Die EU-Gesetzespipeline: Was nach den Fristen von 2026 kommt
Die meisten Compliance-Texte behandeln Regeln, die längst gelten. Für das nächste Audit ist das nützlich, für die Planung wertlos. Denn die teuren Entscheidungen sind Architekturentscheidungen, und Architektur legt man achtzehn Monate vor einer Frist fest.
Hier kommt die andere Hälfte des Bildes: was gerade durch die europäische Gesetzgebungsmaschine läuft, wann damit ungefähr zu rechnen ist und was davon wirklich beeinflussen sollte, was Sie heute bauen.
Eine Vorwarnung vorweg. Vorschläge ändern sich, manche versanden, Termine verrutschen. Nichts davon ist ein Grund, auf einen noch nicht verabschiedeten Text hin zu entwickeln. Es ist ein Grund, nichts zu bauen, was eine absehbar kommende Regel teuer machen wird.
Wie man die Verfahrensstufen liest
Europäisches Recht läuft in vorhersehbaren Stufen ab, und woran ein Dossier gerade ist, sagt Ihnen, wie viel Vertrauen es verdient.
Im Arbeitsprogramm angekündigt. Die Kommission hat erklärt, sie wolle etwas vorschlagen. Einen Text gibt es nicht. Als Richtungsangabe brauchbar, mehr nicht.
Vorschlag veröffentlicht. Jetzt gibt es einen Text. Er wird sich noch ändern, oft erheblich, aber Zuschnitt und Definitionen liegen offen.
Allgemeine Ausrichtung des Rates und Mandat des Parlaments. Beide Mitgesetzgeber haben eine Position. Damit ist der Verhandlungskorridor sichtbar: Worin sich beide Seiten einig sind, überlebt mit hoher Wahrscheinlichkeit.
Trilog. Verhandlung hinter verschlossenen Türen zwischen Parlament, Rat und Kommission. Das Ergebnis liegt meist irgendwo zwischen den beiden Mandaten.
Politische Einigung, dann förmliche Verabschiedung, dann Inkrafttreten, dann Anwendung. Zwischen Verabschiedung und Anwendung liegt die Zeit, in der Sie die eigentliche Arbeit machen, typischerweise achtzehn Monate bis drei Jahre.
Die praktische Regel lautet: Sobald beide Mitgesetzgeber ihre Mandate veröffentlicht haben, können Sie mit den Überschneidungen sicher planen. Vorher ist alles nur eine Richtungsangabe.
Derzeit im Trilog
Der Digital Omnibus
Das größte Vereinfachungspaket dieses Zyklus, vorgeschlagen im November 2025. Es greift in die DSGVO, die KI-Verordnung, den Data Act, ePrivacy und die Meldepflichten bei Cybervorfällen ein.
Für Produktteams zählen vor allem die vorgeschlagenen Artikel 88a und 88b. Sie würden die Regeln zur Cookie-Einwilligung aus der ePrivacy-Richtlinie in die DSGVO selbst holen, die Ausnahmen erweitern, in denen keine Einwilligung erforderlich ist, nach einer Ablehnung eine sechsmonatige Ruhefrist einführen und maschinenlesbare Einwilligungssignale auf Browserebene rechtsverbindlich machen.
Die Triloge liefen bis in die Mitte des Jahres 2026 hinein. Das ist die wahrscheinlichste kurzfristige Änderung daran, wie Einwilligung in der Praxis funktioniert, und wie wir sie lesen, steht in Cookie-Einwilligung nach dem Digital Omnibus.
Wen es betrifft: alle, die eine Einwilligungsplattform, Analytics, Werbung oder Personalisierung betreiben.
Das Paket zum digitalen Euro
Ratsposition im Dezember 2025, Ausschussmandat des Parlaments mit 43 zu 14 Stimmen angenommen, Triloge seit Juli 2026, und alle drei Institutionen wollen 2026 fertig werden. Der EZB-Pilotbetrieb startet im zweiten Halbjahr 2027, die erste Ausgabe ist für 2029 angepeilt.
Alles Weitere im Leitfaden zum digitalen Euro.
Wen es betrifft: Banken, Zahlungsdienstleister, E-Commerce-Plattformen, Anbieter von Kassensystemen.
Financial Data Access, kurz FiDA
Das Open-Finance-Dossier. Es dehnt den Datenzugang nach dem Vorbild des Open Banking über Zahlungskonten hinaus auf Anlagen, Altersvorsorge, Versicherungen und Hypotheken aus und schafft mit dem Finanzinformationsdienstleister eine neue regulierte Kategorie.
FiDA hat von allen Dossiers auf dieser Liste den schwersten Weg hinter sich. Die Trilogverhandlungen kamen Anfang 2026 zum Erliegen und wurden dann wieder aufgenommen. Realistisch ist eine gestaffelte Anwendung irgendwo zwischen 2027 und 2030.
