Welche EU-Regulierungen sind 2026 für Immobilien-IT relevant?

Sieben Hauptregulierungen: CSRD (Nachhaltigkeitsberichterstattung), EU AI Act (Hochrisiko-KI), EU Data Act (Datenzugang IoT), NIS-2 (Cybersicherheit kritischer Sektoren), DORA (digitale Resilienz Finanz), EPBD-Recast (Gebäudeenergie), LkSG (Lieferkette). Plus DACH-spezifisch: GEG (Gebäudeenergiegesetz), WEG-Reform-Folgen. Alle treffen die Immobilien-IT-Architektur mit unterschiedlicher Tiefe.

Wer ist von der CSRD ab 2026 betroffen?

Welle 2 (Berichtsjahr 2025, Veröffentlichung 2026): große Kapitalgesellschaften (>250 Mitarbeitende ODER >50 Mio. € Umsatz ODER >25 Mio. € Bilanzsumme — zwei von drei). Welle 3 (Berichtsjahr 2026, Veröffentlichung 2027): börsennotierte KMUs. Asset-Manager über 50 Mio. € AuM erfüllen praktisch immer die Schwellwerte. Für Immobilien-Bestandshalter relevant: Scope-3-Emissionen, EU-Taxonomie-Quote, Klimarisiko-Bewertung pro Objekt.

Was bedeutet der EU Data Act für PropTech-Anbieter?

Seit 12. September 2025 vollständig anwendbar. IoT-Daten (z.B. von Smart-Metern, Sensoren in Gebäuden, BIM-Daten) müssen Nutzern und ihren beauftragten Dritten in maschinenlesbarer Form bereitgestellt werden. Cloud-Anbieter müssen Wechsel-Klauseln (Switching) anbieten. Konsequenz für PropTech: API-First-Architekturen werden Standard, Vendor-Lock-In wird regulatorisch erschwert.

Sind Immobilien-Unternehmen NIS-2-pflichtig?

NIS-2 umfasst 18 Sektoren — die Immobilienwirtschaft ist nicht direkt gelistet, aber Energie (Quartiers-BHKW, Wärmenetze), digitale Infrastruktur und öffentliche Verwaltung sind. Asset-Manager mit Energie-Operations für eigene Bestände (z.B. Quartierskonzepte mit eigener Wärmeerzeugung) können in den Anwendungsbereich fallen. Umsetzungsfrist war 17. Oktober 2024 — Deutschland war verspätet, der nationale NIS2UmsuCG ist Stand Mai 2026 noch in Beratung.

Welche IT-Konsequenzen hat der EPBD-Recast für Bestandshalter?

Der EPBD-Recast (EU 2024/1275) verlangt bis 2030, dass alle Nichtwohngebäude über digitale Gebäudelogbücher (DBL) verfügen. Inhalte: Energieausweis-Historie, Sanierungs-Maßnahmen, Smart-Meter-Daten, Materialpass für Sanierungen. Für Asset-Manager: zentrale Stammdaten-Hoheit ist Voraussetzung — typisch im Datenraum mit Lebenszyklus-Logik abgebildet. Bis 2033 dann auch für Wohngebäude über 200 m² Pflicht.

Wie greifen die Regulierungen ineinander für einen institutionellen Asset-Manager?

Ein typischer institutioneller Asset-Manager mit 5 Mrd. € AuM unterliegt 2026 parallel: CSRD (Berichtspflicht), EU AI Act (bei KI-Tenant-Scoring), EU Data Act (für Smart-Building-Daten), LkSG (für mittelbare Zulieferer wie Wartung), DORA (wenn auch FinDLs angeboten werden), EPBD (Gebäude-Logbuch ab 2030). Konsequenz: eine integrierte Datenarchitektur (DMS + Datenraum + PMS + ESG-Plattform + ggf. KI-Backbone) wird die einzige praktikable Antwort.

