Teil 30: Überblick über die wichtigsten EU-Digitalverordnungen

Marken managen.

Im Rahmen ihrer «Digitalen Agenda» hat die EU eine Vielzahl neuer Verordnungen für Daten und digitale Systeme erlassen, die weit über den Bereich der künstlichen Intelligenz hinausgehen. Diese Verordnungen schaffen eine komplexe Regulierungslandschaft, die es für Unternehmen erschwert, die für ihre Produkte und Prozesse jeweils anwendbaren Vorschriften zu identifizieren. Dieser Beitrag, Teil 30 der KI-Blogserie von VISCHER, bietet einen Überblick über die sieben wichtigsten EU-Digitalverordnungen, die zusätzlich zur DSGVO zu beachten sind. Für jede Verordnung stellen wir den Anwendungsbereich und die zentralen Pflichten dar, bewerten ihre Relevanz für Schweizer Unternehmen und erläutern die entsprechende Rechtslage in der Schweiz.

Die nachfolgend erörterten EU-Digitalverordnungen umfassen den AI Act, den Data Act, den Cyber Resilience Act, die NIS2-Richtlinie, den Digital Services Act, den Digital Markets Act und den Data Governance Act. Wir haben hierzu einen englischsprachigen Überblick erstellt, der die wesentlichen Pflichten für die den Vorschriften unterstehenden Unternehmen sowie deren Relevanz für Schweizer Unternehmen darlegt. Dieser Überblick ist Teil unseres «Data & AI Coordinator Handbook»

Link zum Handbuch

Der AI Act – Produktsicherheit, keine KI-Regulierung

Der AI Act ist eine EU-Verordnung zur Regulierung von KI-Systemen, die im Europäischen Wirtschaftsraum (EWR) in Verkehr gebracht oder in Betrieb genommen werden oder deren Output im EWR verwendet wird. Er verfolgt einen risikobasierten Ansatz zum Schutz der Gesundheit, der Produktsicherheit und der Grundrechte. Die Verordnung klassifiziert KI-Systeme nach ihrem Risiko: Während verbotene Praktiken gänzlich untersagt sind, unterliegen Hochrisikosysteme umfassenden Compliance-Anforderungen. Für Allzweck-KI-Modelle (GPAI), insbesondere solche mit systemischen Risiken, gelten wiederum spezifische Pflichten. Der AI Act ist keine allgemeine Regulierung von KI oder ihrer Nutzung, sondern vielmehr eine Produktsicherheitsverordnung. Die meisten Pflichten treffen die Anbieter von KI-Produkten. Zusätzlich bestehen Transparenzpflichten, die auch für nicht zwingend riskante KI-Systeme wie beispielsweise Chatbots, gelten können.

Künstliche Intelligenz (KI) bezeichnet Computersysteme, die nicht programmiert, sondern trainiert werden, um Muster zu erkennen und auf dieser Grundlage Output wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen zu generieren. Das Hauptmerkmal von KI ist die Autonomie: Der Output entsteht aus erlernten Mustern in den Trainingsdaten und nicht aus festen, von Menschen geschriebenen Regeln. Als KI-System gilt grundsätzlich jedes Werkzeug, jeder Online-Dienst und jede Anwendung, die solche KI-Techniken einsetzt. Weitere Einzelheiten finden Sie in unserem ausführlichen Blogbeitrag zum AI Act hier (Teil 7 unserer KI-Blogserie). Werkzeuge und Materialien zu KI finden Sie hier.

Die Schweiz verfolgt einen anderen Ansatz als die EU. Anstatt ein neues «Schweizer KI-Gesetz» zu schaffen, beabsichtigt der Bundesrat, die bestehende Gesetzgebung anzupassen, um den besonderen Herausforderungen der KI zu begegnen. Dabei orientiert er sich an der KI-Konvention des Europarats. Dieser Ansatz soll technologieneutral und prinzipienbasiert sein. Ein Gesetzesentwurf wird bis Ende 2026 erwartet, eine entsprechende Botschaft an das Parlament soll bis Mitte 2028 folgen. Bis dahin und auch danach gilt die bestehende Schweizer Gesetzgebung uneingeschränkt für den Einsatz von KI. Hierzu zählen das Schweizer Datenschutzgesetz für die Bearbeitung von Personendaten sowie das Urheber-, Haftungs- und Antidiskriminierungsrecht. Die künftige Schweizer Gesetzgebung wird sich in erster Linie darauf konzentrieren, Transparenz zu gewährleisten, Grundrechte zu schützen und Vertrauen in KI aufzubauen. Spezifische Änderungen werden bei teilautomatisierten Entscheiden, Folgenabschätzungen und der Kennzeichnung von KI-generierten Inhalten erwartet, wobei der Fokus stark auf dem öffentlichen Sektor liegt.

