Der Data Act definiert den Wechsel zwischen Datenverarbeitungsdiensten als die Möglichkeit des Kunden, einen Datenverarbeitungsdienst zu beenden und zu einem anderen Anbieter oder zu einer lokalen IT-Infrastruktur (On-Premises) zu wechseln. Dies umfasst den Zugang zu Daten, Metadaten, digitalen Vermögenswerten sowie zu den relevanten technischen Schnittstellen. Das Recht gilt unabhängig davon, ob die Daten vom Kunden selbst, von Maschinen oder durch integrierte Systeme erzeugt wurden.

Ein praktisches Anwendungsbeispiel ist ein Unternehmen, das ein KI-Modell auf einer Cloud-Plattform für Echtzeitanalysen betreibt. Erhöht der Anbieter die Preise, verfehlt er Leistungskennzahlen oder kann er neue Anforderungen des AI Act im Bereich des Risikomanagements nicht erfüllen, muss der Kunde in der Lage sein, den Wechsel zwischen Datenverarbeitungsdiensten effizient zu vollziehen. Als allgemeine Regel sieht der Data Act einen Übergangszeitraum von bis zu 30 Kalendertagen für den Wechsel vor, wobei bei technisch komplexen Konstellationen oder auf Kundenwunsch begründete Verlängerungen zulässig sind.

Die Verordnung verlangt, dass der Wechsel technisch machbar, vertraglich transparent und frei von ungerechtfertigten Verzögerungen erfolgt und die gesetzlich vorgesehenen Fristen eingehalten werden. Anbieter müssen daher sicherstellen, dass sowohl die technische Ausgestaltung ihrer Dienste als auch ihre Vertragsbedingungen den Wechsel zwischen Datenverarbeitungsdiensten nicht behindern.

Häufig erfolgt eine Sperrung ohne Vorwarnung. Die Begründungen der Plattformbetreiber sind oft vage: „Verstoß gegen die Gemeinschaftsrichtlinien“ oder „ungewöhnliche Aktivitäten“.

Das Problem ist, dass die Betreiber oft gar nicht auf individuelle Einsprüche oder nutzen Standard-Antworten (z.B. Textbausteine), die am eigentlichen Sachverhalt vorbeigehen. Für jemanden, der seinen Lebensunterhalt mit Content verdient, ist dieser Zustand existenzbedrohend.

Über die Anforderung, Sicherheit in der Lieferkette zu gewährleisten, landet die gesetzliche Pflicht der NIS-2-pflichtigen Unternehmen zur Cybersicherheit zumindest als vertragliche Verpflichtung bei allen Lieferanten von NIS-2-pflichtigen Unternehmen. Diese haben daher für Cybersicherheit im Unternehmen zu sorgen, unabhängig davon, ob sie selbst NIS-2‑pflichtig sind oder nicht. Damit können Unternehmen, die eigentlich nicht direkt unter NIS-2 fallen, dennoch mittelbar verpflichtet sein, erhöhte IT‑Sicherheitsstandards einzuhalten – allein deshalb, weil sie Leistungen für ein NIS-2‑pflichtiges Unternehmen erbringen.

Das entspricht auch den Vorgaben aus dem KRITIS‑Umfeld. Maßgeblich sind diesbezüglich insbesondere die „Best Practice Empfehlungen für Anforderungen an Lieferanten zur Gewährleistung der Informationssicherheit in Kritischen Infrastrukturen“ (Version 4.0, UP KRITIS): Wenn der Dienstleister die Themen Informations- und IT-Sicherheit, sowie Datenschutz nicht bereits in seinem Standard-Portfolio ausreichend nach dem Stand der Technik auf dem Niveau für die IT der kritischen Dienstleistungen des jeweiligen Unternehmens unterstützt und nachweist, wird von Branchenverbänden dringend empfohlen, diesen Service nicht einzusetzen.

NIS-2 sorgt damit für die Übertragung dieses Grundsatzes in einen europaweiten, branchenübergreifenden Rechtsrahmen: Lieferanten müssen ein Sicherheitsniveau nachweisen können, das den Anforderungen des Auftraggebers entspricht – ansonsten gefährden sie dessen Compliance.