Was folgt, ist meine persönliche Lesart dessen, was sich in der europäischen Software in den nächsten 18–24 Monaten ändert, mit Bezug auf die Essays, die ich zu jedem Thema geschrieben habe. Es ist keine Rechtsberatung — es ist die Sicht von jemandem, der Softwarearchitekturen entwirft, die in Produktion gehen und dort bleiben müssen.
Letzte Überarbeitung: 27. Mai 2026. Ich aktualisiere diese Seite, wenn eine neue Frist erscheint oder ich in einem Essay auf einen Punkt zurückkomme.
Die These in einem Satz
Europäische Compliance 2026–2027 wird nicht am Projektende „abgehakt”: Sie wird vom ersten Tag an in der Architektur entworfen, wie jede andere nicht-funktionale Anforderung.
Alles, was folgt, ist die Argumentation hinter diesem Satz.
Die sechs Verordnungen, in einem Atemzug
- CRA (Cyber Resilience Act) — Sicherheitspflichten für „Produkte mit digitalen Elementen”: SBOM, Schwachstellenmanagement, Vorfallmeldung, Support für einen erklärten Zeitraum.
- AI Act — gestaffelte Pflichten für KI-Systeme nach Risikoniveau: allgemeine Modelle, Hochrisikosysteme (HR, Kredit, Justiz), verbotene Systeme, GPAI (General Purpose AI).
- PLD (neue Produkthaftungsrichtlinie) — erweitert die verschuldensunabhängige Haftung auf Software: Der Hersteller haftet für Schäden durch Mängel unabhängig vom Verschulden.
- NIS2 — Cybersicherheit für wesentliche und wichtige Einrichtungen: Governance, Incident Reporting innerhalb von 24/72 Stunden, Pflichten zur digitalen Supply Chain.
- EAA (European Accessibility Act) — verpflichtende Barrierefreiheit für E-Commerce, E-Books, Online-Banking, Ticketing, Telefon- und Verkehrsdienste ab Juni 2025.
- DORA (Digital Operational Resilience Act) — operative Resilienz für den EU-Finanzsektor: ICT-Risikomanagement, Resilienztests, Aufsicht über kritische Drittanbieter. Seit Januar 2025 in Kraft; seine Wirkung über die Finanzbranche hinaus ist erheblich, weil er de facto Standards für operative Resilienz in der gesamten digitalen Lieferkette setzt.
Sechs Verordnungen, in unterschiedlichen Jahren von unterschiedlichen DGs in unterschiedlichen Stilen verfasst. Aber sie konvergieren in einer gemeinsamen operativen Idee: Software ist nicht mehr ein „geistiges Werk ohne technische Verantwortung” — sie ist ein industrielles Produkt mit Konformitätspflichten, die mit denen eines Kühlschranks vergleichbar sind.
Italienische Spezifität — ACN. Die italienische Agentur für Cybersicherheit (Agenzia per la Cybersicurezza Nazionale) hat eine Qualifizierungsmatrix (QC1–QC4) für Cloud-Dienste der öffentlichen Verwaltung veröffentlicht, die sich mit NIS2, CRA und DSGVO überlappt und engere operative Zwänge auferlegt. Wer an die italienische öffentliche Verwaltung verkauft, muss diese Variable als nicht-optional ansehen — gemeinsam mit dem EU-Paket zu lesen, nicht als Alternative.
Meine Essays, gruppiert nach Verordnung
CRA, Architektur, SBOM
AI Act, Governance, Deployer
Governance und das Handwerk der Software in einer Welt voller Zwänge
Wie ich diese Seite nutzen würde
Wenn du CTO oder Head of Engineering bist: Mein operativer Vorschlag ist, diese Fristen wie Release Engineering zu behandeln — explizites Ownership, Meilensteine in der Roadmap, RACI. Nicht Rechtsabteilung mit Code Review.
Wenn du Product Manager bist: Beginne mit dem EAA, wenn du ein Verbraucherprodukt hast, mit dem CRA, wenn du B2B verkaufst. Das sind die zwei mit den greifbarsten Produktimplikationen.
Wenn du eine deutsche Tech-KMU bist: Es ist nicht katastrophisch, aber Entscheidungen sind jetzt nötig auf drei Ebenen — Logging/Audit, SBOM, Vorfallsverfahren. Ich spreche darüber direkt in einigen oben gesammelten Essays.
Wenn du Berater/Advisor bist: Das Fenster, um Readiness-Assessments zu machen, ist jetzt, nicht wenn der erste exemplarische Prozess herauskommt.
Primärquellen (Pflichtlektüre)
- Cyber Resilience Act — Verordnung (EU) 2024/2847
- AI Act — Verordnung (EU) 2024/1689
- Product Liability Directive — Richtlinie (EU) 2024/2853
- NIS2 — Richtlinie (EU) 2022/2555
- European Accessibility Act — Richtlinie (EU) 2019/882
Lass uns zusammenarbeiten
Mein Engagement hier ist nicht, dir zu sagen „hier ist die Norm“. Es ist, dir zu helfen, sechs europäische Verordnungen in eine Reihe geordneter Architekturentscheidungen zu verwandeln, mit Roadmap und internem Ownership. Die Rechtsabteilung bleibt notwendig, ist aber nicht der richtige Ort, um zu beginnen.