Der Data Act – Verfügbarmachung der von Produkten erzeugten Daten

Der Data Act ist eine EU-Verordnung, die den Zugang zu und die Weitergabe von Daten aus «vernetzten Produkten» und «verbundenen Diensten» regelt. Nutzer haben das Recht, frei auf die bei der Nutzung von vernetzten Produkten und verbundenen Diensten erzeugten Daten zuzugreifen und sie auf Anfrage an Dritte weiterzugeben, vorbehaltlich von Schutzmassnahmen wie dem Schutz von Geschäftsgeheimnissen und dem Datenschutz. «Dateninhaber» (z.B. Hersteller und Dienstleister) müssen Produkte und Dienstleistungen so gestalten, dass ein Datenzugriff möglich ist, vorvertragliche Informationen bereitstellen und auf unlautere Vertragsbedingungen verzichten. Darüber hinaus enthält der Data Act Bestimmungen, die den Wechsel zwischen Datenverarbeitungsdiensten (hauptsächlich Cloud-Anbietern) erleichtern sollen.

Ein vernetztes Produkt ist ein Hardware- oder Software-Produkt, das Daten über seine Nutzung oder Umgebung erfasst, erzeugt oder sammelt und diese digital übermitteln kann (z.B. Smart-Home-Geräte, Autos, Fitness-Tracker, Industriemaschinen mit Schnittstellen für den lokalen oder Fernzugriff auf Daten). Ein verbundener Dienst ist ein digitaler Dienst, der funktional so mit dem Betrieb oder den Merkmalen eines vernetzten Produkts verknüpft ist, dass das Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen kann (z.B. Steuerungs-Apps). Wenn Sie also ein Auto mieten, das aufzeichnet, wohin Sie gefahren sind, können Sie diese Informationen anfordern. Und wenn Sie eine Maschine kaufen, die ferndiagnostiziert werden kann, können Sie vom Anbieter verlangen, dass er die Daten auch anderen Unternehmen zugänglich macht, die konkurrierende Dienstleistungen anbieten.

In der Schweiz gibt es derzeit keine horizontalen Gesetze, die den Austausch von nicht-personenbezogenen Daten zwischen privaten Akteuren regeln. Im öffentlichen Recht gibt es das Bundesgesetz über den Einsatz elektronischer Mittel zur Erfüllung von Behördenaufgaben (EMBAG; SR 172.019), das Bestimmungen zu Open Government Data enthält, die aber nur für die Bundesverwaltung gelten. Infolge einer parlamentarischen Motion (Motion 22.3890 «Rahmengesetz für die Sekundärnutzung von Daten») wurde der Bundesrat beauftragt, ein neues Rahmengesetz zu schaffen, um die notwendigen Grundlagen für die rasche Entwicklung und Umsetzung einer Infrastruktur zu schaffen, die die Sekundärnutzung von Daten in strategischen Bereichen ermöglicht. Obwohl das federführende Bundesamt für Justiz den Data Act zur Kenntnis genommen hat, wurde noch keine Entscheidung darüber getroffen, ob und in welchem Umfang dessen Grundsätze in den künftigen Schweizer Gesetzesentwurf integriert werden. Ein neues Rahmengesetz wird nicht vor 2028 erwartet.

Der Cyber Resilience Act (CRA) – Zur Erhöhung der Sicherheit digitaler Produkte

Diese EU-Verordnung legt verbindliche Cybersicherheitsanforderungen für «Produkte mit digitalen Elementen» fest, die im EWR auf dem Markt bereitgestellt werden. Sie definiert Anforderungen für deren sicheres Design, Entwicklung, Herstellung und Wartung, um Cyberrisiken über den gesamten Lebenszyklus zu reduzieren.

