STOP.LI · Werkzeuge · Regulierung
Fristen
kalender.
Die Termine aus DORA, NIS2 und BSIG, Cyber Resilience Act, AI Act, KRITIS-Dachgesetz, ISG, FINMA und Datenschutzrecht auf einer Zeitachse. Jede Frist ist mit der amtlichen Fundstelle belegt.
Keine passende Frist gefunden.
| Was gilt | Fundstelle | ||
|---|---|---|---|
| 1. September 2023 | revDSG · CH | Das revidierte Datenschutzgesetz ist in Kraft. Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko sind dem EDÖB so rasch als möglich zu melden. | Art. 24 DSG Fedlex · DSG ↗ |
| 1. Januar 2024 | FINMA · CH | FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» tritt in Kraft. Für die operationelle Resilienz gilt eine Übergangsfrist von zwei Jahren. | FINMA-RS 2023/1, Rz 113–114 FINMA-RS 2023/1 ↗ |
| 1. August 2024 | AI Act · EU | Die KI-Verordnung tritt in Kraft. Die Pflichten gelten gestaffelt. | Art. 113 VO 2024/1689 EUR-Lex · VO 2024/1689 ↗ |
| 18. Oktober 2024 | NIS2 · EU | Die Mitgliedstaaten wenden ihre NIS2-Umsetzungsvorschriften an. Deutschland hat die Frist verpasst und erst Ende 2025 umgesetzt. | Art. 41 RL 2022/2555 EUR-Lex · RL 2022/2555 ↗ |
| 10. Dezember 2024 | CRA · EU | Der Cyber Resilience Act tritt in Kraft. Die Pflichten gelten gestaffelt. | Art. 71 Abs. 1 VO 2024/2847 EUR-Lex · VO 2024/2847 ↗ |
| 17. Januar 2025 | DORA · EU | DORA gilt für die in Art. 2 genannten Finanzunternehmen, einschliesslich der Meldepflicht für schwerwiegende IKT-bezogene Vorfälle. | Art. 64 VO 2022/2554 EUR-Lex · VO 2022/2554 ↗ |
| 2. Februar 2025 | AI Act · EU | Die Verbote (Kapitel II) und die allgemeinen Bestimmungen einschliesslich KI-Kompetenz (Kapitel I) gelten. | Art. 113 Bst. a VO 2024/1689 EUR-Lex · VO 2024/1689 ↗ |
| 1. April 2025 | ISG · CH | Betreiberinnen kritischer Infrastrukturen müssen Cyberangriffe innerhalb von 24 Stunden nach Entdeckung dem BACS melden. | ISG / CSV BACS · Meldepflicht ↗ |
| 2. August 2025 | AI Act · EU | Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, die Governance-Bestimmungen und die Sanktionen gelten; ausgenommen sind die Geldbussen für Anbieter solcher Modelle nach Art. 101. | Art. 113 Bst. b VO 2024/1689 EUR-Lex · VO 2024/1689 ↗ |
| 1. Oktober 2025 | ISG · CH | Verletzungen der Meldepflicht können mit Bussen bis CHF 100 000 geahndet werden. | ISG / CSV BACS · Meldepflicht ↗ |
| 6. Dezember 2025 | NIS2 / BSIG · DE | Das neue BSIG (NIS2UmsuCG) ist in Kraft. Es gilt für besonders wichtige und wichtige Einrichtungen, einschliesslich der Pflichten der Geschäftsleitung nach § 38 BSIG. | BSIG vom 2. Dezember 2025, BGBl. 2025 I Nr. 301 BSIG ↗ |
| 1. Januar 2026 | FINMA · CH | Ende der zweijährigen Übergangsfrist: Die operationelle Resilienz nach FINMA-RS 2023/1 muss sichergestellt sein. | FINMA-RS 2023/1, Rz 113–114 FINMA-RS 2023/1 ↗ |
| 6. März 2026 | NIS2 / BSIG · DE | Spätester Termin für die Registrierung beim BSI für Einrichtungen, die seit Inkrafttreten des BSIG als besonders wichtig oder wichtig gelten (drei Monate). Für später erfasste Einrichtungen läuft die Frist ab diesem Zeitpunkt. | § 33 Abs. 1 BSIG (abgeleitet) § 33 BSIG ↗ |
| 11. März 2026 | KRITIS-DachG · DE | Das KRITIS-Dachgesetz zur physischen Resilienz wird ausgefertigt. Betreiber kritischer Anlagen registrieren sich spätestens drei Monate nach Einstufung. Die Meldepflicht innerhalb von 24 Stunden gilt erstmals zehn Monate nach der Registrierung. | KRITIS-DachG vom 11. März 2026, BGBl. 2026 I Nr. 66, § 8 Abs. 1 und 7, § 18 KRITIS-DachG ↗ |
| 11. Juni 2026 | CRA · EU | Die Bestimmungen zur Notifizierung von Konformitätsbewertungsstellen (Kapitel IV) gelten. | Art. 71 Abs. 2 VO 2024/2847 EUR-Lex · VO 2024/2847 ↗ |
| 27. Juli 2026 | AI Act · EU | Die Digital-Omnibus-Verordnung zur KI tritt in Kraft und verschiebt die Hochrisiko-Fristen. | Art. 4 VO 2026/1744 EUR-Lex · VO 2026/1744 ↗ |
| 2. August 2026 | AI Act · EU | Allgemeiner Geltungsbeginn der KI-Verordnung, darunter die Transparenzpflichten nach Art. 50. Die Hochrisiko-Pflichten sind verschoben. | Art. 113 VO 2024/1689 i. d. F. VO 2026/1744 EUR-Lex · VO 2026/1744 ↗ |
| 11. September 2026 | CRA · EU | Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ihrer Produkte melden. | Art. 14, Art. 71 Abs. 2 VO 2024/2847 EUR-Lex · VO 2024/2847 ↗ |
| 2. Dezember 2026 | AI Act · EU | Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 erfüllen. Die neuen Verbote in Art. 5 Abs. 1 Bst. ba und bb gelten. | Art. 111 Abs. 4 VO 2024/1689 i. d. F. VO 2026/1744; Art. 113 Abs. 3 Bst. a EUR-Lex · VO 2026/1744 ↗ |
| 2. Dezember 2027 | AI Act · EU | Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III (Art. 6 Abs. 2) gelten. | Art. 113 Bst. c VO 2024/1689 i. d. F. VO 2026/1744 EUR-Lex · VO 2026/1744 ↗ |
| 11. Dezember 2027 | CRA · EU | Der Cyber Resilience Act gilt vollständig, einschliesslich der grundlegenden Cybersicherheitsanforderungen und der Konformitätsbewertung. | Art. 71 Abs. 2 VO 2024/2847 EUR-Lex · VO 2024/2847 ↗ |
| 2. August 2028 | AI Act · EU | Die Pflichten für Hochrisiko-KI-Systeme in Produkten nach Anhang I (Art. 6 Abs. 1) gelten. | Art. 113 Bst. c VO 2024/1689 i. d. F. VO 2026/1744 EUR-Lex · VO 2026/1744 ↗ |
Meldefristen
im Vergleich.
