Die EU-Gesetzespipeline: Was nach den Fristen von 2026 kommt

Die meisten Compliance-Texte behandeln Regeln, die längst gelten. Für das nächste Audit ist das nützlich, für die Planung wertlos. Denn die teuren Entscheidungen sind Architekturentscheidungen, und Architektur legt man achtzehn Monate vor einer Frist fest.

Hier kommt die andere Hälfte des Bildes: was gerade durch die europäische Gesetzgebungsmaschine läuft, wann damit ungefähr zu rechnen ist und was davon wirklich beeinflussen sollte, was Sie heute bauen.

Eine Vorwarnung vorweg. Vorschläge ändern sich, manche versanden, Termine verrutschen. Nichts davon ist ein Grund, auf einen noch nicht verabschiedeten Text hin zu entwickeln. Es ist ein Grund, nichts zu bauen, was eine absehbar kommende Regel teuer machen wird.

Wie man die Verfahrensstufen liest

Europäisches Recht läuft in vorhersehbaren Stufen ab, und woran ein Dossier gerade ist, sagt Ihnen, wie viel Vertrauen es verdient.

Im Arbeitsprogramm angekündigt. Die Kommission hat erklärt, sie wolle etwas vorschlagen. Einen Text gibt es nicht. Als Richtungsangabe brauchbar, mehr nicht.

Vorschlag veröffentlicht. Jetzt gibt es einen Text. Er wird sich noch ändern, oft erheblich, aber Zuschnitt und Definitionen liegen offen.

Allgemeine Ausrichtung des Rates und Mandat des Parlaments. Beide Mitgesetzgeber haben eine Position. Damit ist der Verhandlungskorridor sichtbar: Worin sich beide Seiten einig sind, überlebt mit hoher Wahrscheinlichkeit.

Trilog. Verhandlung hinter verschlossenen Türen zwischen Parlament, Rat und Kommission. Das Ergebnis liegt meist irgendwo zwischen den beiden Mandaten.

Politische Einigung, dann förmliche Verabschiedung, dann Inkrafttreten, dann Anwendung. Zwischen Verabschiedung und Anwendung liegt die Zeit, in der Sie die eigentliche Arbeit machen, typischerweise achtzehn Monate bis drei Jahre.

Die praktische Regel lautet: Sobald beide Mitgesetzgeber ihre Mandate veröffentlicht haben, können Sie mit den Überschneidungen sicher planen. Vorher ist alles nur eine Richtungsangabe.

Derzeit in Verhandlung

Der Digital Omnibus

Das größte Vereinfachungspaket dieses Zyklus, vorgeschlagen im November 2025. Es greift in die DSGVO, die KI-Verordnung, den Data Act, ePrivacy und die Meldepflichten bei Cybervorfällen ein. Der Teil zur KI-Verordnung wurde abgetrennt und ist bereits geltendes Recht: Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026.

Für Produktteams zählen vor allem die von der Kommission vorgeschlagenen Artikel 88a und 88b. Sie würden die Regeln zur Cookie-Einwilligung aus der ePrivacy-Richtlinie in die DSGVO selbst holen, die Ausnahmen erweitern, in denen keine Einwilligung erforderlich ist, nach einer Ablehnung eine sechsmonatige Ruhefrist einführen und maschinenlesbare Einwilligungssignale auf Browserebene rechtsverbindlich machen.

Der Teil zu DSGVO und ePrivacy hat den Trilog noch nicht erreicht. Stand 10. Oktober 2026 hat der Rat kein Verhandlungsmandat (eine für den 7. Oktober geplante Abstimmung der EU-Botschafter wurde verschoben, Berichten zufolge auf den 11. Oktober), und die Ausschüsse des Parlaments arbeiten sich noch durch mehr als 1.750 Änderungsanträge zu ihrem Berichtsentwurf vom Juni 2026. Der Kompromisstext des Rates belässt die Cookie-Regeln in der ePrivacy-Richtlinie, streicht die Artikel 88a und 88b und verkürzt die Wartezeit nach einer Ablehnung auf vier Monate. Das bleibt die wahrscheinlichste kurzfristige Änderung daran, wie Einwilligung in der Praxis funktioniert, und wie wir sie lesen, steht in Cookie-Einwilligung nach dem Digital Omnibus.

