundene Unternehmen gelten, sofern diese nicht als Unterauftragnehmer herstellen, konzipieren oder verbundene Dienste erbringen (maßgeblich ist also die Größe des Herstellers oder Diensteanbieters; für mittlere Unternehmen gelten Schonfristen von einem Jahr), und NIS2, das in den meisten Sektoren erst ab mittlerer Unternehmensgröße greift. Das ist auch der Grund, warum diese Pflichten im Mittelstand so regelmäßig falsch eingeordnet werden: als Thema für die Konzern-Rechtsabteilung statt für die eigene Woche.

Was jetzt auf Ihren Tisch gehört

Die Umsetzung hinter diesen Fristen ist überwiegend delegierbar — die Einordnung nicht. Konkret bleiben drei Aufgaben, die keine Fachabteilung brauchen:

Der Rest der Liste ist Kalenderarbeit: die Produkte listen, die ab dem 20. Januar in Verkehr gehen; prüfen, ob eine Anlage-2-Tätigkeit und fünfzig Beschäftigte in Ihrem Haus zusammenkommen; klären, wer eine Data-Act-Anfrage beantwortet. Dieser Beitrag ist die Landkarte — jede verlinkte Analyse enthält die einzelnen Schritte. Wer nur eines mitnimmt: Keiner der Termine bis zum 20. Januar 2027 ist eine Selbstverpflichtung oder eine Empfehlung. Es sind Stichtage, und sie gelten.

Häufige Fragen zu den EU-Stichtagen