Der Digital Omnibus ist das größte Vereinfachungsvorhaben, das die EU-Kommission je für ihr Digitalrecht vorgelegt hat, und er verändert sich derzeit fast wöchentlich. Dieser Artikel hält den Stand zum 21. Juli 2026 fest: Ein Teil des Pakets ist bereits verabschiedet, der andere steckt noch mitten im Gesetzgebungsverfahren. Wer jetzt beginnt, Compliance-Prozesse an vermeintlich sichere neue Fristen anzupassen, sollte genau wissen, welcher Teil das betrifft.

Zwei Pakete, ein Ziel

Am 19. November 2025 legte die EU-Kommission zwei separate Verordnungsvorschläge vor, gemeinsam als „Digital Omnibus" bekannt. Der erste, oft „Datenomnibus" genannt, ändert die DSGVO, mehrere Datennutzungsgesetze und die Meldewege für Cybervorfälle, mit direkten Berührungspunkten zu NIS-2. Der zweite, der „KI-Omnibus", ändert gezielt die Fristen und Pflichten des EU AI Act. Eine aktuelle rechtswissenschaftliche Einordnung beschreibt das Vorhaben treffend als zwei eigenständige Verordnungsvorschläge innerhalb eines größeren Digital-Simplification-Pakets, die zwar politisch zusammengehören, rechtlich aber getrennte Verfahren durchlaufen und deshalb auch unterschiedlich schnell vorankommen.

Kernaussage in Kürze

Der KI-Omnibus hat das Gesetzgebungsverfahren am 29. Juni 2026 abgeschlossen und wartet nur noch auf die Veröffentlichung im Amtsblatt. Der Datenomnibus mit den DSGVO- und NIS-2-Änderungen befindet sich weiterhin in der Beratung und ist inhaltlich noch nicht belastbar.

Der KI-Omnibus ist beschlossen

Hier ist der Stand eindeutig. Das Europäische Parlament stimmte der im Trilog ausgehandelten Fassung am 16. Juni 2026 mit 423 zu 57 Stimmen bei 174 Enthaltungen zu. Der Rat der Europäischen Union gab am 29. Juni 2026 sein endgültiges grünes Licht, wie die offizielle Pressemitteilung des Rates bestätigt. Die Veröffentlichung im Amtsblatt der Europäischen Union steht noch aus, wird aber für Juli 2026 erwartet, der Rechtsakt tritt drei Tage nach Veröffentlichung in Kraft.

Inhaltlich verschiebt der KI-Omnibus vor allem die scharfen Fristen für Hochrisiko-KI-Systeme: auf den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III und auf den 2. August 2028 für in Produkte eingebettete Systeme nach Anhang I. Die Kennzeichnungspflicht für KI-generierte Inhalte verschiebt sich auf den 2. Dezember 2026. Neu hinzugekommen ist ein ausdrückliches Verbot von KI-Systemen zur Erzeugung nicht-einvernehmlicher intimer Inhalte. Die Grundarchitektur des EU AI Act, das Risikoklassen-System, die verbotenen Praktiken und die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, bleibt unverändert.

19.11.2025 Vorschlag der Kommission 29.06.2026 KI-Omnibus: Rat verabschiedet Juli 2026 Amtsblatt erwartet offen Datenomnibus: noch in Beratung Beide Pakete Trilog Mai 2026

ABB. 1 · VERFAHRENSSTAND ZUM 20. JULI 2026: KI-OMNIBUS ABGESCHLOSSEN, DATENOMNIBUS OFFEN

Der Datenomnibus ist noch offen

Für DSGVO und NIS-2 gilt das Gegenteil. Der Datenomnibus, der die eigentlichen Datenschutzänderungen und die vereinheitlichten Meldewege für Sicherheitsvorfälle enthält, ist Anfang 2026 auf erheblichen Widerstand gestoßen. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben in einer gemeinsamen Stellungnahme die datenschutzrechtlich sensibelsten Punkte des Vorschlags deutlich benannt. Eine Analyse aus juristischer Perspektive rät Unternehmen ausdrücklich dazu, die Vorschläge selbst zu lesen statt sich auf Zusammenfassungen zu verlassen, weil das Digital-Omnibus-Paket entgegen dem öffentlichen Bild keine reine Entbürokratisierung ist, sondern an mehreren Stellen auch materielle Schutzstandards verschiebt.