Mehrere Regelwerke können für denselben Vorfall gleichzeitig gelten. Gleiche Stundenzahlen bedeuten nicht gleiche Startpunkte: DORA zählt die Erstmeldung ab der Einstufung als schwerwiegend, NIS2 und BSIG ab Kenntnis, das ISG und die FINMA ab Entdeckung. Ein gemeinsamer Meldeprozess muss deshalb jeden Auslöser und Zeitpunkt getrennt protokollieren.
| Regelwerk · Auslöser | Erste Meldung | Folgemeldung | Abschluss · Fundstelle |
|---|---|---|---|
| DORA · EU Schwerwiegender IKT-bezogener Vorfall |
4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis | Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung | Abschlussmeldung spätestens 1 Monat nach der (letzten) Zwischenmeldung Art. 5 VO 2025/301 · EUR-Lex · VO 2025/301 ↗ |
| NIS2 · EU Erheblicher Sicherheitsvorfall |
Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme | Meldung innerhalb von 72 Stunden | Abschlussbericht spätestens 1 Monat nach der Meldung Art. 23 Abs. 4 RL 2022/2555 · EUR-Lex · RL 2022/2555 ↗ |
| BSIG · DE Erheblicher Sicherheitsvorfall |
Frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung | Meldung spätestens 72 Stunden nach Kenntniserlangung | Abschlussmeldung spätestens 1 Monat nach der Meldung § 32 BSIG · § 32 BSIG ↗ |
| CRA · EU Aktiv ausgenutzte Schwachstelle / schwerwiegender Sicherheitsvorfall |
Frühwarnung innerhalb von 24 Stunden | Meldung innerhalb von 72 Stunden | Schwachstelle: 14 Tage nach Verfügbarkeit einer Korrekturmassnahme · Vorfall: 1 Monat nach der Meldung Art. 14 VO 2024/2847 · EUR-Lex · VO 2024/2847 ↗ |
| KRITIS-DachG · DE Vorfall bei kritischer Anlage (physische Resilienz) |
Erstmeldung spätestens 24 Stunden nach Kenntnis | Aktualisierung der Erstmeldung bei andauerndem Vorfall | ausführlicher Bericht spätestens einen Monat nach Kenntnis § 18 KRITIS-DachG · KRITIS-DachG ↗ |
| DSGVO · EU Verletzung des Schutzes personenbezogener Daten |
möglichst binnen 72 Stunden nach Bekanntwerden | — | — Art. 33 DSGVO · EUR-Lex · DSGVO ↗ |
| ISG · CH Cyberangriff auf kritische Infrastruktur |
innerhalb von 24 Stunden nach Entdeckung an das BACS | Vervollständigung innerhalb von 14 Tagen | — ISG / CSV · BACS · Meldepflicht ↗ |
| FINMA · CH Wesentlicher Cyberangriff auf kritische Funktionen |
Erstmeldung innerhalb von 24 Stunden nach Entdeckung, mit Erstbeurteilung der Kritikalität | Meldung innerhalb von 72 Stunden über die Erhebungsplattform; Fristen an Bankarbeitstagen, bei Schweregrad «schwerwiegend» 24 Stunden auch ausserhalb | abschliessender Ursachenbericht Art. 29 Abs. 2 FINMAG, FINMA-AM 05/2020 und 03/2024 · FINMA-AM 03/2024 ↗ |
| revDSG · CH Verletzung der Datensicherheit mit voraussichtlich hohem Risiko |
so rasch als möglich an den EDÖB | — | — Art. 24 DSG · Fedlex · DSG ↗ |
Einordnung. Der Kalender zeigt Geltungstermine und Fristen, nicht die Betroffenheit einer konkreten Organisation. Ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab (z. B. DORA Art. 2, BSIG §§ 28 ff., CRA Art. 2, ISG für kritische Infrastrukturen). Er ersetzt keine Rechtsberatung. Vertiefung: Reifegrad DORA · NIS2 · CRA, CRA für KMU, AI Governance Framework.