Wen es betrifft: alle, die eine Einwilligungsplattform, Analytics, Werbung oder Personalisierung betreiben.

Das Paket zum digitalen Euro

Ratsposition im Dezember 2025, Ausschussmandat des Parlaments mit 43 zu 14 Stimmen angenommen, Triloge seit Juli 2026, und alle drei Institutionen wollen 2026 fertig werden. Der EZB-Pilotbetrieb startet im zweiten Halbjahr 2027, die erste Ausgabe ist für 2029 angepeilt.

Alles Weitere im Leitfaden zum digitalen Euro.

Wen es betrifft: Banken, Zahlungsdienstleister, E-Commerce-Plattformen, Anbieter von Kassensystemen.

Financial Data Access, kurz FiDA

Das Open-Finance-Dossier. Es dehnt den Datenzugang nach dem Vorbild des Open Banking über Zahlungskonten hinaus auf Anlagen, Altersvorsorge, Versicherungen und Hypotheken aus und schafft mit dem Finanzinformationsdienstleister eine neue regulierte Kategorie.

FiDA hat von allen Dossiers auf dieser Liste den schwersten Weg hinter sich. Nach Mitte 2025 kamen die Triloge kaum sichtbar voran, und im April 2026 schickte die Kommission dem Rat ein Non-Paper mit einem engeren Anwendungsbereich, um sie wieder in Gang zu bringen. Die Anwendung würde gestaffelt beginnen, realistisch nicht vor Ende des Jahrzehnts.

Wen es betrifft: Fintechs, Insurtechs, Vermögensplattformen und alle, deren Produkt davon profitieren würde, mit Einwilligung des Kunden auf Finanzdaten jenseits des Girokontos zuzugreifen.

Vereinbart, aber noch nicht anwendbar

PSD3 und die Zahlungsdiensteverordnung

Rat und Parlament erzielten am 27. November 2025 eine vorläufige politische Einigung zum Rahmen für den Zahlungsverkehr. Das ist die große Überarbeitung von PSD2: strengere Pflichten zur Betrugsprävention, eine breitere Haftungsverteilung für bestimmte Betrugsarten einschließlich Identitätsbetrug, Änderungen bei der starken Kundenauthentifizierung, Leistungsanforderungen an Open-Banking-Schnittstellen und die Zusammenführung der Regime für Zahlungsinstitute und E-Geld-Institute.

Die vereinbarten Texte stehen noch nicht im Amtsblatt. Laut der Verfahrensakte des Parlaments warten sie mit Stand 10. Oktober 2026 auf den förmlichen Standpunkt des Rates in erster Lesung; die Schlussabstimmung im Plenum ist vorläufig für den 14. Dezember 2026 angesetzt. Weil das Paket aus einer Verordnung und einer Richtlinie besteht, gilt der eine Teil unmittelbar, der andere muss erst in nationales Recht umgesetzt werden. Rechnen Sie mit der Anwendung eher gegen Ende des Jahrzehnts.

Wen es betrifft: jedes Produkt, das Zahlungen auslöst, Kundengelder hält oder Open-Banking-Schnittstellen nutzt.

Vorgeschlagen, Positionen bilden sich gerade

Die europäische Unternehmensbrieftasche

Vorgeschlagen als Firmenpendant zur EU-Brieftasche für digitale Identität. Während die persönliche Brieftasche die Nachweise einer Person enthält, enthält die Unternehmensbrieftasche die eines Unternehmens: Registerdaten, Vollmachten, Vertretungsrechte, Bescheinigungen und die Möglichkeit, signierte Dokumente über Grenzen hinweg auszutauschen.

Der Rat verabschiedete seine Verhandlungsposition am 9. Juni 2026, und der ITRE-Ausschuss des Parlaments nahm am 10. September 2026 seinen Bericht und ein Verhandlungsmandat an, sodass die Triloge beginnen können. Angestrebt ist eine politische Einigung bis Ende 2026. Die Kommission hatte vorgeschlagen, dass Behörden Unternehmensbrieftaschen binnen 24 Monaten nach Inkrafttreten akzeptieren müssen; der Text des Rates ersetzt diese Frist durch einen späteren Termin: zwei Jahre nach dem Geltungsbeginn der letzten Durchführungsrechtsakte.

Details in unserem Leitfaden zur europäischen Unternehmensbrieftasche.