Ein von der Deutschen Gesellschaft für Recht und Informatik und dem Weizenbaum-Institut vorgelegtes Policy Paper, im Rahmen der öffentlichen Konsultation zu den Verordnungsvorschlägen COM/2025/837 eingereicht, benennt strukturelle Schwächen der bestehenden EU-Digitalgesetzgebung und bewertet, an welchen Stellen der Digital Omnibus tatsächlich gezielt vereinfacht und wo er neue Abgrenzungsprobleme schafft. Diese Einschätzung von sieben Rechtswissenschaftlerinnen und Rechtswissenschaftlern ist ein guter Indikator dafür, dass der Datenomnibus in seiner finalen Fassung noch spürbar von der Ursprungsfassung vom November 2025 abweichen dürfte.

Kritik: Vereinfachung oder Verwässerung

Die wirtschaftspolitische Kritik setzt an einem anderen Punkt an. Eine Analyse des Brüsseler Thinktanks Bruegel argumentiert, dass der Digital Omnibus zwar den unübersichtlichen Wildwuchs an EU-Digitalregeln stutzen würde, der Data Act aber eigene, davon unberührte Schwächen behält, die für die Wettbewerbsfähigkeit digitaler Dienste in Europa mindestens ebenso relevant sind wie die im Omnibus adressierten Doppelregulierungen. Vereinfachung allein löst demnach nicht das eigentliche Wettbewerbsproblem.

Für den KI-Teil kommt eine Untersuchung des AI Policy Lab zu einem differenzierten Ergebnis: Ob der KI-Omnibus tatsächlich nur Verfahren vereinfacht oder an einzelnen Stellen auch inhaltliche Schutzstandards des EU AI Act aufweicht, hängt stark davon ab, welche der ursprünglich vorgeschlagenen Änderungen den Trilog am Ende unverändert überstanden haben, ein Punkt, der erst mit der finalen Textfassung abschließend zu beurteilen ist. Ein umfassendes White Paper der KU Leuven ordnet beide Vorschläge zusätzlich in die grundsätzliche Frage ein, was ein „Omnibus-Gesetz" im EU-Recht überhaupt leisten kann und wo seine methodischen Grenzen liegen, etwa wenn mehrere inhaltlich unabhängige Rechtsakte in einem einzigen Gesetzgebungsverfahren gebündelt werden.

Was das für Ihr Asset-Inventar bedeutet

Der naheliegende Fehler wäre, das EU-AI-Act-Feld im eigenen Asset-Inventar jetzt zu entschärfen, weil sich die Hochrisiko-Fristen auf 2027 und 2028 verschoben haben. Das Gegenteil ist richtig. Die Grundarchitektur des EU AI Act bleibt unverändert, nur der Zeitpunkt der vollen Anwendung verschiebt sich. Wer die KI-Komponente eines Assets jetzt aus der Bewertung nimmt, muss sie in anderthalb Jahren unter Zeitdruck neu erheben, während wer sie weiterführt, beim Inkrafttreten bereits eine vollständige Datenbasis hat.

Für die DSGVO- und NIS-2-Felder gilt der gegenteilige Rat: nichts vorschnell an Annahmen über den Datenomnibus anpassen, solange der Text nicht final ist. Ein Inventar, das ausschließlich auf geltendem Recht basiert und Änderungen erst nach Verabschiedung übernimmt, ist robuster als eines, das versucht, laufende Gesetzgebung vorherzusehen.

Cross-Framework-Inventar

Ein Asset-Inventar, das mit der Regulierung mitwächst

Wie sich DSGVO-, NIS-2-, EU-AI-Act- und ISO-27001-Felder in einem gemeinsamen Datenmodell abbilden lassen.

Zur Anleitung →

Quellen