Stand: 06.10.2026 · Audinero
Wer in den letzten Monaten den Überblick über neue EU-Digitalregeln verloren hat, ist nicht allein. Zwischen EU Data Act, Cyber Resilience Act (CRA) und gestaffelten Anwendungsfristen ist es für kleine und mittlere Unternehmen (KMU) nicht leicht, den Durchblick zu behalten. Dieser Artikel ordnet die wichtigsten Termine ein und zeigt, was Unternehmen im DACH-Raum jetzt prüfen sollten.
Der EU Data Act: Seit wann gilt was?
Der EU Data Act – Verordnung (EU) 2023/2854 – regelt unter anderem den Zugang zu Daten vernetzter Produkte und verbundener Dienste sowie den Wechsel zwischen Datenverarbeitungsdiensten. Er trat am 11. Januar 2024 in Kraft und gilt grundsätzlich seit dem 12. September 2025. Allerdings gelten nicht alle Vorschriften seit diesem Datum: Artikel 50 sieht gestaffelte Anwendungszeitpunkte vor. Als EU-Verordnung ist der Data Act in den Mitgliedstaaten unmittelbar anwendbar; ein nationales Umsetzungsgesetz ist dafür nicht erforderlich. Für Schweizer Unternehmen kommt es insbesondere auf ihre Tätigkeit im EU-Markt und die jeweilige Rolle an.
Cloud-Wechsel: Was die Zwei-Monats-Frist bedeutet
Seit dem 12. September 2025 gelten die Vorgaben des Data Act zum Wechsel zwischen erfassten Datenverarbeitungsdiensten. Artikel 25 verlangt eine maximale Kündigungsfrist für die Einleitung des Wechsels von zwei Monaten. Gemeint ist die Ankündigungsfrist vor dem Wechselprozess. Daran schließt sich grundsätzlich ein Übergangszeitraum von höchstens 30 Kalendertagen an. Ist das technisch nicht durchführbar, muss der Anbieter dies begründen; unter den gesetzlichen Voraussetzungen ist ein alternativer Zeitraum von höchstens sieben Monaten möglich.
Die Regel ist deshalb nicht mit einer pauschalen, kostenfreien Beendigung jedes Cloud-Vertrags nach zwei Monaten gleichzusetzen. Reguläre Dienstentgelte und gegebenenfalls zulässige Kosten einer vorzeitigen Vertragsbeendigung sind gesondert zu prüfen. Für KMU lohnt sich eine Bestandsaufnahme: Sind Wechselprozess, exportierbare Daten, Unterstützung durch den Anbieter und Datenabruf nach Vertragsende nachvollziehbar geregelt?
Gebührenverbot ab Januar 2027: Was sich ändert
Ab dem 12. Januar 2027 dürfen Anbieter erfasster Datenverarbeitungsdienste für den Anbieterwechsel keine Wechselentgelte mehr verlangen. Dazu zählen auch Entgelte für die Datenübertragung, soweit sie mit dem Wechsel zusammenhängen. Es handelt sich nicht um ein generelles Verbot sämtlicher Cloud- oder Datenexportgebühren außerhalb eines Wechselvorgangs.
In der Übergangsphase dürfen reduzierte Wechselentgelte die dem Anbieter unmittelbar durch den konkreten Wechsel entstehenden Kosten nicht überschreiten. Unternehmen sollten sich die Kosten transparent erläutern lassen und Wechselentgelte von regulären Dienstentgelten sowie möglichen Folgen einer vorzeitigen Kündigung unterscheiden. Ausnahmen und Sonderregeln für bestimmte Dienste sind zusätzlich zu prüfen.
CRA-Meldepflichten: Eine zweite, parallele Frist
Seit dem 11. September 2026 gelten die Meldepflichten nach Artikel 14 des Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen. Erfasst sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle – nicht jede beliebige Schwachstelle. Eine Frühwarnung ist grundsätzlich innerhalb von 24 Stunden nach Kenntniserlangung erforderlich, eine ausführlichere Meldung innerhalb von 72 Stunden. Weitere Berichte folgen abhängig vom Fall. Die Meldungen erfolgen über die zentrale Meldeplattform an die zuständigen CSIRTs und ENISA.