Wen es betrifft: alle, die B2B-Onboarding, Beschaffung, Lieferantenprüfung, E-Rechnung oder regulierte Geschäftsprozesse bauen.

Der Cloud and AI Development Act

Ein Flaggschiff der Souveränitätsagenda der Kommission, vorgeschlagen am 3. Juni 2026 als COM(2026) 502. Der Vorschlag umfasst Forschung und Innovation, schnellere Genehmigungen für Rechenzentren (erklärtes Ziel ist, die Rechenzentrumskapazität der EU bis 2030 mindestens zu verdreifachen) und einen einheitlichen EU-Rahmen mit vier Souveränitätsstufen für Cloud-Dienste. Öffentliche Auftraggeber müssten mindestens Stufe 1 beschaffen, für Tätigkeiten mit Bedeutung für die öffentliche Ordnung die Stufen 2 bis 4.

Dahinter steht die Abhängigkeit von nichteuropäischen Cloud-Anbietern. Biss bekommt das Vorhaben aber am ehesten über die öffentliche Beschaffung, nicht über direkte Auflagen für private Käufer.

Details in unserem Leitfaden zum Cloud and AI Development Act.

Wen es betrifft: Cloud-Anbieter, alle, die Software an europäische öffentliche Auftraggeber verkaufen, und alle, deren Architektur auf einen einzigen Hyperscaler gebaut ist.

Der Digital Networks Act

Im Januar 2026 vorgelegt, nach mehreren Verschiebungen. Er schreibt die Governance der Telekommunikation neu: Frequenzharmonisierung, Binnenmarkt für elektronische Kommunikation, Standards für die Netzsicherheit und der Dauerstreit darüber, ob große Verkehrsverursacher sich an den Netzkosten beteiligen sollen.

Wen es betrifft: Telekommunikationsbetreiber, CDN- und Konnektivitätsanbieter und jeden Dienst, dessen Kalkulation an günstigem Transit hängt.

Der Digital Fairness Act

Angesetzt für das vierte Quartal 2026, also auf absehbare Zeit ein Vorschlag und kein Gesetz. Er zielt geradewegs auf Dark Patterns, suchterzeugendes Design, Influencer-Marketing und Personalisierung, die die Verletzlichkeit von Verbrauchern ausnutzt, personalisierte Preise eingeschlossen.

Dieses Dossier verdient Aufmerksamkeit, lange bevor es gilt, weil es genau die Interface-Muster trifft, auf denen bei vielen Produkten heute die Conversion beruht. Details in unserem Leitfaden zum Digital Fairness Act.

Wen es betrifft: verbrauchernahe Produkte jeder Art, besonders Abos, Spiele, Marktplätze und soziale Dienste.

Überarbeitung des Chips Act

Die Kommission schlug am 3. Juni 2026 einen Chips Act 2.0 vor (COM(2026) 504), der den Chips Act von 2023 aufheben und ersetzen würde. Der erste Chips Act galt weithin als zu schwach für seinen eigenen Anspruch. Der neue Text bringt Kriseninstrumente, darunter Vorrangaufträge für kritische Sektoren, zusätzlich zur Förderung von Produktionsanlagen und Chipdesign. Die Förderseite behandelt unser Leitfaden zur Chips-Act-Förderung.

Wen es betrifft: Halbleiter- und Hardwareunternehmen und alle, die europäisches Industriepolitikgeld im Blick behalten.

Reform der öffentlichen Beschaffung

Die Kommission schlug am 9. September 2026 einen Public Procurement Act vor (COM(2026) 590). Er würde die drei Vergaberichtlinien von 2014 durch eine einzige Verordnung ersetzen und einen Rahmen für eine europäische Präferenz schaffen, mit dem öffentliche Auftraggeber in strategischen Bereichen die Teilnahme beschränken oder EU-Ursprung bevorzugen können. Wenn Sie an europäische öffentliche Auftraggeber verkaufen: Über das Vergaberecht erreicht Sie erstaunlich viel Technologiepolitik.

Wen es betrifft: alle mit Umsatz im europäischen öffentlichen Sektor.

