Fristenkalender - Bund/RLP
Fristenkalender
Digital-Omnibus & Umwelt-Omnibus
Chronologische Übersicht relevanter Fristen und Änderungen aus Digital-Omnibus (COM(2025) 837), Umwelt-Omnibus (COM(2025) 981–986) und der KI-Verordnung für Bund und Rheinland-Pfalz. Themen, Informationen zur EU-Strategie und Fristen siehe unter
Die Kalenderübersicht wurde ausschließlich mit KI (Anthropic) erzeugt
Fristenkalender — Digital-Omnibus & Umwelt-Omnibus
Chronologische Übersicht relevanter Fristen und Änderungen aus dem Digital-Omnibus-Paket, dem Umwelt-Omnibus-Paket sowie der EU-KI-Verordnung, mit Einordnung für Bund und Rheinland-Pfalz.
2025
Verbotene KI-Praktiken (Art. 5 AI Act)
Verbot bestimmter KI-Anwendungen — unverändert durch den Digital-Omnibus. Gilt unmittelbar für alle öffentlichen Stellen in Bund und RLP: keine biometrische Echtzeit-Überwachung, kein Social Scoring, kein Einsatz manipulativer Techniken.
KI-Kompetenzpflicht abgeschwächt (Art. 4 AI Act)
Die ursprüngliche Pflicht zur Sicherstellung von KI-Kompetenzen bei Mitarbeitenden (Art. 4) wurde durch den seit 27.07.2026 in Kraft befindlichen Digital Omnibus von einer verbindlichen Pflicht zu einer Empfehlung herabgestuft. Für Behörden in RLP entfällt damit eine unmittelbare rechtliche Verpflichtung, bleibt aber als Best Practice empfohlen.
GPAI-Pflichten in Kraft (KI-VO)
Transparenz- und Dokumentationspflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) sind in Kraft. Governance-Struktur und Sanktionsrahmen der KI-Verordnung gelten seither. Für RLP und Bund relevant bei Beschaffung oder Eigenentwicklung von GPAI-basierten Systemen.
Cookie-Consent-Banner-Standard (DSGVO / ePrivacy)
Verpflichtende Nutzung standardisierter Schnittstellen für „Reject All"-Buttons. Betrifft alle öffentlichen Webangebote des Bundes und der Länder, einschließlich RLP-Landesportale.
Gatekeeper-Pflichten Cookie-Einwilligung (DMA-Kopplung)
Verschärfte Cookie-Einwilligungsregeln für große Plattformen. Für Bund und RLP relevant bei Nutzung von Diensten großer Plattformanbieter für Bürgerportale.
ePrivacy & KI-Verordnung: Opt-out für Crawler
Verknüpfung der Cookie-Einwilligung mit dem Training von KI-Modellen. Webseitenbetreiber können einen Opt-out für Webcrawler einrichten. Relevant bei eigenen Portalen und bei Beschaffung von KI-Trainingsdiensten.
Cloud-Switching Bestandsschutz (Data Act)
Verträge vor diesem Stichtag erhalten Bestandsschutz bei Cloud-Switching-Pflichten. Relevant bei bestehenden Cloud-Verträgen (z. B. Dataport, govdigital, Microsoft-Rahmenverträge).
CRA: administrative Vorbereitungen in Kraft
Erste administrative Pflichten des Cyber Resilience Act — delegierte Rechtsakte zur technischen Dokumentation, Vorbereitungsmaßnahmen für Hersteller. Meldepflichten für aktiv ausgenutzte Schwachstellen gelten erst ab 11.09.2026. Beschaffungsrichtlinien sollten CRA-konforme Herstellerdokumentation bereits jetzt fordern.
Umwelt-Omnibus veröffentlicht
COM(2025) 981–986: INSPIRE-Vereinfachung, UVP-Beschleunigung, Industrieemissionen, EPR-Anpassungen, GreenData4All. Rat hat am 24.06.2026 Verhandlungsmandat zu 4 von 6 Dossiers beschlossen — Triloge mit EP/KOM stehen noch aus.
2026
CER-Resilienzstrategien aktiv umgesetzt
Nationale Resilienzstrategien für den physischen Schutz kritischer Einheiten (CER-Richtlinie) müssen seit Anfang 2026 aktiv umgesetzt sein. Für RLP relevant bei Wasserversorgung (KRITIS) und Behördeninfrastrukturen.
Digital Omnibus on AI final verabschiedet — VO (EU) 2026/1744
Kommissionsvorschlag 19.11.2025 → Trilog-Einigung 07.05.2026 → EP-Plenum 1. Lesung 16.06.2026 (423:57:174) → Rat-Annahme 29.06.2026 → Amtsblatt 24.07.2026 → in Kraft 27.07.2026. Ändert über 40 Artikel der KI-VO 2024/1689.