Ein Produkt mit digitalen Elementen (PDE) ist eine Hardware oder Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden ist und dadurch Cyberbedrohungen ausgesetzt sein kann (z.B. Browser, Router, Smartphones, Passwort-Manager, Fitness-Tracker, industrielle Steuerungssysteme – voraussichtlich die meisten elektronischen Produkte einschliesslich Software). Die Anforderungen umfassen den gesamten Lebenszyklus und beinhalten ein kontinuierliches Schwachstellenmanagement, die Bereitstellung von Sicherheitsupdates für einen festgelegten Zeitraum sowie die obligatorische Meldung von Vorfällen an die zuständigen Behörden, um einen fortlaufenden Schutz und eine Widerstandsfähigkeit gegen Cyberangriffe zu gewährleisten.

In der Schweiz gibt es derzeit keine zum Cyber Resilience Act äquivalente Regelung. Der Bundesrat hat im August 2025 das Bundesamt für Cybersicherheit (BACS) beauftragt, einen entsprechenden Gesetzesentwurf auszuarbeiten, der bis Herbst 2026 in die Vernehmlassung geschickt werden soll. Dieses neue Gesetz soll Cybersicherheitsanforderungen für die Entwicklung und das Inverkehrbringen von Produkten mit digitalen Komponenten definieren, Vorschriften für deren Marktüberwachung festlegen und die rechtliche Grundlage für ein Import- und Verkaufsverbot unsicherer Geräte schaffen. Ziel ist eine auf die Schweizer Wirtschaftslandschaft zugeschnittene Regulierung, die den administrativen Aufwand für Unternehmen minimiert. Gleichzeitig soll sichergestellt werden, dass international tätige Schweizer Unternehmen nicht durch widersprüchliche Anforderungen, insbesondere jene des Cyber Resilience Acts, benachteiligt werden.

Die NIS2-Richtlinie (NIS2) – Cybersicherheit für wichtige Organisationen

Die NIS2 ist eine EU-Richtlinie, die ein hohes einheitliches Niveau der Cybersicherheit für Organisationen in kritischen Sektoren des EWR gewährleisten soll. Sie unterscheidet zwischen «wesentlichen» Einrichtungen (z.B. Energie, Verkehr, Finanzen, Gesundheitswesen) und «wichtigen» Einrichtungen (z.B. Postdienste, Herstellung von Schlüsselprodukten, digitale Infrastruktur). Diese Organisationen müssen nicht nur Massnahmen zur Cybersicherheit umsetzen, sondern sind auch verpflichtet, bestimmte Vorfälle zu melden.

Die Schweiz ist zwar nicht an die NIS2-Richtlinie gebunden, hat aber vergleichbare Vorschriften erlassen. Das revidierte Informationssicherheitsgesetz (ISG, SR 128) und die neue Cybersicherheitsverordnung (CSV, SR 128.51), die am 7. März 2025 in Kraft traten, schaffen eine obligatorische Meldepflicht für Betreiber kritischer Infrastrukturen. Im Gegensatz zur NIS2-Richtlinie gelten die meisten Bestimmungen nur für den öffentlichen Sektor. Eine Ausnahme bildet die Pflicht zur Meldung von Cyberangriffen, die auch für viele private Betreiber kritischer Infrastrukturen gilt. Solche Angriffe müssen innerhalb von 24 Stunden nach ihrer Entdeckung dem Bundesamt für Cybersicherheit (BACS) gemeldet werden. Die Meldung ist zu aktualisieren, sobald neue Informationen verfügbar sind, und ein vollständiger Bericht muss innerhalb von 14 Tagen vorliegen. Eine Meldung ist erforderlich, wenn ein Cyberangriff: (i) die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet; (ii) zu einer Manipulation oder einem Abfluss von Informationen führt; (iii) über einen längeren Zeitraum unentdeckt geblieben ist, insbesondere wenn Anzeichen für Vorbereitungshandlungen für weitere Cyberangriffe bestehen; oder (iv) Erpressung, Drohungen oder Nötigung beinhaltet.

