Digitale Compliance in Luxemburg: Was sich zwischen 2026 und 2028 ändert

Zeitplan für digitale Compliance 2026–2028 in Luxemburg

Fünf Regelwerke sind bereits anwendbar: DORA seit Januar 2025, der Data Act seit September 2025, NIS 2 seit Mai 2026, die Transparenzpflichten der KI-Verordnung seit August 2026 und die Meldung von Schwachstellen nach dem Cyber Resilience Act seit September 2026. Sechs Fristen stehen zwischen Dezember 2026 und August 2028 noch bevor. Viele luxemburgische Unternehmen müssen bei den ersten drei weiterhin Maßnahmen umsetzen.

Mit fünf Fragen die für Sie geltenden Regelwerke ermitteln

NIS 2 in Luxemburg: das Gesetz vom 5. Mai 2026

Die Richtlinie (EU) 2022/2555 wurde durch das Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus umgesetzt, veröffentlicht im Mémorial A Nr. 225 und am 10. Mai 2026 in Kraft getreten. Es hebt das NIS-1-Gesetz vom 28. Mai 2019 auf und eröffnete eine zweimonatige Frist zur Selbstregistrierung, die am 10. Juli 2026 endete.

Wer fällt in Luxemburg unter NIS 2?

NIS 2 erfasst mittlere und große Einrichtungen, die in den Sektoren der Anhänge I und II des Gesetzes tätig sind, sowie einige wenige digitale Tätigkeiten ohne Größenbedingung. Beteiligungsgesellschaften, Vermögensstrukturen und die meisten freiberuflichen Dienstleistungen sind dort nicht aufgeführt.

Die NIS-2-Schwellenwerte werden auf Gruppenebene geprüft

Die Schwellenwerte für Beschäftigtenzahl, Umsatz und Bilanzsumme werden nicht anhand des isolierten Einzelabschlusses der Einrichtung beurteilt. Nach der europäischen KMU-Definition fließen sämtliche verbundenen Unternehmen, an denen mehr als 50 % kontrolliert werden, vollständig ein; Partnerunternehmen mit Beteiligungen zwischen 25 % und 50 % werden anteilig berücksichtigt.

Eine luxemburgische Tochtergesellschaft mit zwanzig Beschäftigten kann die Schwellenwerte somit überschreiten, wenn die Daten ihrer verbundenen Unternehmen in die Berechnung einfließen und ihre Tätigkeit einem erfassten Sektor zuzuordnen ist. Das Ergebnis hängt vom Sektor, der Gruppenstruktur und den geltenden Zusammenrechnungsregeln ab, niemals allein von der örtlichen Beschäftigtenzahl.

Unabhängig von der Größe erfasste Tätigkeiten

Drei Kategorien unterliegen den Vorschriften unabhängig von ihrer Größe: Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter im Sinne der eIDAS-Verordnung sowie Register für Domänennamen oberster Stufe und DNS-Diensteanbieter.

Finanzunternehmen sind vom Anwendungsbereich von NIS 2 ausgenommen

Artikel 1(5) des NIS-2-Gesetzes nimmt Einrichtungen, die unter die DORA-Verordnung fallen, gemäß Artikel 2(4) dieser Verordnung aus. Wo DORA gilt, tritt sie für dieselben Sachverhalte an die Stelle von NIS 2; die Aufsicht geht auf die zuständige Finanzaufsichtsbehörde über. Der Themenbereich 02 erläutert dieses Zusammenspiel.

NIS 2 in Luxemburg: neue Pflichten seit dem 10. Mai 2026

Die luxemburgische Umsetzung verteilt die Aufgaben auf vier Institutionen. Das ILR ist die federführende zuständige Behörde und die zentrale Anlaufstelle: Es betreibt das Selbstregistrierungsportal, nimmt Vorfallmeldungen entgegen, führt Kontrollen durch und verhängt Verwaltungssanktionen. Die CSSF behält die Aufsicht über den Finanzsektor nach DORA. Das HCPN übernimmt die nationale strategische Koordination und die Vertretung gegenüber der Europäischen Kommission und der ENISA. Bei der Vorfallbearbeitung ist CIRCL das CSIRT für den Privatsektor und die Gemeinden, GOVCERT.LU für den öffentlichen Sektor.