Digital-Omnibus (DSGVO/ePrivacy/Data Act-Teil): weiterhin im Trilog
Unabhängig vom bereits abgeschlossenen KI-Teil: Präzisierung des Personenbezugs (Art. 4 DSGVO), neue Meldefrist 96h für Datenpannen, Single-Entry-Point ENISA, Rechtsgrundlage für KI-Training (Art. 88c DSGVO), Ein-Klick-Cookie-Einwilligung. EDPB/EDPS Joint Opinion 1-2/2026 äußert erhebliche Kritik. Für Bund und RLP sind bei Einigung Anpassungen bei Datenschutzkonzepten und IT-Verfahren erforderlich.
Start PIMS-Dienste (Personal Information Management)
Offizieller Start zertifizierter Einwilligungsverwaltungssysteme (PIMS) zur Reduzierung von Cookie-Banner-Müdigkeit. Relevant bei Gestaltung von Bürgerportalen und OZG-Leistungen. Termin hängt vom separaten DSGVO/ePrivacy-Dossier ab und hat sich entsprechend verschoben.
KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG)
Bundestag 11.06.2026, Bundesrat-Zustimmung 10.07.2026, in Kraft 30.07.2026. Die Bundesnetzagentur (BNetzA/KoKIVO) wird zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für Deutschland. Für RLP: FM RLP ist zuständige Behörde nach Art. 59 KI-VO.
Transparenzpflichten AI Act (Art. 50 Abs. 1, 3, 4)
KI-VO seit diesem Datum allgemein anwendbar. Anbieter von Chatbots, Deepfake-Systemen und KI-generierten Texten zu öffentlichem Interesse müssen kennzeichnen/informieren. Vom Digital Omnibus unverändert gelassen. Bußgelder bis 15 Mio. € / 3 % Jahresumsatz.
NIS-2 Evaluierungsphase
Erste Evaluierungsphase der EU-Kommission zur Wirksamkeit der NIS-2-Richtlinie. Für Bund (BSI) relevant: Erkenntnisse aus laufenden Vor-Ort-Kontrollen bei „Wichtigen Einrichtungen" fließen in die Revision ein.
UVP-Beschleunigung: elektronische Einreichung möglich
Projektträger können Informationen elektronisch einreichen; Online-Zugang zu Informationen über zentrale Anlaufstellen muss gewährt werden. Für RLP relevant bei Genehmigungsverfahren für Pilotinfrastrukturen.
Wegfall DSB-Bestellungspflicht im nicht-öffentlichen Bereich
Geplante Anhebung der Schwellenwerte für Datenschutzbeauftragte (§ 38 BDSG an Art. 37 DSGVO angepasst). Für den öffentlichen Sektor (Bund, RLP) bleibt die DSB-Pflicht unverändert bestehen.
CRA: notifizierende Behörden und Konformitätsbewertungsstellen
Mitgliedstaaten müssen notifizierende Behörden eingerichtet und Verfahren veröffentlicht haben (Art. 35 CRA). Bis 11.12.2026 sollen ausreichend notifizierte Stellen verfügbar sein.
CRA: Meldepflichten für aktiv ausgenutzte Schwachstellen greifen
Hersteller müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an ENISA melden (Early Warning), vollständiger Bericht innerhalb von 72 Stunden. Betrifft alle Produkte mit digitalen Elementen auf dem EU-Markt.
„Access by Design" & Unfairness-Test Datenverträge
Neue Produkte müssen so konstruiert sein, dass Daten standardmäßig direkt zugänglich sind. Der Unfairness-Test für Datenzugangsverträge gilt nun auch für Bestandsverträge (KMU-Schutz).
KI-Kennzeichnung / Wasserzeichen (Art. 50 Abs. 2 AI Act)
Übergangsfrist bis 2.12.2026 für maschinenlesbare Kennzeichnung synthetischer Inhalte bei Systemen, die vor dem 2.8.2026 in Verkehr gebracht wurden (z. B. SynthID-Text, C2PA). Neue Systeme: Pflicht ab Inverkehrbringen. Kompromiss zwischen EP-Forderung (2.11.) und Kommissionsvorschlag (Feb. 2027).
ePrivacy-Verordnung: Verabschiedung & Übergangsfrist
Voraussichtliche Verabschiedung der ePrivacy-Verordnung; Beginn der 24-monatigen Übergangsfrist. Ersetzt die ePrivacy-Richtlinie vollständig.
2027
Grace Period: KI-Kennzeichnung für Altsysteme
Für vor dem 2. August 2026 in Verkehr gebrachte KI-Systeme wird eine Grace Period eingeführt. Betroffene Systeme müssen erst ab diesem Datum die Kennzeichnungspflichten für KI-generierte Inhalte vollständig erfüllen.
