EU-Regulatorik 2026/2027: Alle Pflichten für KMU im Überblick

Von Joe Martin · 19. Juli 2026 · Regulierung

Zwischen 2026 und 2028 treten mehr EU-Regelwerke für kleine und mittlere Unternehmen in Kraft als in den zehn Jahren davor. Das Problem ist selten die einzelne Vorschrift — es ist die Gleichzeitigkeit. Wer Produkte verkauft, Software betreibt und Mitarbeiter beschäftigt, ist auf einen Schlag von einem halben Dutzend Verordnungen betroffen, die nichts voneinander wissen und jede eigene Fristen, Schwellenwerte und Nachweispflichten mitbringen.

Diese Seite sortiert die Lage. Jeder Eintrag verlinkt auf eine ausführliche Einzelanalyse mit Fristen, Schwellenwerten, konkreten Pflichten und den amtlichen Quellen.

Was zuerst fällig wird

Die nächsten Stichtage stehen dicht beieinander. Ab dem 2. August 2026 greifen die Transparenzpflichten des EU AI Act — Chatbots und KI-generierte Inhalte müssen gekennzeichnet werden. Zehn Tage später, am 12. August 2026, gilt die EU-Verpackungsverordnung PPWR EU-weit, ausdrücklich ohne KMU-Ausnahme. Bis zum 11. Oktober 2026 ist das erste Energieaudit nach EnEfG/EDL-G fällig, dessen KMU-Ausnahme mit der Novelle entfallen ist. Im Dezember 2026 folgen die neue EU-Produkthaftungsrichtlinie, unter der Software und KI wie Geräte haften, und am 30. Dezember die dreimal verschobenen Sorgfaltspflichten der EU-Entwaldungsverordnung EUDR.

Wer Produkte in Verkehr bringt

Hier ist die Dichte am höchsten. Die EU-Produktsicherheitsverordnung GPSR gilt bereits und verlangt Herstellerangaben im Shop sowie zehn Jahre Dokumentation. Der digitale Produktpass nach ESPR startet im Februar 2027 mit Batterien, Textilien und Stahl folgen. Passend dazu regelt die EU-Batterienverordnung 2023/1542 den Batteriepass ab dem 18. Februar 2027 — ebenfalls ohne Größenausnahme. Wer importiert statt herstellt, sollte den CO₂-Grenzausgleich CBAM prüfen: Ab 50 Tonnen pro Jahr braucht es eine DEHSt-Zulassung.

Wer Software, Daten oder Netze betreibt

Die NIS-2-Cybersicherheitspflicht trifft rund 29.500 Unternehmen ab 50 Mitarbeitern und macht Cybersicherheit zur Chefsache — inklusive persönlicher Haftung. Der Cyber Resilience Act macht die CE-Kennzeichnung ab Dezember 2027 zur Verkaufsbedingung für digitale Produkte. Der EU Data Act verpflichtet Hersteller vernetzter Produkte zur Datenfreigabe, mit „Data by Design" ab September 2026.

Wer Menschen beschäftigt oder berichtet

Ab 50 Beschäftigten ist die interne Meldestelle nach dem Hinweisgeberschutzgesetz Pflicht. Die Entgelttransparenz-Richtlinie bringt ab 100 Mitarbeitern Berichtspflichten und eine Beweislastumkehr. Beim CSRD-Nachhaltigkeitsbericht hat das Omnibus-Paket die große Mehrheit der KMU herausgenommen — Druck entsteht dort heute eher über die Lieferkette, etwa durch die CSDDD-Lieferkettenrichtlinie. Digitale Dienste und Online-Shops müssen seit Juni 2025 nach dem Barrierefreiheitsstärkungsgesetz WCAG 2.1 AA erfüllen. Dazu kommen die E-Rechnungspflicht ab 2027 und für Eigentümer von Gewerbeimmobilien die EPBD-Gebäuderichtlinie mit Solarpflicht ab Ende 2026.

Wie du das praktisch angehst

Der häufigste Fehler ist, alles gleichzeitig lösen zu wollen. Sinnvoller ist die umgekehrte Reihenfolge: erst prüfen, welche Regelwerke überhaupt greifen, dann nach Frist sortieren, dann das Nächstfällige abarbeiten. Die meisten Pflichten überschneiden sich in der Substanz — Dokumentation, Nachweisführung, benannte Verantwortliche. Wer diese drei Bausteine einmal sauber aufsetzt, erfüllt damit einen erheblichen Teil mehrerer Verordnungen gleichzeitig.

Für alle, die parallel noch am Fundament arbeiten: Die Grundlagen zu Firmengründung, Selbstständigkeit und Unternehmensaufbau stehen an anderer Stelle. Compliance ist kein Geschäftsmodell — sie ist die Bedingung dafür, dass eins funktioniert.

← Zurück zum Blog