Erste Anforderungen gelten ab 2026, Security by Design wird ab 2027 verpflichtend.