Leitfäden · Stand August 2026
Fristen, die Dokumente verlangen – keine Absichtserklärungen.
Vierzehn Termine von Juni 2026 bis Dezember 2027, dazu die beiden Termine der KI-Verordnung, die auf denselben Unterlagen aufsetzen. Zu jedem: die Rechtsgrundlage, das Dokument, das bei einer Prüfung vorliegen muss, der Beitrag, der ihn ausführt, und die Lösung, die ihn abdeckt.
Bei einer Prüfung zählt nicht, was ein Unternehmen getan hat, sondern was es belegen kann. Die Termine auf dieser Seite gehören alle zur zweiten Art: Sie verlangen ein datiertes Dokument, keine Absichtserklärung. Sechs von ihnen gelten unionsweit, fünf sind italienische Fristen und betreffen Sie nur mit Niederlassung, Tochtergesellschaft oder öffentlichem Auftrag in Italien – bei jedem Eintrag steht, welcher Fall vorliegt.
Viele Termine verlangen dasselbe Material von verschiedenen Adressaten. Die Cyberresilienz-Verordnung – Verordnung (EU) 2024/2847, im Sprachgebrauch Cyber Resilience Act oder CRA – schreibt eine einzige technische Dokumentation vor, aber nur für Produkte mit digitalen Elementen, die zugleich Hochrisiko-KI-Systeme im Sinne des Art. 12 sind und weiteren Unionsrechtsakten mit Dokumentationspflichten unterliegen (Art. 31 Abs. 3). Für alle anderen ist die Überschneidung keine Pflicht, sondern eine Ersparnis: Wer die Betriebsanleitung für den 20. Januar 2027 neu schreibt, arbeitet damit bereits an dem Nachweisordner, den der Dezember verlangt.
Die verlinkten Betriebsnotizen sind auf Englisch.
-
ACN-Cloudregeln: die Übergangsfrist ist abgelaufen
- Rechtsgrundlage
- Italien: Verordnung über digitale Infrastrukturen und Cloud-Dienste für die öffentliche Verwaltung, Direktorialdekret der Agentur für Cybersicherheit (ACN) Nr. 21007/24 vom 27. Juni 2024 (Bekanntmachung im Amtsblatt Nr. 163 vom 13. Juli 2024), Art. 11 Abs. 4 und 10
- Wen es betrifft
- Italienische Behörden und öffentliche Einrichtungen, die kritische oder strategische Daten verarbeiten – und mittelbar deren Anbieter: Ohne die verlangte Qualifizierungsstufe im ACN-Katalog kommt ein Angebot nicht in Betracht.
Was vorliegen muss
- Die Einstufung von Daten und digitalen Diensten als gewöhnlich, kritisch oder strategisch, mit der schriftlichen Begründung daneben (Art. 3). Fallen die Daten unter den nationalen Cybersicherheitsperimeter oder unter die NIS-Pflichten, ist die Stufe gesetzlich vorgegeben.
- Die Prüfung der Qualifizierungsstufe des Anbieters im Katalog der ACN, nicht im Prospekt: mindestens QC2 für kritische, QC3 oder QC4 für strategische Daten (Art. 17).
- Einen Plan für alles, was am falschen Ort liegt: was verlagert wird, wohin, bis wann, wer unterschreibt.
Für strategische Daten fügt Anlage 2 eine Zuständigkeitsschranke hinzu: Jedes Zugriffsersuchen einer Stelle außerhalb der EU ist der ACN zu melden und darf erst nach ausdrücklicher Genehmigung durch die Verwaltung erfüllt werden. Für Anbieter aus Deutschland, Österreich oder der Schweiz ist das der Punkt, an dem konzernweite Regeln zum Fernzugriff mit dem Vertrag kollidieren können.
-
Cyberresilienz-Verordnung: die Meldepflichten beginnen
- Rechtsgrundlage
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), Art. 14 – Meldepflichten der Hersteller
- Wen es betrifft
- Hersteller von Produkten mit digitalen Elementen – vernetzte oder vernetzbare Hardware und Software –, einschließlich der bereits in Verkehr gebrachten Produkte. Wer aus der Schweiz in die EU liefert, ist als Hersteller genauso betroffen wie ein Unternehmen mit Sitz in der Union.
Was vorliegen muss
- Eine Kontaktadresse für die Meldung von Schwachstellen und eine Strategie für die koordinierte Offenlegung von Schwachstellen (Anhang I Teil II Nrn. 5 und 6), mit einer benannten verantwortlichen Person und einer Ersteinschätzung, die tatsächlich läuft.
- Die Software-Stückliste der eigenen Produkte in einem gängigen maschinenlesbaren Format (Anhang I Teil II Nr. 1). Wer nicht weiß, was im Produkt steckt, kann keine Meldung innerhalb der Frist abgeben.
- Den Meldeweg mindestens einmal geprobt: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit der Korrektur- oder Risikominderungsmaßnahme bei Schwachstellen und innerhalb eines Monats nach der 72-Stunden-Meldung bei schwerwiegenden Sicherheitsvorfällen (Art. 14 Abs. 2 und 4).
Die Uhr läuft ab dem Zeitpunkt, zu dem der Hersteller von der aktiv ausgenutzten Schwachstelle Kenntnis erlangt (Art. 14 Abs. 2). Die eigentliche Anforderung ist deshalb, es überhaupt zu bemerken, nicht die Meldung selbst. Am 27. Juli 2026 hat die Kommission den Inhalt des Mitteilungsentwurfs mit ihren Leitlinien zur Anwendung der Verordnung gebilligt (C(2026) 5252 mit Anhang), bislang nur auf Englisch verfügbar: Die förmliche Annahme erfolgt, sobald alle Sprachfassungen vorliegen, und erst von diesem Zeitpunkt an gelten die Leitlinien. Inhaltlich klären sie den Anwendungsbereich – Datenfernverarbeitung sowie freie und quelloffene Software eingeschlossen –, was als wesentliche Änderung gilt, wie der Unterstützungszeitraum bestimmt wird und wie die Melde- und Risikobewertungspflichten erfüllt werden. Verbindlich sind sie nicht, und den 11. September verschieben sie nicht; sie liefern die Begründung, mit der sich bereits getroffene Entscheidungen schriftlich stützen lassen. Zwei Klarstellungen des Anhangs ändern den Arbeitsumfang. Erstens: Die Meldepflicht erfasst auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3), und bleibt nach dem Ende des Unterstützungszeitraums bestehen, während die Pflichten zur Behandlung von Schwachstellen nach Anhang I Teil II in diesen Fällen nicht gelten. Zweitens: Es gibt keine rückwirkende Meldung – eine Schwachstelle, deren aktive Ausnutzung vor dem 11. September 2026 bereits bekannt war, ist nicht zu melden; tritt die Ausnutzung danach ein oder wird sie danach bekannt, greift die Pflicht.