Inhaltlich besteht die neue Pflicht weniger in zusätzlichen technischen Kontrollen als in einer fortlaufenden Nachweispflicht. Das Unternehmen muss belegen können, dass seine Risiken, Lieferanten, Vorfälle und Maßnahmen vom Leitungsorgan gesteuert und überwacht werden, einschließlich der entsprechenden Sitzungsprotokolle.

NIS-2-Dokumente und -Fristen in Luxemburg

Registrierung beim ILR

Die Selbstregistrierung war spätestens am 10. Juli 2026 fällig; das Portal war seit April 2026 geöffnet. Das Verfahren erfolgt durch Erklärung, wobei die Einrichtung für ihre eigene Einordnung verantwortlich ist. Eine erfasste Einrichtung, die sich nicht registriert hat, muss dies unverzüglich nachholen: Die fehlende Registrierung kann bei Kontrollen und Datenabgleichen der Behörde festgestellt werden.

Vorfallmeldung: 24 Stunden, 72 Stunden, ein Monat

In der Praxis setzt dieser Zeitplan ein Verfahren voraus, mit dem sich ein Vorfall einordnen und die Geschäftsleitung, die IT, der Datenschutzbeauftragte, die Rechtsabteilung und das ILR alarmieren lassen, ohne bis zur Rückkehr der Teams am nächsten Morgen zu warten.

Risikomanagementmaßnahmen

• Erfassung der Vermögenswerte, Netze, Anwendungen, Daten und kritischen Dienste
• Analyse von Risiken und Abhängigkeiten, vom Leitungsorgan genehmigte Sicherheitsrichtlinie
• Geschäftskontinuität, Datensicherungen und dokumentierte Wiederherstellungstests
• Sicherheit der Lieferkette und verbindliche Vertragsklauseln für IKT-Dienstleister
• Schwachstellenmanagement, Patch-Management, sichere Entwicklung
• Mehrfaktor-Authentifizierung, Zugriffskontrolle, privilegierte Konten, Verschlüsselung
• Wiederkehrende und nachweisbare Cybersicherheitsschulungen für Beschäftigte und Führungskräfte

NIS-2-Kontrollen und -Sanktionen in Luxemburg

Wesentliche Einrichtungen unterliegen einer Aufsicht ex ante und ex post. Wichtige Einrichtungen unterliegen überwiegend einer Aufsicht ex post, die durch einen Vorfall, eine Beschwerde oder eine Meldung ausgelöst wird. Zeitplan und praktische Durchführung der Kontrollen sind anhand der neuesten Mitteilungen des ILR zu prüfen.

Hinzu kommen sofort wirksame Abhilfemaßnahmen, insbesondere Anordnungen und die vorübergehende Aussetzung einer Zertifizierung oder einer Tätigkeit, sowie unmittelbare Pflichten der Mitglieder des Leitungsorgans unter den gesetzlich vorgesehenen Bedingungen.

DORA in Luxemburg: das Sonderregelwerk, das NIS 2 ausschließt

Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor ist seit dem 17. Januar 2025 anwendbar. Sie ist eine lex specialis: Für die von ihr erfassten Einrichtungen ersetzt sie NIS 2. In Luxemburg teilen sich zwei Behörden ihre Beaufsichtigung, die CSSF und das Commissariat aux Assurances.

Wer fällt unter DORA statt unter NIS 2?

• Kreditinstitute, PSF, Zahlungs- und E-Geld-Institute
• Wertpapierfirmen, Verwaltungsgesellschaften (ManCo) und Verwalter alternativer Investmentfonds (AIFM)
• Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, bestimmte Pensionsfonds
• Zentralverwahrer, zentrale Gegenparteien, Handelsplätze
• Nach MiCA zugelassene Anbieter von Kryptowerte-Dienstleistungen, Ratingagenturen
• Als kritisch eingestufte IKT-Drittdienstleister unter direkter Überwachung

CSSF oder Commissariat aux Assurances: Welche Aufsichtsbehörde ist zuständig?