Angekündigt, aber noch ohne Form

Mehrere Initiativen sind angekündigt, ohne dass ein Text vorliegt: ein Quantum Act (geplant für das zweite Quartal 2026, am 10. Oktober 2026 noch immer nicht vorgeschlagen und Berichten zufolge in Gefahr, ins Jahr 2027 zu rutschen), weitere Arbeiten zu KI in der Wissenschaft und die laufende Umsetzung des europäischen Gesundheitsdatenraums. Dazu kommt die Verordnung gegen sexuellen Kindesmissbrauch, gemeinhin Chatkontrolle genannt, die sich seit Jahren am clientseitigen Scannen festfährt und weiter ungelöst ist.

Behalten Sie diese Vorhaben auf dem Schirm, mehr nicht. Dass es sie gibt, sollte man wissen. Etwas darum herum zu bauen, lohnt sich nicht.

Was in die andere Richtung gegangen ist

Es lohnt sich zu wissen, was zurückgezogen oder heruntergestuft wurde, denn viele Fachbeiträge hinken hier hinterher.

Die Richtlinie über KI-Haftung wurde zurückgezogen. Die ePrivacy-Verordnung, die jahrelang nicht vom Fleck kam, ist aufgegeben, und ihr Gegenstand wandert stattdessen in den Digital Omnibus. Die Green-Claims-Richtlinie hatte einen schwierigen Weg, und ihre endgültige Form steht nicht fest, während die verwandte Richtlinie zur Stärkung der Verbraucher davon unberührt seit dem 27. September 2026 gilt.

Vereinfachung ist inzwischen ein ausdrückliches politisches Thema. Weniger Regulierung insgesamt heißt das nicht, wohl aber, dass manche Dossiers zusammengelegt statt zusätzlich aufgelegt werden.

Wie Sie das nutzen, ohne Aufwand zu verschwenden

Bei einer solchen Liste ist die Versuchung groß, einen Tracker zu bauen und jeder Zeile einen Verantwortlichen zuzuweisen. Am Ende steht dann eine Tabelle und sonst nichts.

Was tatsächlich hilft:

Sortieren Sie danach, ob eine Architekturentscheidung nötig ist. Einwilligungsarchitektur, der Umgang mit Identitäten und Nachweisen, die Abstraktion der Zahlungsmethode und Schnittstellen für den Datenzugriff sind teuer nachzurüsten. Meldeprozesse und Dokumentation nicht. Nur die erste Kategorie rechtfertigt es, schon vor der Verabschiedung zu handeln.

Suchen Sie den gemeinsamen Unterbau. Eine sauber gebaute Einwilligungsinfrastruktur trägt die Änderungen des Digital Omnibus. Die Nachweisprüfung, die Sie für die EUDI-Brieftasche bauen, trägt weitgehend auch die Unternehmensbrieftasche. Die Abstraktion der Zahlungsmethode trägt Echtzeitzahlungen, Wero und den digitalen Euro gleichermaßen. Drei Dossiers, eine Plattformarbeit.

Achten Sie auf Mandate, nicht auf Vorschläge. Sobald Rat und Parlament beide eine Position veröffentlicht haben, ist die Schnittmenge der sichere Bereich. Dann fangen Sie an zu bauen, nicht an dem Tag, an dem ein Vorschlag erscheint.

Halten Sie fest, was Sie wann entschieden haben. Die meisten dieser Regelwerke erwarten, dass Sie Ihre Überlegungen erklären können. Ein kurzer Architekturentscheid mit Datum ist mehr wert als ein Positionspapier, das hinterher geschrieben wurde.

Wo wir hineinpassen

Wir bauen und pflegen Software für Unternehmen, die in Europa tätig sind, und das heißt zunehmend: Systeme bauen, die regulatorische Änderungen ohne Neubau verkraften. Die Arbeit ist meist unspektakulär, nämlich Abstraktion an den richtigen Nahtstellen, expliziter Zustand und Konfiguration überall dort, wo der Gesetzgeber eine Zahl bewusst verstellbar gelassen hat.

Wenn Sie wissen wollen, welches dieser Dossiers ein konkretes Produkt wirklich berührt, schreiben Sie an office@c9group.dev. Die bereits geltenden Regeln stehen in unserem Leitfaden zur EU-Digitalregulierung 2026, mehr über unsere europäische Arbeit auf der Seite zum EU-Markteintritt.

Wir sind Ingenieure, keine Juristen, und das hier ist eine Planungshilfe, keine Rechtsberatung. Alles Obige kann sich ändern, solange es nicht im Amtsblatt steht.