Regulierungsfristen 2023 bis 2028: Datenschutz, KI, Cyber und Geldwäscherei
Zwischen 2025 und 2028 treten für Unternehmen in der Schweiz und im DACH-Raum zahlreiche Pflichten in Kraft: die ISG-Meldepflicht für Cyberangriffe seit April 2025, der European Accessibility Act seit Juni 2025, die Meldepflichten des Cyber Resilience Act seit September 2026, das Transparenzregister und die GwG-Revision seit Oktober 2026, die EU-AMLR ab Juli 2027 und die Hochrisiko-Pflichten des AI Act ab Dezember 2027.
Stand: 07.11.2026
Diese Übersicht sammelt die Stichtage der Regelwerke, zu denen wir auf dieser Website schreiben. Sie ist chronologisch sortiert und verlinkt jeweils auf die ausführliche Erklärung. Sie wird bei jeder Rechtsänderung nachgeführt.
Massgebend ist immer der Rechtstext. Die Übersicht ersetzt keine Prüfung, ob ein Regelwerk für ein bestimmtes Unternehmen gilt.
| Datum | Regelwerk | Was gilt | Wer betroffen ist | Erklärung |
|---|---|---|---|---|
| 1.9.2023 | revDSG (Schweiz) | Totalrevidiertes Datenschutzgesetz in Kraft | Alle, die Personendaten von Personen in der Schweiz bearbeiten | Erklärung |
| 17.1.2025 | DORA (EU) | Anforderungen an die digitale operationale Resilienz | Finanzunternehmen in der EU und ihre IKT-Drittdienstleister | |
| 2.2.2025 | EU AI Act | Verbote nach Art. 5 und KI-Kompetenz nach Art. 4 (seit dem Digital-Omnibus eine Bemühenspflicht) | Anbieter und Betreiber von KI-Systemen mit EU-Bezug | Erklärung |
| 1.4.2025 | ISG (Schweiz) | Meldepflicht für Cyberangriffe innert 24 Stunden an das BACS | Betreiberinnen kritischer Infrastrukturen | Erklärung |
| 28.6.2025 | European Accessibility Act | Barrierefreiheitsanforderungen für bestimmte Produkte und Dienstleistungen | Anbieter mit Verbraucherkundschaft in der EU, Kleinstunternehmen bei Dienstleistungen ausgenommen | Erklärung |
| 2.8.2025 | EU AI Act | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Governance, Sanktionen | Anbieter von GPAI-Modellen | Erklärung |
| 12.9.2025 | EU Data Act | Regeln für Zugang zu und Nutzung von Daten vernetzter Produkte sowie Wechsel von Cloud-Diensten | Hersteller vernetzter Produkte, Anbieter von Cloud-Diensten | |
| 1.10.2025 | ISG (Schweiz) | Bussen bis 100 000 Franken bei Verletzung der Meldepflicht | Betreiberinnen kritischer Infrastrukturen | Erklärung |
| 6.12.2025 | NIS2 (Deutschland) | NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in Kraft | Rund 29 500 wichtige und besonders wichtige Einrichtungen | Erklärung |
| 6.3.2026 | NIS2 (Deutschland) | Frist für die Registrierung beim BSI für bereits erfasste Einrichtungen | Wichtige und besonders wichtige Einrichtungen | |
| 2.8.2026 | EU AI Act | Grossteil der Verordnung anwendbar, einschliesslich Transparenzpflichten nach Art. 50 | Anbieter und Betreiber von KI-Systemen | Erklärung |
| 11.9.2026 | Cyber Resilience Act | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die ENISA-Plattform | Hersteller von Produkten mit digitalen Elementen | Erklärung |