-
Datenverordnung: Produktdaten schon durch die Konstruktion zugänglich
- Rechtsgrundlage
- Verordnung (EU) 2023/2854 (Datenverordnung), Art. 3 Abs. 1, anwendbar nach Art. 50 Unterabs. 3
- Wen es betrifft
- Hersteller vernetzter Produkte und Anbieter verbundener Dienste, die diese nach diesem Tag auf dem Unionsmarkt in Verkehr bringen – und mittelbar alle, die solche Produkte kaufen und in Betrieb nehmen. Wer aus Deutschland, Österreich oder der Schweiz in die EU liefert, ist als Hersteller genauso betroffen.
Was vorliegen muss
- Die Konstruktion schriftlich belegt: Produktdaten und Daten verbundener Dienste, einschließlich der Metadaten, die zu ihrer Auslegung und Nutzung erforderlich sind, für den Nutzer standardmäßig „einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format sowie, soweit relevant und technisch durchführbar, unmittelbar“ zugänglich (Art. 3 Abs. 1).
- Die vorvertraglichen Angaben nach Art. 3 Abs. 2 Buchst. a bis d: Art, Format und geschätzter Umfang der Daten, die das Produkt erzeugen kann; ob es sie fortlaufend und in Echtzeit erzeugt; ob es sie auf dem Gerät oder auf einem entfernten Server speichert, und wie lange; wie der Nutzer darauf zugreift, sie abruft oder löscht, mit welchen technischen Mitteln, zu welchen Nutzungsbedingungen und in welcher Dienstgüte.
- Die Grenze zwischen zugänglichen Daten und Geschäftsgeheimnissen, gezogen vor dem ersten Verlangen: welche Daten außen vor bleiben, mit welchen Schutzmaßnahmen und auf welcher Grundlage. Die Vertraulichkeit ist geschützt, taugt aber nicht als Abkürzung, um den Zugang zu verweigern – und die angemessenen Geheimhaltungsmaßnahmen sind zugleich Voraussetzung des Schutzes nach § 2 Nr. 1 Buchst. b GeschGehG.
- Das Datum des Inverkehrbringens für jedes Modell im Katalog. Die Pflicht sieht nicht auf den Bestand, sondern auf das, was nach dem 12. September 2026 in Verkehr gebracht wird – Produkt für Produkt.
Es ist die einzige Frist der Datenverordnung, die am Produkt und nicht am Vertrag gemessen wird. Die Verordnung gilt seit dem 12. September 2025 (Art. 50 Unterabs. 2), aber nicht auf einen Schlag: Unterabs. 3 verschiebt allein die Pflicht aus Art. 3 Abs. 1 und knüpft sie an das Inverkehrbringen, während Unterabs. 6 die Anwendung des Kapitels IV auf bestimmte bis zum 12. September 2025 geschlossene Verträge auf den 12. September 2027 verschiebt. Für Käufer ist das der Hebel: Ab diesem Tag ist der Datenzugang kein Entgegenkommen, das man aushandelt, sondern eine Konstruktionsanforderung, die der Lieferant bereits erfüllt haben muss.
-
RENTRI: penalties start on missing waste manifests
- Rechtsgrundlage
- Legislative Decree no. 152 of 3 April 2006, art. 258, paragraphs 10 and 10-bis
- Wen es betrifft
- Entities and businesses already registered with RENTRI and required to transmit waste manifests (FIR) digitally: the three registration windows under art. 13 of Ministerial Decree no. 59 of 4 April 2023 have all now closed, the last one by mid-February 2026.
Was vorliegen muss
- For every load transmitted to RENTRI since registration, proof the manifest came back complete: the penalty covers missing or incomplete transmission of manifest data, not only its absence.
- A list of manifests still open, by plant, with the name of whoever has to close them before the transitional tolerance ends.
- Proof that registration itself happened within the art. 13 windows: the penalty for missing or irregular registration (art. 258, paragraph 10, first sentence) has no tolerance under paragraph 10-bis and is already fully in force.
Paragraph 10-bis is a “first application” rule: it suspends, rather than cancels, the penalty for missing or incomplete manifests until 15 September 2026, while leaving the penalty for missing or irregular registration already active. The fine set by paragraph 10 runs from five hundred to two thousand euros for non-hazardous waste and from one thousand to three thousand for hazardous waste; it drops to a third if registration happens within sixty days of the deadline (paragraph 11).
-
NEWS-D: Italiens Frühwarnsystem für Drogen erhält seine Geschäftsordnung
- Rechtsgrundlage
- Italien: Dekret des Ministerpräsidenten (DPCM) vom 7. Juli 2026, Nr. 156 (Amtsblatt, Serie Generale Nr. 204 vom 3. September 2026), zur Durchführung von Art. 14-bis des Präsidialdekrets Nr. 309/1990
- Wen es betrifft
- Mitwirkende Stellen des NEWS-D erster und zweiter Ebene: öffentliche, private und universitäre Labore für klinische und forensische Toxikologie, rechtsmedizinische Institute, Notaufnahmen, Giftinformationszentren, Labore der Polizeikräfte sowie private Träger, die eine Anerkennung durch Verfügung des Abteilungsleiters beantragen.
Was vorliegen muss
- Das Kriterium, das die Meldepflicht auslöst, anwendbar ohne Nachschlagen an anderer Stelle. Das quantitative Kriterium (Art. 6 Abs. 4) bemisst sich an den Durchschnittswerten des jüngsten Berichts an das Parlament über den Stand der Drogenabhängigkeit in Italien; das qualitative erfasst unter anderem Stoffe, die in einem bestimmten geografischen Gebiet auffällig häufig oder auf nationaler beziehungsweise unionsweiter Ebene noch nie sichergestellt wurden (Abs. 3 Buchst. d). Keine der beiden Angaben liegt im Labor selbst vor.
- Die beiden getrennten Fristen: unverzüglich beim qualitativen Kriterium, mindestens monatlich und in aggregierter Form beim quantitativen (Art. 7). Die übrigen mitwirkenden Stellen melden in jedem Fall unverzüglich.
- Die Mindestangaben des Formulars nach Art. 8, die je nach Probenart wechseln: Datum und Provinz der Sicherstellung bei nicht biologischen Proben, Datum und Region der Vergiftung oder des Todesfalls bei biologischen. Dasselbe Ereignis erhält eine andere geografische Körnung, je nachdem wer es erfasst.
- Für private Labore, die als Stelle zweiter Ebene anerkannt werden wollen: standardisierte Verfahren für Qualität, Rückverfolgbarkeit und Vergleichbarkeit der Analysen sowie die Teilnahme an externen oder laborübergreifenden Qualitätsprogrammen (Art. 21 Abs. 3), dazu die Mindestanforderungen aus Anhang I des Dekrets des Gesundheitsministeriums vom 23. Juni 2025 (Art. 22), deren Einhaltung das ISS stichprobenweise prüfen kann.
- Die Zustimmung der Justizbehörde, soweit für erforderlich gehalten, bevor Daten gemeldet werden, die aus Sicherstellungen nach Art. 73 des Kodex oder aus Ermittlungen stammen (Art. 19 Abs. 2).
