MiCA, DORA, der AI Act und NIS2: Wie das EU-Regelwerk Start-ups und kleine Unternehmen aus Europa verdrängt

Ich verdiene meinen Lebensunterhalt mit EU-Regulierung. Kunden kommen zu uns, weil MiCA, die Geldwäschevorschriften und der Rest des europäischen Regelwerks allein nicht zu bewältigen sind, und wir dies für sie übernehmen. Das ist also keine Beschwerde von jemandem, der verliert, wenn Brüssel ein neues Gesetz schreibt. Wenn überhaupt, profitiere ich davon.

Und dennoch glaube ich, wenn ich betrachte, was in den letzten Jahren auf kleine und mittlere Unternehmen (KMU) zugekommen ist, dass Europa einen Fehler macht. Es ist nicht ein schlecht geschriebener Rechtsakt. Es ist die Summe aller Rechtsakte, die Geschwindigkeit, mit der die EU sich selbst korrigiert, und die Tatsache, dass die Rechnung bei den Unternehmen landet, die sie am wenigsten zahlen können. Unsere Position zur AI-Regulierung ist ausführlich in einem separaten Beitrag dargelegt; hier geht es um das Muster im gesamten Regelwerk.

Eine Schicht über der nächsten

Das verlangt die EU-Regulierung heute von einem europäischen Unternehmen – je nachdem, was es tut.

• GDPR für alle, die personenbezogene Daten speichern.
• Der Digital Services Act und der Digital Markets Act für Online-Plattformen und Marktplätze.
• Der Data Act für vernetzte Geräte und Cloud-Verträge.
• NIS2 und der Cyber Resilience Act für Cybersicherheit sowie für Produkte mit integrierter Software.
• MiCA für Krypto-Asset-Dienstleistungen.
• DORA für Banken, Zahlungs- und Kryptounternehmen sowie die IT-Lieferanten, die sie bedienen.
• Der AI Act für alle, die AI-Systeme entwickeln oder in ihrem Unternehmen einsetzen.
• Die neue AML-Verordnung mit einer Aufsicht auf EU-Ebene, AMLA.
• eIDAS 2.0 mit seinen digitalen Identitäts-Wallets.
• Meldepflichten für Kryptoübertragungen (die Travel Rule), Krypto-Steuerdaten (DAC8), Nachhaltigkeit (CSRD) und Lieferketten (CSDDD).

Keine davon ist geringfügig. Jede hat eigene Definitionen, Formulare, Aufsichtsbehörden und Bußgelder. Ein Fintech mit zwölf Beschäftigten kann gleichzeitig unter fünf oder sechs davon fallen.

Jedes Gesetz ist vertretbar. Die Anhäufung nicht

Für sich genommen beantwortet jedes dieser Gesetze eine reale Frage. Kundengelder sollten nicht verschwinden, wenn eine Kryptobörse zusammenbricht; eine Bank sollte nicht ausfallen, weil ihr Cloud-Anbieter eine schlechte Nacht hatte; und niemand möchte, dass Software entscheidet, wer einen Kredit erhält, ohne dass ein Mensch das Ergebnis prüfen kann. Gegen eines dieser Gesetze für sich genommen zu argumentieren, bedeutet zu verlieren – zu Recht.

Das Problem ist die Summe, und das Problem ist die Zeit. Die Kommission schlug den AI Act im April 2021 vor, und die EU verabschiedete ihn 2024. Seine zentralen Regeln für Hochrisiko-AI, etwa Systeme für Einstellung, Kreditbewertung oder Bildung, sollten ab dem 02.08.2026 gelten. Im Juli 2026, Wochen vor diesem Datum, verabschiedete die EU eine Korrektur namens Digital Omnibus on AI. Sie verschob die Regeln auf Dezember 2027 und für AI in regulierten Produkten auf August 2028. Der offizielle Grund war, dass technische Standards und nationale Aufsichtsbehörden nicht bereit waren. Fünf Jahre nach dem Vorschlag existierte der Apparat zur Durchsetzung des Gesetzes nicht. Unternehmen, die sich zwei Jahre auf August vorbereitet hatten, hatten sich auf ein verschobenes Datum vorbereitet.

