Digital Omnibus Package: Der große „Reparatur-Patch" für das EU-Digitalrecht

Zusammenfassung

Am 19. November 2025 hat die Europäische Kommission das lang erwartete Digital Omnibus Package vorgestellt. Das Ziel: Die zentralen Bausteine des europäischen Digitalrechts (Data Act, DSGVO, AI Act, NIS2, DORA, eIDAS, CER) zu entflechten, zu vereinfachen und besser zu verzahnen.

Die Kernpunkte versprechen echte Entlastung:

• Ein einheitlicher Meldekanal („Single Entry Point") für Sicherheitsvorfälle und Datenpannen.
• Die Bündelung verschiedener Daten-Regularien direkt im Data Act.
• Gezielte Anpassungen der DSGVO (u. a. pragmatischere Meldefristen, Klarstellungen bei Pseudonymisierung).
• Erleichterungen im AI Act für KMU und vereinfachte Konformitätsbewertungen.

Kritiker warnen zwar vor einer Aufweichung des Schutzniveaus, doch aus Wirtschaftsperspektive ist das Paket der notwendige Schritt, um die Compliance-Last handhabbar zu machen.

Analyse und Bewertung

Management-Perspektive: Konsolidierung statt Revolution

Das Digital Omnibus ist kein neues Gesetz, sondern ein massives „Refactoring" des bestehenden Rechtsrahmens.

Keine neuen Pflichten, sondern Anpassung: Die Herausforderung liegt nicht in neuen Hürden, sondern darin, bestehende Governance-Strukturen (ISMS, Datenschutz, AI-Compliance) so umzubauen, dass sie die Vereinfachungen auch nutzen können.

Meldewesen als Effizienzhebel: Der geplante Single Entry Point beendet hoffentlich das Chaos der Mehrfachmeldungen (z.B. ein Vorfall, der gleichzeitig an BSI, Landesdatenschützer und BaFin gemeldet werden musste). Das spart Ressourcen, erfordert aber zentralisierte Prozesse.

Rechtssicherheit: Die Harmonisierung von Definitionen (was genau ist ein „High Impact"-Vorfall über alle Gesetze hinweg?) reduziert juristische Grauzonen.

Technische und Governance-Perspektive

Für IT- und Compliance-Abteilungen bedeutet das Omnibus Aufräumarbeit, im positiven Sinne. Für den KI-Teil ist diese Arbeit jetzt konkret terminiert (siehe Update-Hinweis oben), für die übrigen Bereiche weiterhin vorbereitend.

Data Act als Zentrum: Die Bündelung von Free Flow of Data und Open Data im Data Act schafft eine zentrale "Wahrheit" für Datennutzung, Trade Secrets und B2G-Zugriffe.

DSGVO-Update (weiterhin Vorschlag, Stand 09/2026): Die Verlängerung der Meldefristen für Datenschutzverletzungen (Vorschlag: 96 statt 72 Stunden bei bestimmten Risiken) und die Integration der Cookie-Regeln direkt in die Verordnung sollen das operative Tagesgeschäft erleichtern — final verabschiedet ist dieser Teil des Pakets nach unserer Recherche noch nicht.

Unified Reporting: SIEM-, Ticket- und GRC-Systeme müssen angepasst werden. Statt verschiedener Formulare für NIS2, DORA und DSGVO wird ein harmonisierter Datensatz ("Golden Record" des Vorfalls) benötigt.

Risikoeinschätzung: Für den KI-Teil liegen die finalen Texte bereits vor (in Kraft seit 27.07.2026) — Priorität P1 (Umsetzung der neuen Fristen). Für DSGVO, Data Act und Meldewesen weiterhin Mittel, da „nur" Anpassung, aber hoher Koordinationsbedarf — Priorität P2 (Monitoring), bis finale Texte vorliegen.

Handlungsempfehlungen

1. Sofort (0 bis 30 Tage)

Monitoring aufsetzen: Für den KI-Teil ist der Gesetzgebungsprozess abgeschlossen (in Kraft seit 27.07.2026) — hier zählt jetzt Umsetzung statt Monitoring. Für DSGVO, Data Act und Meldewesen gilt weiterhin: Verfolgen Sie den Trilog-Prozess, da Parlament und Rat hier noch Details ändern können.

Impact-Analyse: Identifizieren Sie, wo Ihre aktuellen Projekte (Cloud-Migration, KI-Einführung) unter den bisherigen, strengeren Regeln leiden. Hier könnten sich durch das Omnibus Chancen ergeben.

Schnittstellen-Check: Zeichnen Sie eine Karte Ihrer aktuellen Meldewege. Wo melden Sie doppelt? Das ist Ihr Potenzial für den künftigen Single Entry Point.

2. Kurzfristig (1 bis 3 Monate)

Datenstrategie harmonisieren: Prüfen Sie, ob Ihre Data Governance (nach Data Act) konsistent ist. Klären Sie Regeln für Datenteilung und den Schutz von Geschäftsgeheimnissen neu.

Vorbereitung Datenschutz: Passen Sie DPIA-Vorlagen und Incident-Response-Pläne gedanklich an. Planen Sie Flexibilität ein, um auf die neuen Fristen (z. B. 96h) umschalten zu können, sobald das Gesetz greift.

Synergien nutzen: Legen Sie die Projektteams von NIS2 und AI Act zusammen. Das Omnibus bestätigt, dass diese Themen nicht isoliert betrachtet werden dürfen.

3. Strategisch (3 bis 12 Monate)

Das "Super-ISMS": Entwerfen Sie ein integriertes Compliance-Framework. Das Ziel: Ein zentrales Governance-Dach für Data Act, DSGVO, AI Act, NIS2 und DORA. Weg von Silo-Lösungen!

Architektur: Treffen Sie IT-Entscheidungen im Hinblick auf Interoperabilität. Die im Data Act verschärften Cloud-Switching-Regeln werden durch das Omnibus zementiert, Vendor Lock-in wird zum Compliance-Risiko.

Schulung: Entwickeln Sie ein Schulungskonzept, das Mitarbeitern nicht einzelne Gesetze erklärt, sondern den Lebenszyklus von Daten (Erhebung -> Schutz -> KI-Nutzung -> Vorfall -> Löschung) als ganzheitlichen Prozess vermittelt.

Zusatzinformationen

Status: Der KI-Teil ("Digital Omnibus on AI") ist seit 27.07.2026 in Kraft (VO (EU) 2026/1744). Die übrigen Bestandteile (DSGVO, Data Act, ePrivacy, NIS2/DORA-Meldewesen) befinden sich nach unserer Recherche weiterhin im Trilog-Verfahren zwischen Rat, Parlament und Kommission (Stand: 01.09.2026).

Schwerpunkte: Datenräume, Datenschutz-Vereinfachung, KI-KMU-Entlastung, harmonisiertes Meldewesen.

Chancen vs. Risiken: Große Chance auf weniger Bürokratie, aber Risiko einer Übergangsphase, in der altes und neues Recht parallel interpretiert werden müssen („Rechtsunsicherheit im Übergang").