EU-Stichtage zum Jahresende 2026: Sechs Fristen bis zum 20. Januar, zwei sind schon vorbei — und keine davon fragt nach Ihrer Unternehmensgröße

Vier Monate bleiben bis zum 20. Januar 2027. In diesen vier Monaten liegen fünf EU-Stichtage, die den Mittelstand direkt erreichen — und hinter zweien, die seit vergangener Woche Geschichte sind, laufen die Pflichten weiter. Der Abschnitt zwischen dem 11. September 2026 und dem 20. Januar 2027 ist der dichteste aus europäischen Regulierungsterminen, den ein Geschäftsjahr in diesem Jahrzehnt enthält. Das Risiko sitzt dabei weniger im Datum als im Lesen: Jede dieser Fristen knüpft an ein Produkt, eine Umsatzzahl oder eine Funktion an. Keine fragt nach der Größe Ihres Unternehmens.

Dieser Beitrag legt die sieben Termine auf eine Seite, in der Reihenfolge, in der sie kommen: was sich tatsächlich ändert, wen es trifft und welche Aufgabe daraus folgt. Jede Stelle verweist auf die ausführliche Analyse, die wir zum jeweiligen Thema veröffentlicht haben. Die Einordnung ist die für eine Geschäftsleitung, die entscheiden muss, was sie selbst trägt und was sie abgibt.

Die zwei Stichtage, die seit letzter Woche gelaufen sind

Am 11. September ist die Meldepflicht des Cyber Resilience Act scharf geworden. Hersteller von Produkten mit digitalen Elementen melden seither aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die Single Reporting Platform der ENISA, die am selben Tag in Betrieb ging: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach verfügbarer Abhilfe, bei schwerwiegenden Vorfällen binnen eines Monats. Zwei Verschärfungen fehlen in den meisten Zusammenfassungen. Die Pflicht erfasst Produkte, die vor Jahren verkauft wurden — der Stichtag liegt im Gesetz, nicht in Ihrem Auslieferungsdatum. Und Hersteller im Rechtssinne ist, wer das Produkt unter eigenem Namen in Verkehr bringt: Wer eine App oder ein Portal extern entwickeln lässt und unter seiner Marke ausliefert, meldet selbst, nicht der Dienstleister. Vertraglich regeln lässt sich, wer technisch erkennt und formuliert — nicht, wer rechtlich verpflichtet ist. Die vollständige Analyse steht in unserem Beitrag zur CRA-Meldepflicht.

Einen Tag später, am 12. September, begann die meistgemeldete Pflicht des Data Act — und die am häufigsten falsch gelesene. Artikel 3 Absatz 1 verlangt, dass vernetzte Produkte ab Werk so gebaut sind, dass ihre Daten standardmäßig, einfach, sicher und kostenfrei zugänglich sind. Der Stichtag gilt nur für Produkte, die nach ihm in Verkehr gebracht werden; die Bestandsflotte bleibt außen vor. Was für den Bestand dagegen seit einem Jahr gilt, ist Artikel 4: Wer Daten aus einem vernetzten Produkt nicht direkt entnehmen kann, kann sie seit September 2025 auf einfaches Verlangen herausverlangen — unentgeltlich, maschinenlesbar, ohne unangemessene Verzögerung. Diese Pflicht läuft seit zwölf Monaten unbemerkt, und sie ist die, mit der die erste Anfrage ins Haus kommt. Die Details stehen in der Data-Act-Analyse.

Der gemeinsame Punkt der beiden September-Daten: Ein vergangener Stichtag senkt das Risiko nicht, er verändert die Frage. Vor dem Datum lautete sie, ob Sie vorbereitet sind. Danach lautet sie, ob der Prozess arbeitet. Wer die Registrierung auf der ENISA-Plattform oder die Beantwortung einer Datenanfrage noch nie geübt hat, übt jetzt unter Zeitdruck.

Der Kalender bis zum 20. Januar

Fünf Termine liegen noch vor Ihnen, zwei laufen bereits. Die Reihenfolge ist die des Kalenders:

20. Oktober 2026: der Stichtag, der keine Pflicht auslöst, sondern eine Zahl

Der 20. Oktober ist der einzige Termin in dieser Liste, an dem nichts von Ihrem Unternehmen verlangt wird — und trotzdem einer der wichtigen. Artikel 50 der Maschinenverordnung gilt ab diesem Tag, und Absatz 2 verpflichtet die Mitgliedstaaten, der Kommission ihre Sanktionsregeln mitzuteilen. Was ein Verstoß gegen die Verordnung in Deutschland tatsächlich kostet, ist bis dahin eine Vorschrift ohne Zahl. Ab Ende Oktober wird sie sichtbar.

Praktisch heißt das: Wer eine Maschine oder eine Anlage für 2027 in der Pipeline hat, sollte die deutschen Sanktionsvorschriften lesen, sobald sie veröffentlicht sind — und nicht erst, wenn der erste Vertragspartner danach fragt. Die Details zur Verordnung stehen in unserer Analyse zur Maschinenverordnung.