Für wen das nützlich ist
CTOs und Heads of Engineering von Software-Vendoren und SaaS, die auf dem EU-Markt agieren
Product Manager, die verstehen müssen, was sich an ihrem Produkt ändert, bevor sie die nächsten vier Quartale planen
Gründer von Tech-KMU, die merken, dass die CRA-Frist zu nah ist, um ignoriert zu werden
Compliance Officers, die Anforderungen in Backlog übersetzen wollen, nicht in Policy-PDFs
Wie ich arbeite
- Readiness-Assessment (2–4 Wochen)
Ich nehme Produkt, Pipeline und Supply Chain und gleiche sie mit den anwendbaren Anforderungen aus CRA, AI Act, PLD, NIS2, EAA und DORA ab. Output: eine Gap-Karte mit Prioritäten, Aufwandsschätzung und Design-in-Empfehlungen.
- Compliance-Plan (3–6 Wochen)
Vom Assessment zur Roadmap. Wer macht was, mit welchen messbaren Meilensteinen, synchronisiert mit den EU-Fristen. Ein Dokument, das ein Vorstand genehmigen und ein Team ausführen kann.
- Zweite Meinung zu RFPs und Anbietern (1–2 Wochen)
Ich lese einen Anbietervertrag oder ein Kaufangebot und sage dir, ob die Verantwortungskette der neuen PLD und dem CRA standhält. Nützlich vor der Unterschrift.
Operative Fragen
- Bist du Anwalt?
Nein. Ich bin Systemarchitekt, der mit Rechtsteams arbeitet. Mein Output ist operativ: Flussdiagramme, RACI, Backlog. Den juristischen Rat gibt dein Anwalt.
- Arbeitest du auch zu einzelnen Verordnungen (z. B. nur AI Act)?
Ja, aber widerwillig. Die sechs Verordnungen interagieren auf subtile Weise (z. B. CRA und PLD, AI Act und NIS2, oder NIS2 und DORA). Nur eine zu betrachten verbirgt oft Kosten, die in der zweiten auftauchen.
- Wie lange dauert ein typisches Engagement?
Zwei bis sechs Wochen für ein Assessment oder eine Review, zwei bis drei Monate für einen vollständigen Compliance-Plan.
- Übernimmst du Delivery oder Zertifizierungs-Audits?
Nein zu beidem. Beratung ist gerade deshalb unabhängig, weil sie keinen Anreiz hat, dir Delivery-Arbeit zu verkaufen. Für die Zertifizierung verweise ich an akkreditierte Stellen.
Schreib mir an hello@margiovanni.it mit zwei Zeilen Kontext. Ich antworte innerhalb weniger Werktage mit einem konkreten Vorschlag oder einem höflichen Nein, wenn es nicht in meinen Bereich fällt.
Möchtest du benachrichtigt werden, wenn ich diese Seite aktualisiere?
Der RSS-Feed DE meldet jede Aktualisierung der Hauptessays. Für direktere Gespräche schreib mir: hello@margiovanni.it.
Questions & answers
Welche europäischen Verordnungen wirken sich 2026–2027 auf Software aus?
Sechs: Cyber Resilience Act (CRA), AI Act, Product Liability Directive (PLD), NIS2, European Accessibility Act (EAA), DORA (sektoral, Finanzwesen). Sie treten zu unterschiedlichen Zeitpunkten zwischen 2024 und 2027 in Kraft, erzeugen aber kumulative Effekte, die die Architektur europäischer Software neu zeichnen.
Ist Compliance ein juristisches oder ein Engineering-Problem?
Beides, aber der Engineering-Aspekt wird systematisch unterschätzt. Diese Verordnungen sind Systemzwänge — Liefertermine für Funktionen (Logs, Audit, SBOM, Barrierefreiheit) mit verbindlichem Datum. Sie als Bürokratie zu behandeln, die am Projektende zu erledigen ist, kostet das 5- bis 10-Fache des Design-in im Vorfeld.
Für wen gilt der Cyber Resilience Act?
Für jedes „Produkt mit digitalen Elementen“, das auf dem EU-Markt verkauft wird: kommerzielle Software, Firmware, vernetzte Geräte, SDK. Viele SaaS fallen in die Kategorie. Die erste Welle der Pflichten (Vorfallmeldung) startet im September 2026, das Hauptpaket im Dezember 2027.
Meine Software ist keine KI: betrifft mich der AI Act?
Potenziell ja. Der AI Act gilt auch für Anbieter von Systemen, die Drittanbieter-KI integrieren (OpenAI, Claude, Gemini APIs etc.), und für die Rolle des „Deployers“ — wer KI nutzt, um Entscheidungen über Personen zu treffen (HR, Kreditvergabe, Sozialleistungen). Die Fristen reichen von Februar 2025 bis August 2027.
Kann ich später anfangen, wenn es mehr Beispiele gibt?
Nein. Compliance-Design-in verlangt Architekturentscheidungen (Logging, Data Retention, SBOM, Barrierefreiheit), die sehr teuer nachzurüsten sind. Wer „abwartet, wie es die anderen machen“, zahlt doppelt.