Das bedeutet „langsam“ in der Praxis. Die Gesetze kommen. Die Korrekturen kommen zwei oder drei Jahre, nachdem alle das Problem erkennen können, in Form einer weiteren Regulierung.

Warum dieselben Regeln kleine Unternehmen mehr kosten

Das ist der Teil, der mich am meisten beschäftigt. Die Compliance-Kosten hängen kaum von der Größe des Unternehmens ab. Ein Richtlinienhandbuch, ein Register der IT-Lieferanten, ein Verfahren zur Meldung von Vorfällen, eine externe Prüfung, ein Lizenzantrag: Das alles kostet ungefähr gleich viel, ob Sie 50 Kunden oder 5 Millionen betreuen.

DORA ist der deutlichste Fall. In der im März 2025 veröffentlichten Deloitte-Umfrage unter Finanzinstituten in 28 europäischen Ländern erwarteten etwa zwei Drittel der Befragten, zwischen 2 Millionen € und 5 Millionen € für Compliance auszugeben, und nur einer von zehn erwartete, unter 2 Millionen € zu bleiben. Eine große Bank kann das tragen. Ein Zahlungsinstitut mit zwanzig Beschäftigten kann es nicht, und für die kleinsten Unternehmen kann die Compliance-Rechnung den Wert des EU-Marktes für sie übersteigen.

MiCA erzählt dieselbe Geschichte in Zahlen. Vor MiCA verfügten Branchenzählungen zufolge mehr als tausend Unternehmen in der EU über nationale Kryptoregistrierungen. Die Übergangsfrist endete am 01.07.2026, und bis Oktober 2026 führte das Register von ESMA etwa 370 zugelassene Anbieter auf. Einige der fehlenden Unternehmen mussten gehen. Viele andere waren klein, lokal und rechtmäßig tätig und verschwanden, weil eine MiCA-Lizenz (CASP-Zulassung) Berater-, Kapital- und Managementaufwand im sechsstelligen Bereich kostet, den eine Börse mit zwei Gründern nicht hat. Ich habe separat betrachtet, was MiCA Europas Krypto-Start-ups angetan hat; hier ist es ein Beispiel für ein breiteres Muster.

Die großen Akteure beschweren sich selten. Für einen gut finanzierten etablierten Anbieter ist jeder neue Rechtsakt ein Burggraben: Das Compliance-Team existiert bereits, die Anwälte stehen auf Abruf bereit, und jede neue Regel erhöht die Eintrittshürde für alle, die konkurrieren wollen. Regulierung zum Schutz von Verbrauchern schützt am Ende Marktanteile.

Wohin die Gründer gehen

Start-ups sind auf eine Weise mobil, wie Banken es nicht sind. Ein Gründer mit einer Idee und einem Laptop vergleicht Länder so, wie wir anderen Flüge vergleichen. Als Apple und Meta 2024 beschlossen, neue AI-Funktionen für EU-Nutzer zurückzuhalten, unter Verweis auf den Digital Markets Act und ein „unvorhersehbares“ regulatorisches Umfeld, drehten sich die Schlagzeilen um zwei Giganten. Die leisere Wirkung traf jeden europäischen Entwickler, der auf diesen Modellen aufbauen wollte und nun warten oder umziehen musste.

In meiner eigenen Arbeit ist das Muster weniger dramatisch, aber genauso beständig. Die Frage der Gründer hat sich von „Können wir in Estland eine Lizenz erhalten?“ zu „Lohnt sich eine europäische Lizenz im Vergleich zu Dubai, Singapur oder einem US-Bundesstaat überhaupt?“ verschoben. Vor einigen Jahren war diese zweite Frage selten. Heute ist sie Routine, und ich kann sie ihnen nicht immer ausreden.

Die Zahlen sagen dasselbe. Eine im Januar 2026 veröffentlichte Studie der Europäischen Investitionsbank ergab, dass zwischen 2008 und 2021 fast 30 % der europäischen Unicorns – Start-ups mit einer Bewertung von über 1 Milliarde € – ihren Hauptsitz aus der EU verlegten. Die meisten gingen in die Vereinigten Staaten; digitale Technologien, AI und Biotech führten diesen Trend an. Mario Draghi sagte den Rest in seinem Bericht vom September 2024 über die europäische Wettbewerbsfähigkeit: Die regulatorische Belastung schränkt Innovation zu stark ein und erschwert Start-ups das Wachstum. Zwei Jahre später waren nach Angaben des Draghi Observatory beim European Policy Innovation Council nur 16 % der von ihm beobachteten Maßnahmen vollständig umgesetzt. Die Diagnose wird akzeptiert. Die Behandlung erfolgt langsam.