Die Verordnung errichtet das NEWS-D nicht: Das System besteht seit dem 1. Januar 2025 aufgrund von Art. 14-bis des Betäubungsmittelkodex, eingefügt durch Art. 1 Abs. 243 des Haushaltsgesetzes vom 30. Dezember 2024, Nr. 207, dessen Abs. 6 neunzig Tage für die Durchführungsverordnung einräumte. Die Frist lief am 1. April 2025 ab, das DPCM datiert vom 7. Juli 2026: 462 Tage später. Zwei Punkte bleiben auch nach dem 18. September offen. Erstens ist der endgültige Betreiber nicht bestimmt — nach Art. 23 führt bis zum Abschluss des Auswahlverfahrens nach Art. 11 das ISS das System. Zweitens spaltet sich das Eigentum an den Daten: Nach Art. 24 verbleiben die Daten der Meldung bei der meldenden Stelle, die in das eigens eingerichtete IT-System eingespeisten und für die Ausgabedokumente bestimmten Daten stehen jedoch zugleich der Abteilung zu. Wer meldet, verliert die Daten nicht, kontrolliert sie aber nicht mehr allein.
-
IT-Bestandserhebung: Italiens Verwaltung erklärt, was im Serverraum steht
- Rechtsgrundlage
- Italien: Art. 33-septies Abs. 1-ter des Gesetzesdekrets (decreto-legge) Nr. 179/2012; Erhebung der AgID, eröffnet am 22. Juli 2026
- Wen es betrifft
- Italienische Behörden auf zentraler und lokaler Ebene, die den Fragebogen zum IT-Bestand beantworten müssen; für Schulen und Hochschulen nennt die AgID den Termin erst später, der 30. September gilt also nicht für alle. Für Anbieter kein eigener Termin, wohl aber der Grund, warum italienische Auftraggeber im Herbst 2026 Bestandslisten anfordern.
Was vorliegen muss
- Das tatsächliche Verzeichnis der Systeme, Anwendungen und Dienste im Betrieb, mit Angabe, wo sie laufen und wer sie verwaltet. Darauf beruht jede Antwort, und fast niemand hat es fertig in der Schublade.
- Die Einstufung von Daten und Diensten nach der Cloudverordnung der ACN, die denselben Aufbau und dieselben Kategorien verwendet.
- Die abschließende Erklärung über Vollständigkeit und Richtigkeit, unterschrieben vom gesetzlichen Vertreter oder vom Beauftragten für die digitale Transformation: Unterschrieben wird auf Zahlen, die überprüfbar sein müssen.
Wer nie eine Bestandsaufnahme gemacht hat, unterschreibt auf Zahlen, die er nicht kennt. Und diese Bestandsaufnahme ist dieselbe Karte, die die Sicherheit braucht: Die Angriffsfläche, die sich schützen lässt, ist die, die sich aufzählen lässt.
-
NIS2 in Italien: die Basismaßnahmen, nachgewiesen
- Rechtsgrundlage
- Italien: Legislativdekret (decreto legislativo) Nr. 138 vom 4. September 2024 zur Umsetzung der NIS-2-Richtlinie, Art. 23, 24 und 29; Frist aus Art. 42 Abs. 1 Buchst. c und aus der ACN-Verfügung Nr. 379907/2025
- Wen es betrifft
- Wesentliche und wichtige Einrichtungen der ersten Welle in Italien: zwischen Dezember 2024 und Februar 2025 registriert, die Mitteilung über die Aufnahme in das Verzeichnis haben sie ab dem 12. April 2025 erhalten. Für deutsche und österreichische Gruppen heißt das: Die Frist trifft die italienische Gesellschaft, nicht den Konzern.
Was vorliegen muss
- Beschlüsse der Leitungsorgane: Billigung der Risikomanagementmaßnahmen im Bereich der Cybersicherheit, Überwachung ihrer Umsetzung, Nachweis der Schulungen, an denen die Leitungsebene teilgenommen hat (Art. 23).
- Eine Risikoanalyse auf dem Stand der tatsächlich betriebenen Systeme, dazu Verzeichnisse von Systemen, Konfigurationen, bekannten Schwachstellen und Personen mit Zugang.
- Ein Verzeichnis der kritischen Lieferanten und Verträge mit Sicherheitsklauseln. Laufende Verträge müssen nicht sofort geändert werden, neue Verträge, Verlängerungen und Erweiterungen nehmen die Klauseln auf. Die am 24. Juli 2026 aktualisierten FAQ der ACN (MSB.13 bis MSB.19) stellen klar, dass Anforderungen nur für Lieferungen mit möglicher Sicherheitsrelevanz festzulegen sind und dass nicht jede Basismaßnahme an den Lieferanten durchgereicht werden muss. Die Abstufung ist jedoch schriftlich zu begründen, und diese Begründung ist selbst ein Dokument, das vorliegen muss.
- Pläne zur Aufrechterhaltung des Betriebs und zur Wiederherstellung nach einem Notfall, getestet und nicht nur geschrieben, dazu ein Verzeichnis der Personalschulungen.
- Meldeverfahren, die tatsächlich geübt wurden: Frühwarnung an das CSIRT Italia innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Für die erste Welle gilt die Meldepflicht nach Art. 25 bereits seit Januar 2026; im Oktober kommen die Maßnahmen hinzu, nicht die Meldung.
- Den Nachweis, dass Zugriffskontrolle, Verschlüsselung und Netzsegmentierung in Betrieb sind – nicht die Richtlinie, die sie vorschreibt.
Die Frist ist nicht für alle dieselbe: Sie beträgt achtzehn Monate ab dem Zugang der jeweiligen Mitteilung über die Aufnahme in das Verzeichnis (ACN-Verfügung Nr. 379907/2025, Art. 3), und die Mitteilungen sind ab dem 12. April 2025 verschickt worden. Sie ist also je Einrichtung zu berechnen, innerhalb des von der ACN genannten Oktobers 2026. Wer 2026 erstmals in das Verzeichnis aufgenommen wurde, hat bis zum 31. Juli 2027 Zeit, mit einer Meldepflicht ab dem 1. Januar 2027 (ACN-Verfügung Nr. 127434/2026, Art. 1). Am 11. August 2026 hat die ACN einen neuen FAQ-Abschnitt MVE.1 bis MVE.5 zu Überwachung, Aufsicht und Durchsetzung veröffentlicht; MVE.3 betrifft die Prüfungen und Inspektionen des Art. 36. Die Unterscheidung trifft das Dekret selbst: Nach Art. 36 Abs. 2 gelten die Prüf- und Inspektionsbefugnisse gegenüber wichtigen Einrichtungen nur dann, wenn die zuständige NIS-Behörde Beweise, Hinweise oder Informationen erhält, die auf mögliche Verstöße hindeuten. Für wesentliche Einrichtungen gilt diese Schranke nicht: Die Prüfung kann vorher kommen, und sie trifft auf Unterlagen, die dann bereits vorliegen müssen.