Neue Rechtsgrundlagen KI-Training sensibler Daten (Art. 9 DSGVO)
Neue Rechtsgrundlagen für die Nutzung sensibler Daten zur Korrektur von Bias in KI-Modellen. Relevant bei KI-Entwicklung mit Gesundheits-, Sozial- oder demografischen Daten.
UVP: zentrale digitale Zugänglichkeit Umweltberichte
Berichte und Daten aus Umweltprüfungen müssen über ein zentrales Portal digital zugänglich sein. Für RLP (SGD Nord/Süd, LUWG): Anpassung der Verfahrensdokumentation und digitalen Archivierung.
Hochrisiko-KI: Anhang III (anwendungsbezogen)
Pflichten für eigenständige Hochrisiko-KI-Systeme (z. B. Bildung, Personalwesen, Strafverfolgung): Daten-Governance, Dokumentation, Transparenz, Robustheit, Cybersicherheit. Durch VO (EU) 2026/1744 verbindlich um 16 Monate auf 2.12.2027 verschoben.
Vollständiges Verbot Cloud-Switching-Gebühren
Wechselgebühren (Switching Charges) für Cloud-Dienste werden vollständig verboten. Öffentliche IT-Beschaffung kann ohne Wechselkosten migrieren — stärkt digitale Souveränität und ermöglicht Wechsel zu europäischen Cloud-Diensten (Gaia-X, DIPP).
Zentralisierung Datenschutzaufsicht grenzüberschreitende KI
Abschluss der Reform zur Zusammenführung der Datenschutzaufsicht bei grenzüberschreitenden KI-Verfahren. Für RLP: Aufgaben des LfDI bei grenzüberschreitenden KI-Systemen werden teilweise an zentrale EU-Strukturen abgegeben; nationale Aufsicht bei rein nationalen Verfahren bleibt erhalten.
CRA: vollständige Geltung aller Cybersicherheitsanforderungen
Alle Produkte mit digitalen Elementen, die neu auf den EU-Markt gebracht werden, müssen sämtliche CRA-Anforderungen erfüllen: Risikobewertung, essenzielle Sicherheitsanforderungen (Annex I), CE-Kennzeichnung, technische Dokumentation, Schwachstellenmanagement. Bestandsprodukte unterliegen weiterhin den seit 11.09.2026 geltenden Meldepflichten, jedoch nicht den vollständigen Konformitätspflichten.
Übergangsfrist GPAI-Modelle endet
Ende der Übergangsfrist für GPAI-Modelle, die vor dem 2. August 2025 in Betrieb genommen wurden — diese müssen nun vollständig den GPAI-Anforderungen der KI-Verordnung entsprechen. Keine Änderung durch Omnibus.
Frist nationale KI-Reallabore (Art. 57 AI Act)
Frist der Mitgliedstaaten zur Einrichtung mind. eines KI-Reallabors durch den Digital Omnibus um 12 Monate verlängert. Direkt relevant für das KI-Reallabor RLP (FM RLP als zuständige Behörde nach Art. 59 KI-VO).
UVP: vollständige Digitalisierung der Verfahren
Alle Verfahren für Umweltprüfungen müssen vollständig digitalisiert sein, inklusive GIS-Integration und Once-Only-Prinzip. Für RLP: vollständige Digitalisierung aller SGD-Genehmigungsverfahren; interoperable Anbindung an INSPIRE-Geodateninfrastruktur erforderlich.
2028
Hochrisiko-KI: Anhang I (Sicherheitsbauteile)
Pflichten für KI als Sicherheitskomponente in regulierten Produkten (z. B. Medizingeräte, Maschinen, Kfz). Durch VO (EU) 2026/1744 um 12 Monate auf 2.8.2028 verschoben. Relevant für RLP bei medizintechnischen Beschaffungen und Fahrzeugflotten.
Go-Live EU AI Office Reallabor
Europäisches KI-Reallabor des AI Office soll 2028 in Betrieb gehen. Koordination mit nationalen KI-Reallaboren durch das AI Office wird verbessert.
2039 / 2045
Neue Schadstoffe müssen neue Qualitätsnormen erfüllen
PFAS, Pestizide, Arzneimittel müssen bis 2039 neue Qualitätsnormen erfüllen; Verlängerung bis 2045 unter strengen Bedingungen möglich. Einigung Sept. 2025 — unverändert.
2029
Erste umfassende Überprüfung KI-Verordnung (KI-Amt)
Erste umfassende Überprüfung der Wirksamkeit der KI-Verordnung durch das EU-KI-Amt (AI Office). Berichtspflichten für Mitgliedstaaten und Marktüberwachungsbehörden. Für Bund und RLP: Beiträge zu nationalen Erfahrungsberichten — auch aus Reallabor-Erkenntnissen.