Regulatorik 2026 für die Immobilien-IT — CSRD, EU Data Act, NIS-2, DORA, EPBD

Konsolidierte Zeitleiste der relevanten Stichtage

Datum	Regulierung	Was wird Pflicht	Wer betroffen
17. Jan 2025	DORA	IT-Resilienz-Pflichten, Drittanbieter-Register	Finanzdienstleister + ihre IKT-Anbieter
Lfd. 2025/26	CSRD Welle 2	Nachhaltigkeitsbericht FY2025 nach ESRS	Große Kapitalgesellschaften (250+ MA / 50+ Mio. € Umsatz / 25+ Mio. € Bilanz)
12. Sep 2025	EU Data Act	IoT-Datenzugang, Cloud-Switching	Hersteller vernetzter Produkte, Cloud-Anbieter, B2B-Datennutzer
2. Aug 2026	EU AI Act	Hochrisiko-KI-Pflichten (Annex III)	Asset-Manager mit Tenant-Scoring, HR-KI, Vergabe-KI
Lfd. 2026/27	CSRD Welle 3	FY2026-Bericht für börsennotierte KMUs	Börsennotierte mittelständische Asset-Manager
2030	EPBD-Recast	Digitales Gebäudelogbuch (DBL) für Nichtwohngebäude	Alle Gewerbe-Bestandshalter
2033	EPBD-Recast	DBL für Wohngebäude über 200 m²	Wohnungswirtschaft

Die sieben Regulierungen im Detail

1. CSRD (Corporate Sustainability Reporting Directive)

Verordnung (EU) 2022/2464, ab 2024 in DE umgesetzt durch das CSR-Richtlinie-Umsetzungsgesetz. Der ESRS-Standard (European Sustainability Reporting Standards) ist die operative Berichts-Grundlage. Für die Immobilienwirtschaft kritisch: doppelte Materialität (Innen- + Außensicht), Scope-3-Emissionen (Lieferkette + Nutzungsphase), EU-Taxonomie-Quote pro Objekt, Klimarisiko-Bewertung physisch und transitorisch.

IT-Konsequenz: Excel-basierte ESG-Reports erfüllen ab Berichtsjahr 2025 die Prüfungsanforderungen typischer Wirtschaftsprüfer nicht mehr. Notwendig: PMS mit ESG-Stammdaten-Modul (Aareon, iX-Haus) oder Datenraum mit ESG-Aggregations-Schicht (docunite, Architrave). → Vertiefung ESG-Reporting-Datenbasis

2. EU AI Act (Verordnung (EU) 2024/1689)

Hochrisiko-Pflichten ab August 2026 für Tenant-Scoring, HR-KI und Vergabe-Algorithmen. Sieben Pflicht-Bereiche: Risikomanagement, Daten-Governance, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Genauigkeit/Robustheit.

IT-Konsequenz: Persistente Wissensgraphen erfüllen drei der sieben Pflichten strukturell. → Vollständige EU-AI-Act-Vertiefung für Immobilien

3. EU Data Act (Verordnung (EU) 2023/2854)

Seit 12. September 2025 vollständig anwendbar. Kernpunkte: IoT-Daten gehören dem Nutzer (oder Eigentümer der Geräte), Cloud-Switching muss möglich sein, Vertragsklauseln zur Daten-Exklusivität werden eingeschränkt.

IT-Konsequenz für PropTech: API-First-Architektur wird Standard. Smart-Building-Daten (Heizung, Lüftung, Strom) müssen maschinenlesbar an Bestandshalter und beauftragte Dritte (z.B. ESG-Reporting-Plattformen) bereitgestellt werden. Cloud-Verträge müssen Switching-Klauseln enthalten.

4. NIS-2 (Network and Information Security Directive 2)

Richtlinie (EU) 2022/2555. Umsetzungsfrist war 17. Oktober 2024 — das deutsche NIS2UmsuCG ist Stand Mai 2026 noch in der parlamentarischen Beratung. Die Immobilienwirtschaft ist nicht direkt gelistet, aber die Sektoren Energie, digitale Infrastruktur und öffentliche Verwaltung sind betroffen — Asset-Manager mit Quartiers-BHKW oder eigener Wärmeerzeugung können in den Anwendungsbereich fallen.

IT-Konsequenz: ISMS nach BSI-Grundschutz oder ISO 27001, Meldepflicht für signifikante Cyber-Vorfälle binnen 24 Stunden, Lieferketten-Sicherheits-Anforderungen an IKT-Dienstleister.

5. DORA (Digital Operational Resilience Act)

Verordnung (EU) 2022/2554, gilt seit 17. Januar 2025 für Finanzdienstleister und deren IKT-Drittanbieter. Für Real-Estate-Fund-Manager mit Lizenz nach KAGB/AIFMD direkt relevant. PropTech-Anbieter, die als „kritische IKT-Drittanbieter“ klassifiziert werden, unterliegen erweiterten Auditpflichten.