-
Jährliche Sicherheiten für Deponien: Umwandlung des Dekrets oder rückwirkender Wegfall
- Rechtsgrundlage
- Italien: Gesetzesdekret Nr. 154 vom 28. August 2026, Art. 1, der Art. 208 Abs. 11 Buchst. g) des Gesetzesvertretenden Dekrets Nr. 152 vom 3. April 2006 ersetzt; Umwandlungsfrist nach Art. 77 Abs. 3 der italienischen Verfassung
- Wen es betrifft
- Gesellschaften im Verfahren der außerordentlichen Verwaltung nach dem Gesetzesdekret Nr. 347 vom 23. Dezember 2003 – das mindestens fünfhundert Beschäftigte seit einem Jahr und Verbindlichkeiten von nicht unter dreihundert Millionen Euro voraussetzt –, die mindestens eine Anlage von nationalem strategischem Interesse nach Art. 1 des Gesetzesdekrets Nr. 207 vom 3. Dezember 2012 betreiben. Dieser Status wird durch Dekret des Ministerpräsidenten verliehen und setzt mindestens zweihundert Beschäftigte seit einem Jahr voraus. Ein enger Kreis, durch zwei Verweisungen umschrieben, nicht durch eine Liste.
Was vorliegen muss
- Die tatsächlich gestellte finanzielle Sicherheit mit Beginn und Ende ihrer Laufzeit: Seit dem 29. August 2026 darf sie jährlich gestellt werden, auch wenn die Genehmigung länger läuft – ohne Sicherheit darf jedoch keine Deponietätigkeit stattfinden.
- Den taggenauen Abgleich zwischen den Deckungszeiträumen der Sicherheit und den Tagen, an denen tatsächlich abgelagert wurde: Das ist die eine Angabe, die kein betriebliches System vollständig führt, denn die Fristen liegen an einer Stelle und die Ablagerungen an einer anderen.
- Die geltende Genehmigung und ihre Laufzeit, um den Abstand zwischen genehmigtem und gedecktem Zeitraum zu messen.
- Das Dekret des Ministerpräsidenten über das nationale strategische Interesse und die Maßnahmen der außerordentlichen Verwaltung: Beide tragen die Anwendbarkeit der Regelung selbst.
- Eine Stelle, die die Umwandlung verfolgt: Bleibt das Gesetz aus, entfällt die jährliche Regelung rückwirkend, und die allein darauf gestützten Tage sind erneut zu prüfen.
Das Datum steht in keinem Rechtsakt: Es ist unsere eigene Berechnung. Art. 77 Abs. 3 der italienischen Verfassung bestimmt, dass Dekrete von Anfang an ihre Wirkung verlieren, wenn sie nicht binnen sechzig Tagen nach ihrer Veröffentlichung in ein Gesetz umgewandelt werden. Das Dekret wurde im italienischen Amtsblatt Nr. 199 vom 28. August 2026 veröffentlicht und gilt seit dem 29. August; sechzig Tage ab Veröffentlichung führen zum 27. Oktober 2026. Was die Frist praktisch und nicht akademisch macht: Art. 14 des Gesetzesvertretenden Dekrets Nr. 36 vom 13. Januar 2003, vom Dekret unberührt, verlangt, die Sicherheit für die Nachsorge mindestens dreißig Jahre lang vorzuhalten. Dreißig Jahre Pflicht, bedient mit einjährigen Instrumenten – und die Konformität ist kein einmaliger Akt mehr, sondern eine Eigenschaft, die Tag für Tag nachzuweisen ist.
-
Tracking-Pixel in E-Mails: Einwilligung und Information, schriftlich
- Rechtsgrundlage
- Italien: Garante für den Schutz personenbezogener Daten, Maßnahme Nr. 284 vom 17. April 2026 – Leitlinien zur Verwendung von Tracking-Pixeln in der E-Mail-Kommunikation, veröffentlicht im Amtsblatt Nr. 98 vom 29. April 2026
- Wen es betrifft
- Wer Tracking-Pixel in E-Mails einsetzt: Verantwortliche, die Werbung und Newsletter versenden, Anbieter von E-Mail-Diensten, Betreiber von Plattformen für den Massenversand. Verbindlich für Verantwortliche, die der italienischen Aufsicht unterliegen; für alle anderen ein brauchbarer Prüfmaßstab, weil die herangezogenen Vorschriften der DSGVO überall dieselben sind.
Was vorliegen muss
- Eine Information, die sagt, dass die Nachricht ein Pixel enthält, was es erfasst und wozu: Die allgemeine Datenschutzerklärung der Website deckt die Messung im E-Mail-Verkehr nicht ab.
- Die vor dem Versand eingeholte Einwilligung nach Art. 122 des italienischen Datenschutzkodex – der Umsetzung von Art. 5 Abs. 3 der Richtlinie 2002/58/EG – sowie nach Art. 4 Nr. 11 und Art. 7 DSGVO. Sie kann in der Einwilligung zum Empfang von Werbung enthalten sein, aber nur, wenn die Anfrage neutral und ohne Drucksituation formuliert ist und die Information das Pixel benennt.
- Den Widerruf, auch in abgestufter Form (Art. 7 Abs. 3 DSGVO): Wer den Newsletter will, muss die Messung ablehnen können, ohne auf den Newsletter zu verzichten.
- Die Maßnahmen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO, nicht fortlaufende Kennungen und getrennte Datenebenen eingeschlossen.
- Die Übersicht, wer diese Daten in Ihrem Auftrag verarbeitet: Das Pixel gehört der Versandplattform, die Rollen sind aber im Einzelfall nach der Rechenschaftspflicht zu bestimmen (Art. 5 Abs. 2 DSGVO), einschließlich der Prüfung von Art. 26 zur gemeinsamen Verantwortlichkeit. Der Vertrag ist vor dem Termin zu lesen, nicht danach.
Die Frist läuft nicht ab dem Datum der Maßnahme. Die Leitlinien setzen sechs Monate ab ihrer Veröffentlichung im italienischen Amtsblatt; veröffentlicht wurden sie am 29. April 2026, der Termin ist damit der 29. Oktober 2026. Die eigentliche Arbeit ist nicht technisch, sondern eine Entscheidung: festlegen, welche Kennzahlen wirklich gebraucht werden, und die übrigen abschalten. Jede ohne Einwilligung erfasste Öffnung ist eine Verarbeitung ohne Rechtsgrundlage.
-
Produkthaftung: die Dokumentation als Verteidigung
- Rechtsgrundlage
- Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte, Art. 9, 10 und 22
- Wen es betrifft
- Hersteller im Sinne der Richtlinie: wer ein Produkt entwickelt, herstellen lässt oder durch Anbringen seines Namens oder seiner Marke als Hersteller auftritt (Art. 4 Nr. 10). Software und KI-Systeme sind ausdrücklich Produkte (Art. 4 Nr. 1); wer eine fehlerhafte Komponente liefert, haftet daneben (Art. 8 Abs. 1 Buchst. b).
Was vorliegen muss
- Die technische Dokumentation des Produkts, auf gerichtliche Anordnung vorlegbar. Wer relevante Beweismittel nicht offenlegt, gegen den wird die Fehlerhaftigkeit vermutet (Art. 9 Abs. 1 in Verbindung mit Art. 10 Abs. 2 Buchst. a).
- Protokolle der Entscheidungen und die Spur der menschlichen Kontrolle bei kritischen Vorgängen: Damit lässt sich zeigen, was das System entschieden hat und warum.
- Verträge mit den Anbietern von Modellen und Plattformen, die festlegen, wer im Streitfall welche Beweismittel liefert und in welcher Frist.