Warum Tallinn nicht korrigieren kann, was Brüssel geschrieben hat

Estland ist ein guter Ort, um dies zu beobachten. Es ist klein, digital und im Allgemeinen wirtschaftlich vernünftig. In dieser Frage ist es jedoch nahezu machtlos.

MiCA, DORA und der AI Act sind Verordnungen, keine Richtlinien. Eine Richtlinie setzt ein Ziel und lässt jedes Land sein eigenes Gesetz schreiben; eine Verordnung gilt Wort für Wort in jedem Mitgliedstaat, und kein Parlament in Tallinn, Vilnius oder Lissabon kann einen einzigen Artikel abschwächen. Der nationale Spielraum geht nur in eine Richtung: Ein Land kann immer strenger als Brüssel sein, aber nicht weniger streng.

Wenn mir ein Gründer also sagt, Estland solle „das einfach korrigieren“, muss ich erklären, dass die Lösung bei 27 Regierungen, einer Kommission, einem Parlament und einem in Jahren gemessenen Gesetzgebungszyklus liegt. Seit Anfang 2025 hat die Kommission zwölf „Omnibus“-Pakete vorgelegt, die jeweils mehrere Gesetze gleichzeitig ändern, und versprochen, den Verwaltungsaufwand vor Ende ihrer Amtszeit um mindestens 25 % und für KMU um 35 % zu senken. Wirtschaftsverbände sagen, das Ergebnis liege bislang bei Weitem nicht in dieser Größenordnung. Ich glaube ihnen, weil ich die Texte lese.

Europa betreibt De-Risking

Wer in den letzten Jahren mit einer Bank zu tun hatte, kennt das Wort De-Risking. Ein Kunde wirkt etwas ungewöhnlich, die Kosten seiner Überwachung übersteigen die von ihm gezahlten Gebühren, und das Konto wird geschlossen. Kein Betrug, kein Verstoß, nur eine günstigere Entscheidung für die Bank. Der Kunde sucht eine andere Bank, oft in einem anderen Land, und der Risikobericht der Bank sieht besser aus als zuvor.

Ich denke zunehmend, dass die Europäische Union dasselbe mit ganzen Sektoren tut. Krypto wirkte riskant, also schuf Europa MiCA und sah zu, wie die meisten national registrierten Unternehmen ausschieden. AI wirkt riskant, also schrieb Europa das weltweit erste umfassende AI-Gesetz, bevor es eine AI-Branche hatte, die groß genug gewesen wäre, um dagegenzuhalten. Jedes Mal sinkt das Risiko, und jedes Mal sinkt mit ihm die Tätigkeit, die das Risiko trug. In einer Bilanz, die nur vermiedene Risiken zählt, ist das ein Erfolg. In einer, die gegründete Unternehmen und geschaffene Arbeitsplätze zählt, ist es keiner.

Darunter liegt ein leiserer Mechanismus. Eine Institution, deren Leistung an Regulierung gemessen wird, wird Regulierung hervorbringen. Jeder Rechtsakt benötigt Leitlinien, technische Standards und Q&As, dann eine Aufsicht zur Anwendung, dann einen Omnibus zur Reparatur dessen, was die Leitlinien beschädigt haben. Jeder Schritt schafft Personal, das für den nächsten Rechtsakt benötigt wird. Niemand in dieser Kette handelt bösgläubig. Der Prozess hat schlicht keinen eingebauten Grund anzuhalten, und niemand darin bezahlt für das Start-up, das nie gegründet wurde.

Drei Szenarien für europäische Start-ups

Um dies zu konkretisieren, hier meine Einschätzung dazu, wohin sich die Start-up-Seite der europäischen Wirtschaft entwickelt. Die Grundlage liefert Dealroom: Jährlich werden in der EU etwa 14.800 Start-ups gegründet, rund 4.400 davon erhalten externe Finanzierung, und die EU beherbergt etwa 450 Unicorns. Europa insgesamt, einschließlich des UK, erhielt 2023 einen Rekordanteil von 19 % des globalen Venture Capitals und 2024 16 %, während die Vereinigten Staaten 57 % erhielten.