2. Dezember 2026: die Frist, die bei Ihrem Anbieter endet

Am 2. Dezember endet die Übergangsfrist für die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte. Artikel 50 Absatz 2 der KI-Verordnung verlangt, dass die Ausgaben generativer Systeme technisch als KI-erzeugt markiert sind; Systeme, die vor dem 2. August 2026 bereits im Markt waren, hat der Digital Omnibus bis zu diesem Datum freigestellt. Die Pflicht liegt beim Anbieter des Systems, nicht bei Ihnen als Nutzer.

Relevant wird der Tag für Sie über eine Nebenbedingung: Er entscheidet, ob die Werkzeuge in Ihrem Stack rechtzeitig liefern. Die Frage — markiert Ihr Generator seine Ausgaben maschinenlesbar, und ab wann — gehört diese Woche in eine E-Mail an Ihre Anbieter, nicht in die November-Sitzung. Nicht zu verwechseln mit dem, was schon gilt: Die Offenlegungspflichten des Artikels 50 Absatz 1, dass etwa Ihr Chatbot sich als KI zu erkennen gibt, laufen seit dem 2. August — und die sind Ihre, nicht die des Anbieters. Die Trennung steht in unserem Beitrag zur Kennzeichnungspflicht.

9. Dezember 2026: ab wann ein nicht geliefertes Update haftet

Am 9. Dezember wird Software ein Produkt. Artikel 4 der Richtlinie (EU) 2024/2853 zählt sie ausdrücklich zu den Sachen, für die verschuldensunabhängig gehaftet wird — und Artikel 11 Absatz 2 schaltet für einen Fall den Einwand ab, mit dem bisher fast jede Softwarehaftungs-Diskussion endete: dass das Produkt beim Inverkehrbringen fehlerfrei war. Geht die Fehlerhaftigkeit auf ein fehlendes, zur Aufrechterhaltung der Sicherheit erforderliches Update zurück, und unterliegt das der Kontrolle des Herstellers, entlastet der Auslieferungsstand nicht mehr. Kontrolle definiert Artikel 4 Nummer 5 als die Fähigkeit, Updates zu liefern — nicht deren Ausübung.

Die Grenzen sind genauso konkret: Anspruchsberechtigt ist nur eine natürliche Person; ersatzfähig sind Personenschäden, Sachschäden außerhalb rein beruflich genutzter Sachen und die Vernichtung nicht beruflich genutzter Daten. Ein reiner B2B-Schaden bleibt außen vor — aber jede Lizenz, die Sie nach dem Stichtag neu vergeben, gilt als neu in Verkehr gebracht, und jede wesentliche Änderung startet die Zehnjahresfrist von vorn. Ab Dezember ist die Frage, ob Sie für eine alte Version noch ein Sicherheitsupdate liefern, keine Supportentscheidung mehr, sondern eine Haftungsentscheidung. Die vollständige Einordnung steht im Beitrag zur Produkthaftung.

1. Januar 2027: die E-Rechnung hängt an einer Zahl, die gerade entsteht

Die Versandpflicht für E-Rechnungen beginnt am 1. Januar 2027 für jedes inländische Unternehmen, dessen Gesamtumsatz 2026 die 800.000 Euro übersteigt. Entscheidend ist die Zahl, und sie ist nicht die aus Ihrer Buchhaltung: Paragraf 19 Absatz 2 UStG bemisst den Gesamtumsatz nach vereinnahmten Entgelten — dem Zufluss, nicht der Fakturierung — und lässt Umsätze mit Wirtschaftsgütern des Anlagevermögens ausdrücklich außen vor. Wer 2026 eine Maschine oder einen Firmenwagen verkauft hat, trägt den Erlös in der Gewinnermittlung, nicht in dieser Zahl. In einem Korridor von etwa zehn Prozent um die Schwelle entscheidet das, ob Ihr Stichtag der Januar 2027 oder der Januar 2028 ist.

Zwei Entlastungen werden regelmäßig übersehen. Unter der Schwelle dürfen Sie bis Ende 2027 auf Papier oder in einem anderen Format abrechnen, wenn der Empfänger zustimmt. Und wer Rechnungen per EDI übermittelt, hat unabhängig vom Umsatz bis Ende 2027 Zeit — die praktisch wichtigste Übergangsregel für Zulieferer mit gewachsenen EDI-Strecken, geregelt in Paragraf 27 Absatz 38 UStG. Ab dem 1. Januar 2028 gilt die Pflicht für alle. Die Frage an die Steuerberatung — wie hoch ist unser Gesamtumsatz nach Paragraf 19 Absatz 2 — ist in Minuten beantwortet und gehört in diesen September. Die Details stehen im Beitrag zur E-Rechnung.

