Der Digitale Omnibus soll EU-Digitalrecht vereinfachen, ohne unternehmerische Verantwortung aufzuheben. Wie Unternehmen regulatorische Anforderungen systematisch umsetzen und Digital Trust stärken, zeigt der Gastbeitrag von Ingo Unger, DQS.
Ein Gastbeitrag von Ingo Unger, Experte für Information Security Management Systeme (ISMS), DQS
Das Ziel der EU ist es, einen verlässlichen Rahmen zu schaffen, der Datenschutz und Datensicherheit gewährleistet und das Vertrauen in digitale Technologien stärkt, ohne durch komplexe oder starre Regeln die Innovationsfähigkeit der Unternehmen zu bremsen. Bisher wuchs die Zahl der EU-Digitalrechtsakte vor allem an, Unternehmen beklagen sie zunehmend als unübersichtliche bürokratische Hürden.
Der „Digitale Omnibus“ soll nun gleich mehrere EU-Regelungen harmonisieren und die Umsetzung vereinfachen. Was Unternehmen jetzt wissen sollten und wie sie sich vorbereiten können.
Digitaler Omnibus
Der „Digitalen Omnibus“ ist ein Reformpaket der EU-Kommission, das bestehende Digitalgesetze harmonisieren, Doppelregulierungen abbauen und bürokratische Hürden reduzieren soll, um Unternehmen die Einhaltung regulatorischer Anforderungen zu erleichtern, ohne ihre Verantwortung für Compliance, Informationssicherheit und KI-Governance aufzuheben.
Geschäftsbeziehungen beruhen heute zunehmend auf digitalen Infrastrukturen, Datenaustausch und vernetzten Prozessen. Damit wird Digital Trust zum entscheidenden Faktor: das Vertrauen in die Sicherheit und Verlässlichkeit der eingesetzten Technologien ebenso wie in den verantwortungsvollen Umgang der Geschäftspartner mit Daten und Anwendungen. Die gegenseitigen Erwartungen sind hoch.
Doch was nützt eine umfangreiche Digitalgesetzgebung, wenn Unternehmen den Überblick verlieren, welche Regeln für sie sinnvoll oder gar Pflicht sind? Mit dem „Digitalen Omnibus“ will die EU-Kommission der wachsenden Zahl an Gesetzen nun Rechnung tragen. Das Reformpaket, welches aktuell in den zuständigen EU-Institutionen finalisiert wird, soll mehrere Digitalrechtsakte harmonisieren, Doppelregulierungen abbauen und mehr Klarheit schaffen. Das könnte verändern, wie Unternehmen personenbezogene Daten einordnen, für KI nutzen und Sicherheitsvorfälle melden.
Harmonisierung, aber keine Deregulierung
Mit dem „Digitalen Omnibus“ will die EU beispielsweise Regelungen aus drei Rechtsakten im Data Act zusammenführen: dem Data Governance Act, der Open-Data-Richtlinie und der Verordnung über den freien Verkehr nicht-personenbezogener Daten. Überschneidungen würden entfallen und die Gesetzgebung insgesamt übersichtlicher werden.
Außerdem sollen unter anderem der Zugang öffentlicher Stellen zu Unternehmensdaten stärker auf öffentliche Notlagen begrenzt und bestimmte Pflichten zum Cloud-Wechsel gelockert werden. Für Cyber- und Datenschutzvorfälle ist ein zentraler Meldeweg vorgesehen, über den Unternehmen mehrere Meldepflichten – etwa nach DSGVO, NIS2 und DORA – gebündelt erfüllen könnten.
Nicht ganz unumstritten ist der Vorschlag, die Definition von personenbezogenen Daten zu präzisieren: Künftig soll nicht mehr allein die Frage entscheiden, ob irgendjemand eine Person anhand der Daten identifizieren kann, sondern auch, ob das jeweilige Unternehmen auch die Mittel (z. B. notwendiges Budget, Zeit, verfügbare Technik, Zugang zu weiteren Informationen) dazu hat. Kritiker, wie zum Beispiel der Europäische Datenschutzausschuss (EDPB), sehen darin eine Reduzierung des DSGVO-Anwendungsbereichs.