Warum im ersten Szenario ein Rückgang statt eines Zusammenbruchs? Weil das Regelwerk Gründer am Entscheidungspunkt trifft, nicht bestehende Unternehmen. Eine Bank in Frankfurt verlässt Deutschland nicht wegen DORA. Ein AI-Start-up mit drei Personen registriert sich stattdessen einfach in Delaware und behält die Entwickler zu Hause. Die EU verliert den Hauptsitz, die Steuerbasis und den Exit und behält eine Zeit lang die Lohnsumme.

Und warum ist das dritte Szenario keine Fantasie? Weil seine Zahlen nahe bei Europas bisheriger Bestleistung liegen: Ein Anteil von 19–20 % am globalen Venture Capital ist das Niveau, das Europa vor einigen Jahren erreichte, bevor die gegenwärtige Regelungsschicht Anwendung fand. EU-Regulierung mit Blick auf kleine Unternehmen zu schreiben, hätte Europa seinen Verbraucherschutz nicht gekostet. Es hätte ein paar Absätze im Entwurf gekostet.

Das Argument für die andere Seite

Ich verdiente es nicht, ernst genommen zu werden, wenn ich vorgäbe, das Regelwerk habe keine Vorteile; hier sind sie. Eine MiCA-Lizenz erlaubt einem Unternehmen, Kunden in allen 30 EU- und EWR-Ländern zu bedienen; zuvor benötigte ein Kryptounternehmen 27 separate Gespräche mit 27 Regulierungsbehörden. GDPR wurde zur globalen Vorlage für Datenschutzrecht. Eine einheitliche AML-Verordnung sollte theoretisch die Situation beenden, in der ein in einem Mitgliedstaat akzeptierter Kunde im nächsten abgelehnt wird. Harmonisierung ist ein echter Vorteil, und ich profitiere jeden Tag davon.

Der ehrliche Zielkonflikt ist folgender: Harmonisierung auf europäischer Ebene wird mit Geschwindigkeit und einer Kostenstruktur erkauft, die die Kleinsten am härtesten trifft. Europa hat sich, meist stillschweigend, dafür entschieden, einen sicheren Markt einem schnellen vorzuziehen. Das ist eine legitime Entscheidung. Ich denke nur, sie sollte offen und mit dem Preis daran getroffen werden, statt sie einen Omnibus nach dem anderen zu entdecken.

Was Europa stattdessen tun sollte

Meine Position ist nicht, dass Europa aufhören sollte zu regulieren. Sie lautet, dass Europa ein Start-up mit drei Personen nicht wie eine Bank regulieren sollte. Ein kleines Team kann keine Compliance-Abteilung führen, und ein Gesetz, das dies stillschweigend voraussetzt, ist keine Sicherheitsregel, sondern eine Markteintrittsbarriere. Sechs Änderungen würden den größten Teil des Schadens beseitigen, und keine davon ist radikal: Für jede gibt es bereits irgendwo im EU-Recht einen Präzedenzfall.