Der 9. Dezember 2026 ist die Frist zur Umsetzung in nationales Recht (Art. 22 Abs. 1). Die Richtlinie gilt für Produkte, die nach dem 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1 in der Fassung der Berichtigung im Amtsblatt L 2026/90364 vom 7. Mai 2026); für ältere Produkte bleibt es bei der Richtlinie 85/374/EWG. Wie weit die Umsetzung im einzelnen Mitgliedstaat gediehen ist, ändert an der Vorbereitung wenig: Art. 3 lässt den Mitgliedstaaten keinen Spielraum, weder nach oben noch nach unten, sodass Offenlegung und Beweisvermutung überall gleich ausfallen. Vorzubereiten ist deshalb kein nationaler Text, sondern die Fähigkeit, die Unterlagen zu einem Produkt aus dem Jahr 2027 auch 2037 noch vorzulegen: Die Ausschlussfrist beträgt zehn Jahre ab Inverkehrbringen, bei Körperverletzungen mit Latenzzeit 25 Jahre (Art. 17).
-
Datenverordnung: die Wechselentgelte für Cloud-Dienste fallen weg
- Rechtsgrundlage
- Verordnung (EU) 2023/2854 (Datenverordnung), Art. 29 Abs. 1 und 2, mit der Begriffsbestimmung in Art. 2 Nr. 36
- Wen es betrifft
- Anbieter von Datenverarbeitungsdiensten – Cloud und Edge – und ihre Kunden, Unternehmen wie Behörden.
Was vorliegen muss
- Die neu geschriebene Preisliste: „Ab dem 12. Januar 2027 erheben Anbieter von Datenverarbeitungsdiensten für den Wechselvorgang keine Wechselentgelte vom Kunden“ (Art. 29 Abs. 1). Bis dahin sind allein ermäßigte Entgelte zulässig, die die unmittelbar mit dem Wechselvorgang verbundenen Kosten des Anbieters nicht übersteigen dürfen (Abs. 2 und 3).
- Die vorvertraglichen Angaben nach Art. 29 Abs. 4: übliche Dienstentgelte, Vertragsstrafen bei vorzeitiger Kündigung und die im Übergangszeitraum geltenden ermäßigten Wechselentgelte, dem Interessenten vor Vertragsschluss mitgeteilt und in einem eigenen Bereich der Website zugänglich gemacht (Abs. 6).
- Den Hinweis nach Art. 29 Abs. 5, wo er einschlägig ist: welche Dienste einen besonders komplexen oder kostspieligen Wechsel bedeuten oder einen Wechsel ohne erhebliche Eingriffe in die Datenarchitektur unmöglich machen.
- Für den Kunden: die Messung dessen, was der Ausstieg heute kostet, Dienst für Dienst – die Entgelte für die Datenausfuhr sind ausdrücklich erfasst –, und die Rechnungsposition, die es ab dem 12. Januar 2027 nicht mehr geben darf.
Die Reichweite des Verbots steht in der Begriffsbestimmung, nicht im Artikel: „Wechselentgelte“ sind Entgelte, die keine üblichen Dienstentgelte oder Vertragsstrafen für vorzeitige Kündigung sind und die für die nach der Verordnung gebotenen Handlungen beim Wechsel zu einem anderen Anbieter oder zu einer lokalen IKT-Infrastruktur erhoben werden, „einschließlich Entgelten für die Datenausfuhr“ (Art. 2 Nr. 36). Die laufenden Entgelte bleiben; der Wegzoll fällt. Eine Grenze ist allerdings vorher zu lesen: Art. 31 Abs. 1 nimmt Art. 29 aus für Datenverarbeitungsdienste, «bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden», sofern sie «nicht im größeren kommerziellen Maßstab über den Dienstleistungskatalog der Anbieter von Datenverarbeitungsdiensten angeboten werden». Bis Januar bleibt Zeit, das Verbot in eine geschriebene Vertragsklausel zu überführen statt in einen Rechtsstreit.
-
Maschinenverordnung: die Betriebsanleitung entscheidet über die CE-Kennzeichnung
- Rechtsgrundlage
- Die Maschinenverordnung – Verordnung (EU) 2023/1230 –, die zum selben Datum die Maschinenrichtlinie 2006/42/EG aufhebt; Betriebsanleitung nach Art. 10 Abs. 7 und Anhang III Nr. 1.7.4
- Wen es betrifft
- Hersteller von Maschinen, dazugehörigen Produkten und unvollständigen Maschinen sowie Einführer und Händler, die auf dem Unionsmarkt in Verkehr bringen oder bereitstellen. Für Hersteller mit Sitz in der Schweiz gilt dasselbe, sobald das Produkt in der EU in Verkehr gebracht wird.
Was vorliegen muss
- Eine Betriebsanleitung nach Anhang III Nr. 1.7.4: Angaben zum Hersteller, Beschreibung, bestimmungsgemäße Verwendung und vernünftigerweise vorhersehbare Fehlanwendung, Montage, Inbetriebnahme, Verwendung, Wartung, Restrisiken.
- Die vom Mitgliedstaat der Verwendung festgelegte Sprache, für die Nutzer leicht verständlich; auf Verlangen zum Zeitpunkt des Kaufs eine kostenlose Papierfassung innerhalb eines Monats; für nichtprofessionelle Nutzer die wesentlichen Sicherheitsinformationen stets auf Papier (Art. 10 Abs. 7).
- Wenn die Betriebsanleitung nur digital vorliegt: online zugänglich während der voraussichtlichen Lebensdauer der Maschine und in jedem Fall mindestens zehn Jahre nach dem Inverkehrbringen, in einem Format, das der Nutzer ausdrucken, herunterladen und auf einem Gerät speichern kann – erreichbar auch dann, wenn die Maschine ausgefallen ist.
- Die Anforderungen an den Schutz gegen Korrumpierung und an Sicherheit und Zuverlässigkeit von Steuerungen (Anhang III Nrn. 1.1.9 und 1.2.1). Sicherheitsbauteile und eingebettete Systeme mit vollständig oder teilweise selbstentwickelndem Verhalten auf Grundlage maschinellen Lernens stehen in Anhang I Teil A: Ihre Konformitätsbewertung führt eine notifizierte Stelle durch, nicht der Hersteller allein.
Ohne konforme Betriebsanleitung gibt es keine gültige EU-Konformitätserklärung, ohne Erklärung keine CE-Kennzeichnung. Das ist keine Sanktion nach einer Kontrolle, sondern eine Sperre am Tag des Inverkehrbringens. Die Verordnung gilt unmittelbar; die nationale Durchführung regelt in Deutschland das Gesetz zur Durchführung der Verordnung (EU) 2023/1230 (MaschinenDG).
-
Rechenzentren: die jährliche Nachhaltigkeitsmeldung
- Rechtsgrundlage
- Richtlinie (EU) 2023/1791 über die Energieeffizienz, Art. 12, und Delegierte Verordnung (EU) 2024/1364, Art. 3 Abs. 1
- Wen es betrifft
- Eigentümer und Betreiber von Rechenzentren in der Union mit einem Leistungsbedarf für die installierte Informationstechnologie von mindestens 500 kW: Unternehmens-, Co-Location- und Co-Hosting-Rechenzentren. Meldende Stelle ist nach der delegierten Verordnung der Betreiber.