Außerdem soll angepasst werden, wann Organisationen personenbezogene Daten für Entwicklung, Training, Test, Einsatz und Betrieb von KI- und Machine-Learning-Modellen nutzen können. Als Rechtsgrundlage könnte künftig “berechtigtes Interesse” genügen, wenn auch nicht pauschal: Interessenabwägung, Transparenz, Widerspruchsrecht und Schutzmaßnahmen bleiben relevant.
Der AI Act und der AI Omnibus
Mit dem AI Act hat die EU-Kommission EU-weite Regeln für die Entwicklung, die Bereitstellung und den Einsatz von KI-Systemen geschaffen. Ziel ist, Risiken für Gesundheit, Sicherheit und Grundrechte zu begrenzen. Der risikobasierte Ansatz verbietet bestimmte Anwendungen, stellt an Hochrisiko-KI besondere Anforderungen – etwa an Datenqualität, Dokumentation, menschliche Aufsicht und Sicherheit – und sieht für bestimmte Systeme Transparenzpflichten vor.
Welche Vorgaben gelten, hängt unter anderem von der Rolle des Unternehmens und dem jeweiligen KI-System ab. Wichtig zu wissen: Im Prinzip ist jedes Unternehmen KI-Betreiber im Sinne des AI Acts, das KI-Anwendungen und KI-Funktionen nutzt.
Während der „Digitale Omnibus“ noch nicht endgültig verabschiedet wurde, ist der AI Omnibus bereits seit Juli 2026 in Kraft. Diese eigenständige Änderungsverordnung vereinfacht die Umsetzung des AI Act, ohne dessen Schutzansatz aufzugeben. Zentrale Pflichten für Hochrisiko-KI-Systeme gelten nun erst später, da noch Spezifikationen und Leitlinien fehlen – ab dem 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III und ab dem 2. August 2028 für KI als Sicherheitsbauteil regulierter Produkte nach Anhang I. Für KI-Betreiber geht es dabei beispielsweise um die fachgerechte Nutzung der KI-Systeme und die qualifizierte, menschliche Aufsicht darüber.
Unabhängig von der Harmonisierung durch den AI Omnibus hat der AI Act selbst die nächste Umsetzungsstufe erreicht. Seit 2. August 2026 gelten Transparenzregeln für bestimmte KI-Systeme: Menschen sollen erkennen können, wenn sie mit KI interagieren oder KI-generierten Content bekommen. Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss betroffene Personen informieren. Bereits seit Februar 2025 gelten die meisten Verbote bestimmter KI-Praktiken und die Pflicht, KI-Kompetenz zu fördern. Nun aber können die Aufsichtsbehörden den AI Act auch praktisch durchsetzen und bei Verstößen empfindliche Bußgelder verhängen.
Digitale Regulierung strukturiert umsetzen: Die Rolle von ISO 27001 und ISO 42001
Das Reformpaket ist eine Chance, regulatorische Anforderungen und bestehende Managementsysteme besser miteinander zu verzahnen. Viele Vorschriften verlangen ähnliche Managementaufgaben, wie z. B. Risiken zu bewerten, Verantwortliche zu benennen, wirksame Kontrollen zu etablieren, Vorfälle systematisch zu behandeln und die Wirksamkeit regelmäßig zu prüfen. Ohne gemeinsame Struktur entstehen dafür leicht getrennte Prozesse, Dokumentationen und Zuständigkeiten.
ISO-Managementsysteme bieten genau solch einen Rahmen, um Zuständigkeiten und Prozesse festzulegen und in die Praxis zu überführen. Informationssicherheits-Managementsysteme (ISMS) nach ISO/IEC 27001 definieren verbindliche Anforderungen an das Sicherheitsmanagement im Unternehmen, aus denen sich dann individuell passende Maßnahmen erschließen lassen.
Zum Beispiel sollte ein Unternehmen:
- festlegen, welche Informationen und Bereiche geschützt werden,
- Risiken wie Datenverlust oder unbefugten Zugriff regelmäßig bewerten,
- entscheiden und dokumentieren, wie es diese Risiken behandelt,
- Zuständigkeiten, Sicherheitsziele und Regeln festlegen,
- prüfen, ob die Maßnahmen funktionieren, etwa durch Audits.