1. Echte Größenschwellen, im Rechtsakt festgeschrieben. Unter der EU-eigenen Definition eines kleinen Unternehmens (weniger als 50 Beschäftigte und unter 10 Millionen € Umsatz) sollten die schweren Pflichten überhaupt nicht oder nur in kurzer, fester Form gelten. GDPR tut dies bereits für die Aufzeichnungspflicht nach Artikel 30(5), die die meisten Organisationen mit weniger als 250 Beschäftigten ausnimmt, und 2025 schlug die Kommission vor, diese Ausnahme auszuweiten. Dieselbe Logik gehört in DORA, NIS2 und den AI Act.
2. Standards, bevor das Gesetz gilt. Keine Verpflichtung sollte wirksam werden, bevor die technischen Standards existieren und mindestens eine Aufsicht in jedem Mitgliedstaat bereit ist, sie anzuwenden. Die Verzögerung beim AI Act hat dies auf die harte Tour bewiesen. Die Regel sollte festgeschrieben werden, damit der nächste Rechtsakt keinen Omnibus braucht, um ihn zu retten.
3. Zuerst Sandboxes, dann Durchsetzung. Ein neuer Sektor sollte einen beaufsichtigten Testzeitraum erhalten, in dem ein Unternehmen unter Beobachtung der Regulierungsbehörde tätig sein kann, bevor eine vollständige Lizenzierung erforderlich ist. Der AI Act verspricht solche Sandboxes, doch sie wurden auf August 2027 verschoben, also hinter einige Pflichten. Die Reihenfolge sollte umgekehrt sein.
4. Eine Aufsicht pro Unternehmen. Ein Fintech mit zwölf Personen muss heute möglicherweise getrennt gegenüber der Finanzaufsicht, der FIU, der Datenschutzbehörde und bald einer AI-Behörde antworten. Der One-Stop-Shop von GDPR, bei dem eine einzige federführende Behörde ein Unternehmen betreut, zeigt das Modell. Es sollte auf das gesamte Regelwerk ausgeweitet werden.
5. Ein Ablaufdatum in jedem Rechtsakt. Wenn eine Regulierung außer Kraft tritt, sofern sie nach einer echten Prüfung ihrer Kosten nicht erneut bestätigt wird, wird Korrektur zur Pflicht statt zu einem politischen Gefallen. Der Omnibus wird zur Regel, nicht zur Rettung.
6. Das Unternehmen zählen, das nie gegründet wurde. Jede EU-Folgenabschätzung misst die Kosten für bestehende Unternehmen. Keine misst die Start-ups, die sich stattdessen für Delaware, Dubai oder Singapur entschieden haben. Solange diese Zahl nicht auf dem Tisch liegt, werden die Menschen, die den nächsten Rechtsakt entwerfen, seine Kosten weiter unterschätzen.

Nichts davon bedeutet, die Vereinigten Staaten zu kopieren, die weiterhin kein umfassendes föderales AI-Gesetz und nur einen Flickenteppich von Regeln einzelner Bundesstaaten haben, oder das Vereinigte Königreich, das bislang keinen einzelnen AI-Rechtsakt verabschiedet hat und stattdessen seine bestehenden Regulierungsbehörden ersucht, eine Reihe von Grundsätzen anzuwenden. Es bedeutet anzuerkennen, dass dies die Orte sind, mit denen ein europäischer Gründer Europa heute vergleicht. Ergänzt man EU Inc., die im März 2026 vorgeschlagene einheitliche europäische Unternehmensform, mit Registrierung in weniger als 48 Stunden für unter 100 € und ohne Mindestkapital, wie die Kommission verspricht, hätte Europa ein Angebot, das ein kleines Team tatsächlich annehmen kann.

Was ich Gründern sage

Mein Rat an Gründer ist inzwischen unerquicklich praktisch. Behandeln Sie Compliance-Kosten als Position in Ihren Herstellungskosten, nicht als einmalige Rechtsgebühr. Wählen Sie Ihr EU-Land nach der Qualität seiner Aufsicht und der Geschwindigkeit seines Registers, denn die Regeln selbst werden überall gleich sein. Nutzen Sie Übergangsfenster und Omnibus-Verzögerungen als Zeit zum Aufbau, nicht als Erlaubnis, das Gesetz zu ignorieren; die Hochrisiko-Regeln des AI Act wurden verschoben, nicht aufgehoben. Und wenn Ihr Geschäftsmodell nur außerhalb des EU-Regelwerks funktioniert, erkennen Sie das frühzeitig an – vor dem Lizenzantrag statt danach.

Trotz des Regelwerks ein Unternehmen in Europa aufbauen

Europa ist weiterhin ein guter Ort, um ein Unternehmen zu führen, und das sage ich Kunden jede Woche. Der Zweck dieses Beitrags ist nicht, jemanden von Estland oder der EU abzubringen. Er besteht darin zu sagen, dass EU-Regulierung reale Kosten verursacht und vom ersten Tag an eingepreist werden sollte. Die richtige Struktur, der richtige Lizenzweg und das richtige Land innerhalb der EU machen heute einen größeren Unterschied als vor fünf Jahren. Wenn Sie diese Entscheidungen für ein neues oder bestehendes Unternehmen abwägen, kann unser Team bei Eesti Firma Sie durch die tatsächliche Bedeutung der Regeln für Ihren Fall führen – von der Unternehmensgründung bis zur Lizenzierung.

Anfrage senden