Die CSSF und das Commissariat aux Assurances wurden in Luxemburg als zuständige DORA-Behörden benannt, jeweils für die von ihnen beaufsichtigten Einrichtungen. Die CSSF erfasst Banken, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Fondsverwalter und Anbieter von Kryptowerte-Dienstleistungen. Das CAA erfasst Versicherungs- und Rückversicherungsunternehmen, deren Vermittler und bestimmte Pensionsfonds.

Auch die Übermittlungskanäle unterscheiden sich. Von der CSSF beaufsichtigte Einrichtungen reichen über das Portal eDesk ein. Einrichtungen unter CAA-Aufsicht verwenden SOFiE oder E-File mit eigenen Meldearten für das Informationsregister und die Vorfallmeldung.

DORA in Luxemburg: das Informationsregister und seine Einreichungsfristen

Von der CSSF beaufsichtigte Einrichtungen mussten ihr Informationsregister 2026 zwischen dem 11. Februar und dem 31. März 2026 anhand der zum 31. Dezember 2025 geltenden Verträge übermitteln. Das Register umfasst sämtliche vertraglichen Vereinbarungen über IKT-Dienstleistungen einschließlich der Unterauftragnehmerketten. Einrichtungen unter CAA-Aufsicht unterliegen eigenen Fristen und Übermittlungskanälen, die bei dieser Behörde zu prüfen sind.

In Luxemburg zu erstellende DORA-Dokumente

• Vollständiges Verzeichnis der IKT-Verträge und Ermittlung kritischer oder wichtiger Funktionen
• Informationsregister, das nach dem jeweiligen Zeitplan an die zuständige Behörde übermittelt wird
• Verbindliche Vertragsklauseln: Prüfung, Zugang, Meldung, Unterauftragsvergabe, Kündigung
• Testbare Ausstiegspläne für jeden kritischen Dienstleister und Analyse der Cloud-Konzentration
• Vom Leitungsorgan genehmigter Rahmen für das IKT-Risikomanagement
• Resilienztests, Ausfallszenarien, Verfahren zur Vorfallmeldung

KI-Verordnung: Was die Omnibus-Verordnung vom 27. Juli 2026 ändert

Die Verordnung (EU) 2026/1744, der sogenannte Digitale Omnibus zur KI, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft, sechs Tage vor der von ihr geänderten Frist. Sie verschiebt die Pflichten für Hochrisiko-Systeme, ohne die Architektur der KI-Verordnung zu verändern.

Wer fällt unter die KI-Verordnung?

Jedes Unternehmen, das ein KI-System anbietet, betreibt, einführt oder vertreibt, entsprechend seiner Rolle und der Risikostufe des Systems. Bereits die Einordnung als Betreiber löst Pflichten aus.

Der Einsatz eines KI-Systems zur Bewertung, Auswahl oder Einstufung von Bewerbern kann den Arbeitgeber zum Betreiber machen und je nach bestimmungsgemäßer Verwendung des Systems die Pflichten für Hochrisiko-Systeme auslösen. Die beiläufige Nutzung eines generativen Assistenten führt nicht automatisch zu derselben Einordnung.

KI-Verordnung 2026: die ab 2. August 2026 geltenden Pflichten

• Transparenzpflichten nach Artikel 50 für Systeme, die mit natürlichen Personen interagieren
• Wirksamwerden der Kontrollbefugnisse der Kommission gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck
• Sanktionsregelungen und Governance-Bestimmungen

Zwei Pflichten galten bereits und gelten weiterhin: das seit Februar 2025 bestehende Verbot bestimmter KI-Praktiken sowie die Pflicht, innerhalb der Organisation ein ausreichendes Maß an KI-Kompetenz sicherzustellen.

