Am 1. Oktober 2026 tritt in Österreich das NISG 2026 in Kraft. Betroffen sind rund 4.000 Unternehmen ab mittlerer Größe aus 18 Sektoren – von Energie und Transport über Lebensmittel bis zur verarbeitenden Industrie – und über die Lieferkettenpflicht faktisch auch deren Dienstleister. In Deutschland gilt das entsprechende Gesetz bereits seit Dezember 2025.

Die Fristen und Pflichten im Vergleich

Österreich: Die Registrierung läuft ab 1.10.2026 über das USP, Frist ist der 31.12.2026. Bis 30.9.2027 folgt die Selbstdeklaration über die umgesetzten Maßnahmen. Wer die Registrierung versäumt, zahlt bis zu 50.000 Euro, im Wiederholungsfall 100.000.

Deutschland: Von geschätzt 29.500 betroffenen Einrichtungen waren zum 30.6.2026 erst 17.729 registriert (BSI) – rund 40 Prozent fehlen.

Der Maßnahmenkatalog ist in beiden Ländern derselbe: Backups und Wiederherstellung, Krisenmanagement, Verschlüsselung, Zugriffskontrolle, Multi-Faktor-Authentifizierung – und die Sicherheit der Lieferkette einschließlich der unmittelbaren Anbieter.

Zwei dieser Pflichten machen lokale IT zum Thema. Erstens die 24-Stunden-Frist: Wer binnen eines Tages an das CSIRT melden muss, was passiert ist, braucht Zugriff auf Protokolle und Dokumente – auch dann, wenn die externe Verbindung gerade das Problem ist. Resilienz heißt wörtlich: Es muss auch offline funktionieren. Zweitens die Lieferkettenpflicht: Jeder Dienstleister in der Kette ist eine Prüffrage mit Standort, Vertrag und Nachweis. Das gilt auch für KI – wer eine KI auf seinen Dokumentenbestand lässt, holt einen weiteren Anbieter in die Kette. Eine lokal oder in der EU betriebene Lösung, bei der nur anfragerelevante Daten die Umgebung verlassen, verkürzt diese Kette, statt sie zu verlängern.

Ein revisionssicheres ECM ist dabei doppelt nützlich: Es ist selbst Teil der geforderten Resilienz (Wiederherstellbarkeit, Zugriffskontrolle, Protokollierung) – und es ist der Ort, an dem Risikoanalysen, Verträge und Nachweise für die Selbstdeklaration auditfest liegen.

Ist Ihr Unternehmen betroffen? Wir prüfen das mit Ihnen und zeigen, wie ELO die Nachweispflichten trägt.

Quellen: NISG 2026 – Beschluss im Parlament und Kundmachung BGBl. I Nr. 94/2025 (FEEI); WKO – NIS2-Übersicht; BSI – „NIS-2 in Zahlen“, Stand 30.6.2026; neues BSIG in Kraft (Ebner Stolz).

Europa stellt auf die strukturierte E-Rechnung um – Land für Land, mit harten Fristen. Die wichtigsten Termine:

Deutschland: Die Empfangspflicht gilt bereits seit 1.1.2025 für alle Unternehmen – auch Kleinunternehmer. 2026 ist das letzte Jahr, in dem alle noch Papier oder PDF versenden dürfen. Ab 1.1.2027 müssen Unternehmen mit mehr als 800.000 Euro Vorjahresumsatz strukturiert versenden, ab 1.1.2028 alle. Der Handwerksverband ZDH fordert aktuell eine Verschiebung – beschlossen ist sie nicht (Stand August 2026).

Österreich: Es gibt keine B2B-Pflicht – kein Gesetz, kein Entwurf, kein Zeitplan (Stand August 2026). Verpflichtend ist seit 2014 nur die E-Rechnung an den Bund (ebInterface oder Peppol über das USP). Betroffen sind österreichische Unternehmen trotzdem: als Lieferanten deutscher, belgischer, polnischer oder französischer Kunden – und spätestens am 1.7.2030, wenn ViDA die E-Rechnung für grenzüberschreitende B2B-Umsätze EU-weit vorschreibt.

Der Punkt, der in der Praxis am häufigsten übersehen wird: Ein PDF ist keine E-Rechnung. Und bei Hybridformaten wie ZUGFeRD ist ausschließlich der XML-Teil rechtlich maßgeblich – das PDF ist Sichtkomponente. Wer die Rechnung nur als PDF archiviert, hat den maßgeblichen Teil nicht aufbewahrt. Das deutsche BMF (Schreiben vom 15.10.2025) und die WKO sagen dasselbe: Die XML-Datei muss archiviert werden – revisionssicher, maschinell auswertbar, über die volle Frist von 7 Jahren (AT, § 132 BAO) bzw. 8 Jahren (DE, § 147 AO).