IT-Konsequenz: Drittanbieter-Register pflegen, IKT-Risiken jährlich bewerten, Resilienz-Tests durchführen, Vorfälle EU-weit melden.

6. EPBD-Recast (Energy Performance of Buildings Directive)

Richtlinie (EU) 2024/1275 vom Mai 2024. Kernforderung: digitale Gebäudelogbücher (DBL) ab 2030 für Nichtwohngebäude, ab 2033 für Wohngebäude > 200 m². Inhalte des DBL: Energieausweis-Historie, Sanierungs-Maßnahmen, Smart-Meter-Daten, Materialpass.

IT-Konsequenz: Zentrale Stammdaten-Hoheit pro Objekt wird Pflicht. Der Datenraum mit Lebenszyklus-Logik ist die geeignete Architektur — er begleitet das Objekt von der Akquisition bis zum Exit und konsolidiert energetische Daten über Jahre.

7. LkSG und CSDDD (Lieferkettensorgfaltspflichten)

Das deutsche LkSG gilt seit 2023 für Unternehmen mit 1.000+ Mitarbeitenden, die EU-Pendant CSDDD (Corporate Sustainability Due Diligence Directive, EU 2024/1760) ab 2027 für noch größere Unternehmen. Für die Immobilienwirtschaft relevant: Sub-Lieferanten bei Wartung, Reinigung, Energie-Lieferung und Bauträger-Generalunternehmen müssen risikobasiert geprüft werden.

IT-Konsequenz: Lieferanten-Register mit Sub-Lieferanten bis Tier-N, Risiko-Bewertung pro Sub-Lieferant, Beschwerdemechanismus. Plattformen wie EcoVadis, IntegrityNext oder Wissensgraphen (z.B. Sayari) sind die operative Antwort.

DACH-spezifische Ergänzungen

GEG (Gebäudeenergiegesetz)

Die Heizungsgesetz-Novelle 2024 verlangt 65-%-erneuerbare-Energien bei neuen Heizungen ab 2024 (Großstadt: ab 30. Juni 2026, mittlere Städte ab 2028). Verbunden mit kommunaler Wärmeplanung. Property-Manager müssen Sanierungs- und Heizungstausch-Maßnahmen pro Objekt dokumentieren — die Datenbasis für das EPBD-DBL entsteht hier praktisch.

WEG-Reform-Folgen

Die WEG-Reform von Dezember 2020 ist in der Vollumsetzung noch nicht abgeschlossen. Online-Beschlussfassungen, Beschluss-Sammlungen mit revisionssicherer Dokumentation, digitale Eigentümerversammlungen — alles inzwischen Standard und mit den oben genannten Regulierungen kompatibel abzubilden.

Die einheitliche Datenarchitektur-Folge

Sieben EU-Regulierungen + zwei DACH-Gesetze zwingen die Immobilien-IT zu einer integrierten Architektur. Konkrete Anforderungen, die sich aus der Summe ergeben:

Stammdaten-Hoheit pro Objekt als Single Source of Truth — für CSRD, EPBD, GEG.
Versionierte Provenance für Daten und Modell-Outputs — für EU AI Act, CSDDD.
API-First-Schnittstellen mit dokumentierter Bereitstellung — für EU Data Act.
Lückenloses Logging aller Datenzugriffe und KI-Entscheidungen — für DORA, EU AI Act.
Lieferanten-Beziehungsgraph mit Risiko-Scores — für LkSG, CSDDD.
ESG-Aggregationsschicht über Bestandssysteme — für CSRD.
Cyber-Resilienz-Monitoring nach BSI-Grundschutz — für NIS-2, DORA.

In Summe: eine Architektur aus PMS (operative Daten) + Datenraum mit Lebenszyklus-Logik (Dokumente) + KI-Backbone (Provenance & Aggregation) + ESG-Plattform (Berichts-Frontend). Klassisches DMS ergänzt für unstrukturierte Archive. Diese Schichten-Architektur ist nicht Best-of-Breed-Marketing — sie ist die strukturelle Antwort auf die Summe der Pflichten.

Vertiefung

Welche Architektur trägt die Regulatorik 2026/27?

Datenraum mit Lebenszyklus-Logik (docunite, Architrave) als persistente Objekt-Akte und KI-Backbone (docuspine) als Provenance-Layer sind die strukturelle Antwort. Reine DMS oder generische RAG-Tools tragen die Pflichten nicht.

Alle Anbieter im Vergleich → Lebenszyklus-Datenraum-Detail →