Die Kennzeichnung generierter Inhalte wird auf den 2. Dezember 2026 verschoben

Die Kennzeichnung nach Artikel 50(2) gilt ab dem 2. Dezember 2026 für Systeme, die am 2. August 2026 bereits auf dem Markt waren. Ab diesem Datum in Verkehr gebrachte Systeme erfüllen die Vorgaben sofort. Am selben Tag tritt ein in Artikel 5 ergänztes Verbot in Kraft: Es betrifft Systeme, die nicht einvernehmliche intime Inhalte und Darstellungen sexuellen Kindesmissbrauchs erzeugen oder manipulieren.

KI-Verordnung 2027–2028: die Fristen für Hochrisiko-Systeme

Diese Verschiebung befreit von keiner bereits geltenden Pflicht. Sie gewährt zusätzliche Zeit für die aufwendige Dokumentation von Hochrisiko-Systemen, jedoch nicht für Bestandsaufnahme, Transparenz oder KI-Kompetenz.

Im Jahr 2026 vorzubereitende Dokumente zur KI-Verordnung

• Verzeichnis sämtlicher verwendeter KI-Werkzeuge, einschließlich kostenloser und ohne Freigabe eingeführter Anwendungen
• Einordnung der Unternehmensrolle: Anbieter, Betreiber, Einführer, Händler
• Richtlinie, die das Eingeben vertraulicher Daten in nicht genehmigte KI-Anwendungen verbietet
• Ermittlung von Entscheidungen mit Auswirkungen auf Beschäftigte oder Kunden
• Information der Personen, die mit einem KI-System interagieren, und Regeln für generierte Inhalte
• Nachvollziehbarkeit von Eingaben, Quellen, Modellen, menschlichen Kontrollen und Freigaben
• Verbindliche KI-Klauseln für Lieferanten und Schulung der Beschäftigten

Cyber Resilience Act: Software und vernetzte Produkte

Der Cyber Resilience Act legt Cybersicherheitsanforderungen für Hardware- und Softwareprodukte mit digitalen Elementen fest, die auf dem Unionsmarkt bereitgestellt werden. Die Meldepflichten gelten ab dem 11. September 2026, die wesentlichen Konformitätspflichten ab dem 11. Dezember 2027.

Cyber Resilience Act: betroffene Unternehmen und Software

Die Verordnung erfasst Hersteller, Softwareanbieter, Einführer und Händler von Produkten mit digitalen Elementen sowie in diese Produkte integrierte Lösungen zur Datenfernverarbeitung.

Ein luxemburgischer Softwareanbieter kann dem CRA unterliegen, wenn er Software in Verkehr bringt, die als Produkt mit digitalen Elementen einzustufen ist, etwa eine Anwendung oder eine Lösung mit integrierter Datenfernverarbeitung. Ein ausschließlich online erbrachter Dienst ohne zugehöriges Produkt erfordert eine gesonderte Prüfung und fällt nicht automatisch in den Anwendungsbereich. Die Einordnung erfolgt im Einzelfall anhand des Verordnungstextes und der Leitlinien der Kommission.

Cyber Resilience Act: verbindliche Meldungen ab 11. September 2026

Ab diesem Datum melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit ihrer Produkte beeinträchtigen. Die Erstwarnung erfolgt innerhalb von 24 Stunden, die vollständige Meldung innerhalb von 72 Stunden. Dieser Zeitplan entspricht NIS 2, sodass Verfahren zur Einordnung und Eskalation gemeinsam genutzt werden können.

CRA-Dokumente und Konformitätsfristen

Data Act: Cloud, SaaS und Abschaffung der Wechselentgelte

Die Datenverordnung (EU) 2023/2854 ist seit dem 12. September 2025 anwendbar. Sie regelt den Zugang zu Daten aus vernetzten Produkten, die Datenübertragbarkeit, Verträge über die gemeinsame Datennutzung, die Interoperabilität und den Wechsel des Anbieters von Datenverarbeitungsdiensten.

Data Act: betroffene Cloud- und SaaS-Anbieter

Die Verordnung erfasst Anbieter von Cloud-, SaaS-, PaaS- und IaaS-Diensten sowie deren Kunden. Für Hersteller und Nutzer vernetzter Geräte gilt der Teil zum Datenzugang.