Dass sich die Umstellung rechnet, zeigt die EU-Kommission: Rechnungssteller sparen laut einer Studie der Universität Hasselt 54,5 Prozent der Rechnungskosten, Empfänger 71,8 Prozent.

Wie E-Rechnungen in ELO automatisch geprüft, verbucht und revisionssicher archiviert werden, zeigen wir Ihnen gerne persönlich.

Quellen: RL (EU) 2025/516 – ViDA (EUR-Lex); BMF-FAQ E-Rechnung (Stand 3/2026); BMF-Schreiben v. 15.10.2025 (Zusammenfassung Ecovis); WKO – Fragen und Antworten zur E-Rechnung; VATupdate – Austria Country Booklet 7/2026; EY E-Invoicing Developments Tracker 6/2026 (PDF); ZDH-Vorstoß zur Fristverschiebung, 13.8.2026; EU Payment Observatory 2024 (PDF).

Die KI ist längst im Unternehmen – nur nicht dort, wo die IT sie sehen kann. 78 Prozent der KI-Nutzer am Arbeitsplatz bringen ihre eigenen Tools mit (Microsoft Work Trend Index, 31.000 Befragte). Fast jede zweite Fachkraft gibt zu, KI entgegen den Unternehmensrichtlinien zu nutzen (KPMG/Universität Melbourne, 48.000 Befragte in 47 Ländern). Und laut Telemetrie-Daten von Cyberhaven enthalten knapp 40 Prozent aller Datenbewegungen in KI-Tools sensible Informationen; ein Drittel der ChatGPT-Nutzung in Unternehmen läuft über private Accounts. In Deutschland wissen oder vermuten 42 Prozent der Unternehmen Schatten-KI im eigenen Haus (Bitkom, 604 Unternehmen).

Schatten-KI entsteht nicht aus Böswilligkeit. Sie entsteht, weil Mitarbeiter ein echtes Problem haben – sie finden Informationen nicht – und die inoffizielle KI die schnellste Lösung ist. Wer Schatten-KI loswerden will, muss den offiziellen Weg besser machen als den inoffiziellen.

Genau hier setzt der Assistent in Portrait 8 an, mit einem Ansatz, den wir Agentic RAG nennen. Klassische KI-Suche holt zu einer Frage die ähnlichsten Textstellen und formuliert daraus eine Antwort. Bei einem gewachsenen Dokumentenbestand reicht das nicht: „Welche Vereinbarung mit Lieferant X gilt aktuell?“ ist keine Ähnlichkeitssuche, sondern eine Folge von Schritten – Vorgang finden, Versionen vergleichen, Freigabe prüfen. Agentic RAG arbeitet genau so: Die KI zerlegt die Frage, sucht gezielt, prüft das Ergebnis, sucht nach – und nutzt dabei Metadaten, Verschlagwortung und Aktenstruktur, die im ECM ohnehin gepflegt sind. Das ECM ist nicht Datenlieferant der KI, sondern ihr Werkzeugkasten.

Der entscheidende Unterschied zur Schatten-KI liegt in drei Punkten. Berechtigungen sind Teil der Suche, nicht ein Filter danach – wer ein Dokument nicht sehen darf, erfährt auch nicht, dass es existiert. An die KI Ihrer Wahl gehen nur die für die Anfrage relevanten Daten, nie der Bestand. Und jede Antwort belegt ihre Quellen – nachprüfbar per Klick ins Originaldokument.

Das ist die eigentliche Antwort auf Schatten-KI: kein Verbot, sondern ein offizieller Assistent, der besser ist als der private Account – weil er die eigenen Daten kennt und die Regeln einhält.

Erleben Sie den Portrait-Assistenten auf Ihren eigenen Daten.

Quellen: Microsoft/LinkedIn Work Trend Index 2024; KPMG & University of Melbourne – Trust in AI 2025; Cyberhaven AI Adoption & Risk Report 2026; Bitkom – Beschäftigte nutzen Schatten-KI, 21.10.2025.

Eine manuell verarbeitete Spesenabrechnung kostet ein Unternehmen im Schnitt rund 50 Euro. Fast jede fünfte enthält Fehler – und die Korrektur kostet noch einmal rund 45 Euro und 18 Minuten. Die Zahlen stammen aus einer Studie der Global Business Travel Association und sind der meistzitierte Benchmark der Branche. Sie beschreiben keinen Ausnahmefall, sondern den Normalzustand: Der Außendienst sammelt Belege, die Buchhaltung tippt ab, die Führungskraft gibt frei, wenn sie wieder am Schreibtisch sitzt. Kein einzelner Schritt ist teuer. Die Summe schon.