Was vorliegen muss
- Die Werte des Kalenderjahres 2026, gemessen und nicht geschätzt: Gesamtenergieverbrauch und Energieverbrauch allein der IT-Geräte, Wasser- und Trinkwassereinsatz, wiederverwendete Abwärme und deren Temperatur, erneuerbare Energie getrennt nach Herkunftsnachweisen, Strombezugsverträgen und Erzeugung vor Ort (Anhang II Nr. 1).
- Die Aufzeichnungen über die verwendeten Messpunkte und Messgeräte, die Anhang II mindestens zehn Jahre lang aufzubewahren verlangt: Sie belegen, woher die gemeldeten Zahlen stammen.
- Die IKT-Kapazität von Servern und Datenspeicherprodukten zum 31. Dezember des Berichtsjahres (Anhang II Nr. 2). Für Co-Location-Rechenzentren galt die Erleichterung des Art. 3 Abs. 3 nur für die ersten beiden Berichtszeiträume – hier greift sie nicht mehr.
- Den öffentlichen Teil: Art. 12 Abs. 1 der Richtlinie verlangt, die Angaben nach Anhang VII zu veröffentlichen, ausgenommen das, was dem Schutz von Betriebs- und Geschäftsgeheimnissen unterliegt. Was darunter fällt, ist vorher zu entscheiden und schriftlich festzuhalten, nicht erst vor einer Kontrolle.
Die Pflicht ist jährlich. Die Übermittlung läuft über das nationale Berichterstattungssystem, wenn der Mitgliedstaat, in dem das Rechenzentrum steht, eines eingerichtet hat, sonst unmittelbar an die Europäische Datenbank. Die Schwelle bemisst sich an der installierten IT-Leistung, nicht an der Fläche: Ein einzelner Technikraum kann sie überschreiten. Wer seine Systeme bei einem Anbieter betreibt, ist nicht der Verpflichtete – dieselben Zahlen sollte er sich aber vertraglich zusichern lassen.
-
Entgelttransparenz: der erste Bericht über das Entgeltgefälle
- Rechtsgrundlage
- Richtlinie (EU) 2023/970 über Entgelttransparenz, Art. 9 und 10; in Italien umgesetzt durch das Legislativdekret Nr. 96 vom 7. Mai 2026, Art. 9 Abs. 9 (Fristen und Turnus) und Abs. 8 (Schwelle von 100 Beschäftigten), Art. 10 und 11
- Wen es betrifft
- Arbeitgeber mit 250 oder mehr Arbeitnehmern, jährlich, und Arbeitgeber mit 150 bis 249 Arbeitnehmern, mit demselben ersten Termin und danach alle drei Jahre. Für 100 bis 149 beginnt es am 7. Juni 2031 (Art. 9 Abs. 2 bis 4 der Richtlinie). Die Termine sind in allen Mitgliedstaaten dieselben; abweichen können nur die nationalen Ausführungsregeln.
Was vorliegen muss
- Die Gruppen von Arbeitnehmern, die gleiche oder gleichwertige Arbeit verrichten, vom Arbeitgeber nach schriftlich festgelegten Kriterien gebildet.
- Das geschlechtsspezifische Entgeltgefälle und das mittlere Entgeltgefälle nach der Median-Entgelthöhe, die Verteilung über die Entgeltquartile und die ergänzenden oder variablen Bestandteile, je Gruppe (Art. 9 Abs. 1).
- Objektive und geschlechtsneutrale Kriterien für Eingruppierung und Fortkommen, festgelegt bevor ein Unterschied gerechtfertigt werden muss: Liegt der Unterschied in einer Gruppe bei mindestens 5 Prozent, ist er nicht auf solche Kriterien gestützt und nicht innerhalb von sechs Monaten nach der Berichterstattung korrigiert, folgt die gemeinsame Entgeltbewertung mit den Arbeitnehmervertretern (Art. 10 Abs. 1).
- Das Verzeichnis der Auswertungen und ein Zugang, der auf die Zwecke der Entgeltgleichheit beschränkt bleibt (Art. 11 des italienischen Dekrets). Die Richtigkeit der Angaben bestätigt die Leitungsebene nach Anhörung der Arbeitnehmervertreter (Art. 9 Abs. 6 der Richtlinie).
Eine Pflicht gilt bereits seit dem Ablauf der Umsetzungsfrist am 7. Juni 2026, ohne Größenschwelle: Art. 7 der Richtlinie gibt jedem Arbeitnehmer das Recht, die durchschnittlichen Entgelthöhen nach Geschlecht für die eigene und für gleichwertige Tätigkeiten schriftlich zu verlangen, mit Antwort innerhalb von zwei Monaten. Klauseln, die es Arbeitnehmern verwehren, das eigene Entgelt offenzulegen, sind unzulässig. Der heikle Teil ist die Auswertung selbst: Wer sie rechnet, sieht die Entgeltdaten der gesamten Belegschaft.
-
NIS in Italien: das kategorisierte Verzeichnis der Tätigkeiten und Dienste
- Rechtsgrundlage
- Italien: Legislativdekret Nr. 138 vom 4. September 2024, Art. 30 Abs. 1, mit Art. 42 Abs. 2 und der ACN-Verfügung Nr. 155238/2026
- Wen es betrifft
- Wesentliche und wichtige Einrichtungen im italienischen NIS-Verzeichnis, öffentliche wie private.
Was vorliegen muss
- Das Verzeichnis aller ausgeübten Tätigkeiten und aller erbrachten Dienste, intern wie extern, geordnet nach den zehn Bereichen des ACN-Modells, jeweils mit Bezeichnung, Beschreibung und Relevanzkategorie: hohe, mittlere, geringe oder minimale Auswirkung.
- Die schriftliche Bewertung hinter jeder Abweichung. Die dem Bereich vorab zugeordnete Relevanzkategorie lässt sich ändern, aber nur auf Grundlage einer eigenen Bewertung der Folgen einer Kompromittierung, und diese Bewertung ist aufzubewahren: Sie ist das Dokument, nach dem gefragt wird, nicht die Kategorie.
- Die Abstimmung mit bereits vorgenommenen Einstufungen: Wer Daten und Dienste nach Art. 3 der Cloudverordnung der ACN eingestuft hat, verwendet jenes Modell statt dieses, und beide Einstufungen müssen über die Zeit zusammenpassen. Tätigkeiten und Dienste im nationalen Cybersicherheitsperimeter erhalten von Amts wegen die Kategorie „hohe Auswirkung“ und werden hier nicht aufgeführt.
- Die Übermittlung über die digitale Plattform der Agentur innerhalb des Fensters: Es öffnet am 1. Mai und schließt am 30. Juni, und es wird nicht wieder geöffnet.
Die Pflicht ist jährlich – vom 1. Mai bis zum 30. Juni – und gilt ab dem Kalenderjahr 2026: Das erste Fenster schloss am 30. Juni 2026, dies ist das zweite. Es ist keine Formsache. Die Relevanzkategorie misst, welche Folgen die Kompromittierung einer Tätigkeit oder eines Dienstes für die Fähigkeit der Einrichtung hätte, gerade die Leistungen zu erbringen, wegen derer sie unter NIS fällt; sie ist erklärtermaßen die Grundlage für die Sicherheitsmaßnahmen nach Art. 24 Abs. 1. Dort entscheidet sich, wie tief jeder einzelne Teil geschützt werden muss. Wer im Mai ohne aktuelles Verzeichnis anfängt, füllt aus dem Gedächtnis ein Dokument aus, das anschließend die eigenen Maßnahmen bindet.