Data Act: Abschaffung der Wechselentgelte am 12. Januar 2027

Ab diesem Datum entfallen Entgelte für den Anbieterwechsel und den Datenexport. Die Frist erfordert eine vorherige vertragliche und technische Überarbeitung, nicht nur eine Preisanpassung: Betroffen sind Exportformate, Fristen für die Datenrückgabe und Servicezusagen.

Vorzubereitende Dokumente und Klauseln zum Data Act

• Funktionsfähige Exportformate, APIs und Schnittstellen zur Datenübertragbarkeit
• Fristen für Datenrückgabe und -löschung, Klauseln zur Rückübertragbarkeit
• Abschaffung der Entgelte für Datenexport und Anbieterwechsel
• Datennutzungsrechte und Schutz von Geschäftsgeheimnissen
• Verfahren zur Bearbeitung von Datenanfragen der Kunden

Digitale Compliance in Luxemburg: DSGVO, Barrierefreiheit, Resilienz und eIDAS 2

NIS 2, DORA, die KI-Verordnung, der CRA und der Data Act ersetzen die dauerhaften Grundlagen nicht. Die DSGVO, die digitale Barrierefreiheit, die Resilienz kritischer Einrichtungen und die europäische digitale Identität begründen eigene Pflichten, unabhängig von den fünf zuvor genannten Regelwerken.

DSGVO: die dauerhaft geltende Grundlage

Verzeichnis der Verarbeitungstätigkeiten, Datenminimierung, Aufbewahrungsfristen, Auftragsverarbeitungsverträge, internationale Übermittlungen, Folgenabschätzungen und Datensicherheit. Eine Verletzung, die voraussichtlich zu einem Risiko führt, ist der CNPD innerhalb von 72 Stunden nach Bekanntwerden zu melden.

Ein praktischer Punkt verdient Aufmerksamkeit: Bei demselben Vorfall laufen die Fristen nach DSGVO, NIS 2 und CRA gleichzeitig gegenüber unterschiedlichen Behörden. Eine einheitliche Meldematrix verhindert, dass dieses Zusammentreffen erst mitten in der Krise auffällt.

Digitale Barrierefreiheit: anwendbar seit dem 28. Juni 2025

Bestimmte Produkte und Dienstleistungen müssen die europäischen Barrierefreiheitsanforderungen erfüllen: elektronischer Geschäftsverkehr, Bankdienstleistungen für Verbraucher, elektronische Kommunikation, Computer und Betriebssysteme. Die Prüfung umfasst Websites, Anwendungen, Kaufabläufe, Formulare, Dokumente, Authentifizierungsverfahren und Unterstützungsdienste.

Resilienz kritischer Einrichtungen

Das luxemburgische Gesetz vom 5. Mai 2026 über die Resilienz kritischer Einrichtungen ergänzt NIS 2 um einen gefahrenübergreifenden Ansatz, der physische, organisatorische und umweltbedingte Risiken sowie externe Abhängigkeiten erfasst. Eine förmlich als kritisch benannte Einrichtung führt innerhalb von neun Monaten nach ihrer Benachrichtigung eine Risikobewertung durch.

Europäische digitale Identität, eIDAS 2

Die Mitgliedstaaten müssen bis Ende 2026 europäische Brieftaschen für die digitale Identität anbieten. Unternehmen, die digitale Kundenaufnahme, KYC, elektronische Signaturen oder die Ausstellung von Nachweisen nutzen, sollten deren Integration vorbereiten, ohne mehr Daten als nötig zu erheben.

Digitale Compliance in Luxemburg: 14 Dokumente, die vorgelegt werden können müssen

Ein gut vorbereitetes luxemburgisches Unternehmen kann kurzfristig vierzehn Dokumentkategorien vorlegen, die seine Governance, sein Risikomanagement, seine Vorfallverfahren und die Kontrolle seiner digitalen Dienstleister belegen.