Die Spesenverwaltung von Treskon setzt an jedem dieser Schritte an. Der Beleg wird dort erfasst, wo er entsteht: Abfotografieren genügt, die KI extrahiert Betrag, Datum und Händler und legt den Beleg richtig ab. Die Freigabe kommt als Push-Benachrichtigung aufs Handy der Führungskraft – freigeben, ohne am Schreibtisch zu sein. Von dort geht der Vorgang durchgängig weiter bis in die Finanzbuchhaltung, ohne Medienbruch und ohne Abtippen.

Drei Zahlen aus der Praxis: 90 Tage von der Beauftragung bis zur produktiven Nutzung. 20 Minuten Onboarding je Mitarbeiter. Und eine dreimal höhere Nutzungsrate als bei Standardsoftware – weil eine App, die einfacher ist als die Excel-Vorlage, auch tatsächlich verwendet wird. Gehostet wird in der EU, auf Wunsch On-Premises.

Stellen Sie sich Ihre Lösung selbst zusammen – oder lassen Sie sie sich in Ruhe zeigen.

Quellen: GBTA Foundation via SAP Concur (Studie ca. 2016); Beträge aus US-Dollar umgerechnet.

Kleinere Unternehmen nutzen im Schnitt 152 SaaS-Anwendungen, Großunternehmen über 600 – und rund 70 Prozent dieser Ausgaben verantworten Fachabteilungen oder einzelne Mitarbeiter, nicht die IT. Das ist das Ergebnis des SaaS Management Index 2025 von Zylo, auf Basis von über 40 Millionen verwalteten Lizenzen. Jede dieser Apps löst ein Problem. Zusammen erzeugen sie ein neues: Der Mitarbeiter hat vier Systeme offen, um einen einzigen Vorgang abzuschließen.

Der Fehler liegt fast immer im Zuschnitt. Interne Apps werden je System gebaut – eine App fürs ERP, eine fürs Dokumentenmanagement, eine fürs Ticketing. Der Mitarbeiter denkt aber nicht in Systemen. Er denkt in Vorgängen: Urlaubsantrag. Wareneingang. Reklamation. Freigabe.

Erfolgreiche interne Apps sind deshalb auf den Vorgang geschnitten, nicht auf das System. Eine App, ein Vorgang, ein Abschluss – idealerweise in unter einer Minute, auch am Handy im Lager oder auf der Baustelle. Dass Gartner bereits 2021 prognostizierte, 70 Prozent der neuen Unternehmensanwendungen würden bis 2025 mit Low-Code-Technologien entstehen, bestätigt den Trend: Fachbereiche wollen Apps schnell und nah am Prozess.

Die Konsequenz aus dem Vorgangs-Zuschnitt ist allerdings unbequem: Ein Vorgang braucht fast immer Daten aus mehreren Systemen. Der Wareneingang berührt Bestellung (ERP), Lieferschein (DMS) und Reklamationshistorie (Fachapplikation). Wer die App direkt auf ein einzelnes System baut, hat den Vorgang schon wieder zerschnitten.

Genau dafür ist Portrait gebaut. Portrait verbindet die bestehenden Systeme – ELO, ERP, Fachapplikationen – und stellt Apps darauf, statt daneben. Die App ist nur die Oberfläche; die Verbindung darunter macht sie möglich. Berechtigungen kommen aus den Quellsystemen mit: Jeder sieht im Vorgang nur, wofür er berechtigt ist. Und weil die Plattform die Integration übernimmt, entsteht eine neue App in Tagen, nicht in Monaten – ohne dass ein weiteres Silo dazukommt.

Vorgangsbezogene Apps sind kein Technologie-, sondern ein Zuschnitt-Thema. Wer den Vorgang zum Maß macht, bekommt Apps, die benutzt werden.

Portrait ist unsere Plattform für Enterprise Apps.

Quellen: Zylo 2025 SaaS Management Index; Gartner Pressemitteilung 10.11.2021.

94 Prozent der Unternehmen, die noch Aktenordner führen, tun das ausgerechnet in der Personalabteilung – der höchste Wert aller Fachbereiche, noch vor der Buchhaltung (Bitkom Digital Office 2025). Dabei gibt es weder in Österreich noch in Deutschland eine Pflicht, Personalakten in Papier zu führen. Die rein digitale Personalakte ist zulässig; die Grenzen liegen bei einzelnen Dokumenten – und die haben sich zuletzt in beiden Ländern verschoben.

Österreich und Deutschland im Vergleich

Österreich: Seit 28.3.2024 verlangt der novellierte § 2 AVRAG deutlich mehr Pflichtangaben im Dienstzettel – vom Kündigungsverfahren über den Sozialversicherungsträger bis zur Probezeit – und das auch für Lehrlinge und Kurzbefristungen. Änderungen sind spätestens am Tag ihres Wirksamwerdens auszuhändigen; Verstöße kosten 100 bis 436 Euro je Arbeitnehmer, ab sechs Betroffenen bis 2.000 Euro. Die elektronische Übermittlung ist ausdrücklich zulässig. Und § 132 Abs. 2 BAO erlaubt das ersetzende Scannen, sofern die urschriftgetreue Wiedergabe über die gesamte Frist gesichert ist. Wichtig bei Betriebsrat: Die Einführung einer digitalen Personalakte ist nach § 96a ArbVG zustimmungspflichtig.