Der Standard nennt außerdem mögliche Schutzmaßnahmen: etwa Zugriffe nur für berechtigte Personen erlauben, Daten sichern, Sicherheitsvorfälle melden und behandeln oder Dienstleister überprüfen. Welche davon das Unternehmen wirklich umsetzt, richtet sich dann nach den konkreten Risiken und Anwendungsbereichen. Für die Entwicklung und den Einsatz von KI können Unternehmen auf das AIMS ISO/IEC 42001 zurückgreifen. Der Standard verlangt z. B., dass Unternehmen KI-Verantwortliche festlegen und die Risiken der genutzten KI-Systeme dokumentieren und kontrollieren.
Vom Digitalen Omnibus zu messbarem Digital Trust
Der „Digitale Omnibus“ vereinfacht und verschiebt einzelne Vorgaben, hebt die Verantwortung der Unternehmen für regelkonforme digitale Prozesse jedoch keineswegs auf. Anforderungen müssen weiterhin in Zuständigkeiten, Risikobewertungen, Kontrollen und überprüfbare Abläufe übersetzt werden. ISO/IEC 27001 bietet dafür einen Rahmen für Informationssicherheit, ISO/IEC 42001 für die Steuerung von KI. Beide Standards helfen, bestehende Prozesse mit regulatorischen Pflichten abzugleichen und Lücken zu erkennen. Sie ersetzen die rechtliche Prüfung zwar nicht, schaffen aber eine strukturierte Grundlage für die Umsetzung.
Über den Autor
Ingo Unger ist Experte für Digital Security bei DQS und befasst sich schwerpunktmäßig mit Cybersecurity, Digital Trust und Cyber-Resilienz. Sein fachlicher Fokus liegt auf Governance-Frameworks sowie auf der praktischen Einordnung von Standards und regulatorischen Anforderungen, etwa im Umfeld von ISMS, AIMS, CSMS, TISAX und Cybersecurity-bezogenen Regulierungen.
Zentrale Erkenntnissse der DS-Redaktion
- Harmonisierung statt Deregulierung: Der Digitale Omnibus soll EU-Digitalrecht vereinfachen, die unternehmerische Verantwortung für Compliance bleibt bestehen.
- Digital Trust als Erfolgsfaktor: Datenschutz, Informationssicherheit und verantwortungsvolle KI-Nutzung stärken Vertrauen und Wettbewerbsfähigkeit.
- Neue Anforderungen im Blick behalten: Änderungen bei Datennutzung, KI-Regulierung und Meldepflichten erfordern eine kontinuierliche Bewertung ihrer Auswirkungen.
- Managementsysteme gezielt nutzen: ISO/IEC 27001 und ISO/IEC 42001 helfen, regulatorische Anforderungen in strukturierte Prozesse, klare Zuständigkeiten und wirksame Kontrollen zu übersetzen.
- Regulierung strategisch verankern: Wer Risiken systematisch steuert, bestehende Prozesse überprüft und Umsetzungslücken frühzeitig erkennt, schafft die Grundlage für nachhaltige digitale Resilienz.
Fazit der DS-Redaktion
Der Digitale Omnibus bietet Unternehmen die Chance, regulatorische Komplexität zu reduzieren und digitale Governance effizienter auszurichten. Entscheidend ist, regulatorische Erleichterungen gezielt zu nutzen und Datenschutz, Informationssicherheit sowie KI-Governance systematisch in bestehende Managementprozesse zu integrieren. ISO/IEC 27001 und ISO/IEC 42001 schaffen dafür einen strukturierten Rahmen, um Risiken wirksam zu steuern, Compliance zu stärken und Digital Trust als strategischen Erfolgsfaktor nachhaltig zu etablieren.
Weitere Informationen
DATENSICHERHEIT.DE, 14.10.2026
KI zwar zunehmend Führungsthema, doch Governance noch häufig bei der IT angesiedelt
DATENSICHERHEIT.DE, 02.10.2026
KI im rasanten Wandel: Verantwortung schafft Akzeptanz
DATENSICHERHEIT.DE, 16.09.2026
EU AI Act: Pressure on IT and data managers in the AI sector remains high
DATENSICHERHEIT.DE.DE, 09.09.2026
KI außer Kontrolle: Shadow Agents setzen Führung unter Druck
DATENSICHERHEIT.DE, 08.05.2026
KI-Omnibus: Bitkom-Kommentar zu Kompromiss bei EU-Trilog-Verhandlungen über AI Act der EU
DATENSICHERHEIT.DE, 27.01.2026
Strategische Prioritäten für Unternehmen 2026: Informationssicherheit, Compliance und Datenschutz