• Vom Leitungsorgan genehmigte Sicherheitsrichtlinie
• Erfassung der Vermögenswerte, Netze, Daten und kritischen Dienste
• Analyse von Risiken und Abhängigkeiten
• Verzeichnis der IKT-Dienstleister und vertraglichen Vereinbarungen
• Verzeichnis der Verarbeitungstätigkeiten nach DSGVO
• Verzeichnis der Systeme künstlicher Intelligenz
• Verfahren zur Bearbeitung und Meldung von Vorfällen
• Geschäftsfortführungs- und Wiederanlaufplan
• Datensicherungsrichtlinie und Ergebnisse der Wiederherstellungstests
• Richtlinie zur Verwaltung von Zugriffsrechten und privilegierten Konten
• Richtlinie zum Schwachstellen- und Patch-Management
• Schulungsnachweise und Protokolle von Krisenübungen
• Verträge und Ausstiegspläne kritischer Dienstleister
• Sitzungsprotokolle als Nachweis der tatsächlichen Überwachung durch die Geschäftsleitung

Das vierzehnte Dokument fehlt in den von uns übernommenen Dossiers am häufigsten und setzt die Führungskräfte dem unmittelbarsten Risiko aus.

Digitale Compliance in Luxemburg umsetzen: mit dem Anwendungsbereich beginnen

Der erste Schritt besteht darin, die für das Unternehmen geltenden Vorschriften zu bestimmen. Diese Analyse verbindet den tatsächlichen Tätigkeitssektor, die Gruppengröße, die Rolle in der digitalen Wertschöpfungskette und ein gegebenenfalls geltendes Sonderregelwerk wie DORA.

Ein technisches Projekt vor dieser Prüfung zu starten bedeutet, Geld auszugeben, ohne die damit zu erfüllende Pflicht zu kennen. Ein Unternehmen, das ein SOC einführt, ohne seine Einordnung zu kennen, verfügt am Ende über ein teures Werkzeug, findet aber am Tag der Kontrolle weiterhin keine vollständige Dokumentation.

Weiterführende Informationen zur digitalen Compliance

Häufige Fragen zur digitalen Compliance in Luxemburg

Sind alle luxemburgischen Unternehmen von NIS 2 betroffen?+

Nein. NIS 2 erfasst mittlere und große Einrichtungen der Sektoren in den Anhängen I und II des Gesetzes vom 5. Mai 2026 sowie eine begrenzte Zahl digitaler Tätigkeiten ohne Größenbedingung. Eine Beteiligungsgesellschaft, eine SPF oder eine freiberufliche Dienstleistung ist dort nicht aufgeführt. Die Schwellenwerte werden jedoch auf Gruppenebene geprüft, wodurch eine vermeintlich nicht erfasste Einrichtung darunterfallen kann.

Muss sich eine ManCo oder ein PSF beim ILR registrieren?+

Nein, vorbehaltlich der Bestätigung ihrer Einordnung. Artikel 1(5) des NIS-2-Gesetzes nimmt DORA-Einrichtungen aus. Eine Verwaltungsgesellschaft, ein AIF-Verwalter oder ein PSF unterliegt DORA unter Aufsicht der CSSF und nicht NIS 2 unter Aufsicht des ILR. Für Versicherungs- und Rückversicherungsunternehmen ist das Commissariat aux Assurances zuständig. Die Ausnahme wird schriftlich dokumentiert und nicht einfach vorausgesetzt.

Was droht einer erfassten Einrichtung, die sich nicht vor dem 10. Juli 2026 registriert hat?+

Die Sanktionsobergrenzen erreichen 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für eine wesentliche Einrichtung und 7 Millionen oder 1,4 % für eine wichtige Einrichtung. Hinzu kommen sofort wirksame Abhilfemaßnahmen und unmittelbare Pflichten der Mitglieder des Leitungsorgans. Da das Register auf Erklärungen beruht, kann die fehlende Registrierung bei Kontrollen und Datenabgleichen der Behörde festgestellt werden. Die unverzügliche Nachholung bleibt der günstigste Weg.