Deutschland: Ab 1.1.2027 müssen prüfrelevante Entgeltunterlagen ausschließlich elektronisch geführt werden – die Befreiungsmöglichkeit endet am 31.12.2026. Seit 1.1.2025 genügt für Arbeitsvertragsnachweis, Elternzeitverlangen und Arbeitnehmerüberlassung die Textform. Nicht gelockert: Kündigung, Aufhebungsvertrag und Befristungsabrede bleiben schriftformpflichtig.

Ein ECM-System wie ELO bildet genau das ab: Fristenlogik je Dokumentenart, revisionssichere Ablage, dokumentenscharfe Berechtigungen – und die Auskunft nach Art. 15 DSGVO binnen eines Monats wird mit Volltextsuche machbar statt zur Aktensuche.

Wir zeigen Ihnen den digitalen Personalakt an Ihren eigenen Prozessen.

Quellen: Bitkom Digital Office 2025 (PDF); § 2 AVRAG und Novelle im Überblick (Körber-Risak); § 132 BAO; § 96a ArbVG; OGH 8 ObA 38/14t; BEG IV im Überblick (Noerr); § 8 BVV / elektronische Entgeltunterlagen ab 2027 (Haufe); § 623 BGB; § 109 GewO.

Am 10. Juni 2025 sagte der Rechtsvertreter von Microsoft Frankreich unter Eid vor dem französischen Senat aus. Auf die Frage, ob er garantieren könne, dass Daten französischer Bürger niemals ohne Zustimmung Frankreichs an US-Behörden übermittelt werden, antwortete er: Nein, das könne er nicht garantieren. Der Satz fasst zusammen, was der US CLOUD Act seit 2018 rechtlich bedeutet – US-Anbieter müssen Daten herausgeben, unabhängig vom Speicherort.

Die Zahlen dazu: AWS, Microsoft und Google halten zusammen rund 70 Prozent des europäischen Cloud-Markts; europäische Anbieter kommen auf 15 Prozent – unverändert seit 2022 (Synergy Research). In Österreich halten 89 Prozent der Unternehmen digitale Souveränität für entscheidend für ihre Zukunftsfähigkeit, und über die Hälfte würde den Anbieter wechseln, wenn ihre Daten außerhalb der EU liegen (A1 Business Studie 2026).

Die EU hat reagiert – mit Recht statt Appellen. Der Data Act gilt seit 12.9.2025: maximal zwei Monate Kündigungsfrist beim Cloud-Anbieter, geregelter Datenexport in strukturierten, maschinenlesbaren Formaten, und ab 12.1.2027 sind Wechselentgelte vollständig verboten. Artikel 32 verpflichtet Anbieter außerdem zu Maßnahmen gegen rechtswidrigen Drittstaatenzugriff. Für den Finanzsektor verlangt DORA seit 17.1.2025 zusätzlich, dass Verträge mit IT-Dienstleistern den Ort der Datenverarbeitung benennen und eine Ausstiegsstrategie enthalten – im November 2025 haben die EU-Aufsichtsbehörden 19 kritische IT-Dienstleister unter direkte Aufsicht gestellt, darunter AWS, Microsoft und Google.

Was heißt das praktisch? Souveränität entscheidet sich an drei Fragen: Wo liegen die Daten? Wer kann darauf zugreifen? Und wie kommt man wieder heraus?

Ein ECM-System ist dafür der richtige Ort, denn dort liegen die Dokumente, um die es geht. ELO – entwickelt in Stuttgart, ISO/IEC 27001:2022 zertifiziert – lässt sich in der Cloud, On-Premises oder hybrid betreiben. Und als ELO-Partner bestimmt Treskon bei der Partner Managed Cloud den Rechenzentrumsstandort selbst: EU-Hosting oder Betrieb im eigenen Haus, mit revisionssicherer Archivierung und Export in offenen Formaten. Exit-Fähigkeit ist keine Vertragsklausel, sondern eine Eigenschaft der Architektur.

Wo Ihre Dokumente liegen sollen, klärt sich am besten im Gespräch – von der EU-Cloud bis On-Premises.

Quellen: Anhörung Sénat 10.6.2025 (dr-datenschutz.de); Synergy Research 24.7.2025; A1 Business Studie 2026 (elektro.at); Data Act Art. 25, Art. 29, Art. 32; DORA-Überblick (BaFin); ESAs benennen kritische IKT-Drittdienstleister, 18.11.2025 (EBA); ELO – Datensouveränität.