Wen es betrifft: Fintechs, Insurtechs, Vermögensplattformen und alle, deren Produkt davon profitieren würde, mit Einwilligung des Kunden auf Finanzdaten jenseits des Girokontos zuzugreifen.
Vereinbart, aber noch nicht anwendbar
PSD3 und die Zahlungsdiensteverordnung
Rat und Parlament erzielten am 27. November 2025 eine vorläufige politische Einigung zum Rahmen für den Zahlungsverkehr. Das ist die große Überarbeitung von PSD2: strengere Pflichten zur Betrugsprävention, eine breitere Haftungsverteilung für bestimmte Betrugsarten einschließlich Identitätsbetrug, Änderungen bei der starken Kundenauthentifizierung, Leistungsanforderungen an Open-Banking-Schnittstellen und die Zusammenführung der Regime für Zahlungsinstitute und E-Geld-Institute.
Weil das Paket aus einer Verordnung und einer Richtlinie besteht, gilt der eine Teil unmittelbar, der andere muss erst in nationales Recht umgesetzt werden. Rechnen Sie mit der Anwendung eher gegen Ende des Jahrzehnts.
Wen es betrifft: jedes Produkt, das Zahlungen auslöst, Kundengelder hält oder Open-Banking-Schnittstellen nutzt.
Vorgeschlagen, Positionen bilden sich gerade
Die europäische Unternehmensbrieftasche
Vorgeschlagen als Firmenpendant zur EU-Brieftasche für digitale Identität. Während die persönliche Brieftasche die Nachweise einer Person enthält, enthält die Unternehmensbrieftasche die eines Unternehmens: Registerdaten, Vollmachten, Vertretungsrechte, Bescheinigungen und die Möglichkeit, signierte Dokumente über Grenzen hinweg auszutauschen.
Der Rat verabschiedete seine Verhandlungsposition am 9. Juni 2026, angestrebt ist eine politische Einigung bis Ende 2026. Die Mitgliedstaaten sollen Unternehmensbrieftaschen binnen 24 Monaten nach Inkrafttreten für Verwaltungsverfahren akzeptieren, für komplexere Funktionen bleibt ihnen ein Jahr länger.
Details in unserem Leitfaden zur europäischen Unternehmensbrieftasche.
Wen es betrifft: alle, die B2B-Onboarding, Beschaffung, Lieferantenprüfung, E-Rechnung oder regulierte Geschäftsprozesse bauen.
Der Cloud and AI Development Act
Ein Flaggschiff der Souveränitätsagenda der Kommission, angesetzt für die erste Jahreshälfte 2026. Die erklärten Ziele: Europas Fähigkeit stärken, Cloud und KI zu entwickeln, auszurollen und zu skalieren, regulatorische Lücken schließen, Interoperabilität fördern und eine EU-weite Cloud-Politik für öffentliche Verwaltungen und die Beschaffung verankern.
Dahinter steht die Abhängigkeit von nichteuropäischen Cloud-Anbietern. Biss bekommt das Vorhaben aber am ehesten über die öffentliche Beschaffung, nicht über direkte Auflagen für private Käufer.
Details in unserem Leitfaden zum Cloud and AI Development Act.
Wen es betrifft: Cloud-Anbieter, alle, die Software an europäische öffentliche Auftraggeber verkaufen, und alle, deren Architektur auf einen einzigen Hyperscaler gebaut ist.
Der Digital Networks Act
Im Januar 2026 vorgelegt, nach mehreren Verschiebungen. Er schreibt die Governance der Telekommunikation neu: Frequenzharmonisierung, Binnenmarkt für elektronische Kommunikation, Standards für die Netzsicherheit und der Dauerstreit darüber, ob große Verkehrsverursacher sich an den Netzkosten beteiligen sollen.
Wen es betrifft: Telekommunikationsbetreiber, CDN- und Konnektivitätsanbieter und jeden Dienst, dessen Kalkulation an günstigem Transit hängt.
Der Digital Fairness Act
Angesetzt für das vierte Quartal 2026, also auf absehbare Zeit ein Vorschlag und kein Gesetz. Er zielt geradewegs auf Dark Patterns, suchterzeugendes Design, Influencer-Marketing und Personalisierung, die die Verletzlichkeit von Verbrauchern ausnutzt, personalisierte Preise eingeschlossen.
Dieses Dossier verdient Aufmerksamkeit, lange bevor es gilt, weil es genau die Interface-Muster trifft, auf denen bei vielen Produkten heute die Conversion beruht. Details in unserem Leitfaden zum Digital Fairness Act.
Wen es betrifft: verbrauchernahe Produkte jeder Art, besonders Abos, Spiele, Marktplätze und soziale Dienste.
Überarbeitung des Chips Act
Eine Gesetzesinitiative zur Überarbeitung des europäischen Chips Act steht im Arbeitsprogramm 2026. Der erste Chips Act galt weithin als zu schwach für seinen eigenen Anspruch, und die Überarbeitung soll das korrigieren. Die Förderseite behandelt unser Leitfaden zur Chips-Act-Förderung.