| 1.10.2026 | TJPG (Schweiz) | Transparenzregister in Betrieb, Meldung der wirtschaftlich berechtigten Personen | Juristische Personen nach Schweizer Recht und bestimmte ausländische Rechtseinheiten | Erklärung |
| 1.10.2026 | GwG-Revision (Schweiz) | Unterstellung bestimmter Beratungstätigkeiten unter das Geldwäschereigesetz | Beratende, etwa bei Immobiliengeschäften und der Gründung von Rechtseinheiten | Erklärung |
| 2.12.2026 | EU AI Act | Ende der Übergangsfrist für die Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 bei bestehenden Systemen | Anbieter generativer KI-Systeme | |
| Dezember 2026 | GwG-Revision (Schweiz) | Ende der Übergangsfrist für das SRO-Anschlussgesuch; Stichtag bei der gewählten SRO bestätigen | Neu unterstellte Beratende | Erklärung |
| März 2027 | TJPG (Schweiz) | Frist für die Erstmeldung ausländischer juristischer Personen, sechs Monate ab Inkrafttreten (Art. 53 TJPG) | Ausländische juristische Personen mit Bezug zur Schweiz | |
| 10.7.2027 | EU-AMLR | Einheitliches EU-Regelwerk zur Geldwäschereibekämpfung anwendbar | Verpflichtete in der EU, auch EU-Gesellschaften Schweizer Gruppen | Erklärung |
| 2.12.2027 | EU AI Act | Pflichten für Hochrisiko-KI-Systeme nach Anhang III | Anbieter und Betreiber von Hochrisiko-KI | Erklärung |
| 11.12.2027 | Cyber Resilience Act | Grundlegende Anforderungen, Konformitätsbewertung und CE-Kennzeichnung | Hersteller, Einführer und Händler von Produkten mit digitalen Elementen | |
| 2.8.2028 | EU AI Act | Pflichten für Hochrisiko-KI in Produkten nach Anhang I | Hersteller von Produkten mit KI-Sicherheitsbauteilen |
Hinweise
- Daten nach Rechtsstand 7. November 2026. Der AI Act ist in der Fassung des Digital-Omnibus (Verordnung (EU) 2026/1744) berücksichtigt.
- EU-Regelwerke gelten in der Schweiz nicht direkt, erfassen Schweizer Unternehmen aber, wenn sie auf dem EU-Markt tätig sind oder dort Gesellschaften haben.
- Wo eine Frist von der gewählten Organisation abhängt, etwa beim SRO-Anschluss, ist der Stichtag dort zu bestätigen.
Häufige Fragen
Gilt der AI Act für Schweizer Unternehmen?
Wenn sie KI-Systeme in der EU in Verkehr bringen oder deren Ergebnisse in der EU verwendet werden, ja. Rein innerschweizerische Anwendungen sind nicht erfasst.
Welche Frist ist für KMU in der Schweiz am dringendsten?
Das hängt vom Geschäft ab. Für Beratende ist es der SRO-Anschluss bis Dezember 2026, für Hersteller digitaler Produkte mit EU-Kundschaft die laufende CRA-Meldepflicht, für kritische Infrastrukturen die ISG-Meldepflicht.
Wie aktuell ist die Übersicht?
Sie trägt ein Datum und wird bei jeder relevanten Rechtsänderung nachgeführt. Massgebend bleibt der Rechtstext.
Quellen
- Verordnung (EU) 2024/1689 (AI Act) (EUR-Lex)
- Verordnung (EU) 2024/2847 (Cyber Resilience Act) (EUR-Lex)
- Richtlinie (EU) 2022/2555 (NIS2) (EUR-Lex)
- Richtlinie (EU) 2019/882 (European Accessibility Act) (EUR-Lex)
- Verordnung (EU) 2024/1624 (AMLR) (EUR-Lex)
- Informationssicherheitsgesetz (ISG, SR 128)
- Bundesgesetz über den Datenschutz (DSG, SR 235.1)
- Geldwäschereigesetz (GwG, SR 955.0)
- Bundesgesetz über die Transparenz juristischer Personen (TJPG)