Der Digital Services Act (DSA) – Aufrechterhaltung von Recht und Ordnung auf Online-Plattformen

Diese EU-Verordnung schafft einen Rahmen für «Vermittlungsdienste» im Internet, der die meisten Formen von Online-Dienstleistern umfasst – von Netzwerk- und Hosting-Anbietern bis hin zu allen Arten von Online-Plattformen und -Suchmaschinen. Die Verordnung enthält einheitliche Regeln für die Rechte und Pflichten digitaler Dienste, insbesondere für den Umgang mit illegalen und schädlichen Online-Inhalten sowie für die Moderation von Inhalten. Die Pflichten sind je nach Art des Dienstes abgestuft und sehen besondere Bestimmungen für sehr grosse Anbieter vor. Der Digital Services Act regelt auch die Haftungsbeschränkung von Online-Anbietern für Inhalte Dritter, die bisher in einem anderen Erlass geregelt war.

Die Schweiz hat noch kein Äquivalent zum Digital Services Act verabschiedet. Der Schweizer Bundesrat hat Ende 2025 eine öffentliche Vernehmlassung zu einem Vorentwurf des Bundesgesetzes über Kommunikationsplattformen und Suchmaschinen (KomPG) eingeleitet, die am 16. Februar 2026 endete (siehe Details hier). Die vorgeschlagene Schweizer Regelung ist vom Digital Services Act inspiriert, unterscheidet sich jedoch in Umfang und Regulierungsdichte. Der Schweizer Entwurf ist enger gefasst und soll nur für sehr grosse Kommunikationsplattformen und Suchmaschinen gelten, die als solche definiert werden, die monatlich mindestens 10% der Schweizer Bevölkerung erreichen. Im Gegensatz dazu hat der Digital Services Act einen breiteren Anwendungsbereich, der für alle Vermittlungsdienste gilt, einschliesslich kleinerer Plattformen sowie Conduit- und Caching-Dienste. Der Schweizer Entwurf konzentriert sich insbesondere auf die Stärkung der Nutzerrechte und die Erhöhung der Transparenz, um negative Auswirkungen zu mildern, ohne die positiven Aspekte der Plattformen zu beeinträchtigen. Die vorgeschlagenen Pflichten sind in erster Linie Transparenz- und Verhaltenspflichten und enthalten keine allgemeine proaktive Überwachungspflicht. Zu den wichtigsten Pflichten gehören die Einrichtung von Melde- und Abhilfeverfahren für bestimmte Arten mutmasslich rechtswidriger Inhalte wie Hassrede, die Bereitstellung interner Beschwerdesysteme, die Teilnahme an aussergerichtlichen Streitbeilegungsverfahren und die Gewährleistung von Transparenz bei Werbung und Empfehlungssystemen, einschliesslich der Führung eines öffentlichen Werbearchivs. Die Plattformen sollen zudem verpflichtet werden, jährliche Risikobewertungen zu systemischen Risiken für die Schweizer Gesellschaft durchzuführen und darüber zu berichten, obwohl der Entwurf keine expliziten Risikominderungsmassnahmen vorschreibt. Nach Ablauf der Vernehmlassungsfrist prüft der Bundesrat die eingegangenen Stellungnahmen und erarbeitet auf dieser Grundlage einen formellen Gesetzesentwurf. Dieser wird anschliessend dem Parlament zur Diskussion und Verabschiedung vorgelegt.

Der Digital Markets Act (DMA) – Sicherstellung fairer Wettbewerbsbedingungen auf Online-Märkten

Der Digital Markets Act reguliert sehr grosse Online-Plattformen, die als «Gatekeeper» bezeichnet werden (z.B. Google Suche, Apples App Store, Amazon Marketplace, Meta Messenger), um faire und bestreitbare digitale Märkte zu gewährleisten. Er erlegt den Gatekeepern eine Reihe von unmittelbaren Pflichten auf, was den gewerblichen Nutzern neue Rechte einräumt.

