Die EU-Regularien wie NIS-2, AI-Act etc. sind von Unternehmen im Hinblick auf Cybersicherheit umzusetzen. Dabei stellt sich die große Frage nach der Verhältnismäßigkeit bestimmter Fragen. Das Institut der deutschen Wirtschaft Köln e.V. und die IW Consult GmbH haben in einer Studie die Auswirkungen von KI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act auf KMUs untersucht.

Mir ist das Thema zufällig die Tage über nachfolgenden Tweet von Prof. Dr. Dennis Kipker untergekommen. Der Tweet umreißt ja bereits das Thema: Wie steht es um die Verhältnismäßigkeit der umzusetzenden Maßnahmen zur Digitalregulierung der EU in Klein- und Mittelstand (KMU).

Die Kurzstudie des Instituts der deutschen Wirtschaft Köln e.V. und der IW Consult GmbH (erstellt im Rahmen der Mittelstand-Digital Begleitforschung)  mit dem Titel KI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act: Auswirkungen auf KMU wurde bereits zum 13. November 2025 als PDF-Dokument veröffentlicht und ist frei abrufbar.

Im Begleittext heißt es dazu: Die digitale Transformation eröffnet kleinen und mittleren Unternehmen neue Chancen, stellt sie jedoch zugleich vor erhebliche regulatorische Herausforderungen. Drei aktuelle Regelwerke der Europäischen Union – die KI-Verordnung (KI-VO), die NIS-2-Richtlinie und der Cyber Resilience Act (CRA) – verändern den Handlungsrahmen für kleine und mittlere Unternehmen grundlegend.

Diese Regelungen setzen an unterschiedlichen Punkten an, verfolgen aber das gemeinsame Ziel, ein sicheres, vertrauenswürdiges und wettbewerbsfähiges digitales Binnenmarktgefüge in der EU zu schaffen. Die vorliegende Studie stellt die Regelwerke vor, untersucht ihre Auswirkung auf kleine und mittlere Unternehmen, analysiert Kosten und Nutzen und leitet daraus Unterstützungsbedarfe ab.