-
Datenverordnung: die Missbrauchskontrolle erreicht die Altverträge
- Rechtsgrundlage
- Verordnung (EU) 2023/2854 (Datenverordnung), Kapitel IV – Art. 13 –, anwendbar nach Art. 50 Unterabs. 6
- Wen es betrifft
- Unternehmen, die einem anderen Unternehmen Klauseln über Datenzugang und Datennutzung einseitig auferlegt haben, und Unternehmen, denen solche Klauseln auferlegt wurden.
Was vorliegen muss
- Die Auswahl der erfassten Verträge: die am 12. September 2025 oder davor geschlossenen, sofern sie unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 auslaufen, also nicht vor dem 11. Januar 2034 (Art. 50 Unterabs. 6). Andere Altverträge bleiben außen vor.
- Die Durchsicht Klausel für Klausel am Maßstab des Art. 13: Missbräuchlich ist eine einseitig auferlegte Klausel, deren Verwendung „in einem solchen Maße von der guten Handelspraxis beim Datenzugang und der Datennutzung abweicht, dass sie gegen das Gebot von Treu und Glauben verstößt“ (Abs. 3). Abs. 4 zählt die stets missbräuchlichen Klauseln auf, Abs. 5 die vermutet missbräuchlichen.
- Die Rechtsfolge daneben notiert: Die missbräuchliche Klausel ist für das Unternehmen, dem sie auferlegt wurde, „nicht bindend“ (Abs. 1). Man muss vorher wissen, welche Teile des Vertrags wegfallen und was stehen bleibt.
- Die rechtzeitig begonnene Nachverhandlung dort, wo die Klausel die eigene ist: Nach dem 12. September 2027 wird sie nicht verteidigt, sie ist verloren.
Es ist die Frist, die niemand einträgt, weil sie keine Meldung verlangt: Sie verlangt zu wissen, was in vor Jahren unterschriebenen Verträgen tatsächlich steht. Für nach dem 12. September 2025 geschlossene Verträge gilt Kapitel IV bereits; am 12. September 2027 erreicht dieselbe Kontrolle den Bestand, aber nur die langen Verhältnisse – unbefristet oder mit Ablauf nicht vor dem 11. Januar 2034. Wer die Klauseln gestellt hat, hat gut ein Jahr, sie neu zu fassen; wer sie hinnehmen musste, zu wissen, welche fallen.
-
DORA-Informationsregister: jährliche Übermittlung an die Banca d’Italia bis zum 15. März
- Rechtsgrundlage
- Verordnung (EU) 2022/2554, Art. 28 Abs. 3 und 9; Durchführungsverordnung (EU) 2024/2956; Mitteilung der Banca d’Italia vom 13. Februar 2026
- Wen es betrifft
- Finanzunternehmen im Sinne von Art. 2 der Verordnung (EU) 2022/2554, die von der Banca d’Italia beaufsichtigt werden
Was vorliegen muss
- Das vollständige Verzeichnis aller vertraglichen Vereinbarungen über IKT-Dienstleistungen von Drittanbietern, geführt und aktualisiert auf Unternehmensebene sowie teilkonsolidiert und konsolidiert, wie Art. 28 Abs. 3 es verlangt.
- Die Unterscheidung, Vereinbarung für Vereinbarung, zwischen IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen und allen übrigen: eine Risikoeinstufung, keine technische Klassifizierung.
- Die Position jedes Anbieters in der Lieferkette: Art. 2 der Durchführungsverordnung weist dem direkten Anbieter stets „1“ zu und jedem weiter nachgelagerten Unterauftragnehmer eine höhere Zahl.
- Nur jene Unterauftragnehmer, die tatsächlich zu den Diensten zur Unterstützung kritischer oder wichtiger Funktionen beitragen: Der Filter steht in Art. 3 Abs. 2 Buchst. b und setzt voraus, dass bereits bekannt ist, welche Funktionen kritisch sind.
- Ein gültiger und aktiver LEI oder eine EUID für jeden im Register geführten Unterauftragnehmer: Art. 3 Abs. 6 legt dies dem Finanzunternehmen auf, das sie über den direkten Anbieter beschaffen muss.
Das Datum steht nicht in der europäischen Verordnung, die nur den jährlichen Rhythmus vorgibt: Die Banca d’Italia hat es mit ihrer Mitteilung vom 13. Februar 2026 festgelegt — Übermittlung bis zum 15. März jedes Jahres, Stichtag ist der 31. Dezember des Vorjahres, über die Plattform INFOSTAT. Die erste Erhebung fand im April 2025 statt.
-
CBAM: Die erste Jahreserklärung umfasst das gesamte Jahr 2026, wenn der Schwellenwert überschritten wurde
- Rechtsgrundlage
- Verordnung (EU) 2023/956, Art. 6 Abs. 1 und Art. 2a in der Fassung der Verordnung (EU) 2025/2083; Anhang VII Nummer 1; Geltungsbeginn nach Art. 36 Abs. 2
- Wen es betrifft
- Einführer von Zement, Eisen und Stahl, Aluminium, Düngemitteln, Strom und Wasserstoff aus Drittländern sowie die indirekten Zollvertreter, die für nicht in der Union ansässige Einführer handeln
Was vorliegen muss
- Die kumulierte Nettomasse der im Kalenderjahr eingeführten Waren, über alle KN-Codes und je Einführer zusammengerechnet: Der Schwellenwert nach Anhang VII beträgt 50 Tonnen und wird weder je Sendung noch je Lieferant gemessen.
- Die spezifischen grauen Emissionen jeder Ware, die in der Anlage des Herstellers im Drittland entstehen: Anhang IV Nummer 2 verlangt einen anlagenspezifischen Wert; fehlt er, bleiben nur die Standardwerte, die in der Regel teurer sind.
- Die Zollanmeldung jeder Sendung, die häufig beim Spediteur oder beim indirekten Zollvertreter liegt und nicht im Unternehmen.
- Die im Voraus getroffene Einschätzung: Art. 5 Abs. 1b verlangt den Antrag auf Zulassung von denjenigen, die eine Überschreitung erwarten, nicht von denen, die sie bereits überschritten haben.
- Das Bewusstsein, dass die Überschreitung rückwirkt: Wer den Schwellenwert überschreitet, haftet für sämtliche graue Emissionen aller in diesem Kalenderjahr eingeführten Waren, auch für die bereits abgeschlossenen Monate.
Das Datum ist geschrieben, nicht berechnet: Art. 6 Abs. 1 bestimmt „bis zum 30. September jedes Jahres, erstmals im Jahr 2027 für das Jahr 2026“. Bis zum selben Datum verlangt Art. 22 Abs. 1 auch die Abgabe der Zertifikate.