Wie werden die NIS-2-Schwellenwerte in einer Gruppe berechnet?+

Durch vollständige Zusammenrechnung der Beschäftigtenzahl, des Umsatzes und der Bilanzsumme verbundener Unternehmen, die unmittelbar oder mittelbar zu mehr als 50 % kontrolliert werden, zuzüglich des entsprechenden Anteils der Partnerunternehmen mit Beteiligungen zwischen 25 % und 50 %. Dies ist die häufigste Abweichung zwischen einer Selbsteinschätzung anhand des Einzelabschlusses und der tatsächlichen Einordnung.

Wird die KI-Verordnung verschoben?+

Teilweise. Die Omnibus-Verordnung vom 27. Juli 2026 verschiebt die Pflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und jene für in regulierte Produkte integrierte KI auf den 2. August 2028. Verbotene Praktiken, die Pflicht zur KI-Kompetenz, die Regeln für Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten vom 2. August 2026 werden nicht verschoben.

Fällt ein luxemburgischer SaaS-Anbieter unter den Cyber Resilience Act?+

Das hängt von der Art dessen ab, was auf den Markt gebracht wird. Der CRA erfasst Produkte mit digitalen Elementen einschließlich in ein Produkt integrierter Lösungen zur Datenfernverarbeitung. Ein ausschließlich online erbrachter Dienst ohne zugehöriges Produkt fällt nicht automatisch in den Anwendungsbereich und erfordert eine Einzelfallprüfung.

Ist ein nicht unmittelbar erfasster IT-Dienstleister tatsächlich unberührt?+

Nein. Ein Softwareanbieter, Systemintegrator oder IT-Betriebsdienstleister, der erfasste Einrichtungen betreut, muss deren Anforderungen vertraglich erfüllen: Sicherheitsklauseln, Prüfungs- und Zugangsrechte, Meldepflichten, Regeln für Unterauftragnehmer und Ausstiegspläne. Eine fehlende eigene Registrierung befreit nicht von den vertraglichen Compliance-Anforderungen der Lieferkette.

Womit sollte man konkret beginnen?+

Mit der Bestimmung des Anwendungsbereichs vor jeder technischen Investition. Dazu werden der tatsächliche Tätigkeitssektor, der Konsolidierungskreis der Gruppe und ein gegebenenfalls geltendes Sonderregelwerk zusammengeführt. Daraus ergibt sich entweder eine nachzuholende Registrierung oder ein begründeter Vermerk über die Nichtanwendbarkeit für die Gesellschaftsakte. In beiden Fällen bestimmt diese Arbeit die späteren Ausgaben.

Über diese Seite

Autor

Mickaël LOC, zugelassener Buchhalter, siebzehn Jahre Erfahrung im luxemburgischen Treuhandwesen und in der Konsolidierung von Gruppen über mehrere Rechtsordnungen hinweg.

Geltungsbereich

Informationsinhalt für Geschäftsleitungen und Compliance-Verantwortliche von Unternehmen mit Sitz in Luxemburg.

Methode

Jedes Datum, jeder Schwellenwert und jede Obergrenze stammt aus einer am Abschnittsende genannten Primärquelle: luxemburgische Behörden, Amtsblatt, EUR-Lex, Europäische Kommission.

Prüfung

3. Oktober 2026 (Zeitplan und Status). Die Seite wird bei jeder regulatorischen Änderung eines der sechs Regelwerke überprüft.

Diese Seite stellt weder ein Rechtsgutachten noch einen Prüfungsauftrag dar. Financial Services Luxembourg ist als zugelassener Buchhalter im Sinne des Gesetzes vom 2. September 2011 tätig. Die Auslegung der Vorschriften zur Cybersicherheit und Produktsicherheit erfordert auch juristische und technische Fachkenntnisse: Mandantenfälle zu diesen Themen werden gemeinsam mit einem Rechtsberater und einem spezialisierten Dienstleister bearbeitet.

Veränderliche Beträge, Bedingungen und Fristen sind anhand der angegebenen amtlichen Quellen zu prüfen.