20. Januar 2027: die Verordnung ersetzt die Richtlinie — ohne Übergang

Am 20. Januar wird die Maschinenrichtlinie 2006/42/EG aufgehoben, und die Verordnung (EU) 2023/1230 gilt vollständig. Es gibt keine Schonfrist; der Stichtag hängt an der einzelnen Maschine. Was vorher rechtmäßig in Verkehr gebracht wurde, bleibt unter der Richtlinie und wird nie umkonformiert. Neu ist, dass Software ausdrücklich als Sicherheitsbauteil zählt — mit zwei Einschränkungen, die in den meisten Zusammenfassungen fehlen: Das Bauteil muss gesondert in Verkehr gebracht werden, und es darf für die Funktion des Produkts selbst nicht erforderlich sein. Steuerungssoftware, die untrennbar zur Maschine gehört, ist damit kein eigenständiges Sicherheitsbauteil; ein separat verkauftes Sicherheitsmodul ist es.

Die zweite Neuerung sitzt in Artikel 18: Wer eine wesentliche Veränderung vornimmt, gilt als Hersteller — mit allen Pflichten, auf eigene Verantwortung. Artikel 3 Nummer 16 definiert wesentlich über drei kumulative Merkmale, und das dritte filtert die meisten Updates heraus: Eine Veränderung, die keine neue Schutzeinrichtung und keine zusätzliche Stabilitätsmaßnahme nötig macht, ist keine wesentliche. Die Verordnung macht Ihre Instandhaltung nicht zum Hersteller; sie erfasst den Umbau einer Maschine zu etwas, das ihr Hersteller nie vorgesehen hat — und dieser Umbau kann rein in Software bestehen. Was konkret zu tun ist, steht in der Analyse zur Maschinenverordnung.

Die Pflichten ohne Kalenderdatum, die trotzdem laufen

Neben den sieben Terminen laufen drei Regime ohne Stichtag. Das sichtbarste ist NIS2: Zum 30. Juni 2026 waren 17.729 Einrichtungen beim BSI registriert, der Gesetzgeber kalkulierte mit rund 30.000. Die Lücke sitzt fast vollständig bei den wichtigen Einrichtungen — dem Korridor ab 50 Beschäftigten, zu dem die Anlage 2 des BSIG ausdrücklich auch den Maschinenbau zählt. Für die Geschäftsleitung entscheiden zwei Paragrafen: Paragraf 38 legt Umsetzung und Überwachung der Maßnahmen auf die Leitungsebene und verlangt deren eigene regelmäßige Schulung; und die Lieferketten-Klausel schickt die Fragebögen der regulierten Kunden an Zulieferer, die selbst weit unter jeder Schwelle liegen. Die Details stehen in der NIS2-Analyse.

Die zweite laufende Pflicht ist die KI-Kompetenz aus Artikel 4 der KI-Verordnung — sie gilt seit Februar 2025 und trifft Sie unabhängig davon, ob Sie KI freigegeben haben, denn betreiben im Sinne der Verordnung tut, wer KI in seinem Verantwortungsbereich einsetzt. In einem Betrieb, in dem zwei Drittel der Belegschaft an der Policy vorbei arbeiten, ist das keine Klausel für den Stack, sondern eine für die Schulung; die Zahlen dazu stehen im Beitrag zur Shadow-KI. Und seit dem 2. August gilt das Auskunftsrecht des Artikels 86: Betroffene können eine klare Erläuterung verlangen, wenn eine KI-gestützte Entscheidung sie erheblich betrifft — der Omnibus hat die Hochrisiko-Pflichten verschoben, dieses Kapitel nicht.

Über alle sieben Stichtage und drei Dauerpflichten läuft dasselbe Muster: Keine davon fragt, wie groß Ihr Unternehmen ist. Sie knüpfen an ein Produkt an, an eine Umsatzzahl, an eine Funktion oder an die Frage, wer entscheidet. Das ist auch der Grund, warum sie im Mittelstand so regelmäßig falsch eingeordnet werden — als Thema für die Konzern-Rechtsabteilung statt für die eigene Woche.

Was diese Woche auf Ihren Tisch gehört

Die Umsetzung hinter diesen Fristen ist überwiegend delegierbar — die Einordnung nicht. Konkret bleiben drei Aufgaben, die in dieser Septemberwoche liegen und keine Fachabteilung brauchen:

Der Rest der Liste ist Kalenderarbeit: die Produkte listen, die nach dem 20. Januar in Verkehr gehen; prüfen, ob eine Anlage-2-Tätigkeit und fünfzig Beschäftigte in Ihrem Haus zusammenkommen; klären, wer eine Data-Act-Anfrage beantwortet. Dieser Beitrag ist die Landkarte — jede verlinkte Analyse enthält die einzelnen Schritte. Wer nur eines mitnimmt: Zwischen heute und dem 20. Januar liegt keine Selbstverpflichtung und keine Empfehlung. Es sind Stichtage, und sie gelten.

Häufige Fragen zu den EU-Stichtagen