Der Data Act und der CRA erfüllen unterschiedliche Aufgaben: Der Data Act betrifft insbesondere Datenzugang und Anbieterwechsel, der CRA die Cybersicherheit digitaler Produkte. Ein Hersteller vernetzter Geräte kann von beiden Regelwerken betroffen sein. Ein Unternehmen wird jedoch nicht allein dadurch zum CRA-Hersteller, dass es fremde Cloud-Software verwendet. Die übrigen zentralen CRA-Anforderungen gelten grundsätzlich ab dem 11. Dezember 2027.
Access by Design: Die Frist ist gesetzlich festgelegt
Die Pflicht zum Datenzugang durch Produktgestaltung ist keine unbestätigte Meldung. Artikel 3 Absatz 1 in Verbindung mit Artikel 50 des Data Act erfasst vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Sie müssen so gestaltet sein, dass die einschlägigen Produkt- und Dienstdaten einschließlich notwendiger Metadaten für Nutzer leicht und sicher zugänglich sind – in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt.
Hersteller sollten deshalb konkret prüfen, welche Produkte, Daten und Dienste erfasst sind und welche Ausnahmen greifen. Insbesondere Artikel 7 enthält Erleichterungen für bestimmte kleine Unternehmen und weitere Konstellationen. Datenschutz, Geschäftsgeheimnisse und Produktsicherheit bleiben zu berücksichtigen. Die bloße Tatsache, dass eine Frist in wenigen Medien behandelt wird, ist kein Grund, eine gesetzliche Pflicht als unbestätigt einzustufen.
Was KMU jetzt konkret tun sollten
Erstens: Cloud-Verträge und Wechselprozesse erfassen. Prüfen Sie die Frist zur Einleitung des Wechsels, Übergangszeiten, Exportformate, Unterstützung und Datenabruf. Klären Sie getrennt davon, welche regulären Zahlungen oder Kosten einer vorzeitigen Vertragsbeendigung bestehen können. Dokumentieren Sie offene Punkte und besprechen Sie notwendige Anpassungen mit dem Anbieter.
Zweitens: Die eigene CRA-Rolle klären. Wer digitale Produkte unter eigenem Namen auf dem EU-Markt bereitstellt, sollte prüfen, ob Herstellerpflichten greifen. Benennen Sie Verantwortliche für die Bewertung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle und testen Sie den Meldeprozess einschließlich der kurzen Fristen.
Drittens: Wechselkosten transparent planen. Lassen Sie sich aktuelle Wechselentgelte erklären und berücksichtigen Sie den Wegfall dieser Entgelte ab dem 12. Januar 2027. Ein Wechsel kann dennoch interne Projektkosten, Aufwände beim neuen Anbieter und weitere vertragliche Kosten verursachen.
Viertens: Datenzugang in die Produktentwicklung integrieren. Für neu in Verkehr gebrachte vernetzte Produkte und verbundene Dienste sollten Zuständigkeiten, Datenformate, Zugriffsmöglichkeiten und Schutzmaßnahmen überprüft werden. Halten Sie die Prüfung des Anwendungsbereichs und möglicher Ausnahmen nachvollziehbar fest.
Fazit
Der Data Act gilt grundsätzlich seit September 2025, enthält aber gestaffelte Fristen. Beim Cloud-Wechsel sind die höchstens zweimonatige Ankündigungsfrist, die anschließende Übergangsphase und der Wegfall von Wechselentgelten ab dem 12. Januar 2027 getrennt zu betrachten. Parallel gelten seit dem 11. September 2026 die CRA-Meldepflichten. Die Access-by-Design-Pflicht für nach dem 12. September 2026 in Verkehr gebrachte Produkte und verbundene Dienste ist gesetzlich verankert. Wer Rollen, Verträge und Prozesse jetzt systematisch prüft, schafft eine belastbare Grundlage für die Umsetzung.
Quellen und weiterführende Informationen
Data Act: Verordnung (EU) 2023/2854, insbesondere Artikel 3, 7, 25, 29 und 50
EU-Kommission: Data Act erklärt