-
Cyberresilienz-Verordnung: technische Dokumentation und Software-Stückliste
- Rechtsgrundlage
- Verordnung (EU) 2024/2847, Art. 13, 28, 30, 31 und 32, Anhänge I und VII
- Wen es betrifft
- Hersteller von Produkten mit digitalen Elementen, die auf dem Unionsmarkt in Verkehr gebracht werden.
Was vorliegen muss
- Die technische Dokumentation nach Art. 31 mit dem Mindestinhalt des Anhangs VII, je Produktfamilie und Version für Version fortgeschrieben: allgemeine Beschreibung, Architektur, Behandlung von Schwachstellen, Risikobewertung, angewandte Normen, Prüfberichte.
- Die Software-Stückliste in einem gängigen, maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen (Anhang I Teil II Nr. 1).
- Den festgelegten und begründeten Unterstützungszeitraum: mindestens fünf Jahre, sofern das Produkt nicht voraussichtlich kürzer im Betrieb ist (Art. 13 Abs. 8). Die Informationen, die zu dieser Festlegung geführt haben, gehören in die Dokumentation nach Anhang VII.
- Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung, in dieser Reihenfolge (Art. 32, 28 und 30). Dokumentation und Erklärung bleiben nach dem Inverkehrbringen mindestens zehn Jahre lang für die Marktüberwachungsbehörden verfügbar, oder für die Dauer des Unterstützungszeitraums, wenn dieser länger ist (Art. 13 Abs. 13).
- Die Software-Stückliste als vertrauliches Dokument eingestuft, bevor das erste begründete Verlangen kommt: wer sie sehen darf, über welchen Weg sie übermittelt wird, wo sie abgelegt ist. Das ist zugleich die den Umständen nach angemessene Geheimhaltungsmaßnahme, ohne die eine Information kein Geschäftsgeheimnis ist (§ 2 Nr. 1 Buchst. b GeschGehG).
Bei den „wichtigen“ Produkten des Anhangs III und den „kritischen“ des Anhangs IV verlässt die Dokumentation das Haus und landet auf dem Tisch einer notifizierten Stelle.
-
Packaging Regulation (PPWR): the general obligations are applicable
- Rechtsgrundlage
- Regulation (EU) 2025/40, arts. 15-20, 38-39, 44-45, 71
- Wen es betrifft
- Manufacturers, importers, distributors and fulfilment service providers placing or making packaging available on the EU market; producers subject to extended producer responsibility in each Member State where they first sell.
Was vorliegen muss
- The EU declaration of conformity (art. 39) and the technical documentation of Annex VII, drawn up before placing on the market (art. 15(2)) and kept for five years for single-use packaging, ten for reusable, from the date of placing on the market (art. 15(3)).
- The proof behind every sustainability requirement claimed: substances of concern and PFAS (art. 5), recyclability (art. 6), recycled content (art. 7), minimisation (art. 10) — each one “demonstrated in the technical documentation” of Annex VII, article by article.
- The producer’s registration in the national register of each Member State where it first places packaging or packaged products on the market (art. 44), a precondition for extended producer responsibility (art. 45); distributors must check it before making the packaging available (art. 19(2)).
The regulation repeals Directive 94/62/EC from 12 August 2026 (art. 70) and applies from that date (art. 71), except art. 67(5), which applies from 12 February 2029. Many detailed requirements carry their own, later dates: the harmonised label from 12 August 2028 (art. 12), recyclability thresholds from 1 January 2030 and 1 January 2038 (art. 6), minimum recycled content from 1 January 2030 and 1 January 2040 (art. 7), minimisation from 1 January 2030 (art. 10). Penalties are set by the Member States by 12 February 2027 (art. 68): the regulation itself fixes no amounts.
-
DataMatrix on medicines: the old seal can no longer substitute
- Rechtsgrundlage
- Legislative Decree No. 10 of 6 February 2025, Art. 13(4), (6) and (9) (transposing Delegated Regulation (EU) 2016/161)
- Wen es betrifft
- Manufacturers, wholesalers, pharmacies and healthcare facilities handling medicinal products subject to the unique-identifier regime.
Was vorliegen muss
- Proof that the unique identifier (DataMatrix) is applied and activated on every pack from the production line onwards, no longer replaceable by the State Mint’s pharmaceutical seal.
- The log of authenticity checks and deactivations along the chain — manufacturer, wholesaler, pharmacy — required by Articles 7 and 10 of the decree.
- Reconciliation between systems that today do not talk to each other: the national repository, the central database, the National Health Card System and pharmacy systems.
The stabilisation period runs from 9 February 2025 to 8 February 2027 (Art. 13(4)): until then the identifier may be replaced by the old seal (paragraph 6). From 9 February 2027 the Article 10 penalties become fully applicable again (paragraph 9), from €10,000 to €140,000 per batch depending on the breach. An Osservatorio GIMBE Report No. 4/2026 found, as of 8 June 2026, four of the decree’s nine implementing measures still not adopted.
-
Battery passport: the electronic file becomes mandatory
- Rechtsgrundlage
- Regulation (EU) 2023/1542, Art. 77
- Wen es betrifft
- Anyone placing on the market, or putting into service, LMT batteries, industrial batteries with a capacity greater than 2 kWh, and electric vehicle batteries.
Was vorliegen muss
- The battery model’s material composition — chemistry, hazardous substances, critical raw materials — as it stands in the bill of materials, ready for Annex XIII, point 1(b).
- The carbon footprint declaration per manufacturing plant (Art. 7) and, for operators above EUR 40 million in net turnover, the annual public report on the due-diligence policy for critical raw materials (Arts. 48, 51 and 52), verified by a notified body.
- State-of-health data and durability parameters for the individual battery, already held in the on-board management system since 18 August 2024 (Art. 14), and a new, linked passport for every battery that is repaired, reconditioned or given a second life (Art. 77(7)).
The regulation is directly applicable, with no transposing decree. The passport introduces no new data: it brings together, in one file accessible via QR code, data the regulation already requires elsewhere — data that today still sits scattered across PLM, the environmental office, procurement and the on-board management system. Penalties are set by the Member States by 18 August 2025 (Art. 93): not verified against a primary source for Italy, nor is the national market surveillance authority.
Zwei Termine, die keine neuen Dokumente verlangen, sie aber voraussetzen.
Am 2. Dezember 2027 gelten die Pflichten für Hochrisiko-KI-Systeme nach Anhang III der KI-Verordnung – Verordnung (EU) 2024/1689 –; am 2. August 2028 die Pflichten für KI-Systeme, die in bereits regulierte Produkte eingebaut sind, die Maschinenverordnung eingeschlossen. Der vollständige Kalender, mit den italienischen Terminen daneben, steht im anderen Leitfaden.
KI-Verordnung: alle Fristen der Reihe nach
Der erste Schritt
Ab der ersten Woche im Betrieb.
Ein realer Anwendungsfall, auf Ihren Daten, im Produktivbetrieb. Danach wächst der Umfang, Woche für Woche.
Das Kontaktformular ist auf Englisch. Auf Deutsch genügt eine E-Mail an engagement@csidia.com.
Am Anfang steht ein Gespräch mit einem Ansprechpartner von CSIDIA. Die Daten bleiben bei Ihnen, immer.