Wen es betrifft: Halbleiter- und Hardwareunternehmen und alle, die europäisches Industriepolitikgeld im Blick behalten.
Reform der öffentlichen Beschaffung
Ein Public Procurement Act steht im Arbeitsprogramm 2026, ausdrücklich mit einer europäischen Präferenz für strategische Sektoren. Wenn Sie an europäische öffentliche Auftraggeber verkaufen: Über das Vergaberecht erreicht Sie erstaunlich viel Technologiepolitik.
Wen es betrifft: alle mit Umsatz im europäischen öffentlichen Sektor.
Angekündigt, aber noch ohne Form
Mehrere Initiativen sind angekündigt, ohne dass ein Text vorliegt: ein Quantum Act, ein Space Act, weitere Arbeiten zu KI in der Wissenschaft und die laufende Umsetzung des europäischen Gesundheitsdatenraums. Dazu kommt die Verordnung gegen sexuellen Kindesmissbrauch, gemeinhin Chatkontrolle genannt, die sich seit Jahren am clientseitigen Scannen festfährt und weiter ungelöst ist.
Behalten Sie diese Vorhaben auf dem Schirm, mehr nicht. Dass es sie gibt, sollte man wissen. Etwas darum herum zu bauen, lohnt sich nicht.
Was in die andere Richtung gegangen ist
Es lohnt sich zu wissen, was zurückgezogen oder heruntergestuft wurde, denn viele Fachbeiträge hinken hier hinterher.
Die Richtlinie über KI-Haftung wurde zurückgezogen. Die ePrivacy-Verordnung, die jahrelang nicht vom Fleck kam, ist aufgegeben, und ihr Gegenstand wandert stattdessen in den Digital Omnibus. Die Green-Claims-Richtlinie hatte einen schwierigen Weg, und ihre endgültige Form steht nicht fest, während die verwandte Richtlinie zur Stärkung der Verbraucher davon unberührt ab September 2026 gilt.
Vereinfachung ist inzwischen ein ausdrückliches politisches Thema. Weniger Regulierung insgesamt heißt das nicht, wohl aber, dass manche Dossiers zusammengelegt statt zusätzlich aufgelegt werden.
Wie Sie das nutzen, ohne Aufwand zu verschwenden
Bei einer solchen Liste ist die Versuchung groß, einen Tracker zu bauen und jeder Zeile einen Verantwortlichen zuzuweisen. Am Ende steht dann eine Tabelle und sonst nichts.
Was tatsächlich hilft:
Sortieren Sie danach, ob eine Architekturentscheidung nötig ist. Einwilligungsarchitektur, der Umgang mit Identitäten und Nachweisen, die Abstraktion der Zahlungsmethode und Schnittstellen für den Datenzugriff sind teuer nachzurüsten. Meldeprozesse und Dokumentation nicht. Nur die erste Kategorie rechtfertigt es, schon vor der Verabschiedung zu handeln.
Suchen Sie den gemeinsamen Unterbau. Eine sauber gebaute Einwilligungsinfrastruktur trägt die Änderungen des Digital Omnibus. Die Nachweisprüfung, die Sie für die EUDI-Brieftasche bauen, trägt weitgehend auch die Unternehmensbrieftasche. Die Abstraktion der Zahlungsmethode trägt Echtzeitzahlungen, Wero und den digitalen Euro gleichermaßen. Drei Dossiers, eine Plattformarbeit.
Achten Sie auf Mandate, nicht auf Vorschläge. Sobald Rat und Parlament beide eine Position veröffentlicht haben, ist die Schnittmenge der sichere Bereich. Dann fangen Sie an zu bauen, nicht an dem Tag, an dem ein Vorschlag erscheint.
Halten Sie fest, was Sie wann entschieden haben. Die meisten dieser Regelwerke erwarten, dass Sie Ihre Überlegungen erklären können. Ein kurzer Architekturentscheid mit Datum ist mehr wert als ein Positionspapier, das hinterher geschrieben wurde.
Wo wir hineinpassen
Wir bauen und pflegen Software für Unternehmen, die in Europa tätig sind, und das heißt zunehmend: Systeme bauen, die regulatorische Änderungen ohne Neubau verkraften. Die Arbeit ist meist unspektakulär, nämlich Abstraktion an den richtigen Nahtstellen, expliziter Zustand und Konfiguration überall dort, wo der Gesetzgeber eine Zahl bewusst verstellbar gelassen hat.
Wenn Sie wissen wollen, welches dieser Dossiers ein konkretes Produkt wirklich berührt, schreiben Sie an office@c9group.dev. Die bereits geltenden Regeln stehen in unserem Leitfaden zur EU-Digitalregulierung 2026, mehr über unsere europäische Arbeit auf der Seite zum EU-Markteintritt.
Wir sind Ingenieure, keine Juristen, und das hier ist eine Planungshilfe, keine Rechtsberatung. Alles Obige kann sich ändern, solange es nicht im Amtsblatt steht.