Die Ziele des Digital Markets Act werden in der Schweiz teilweise durch bestehende Gesetze abgedeckt. Ein wirksamer Wettbewerb auf digitalen Märkten wird in erster Linie durch das geltende Wettbewerbsrecht gewährleistet, das gezielt auf Plattformen angewendet werden kann. So können beispielsweise vorsorgliche Massnahmen gegen eine irreversible Marktabschottung angeordnet werden. Die Regeln des Kartellgesetzes zum Missbrauch einer marktbeherrschenden Stellung (Art. 7 KG; siehe Motion 23.3069 «Digital Markets Act für die Schweiz») wurden um das Konzept der relativen Marktmacht erweitert, ein Instrument, das voraussichtlich in digitalen Fällen zur Anwendung kommen wird. Darüber hinaus sind kürzlich spezifische Ex-ante-Regulierungen für digitale Plattformen in Kraft getreten, wie das Verbot von Paritätsklauseln für Online-Buchungsplattformen (Art. 8a UWG) und das Verbot von privatem Geoblocking (Art. 3a UWG). Der Bundesrat sieht keinen unmittelbaren Bedarf, ein Gesetz im Stil des Digital Markets Act zu erlassen. Es wird erwartet, dass grosse Online-Plattformen die neuen EU-Regeln auch in der Schweiz anwenden werden, auch weil sie die Schweiz oft als Teil des europäischen Marktes behandeln. Zudem stellt die Schweizer Wettbewerbskommission (WEKO) regelmässig sicher, dass Verhaltensänderungen, die Unternehmen nach EU-Wettbewerbsverfahren vornehmen, auch in der Schweiz umgesetzt werden. In digitalen Fällen mit spezifischem Schweiz-Bezug kann die WEKO direkt gestützt auf das Kartellrecht eingreifen, um den wirksamen Wettbewerb zu schützen.

Der Data Governance Act (DGA) – Gewährleistung des Zugangs zu (Behörden-)Daten

Der Data Governance Act soll den freiwilligen Datenaustausch im gesamten EWR durch Datenintermediäre, die Wiederverwendung von Daten des öffentlichen Sektors und Datenspende-Organisationen erleichtern. Sie schafft in erster Linie Möglichkeiten und erlegt den Unternehmen nur begrenzte oder rollenspezifische Pflichten auf. Ein Hauptziel des Digital Governance Act ist es, die vom öffentlichen Sektor gesammelten digitalen Daten dem Privatsektor zur Verfügung zu stellen.

Derzeit gibt es kein Schweizer Äquivalent zum Data Governance Act. Infolge einer parlamentarischen Motion (Motion 22.3890 «Rahmengesetz für die Sekundärnutzung von Daten») wurde der Bundesrat beauftragt, ein neues Rahmengesetz zu schaffen, um die notwendigen Grundlagen für die rasche Entwicklung und Umsetzung einer Infrastruktur zu schaffen, die die Sekundärnutzung von Daten in strategischen Bereichen ermöglicht. Obwohl das federführende Bundesamt für Justiz den Data Governance Act zur Kenntnis genommen hat, wurde noch keine Entscheidung darüber getroffen, ob und in welchem Umfang dessen Grundsätze in den kommenden Schweizer Gesetzesentwurf integriert werden. Ein neues Rahmengesetz wird nicht vor 2028 erwartet.

Schlussfolgerung

Für Unternehmen, die ausserhalb der Schweiz tätig sind, besteht bei diesen EU-Digitalverordnungen die Herausforderung darin, sich im dichten Geflecht neuer Anforderungen zurechtzufinden und festzustellen, welche der sich überschneidenden Regeln für ein bestimmtes Produkt, eine Anwendung oder einen Prozess gelten. Diese Verordnungen überlappen sich teilweise oder stehen mitunter sogar im Widerspruch zueinander. So kann ein KI-System gleichzeitig dem AI Act, dem Data Act und dem Cyber Resilience Act unterliegen. Beispielsweise gilt ein intelligenter Industrieroboter, der KI für vorausschauende Wartung einsetzt, als «Hochrisiko-KI-System» nach dem AI Act, als «vernetztes Produkt» nach dem Data Act und als «Produkt mit digitalem Element» im Sinne des Cyber Resilience Act. Zudem kann der Data Act von Dateninhabern Handlungen verlangen, die nach der DSGVO unzulässig sind. In solchen Fällen hat die DSGVO in der Regel Vorrang; es obliegt dem jeweiligen Marktteilnehmer, dies zu wissen und zu berücksichtigen.

Wir bieten zudem eine Serie von Fünf-Minuten-Videos zu jeder der genannten Verordnungen sowie zur DSGVO an. Weitere Informationen finden Sie hier.

Autoren: David Rosenthal und Samira Studer (ursprünglich erschienen am 27. April 2026)