Regulierungs-Überblick: Globale Tech-Regeln, 3.-10. Juni 2026
Die Woche vom 3. bis 10. Juni 2026 wurde nicht von Brüssel oder Washington dominiert. Die folgenreichsten Entwicklungen kamen aus Orten, die die meisten US-Technologiejournalisten übergehen: Baku, Bogotá, Honduras und ein CISA-Advisory, das weit mehr Aufmerksamkeit verdient hätte, als es bekam.
Hier sind die fünf Punkte aus dem World Watch-Tracker dieser Woche, die tatsächlich von Bedeutung sind.
Aserbaidschan: National Cybersecurity Agency löst den alten Electronic Security Service ab
Am 2. Juni unterzeichnete Präsident Alijew ein Dekret zur Gründung einer National Cybersecurity Agency unter dem Ministerium für Digitale Entwicklung und Transport, die den Electronic Security Service absorbierte und ein ausdrückliches Mandat für die Sicherheit von KI-Systemen und die Resilienz kritischer Infrastrukturen erhielt.
Das ist keine bloße Umbenennung. Die Kombination von KI-System-Aufsicht und Schutz kritischer Infrastrukturen unter einer einzigen Behörde ist das Modell, das ich von immer mehr mittelgroßen Staaten erwarte, denn die US-amerikanische Aufteilung dieser Mandate (CISA hier, NIST AI RMI dort, Branchenregulatoren überall sonst) ist kostspielig und langsam. Baku setzt damit auch den roten Faden aus dem Digital Development Council und dem Aktionsplan 2026-2028 vom Februar fort, sodass es sich um einen strukturellen Aufbau handelt, nicht um eine Einmalaktion. Den fortlaufenden Thread finden Sie auf der Aserbaidschan-KI-Seite.
Vereinigte Staaten: CISA bestätigt iranische APT in kritischen Infrastruktur-PLCs
Der CISA Joint Advisory AA26-097A bestätigt, dass eine mit dem Iran verbundene APT seit mindestens März 2026 programmierbare Logikcontroller in US-amerikanischen Wasser-, Energie-, Regierungseinrichtungen und der Fertigungsbranche stört. PLCs. Nicht Unternehmens-E-Mails, nicht Kundendatenbanken. Die Geräte, die Ventile öffnen und Relais auslösen.
Ich glaube, die Branche unterschätzt OT-Kompromittierungen weiterhin, weil sie keine saubere Dollarverlustziffer produzieren wie ein DeFi-Hack. Dabei sollten sie höher bewertet werden, nicht niedriger. Ein Wasserversorgungsunternehmen in einer mittelgroßen US-Stadt hat in etwa das Cybersicherheitsbudget eines Series-B-Startups und die Bedrohungsfläche eines Rüstungsunternehmens. Den vollständigen Hintergrund finden Sie im Iran-Cybersecurity-Tracker.
Kolumbien: Open Finance ist jetzt verpflichtend, nicht freiwillig
Kolumbien schloss im April die Finalisierung von Decreto 0368/2026 ab und ersetzte das freiwillige Regime aus Decreto 1297/2022 durch ein verbindliches Open-Finance-System. Banken, Versicherungen, Pensionsfonds und Wertpapiermakler müssen Kundendaten über standardisierte APIs teilen.
Die SFC hatte den Compliance-Aufwand bereits im Februar signalisiert, als sie die Architektur-und-Sicherheitsfrist gemäß Circular Externa 001/2026 auf 30 Monate verlängerte. Meine Einschätzung: Dies ist eine der ambitioniertesten Fintech-Maßnahmen Lateinamerikas in diesem Jahr, und die längere Übergangsfrist ist ein Feature, kein Rückzug. Verfolgt auf der Kolumbien-Fintech-Seite.
Honduras: unterzeichnet ICSID neu und signalisiert einen harten Neustart beim Investorenschutz
Am Tag seiner Amtseinführung unterzeichnete Präsident Nasry Asfura das ICSID-Übereinkommen erneut, machte den Rückzug der Castro-Regierung von 2024 rückgängig und stellte die multilaterale Investor-Staat-Schiedsgerichtsbarkeit wieder her.
Für alle, die grenzüberschreitend tätig sind, ist das bedeutsamer als es aussieht. ICSID-Abdeckung ist der Unterschied zwischen einer verwendbaren Schiedsklausel und einem Stück Papier. Wenn Sie ein Fintech, ein Hosting-Anbieter oder eine Tokenisierungsplattform sind, die eine Expansion nach Lateinamerika anstreben, hat Honduras mit einer einzigen Unterschrift den Schritt von "riskant" zu "machbar" vollzogen. Hintergrund im Honduras-Unternehmens-Tracker.
Chile: Gesetz 21.719 setzt eine harte Frist und schafft eine echte Regulierungsbehörde
Chiles Gesetz 21.719 tritt am 1. Dezember 2026 vollständig in Kraft, zusammen mit dem Start der Agencia de Protección de Datos Personales (APDP), Chiles erster unabhängiger Datenschutzbehörde. Der Rahmen ist weitgehend an der DSGVO ausgerichtet, was die Anbieter-Due-Diligence erheblich vereinfacht, wenn Sie bereits EU-Kunden bedienen.
Ein kurzer Gegenpunkt: Ich halte die größere Geschichte für die Regulierungsbehörde, nicht das Gesetz. Lateinamerika hatte jahrelang DSGVO-ähnliche Gesetze. Unabhängige, finanzierte Aufsichtsbehörden sind die seltenere Ware, und sie sind das, was das Verhalten auf Controller-Ebene tatsächlich verändert.
Was ich als Nächstes beobachte
Das Muster über alle fünf Punkte hinweg ist dasselbe: Die Durchsetzungsinfrastruktur (Behörden, Gerichte, Aufsichtsstellen) holt endlich die in der Welle von 2022 bis 2025 verabschiedeten Gesetze ein. Erwarten Sie für den Rest des Jahres 2026 mehr Behördenneugründungen und weniger Schlagzeilengesetze.
Die Live-Karte über alle Jurisdiktionen hinweg finden Sie unter anuragverma.co/worldwatch, und der wöchentliche Newsletter erscheint jeden Mittwoch.
Mit KI-Unterstützung aus offiziellen Quellen recherchiert. Analyse und Schlussfolgerungen sind meine eigenen.
Quellen
- Aserbaidschanisches Ministerium für Digitale Entwicklung: National Cybersecurity Agency gegründet
- Aserbaidschanisches Ministerium für Digitale Entwicklung: Digitaler Aktionsplan 2026-2028
- CISA Joint Advisory AA26-097A: Iranische APT-Aktivitäten gegen US-kritische Infrastruktur-PLCs
- Decreto 0368 de 2026 (Kolumbien): Verbindliches Open-Finance-System
- Superintendencia Financiera de Colombia: Verlängerung Circular Externa 001/2026
- ICSID: Honduras unterzeichnet das ICSID-Übereinkommen erneut
- Biblioteca del Congreso Nacional de Chile: Gesetz 21.719