Malta:
Was Ihre Kunden dort erwarten

Malta als Markt für Südamerika

Der Warenhandel mit Südamerika ist klein. Laut Eurostat hat Malta 2025 Waren für rund 42 Mio. Euro aus Argentinien, Bolivien, Brasilien, Chile, Ecuador, Kolumbien, Paraguay, Peru und Uruguay eingeführt, davon 30 Mio. Euro aus Brasilien. Dabei ging es vor allem um organische Chemikalien, Zucker, Früchte und Fleischzubereitungen.

Der Malta Freeport in Marsaxlokk ist ein großer Containerhafen, arbeitet aber vor allem als Umschlagplatz: Die meisten Container werden dort auf andere Schiffe für Häfen im Mittelmeer und in Europa verladen. Er ist zugleich Zollfreizone; Ware kann dort lagern, bis sie in den freien Verkehr kommt.

Wichtiger als Waren sind für südamerikanische Firmen die Dienstleistungen. In Malta sitzen viele Anbieter von Online-Glücksspiel unter Aufsicht der Malta Gaming Authority, dazu Banken, Zahlungsdienstleister und Versicherer unter Aufsicht der Malta Financial Services Authority (MFSA). Ein Entwicklerteam in Montevideo oder Medellín, das für solche Kunden arbeitet, hat es mit Auftraggebern zu tun, die EU-Recht in voller Breite anwenden müssen.

Was EU-weit gilt und was maltesisch ist

Zoll, Ursprungsregeln, Produkt- und Lebensmittelrecht sind EU-Recht; die Grundlagen stehen im Leitfaden zum Export in die EU. Weil Englisch Amtssprache ist, genügen Etiketten und Anleitungen auf Englisch in der Regel. Das spart Übersetzungskosten.

Der Mehrwertsteuer-Normalsatz beträgt 18 %, ermäßigt 7 % und 5 %, für einige Leistungen gilt ein Zwischensatz von 12 %. Für Verpackungen gilt seit 12.08.2026 die EU-Verpackungsverordnung (EU) 2025/40; die Registrierung als Hersteller übernimmt in der Regel Ihr Importeur.

NIS2 in Malta

Malta hat die NIS2-Richtlinie per Ministerverordnung umgesetzt: Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order, Subsidiary Legislation 460.41, veröffentlicht als Legal Notice 71 of 2025. Alle Bestimmungen gelten seit 23.01.2026 (Legal Notice 22 of 2026). Eine Änderung vom 07.04.2026 (Legal Notice 89 of 2026) hat das nationale CSIRT zur Malta Information Technology Agency (MITA) verlegt.

Aufsichtsbehörde ist das Critical Infrastructure Protection Department im Innenministerium. Für digitale Infrastruktur und digitale Anbieter ist die Malta Communications Authority zuständig. Meldefristen: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht einen Monat danach. Betroffene Einrichtungen registrieren sich beim CIP Department und geben dabei unter anderem ihre IP-Bereiche an und das CSIRT, das ihre Systeme überwacht.

Malta verlangt mehr als die Richtlinie. Betroffene Einrichtungen benennen einen Security Liaison Officer, beziehen Überwachungsdienste eines CSIRT, bestellen einen vom CIP Department zugelassenen Prüfer und müssen Protokollierung und Nachvollziehbarkeit ihrer Systeme sicherstellen. Für Banken, Versicherer und Zahlungsdienstleister gilt statt NIS2 vor allem DORA.

Datenschutz und Lieferkette

Die DSGVO überwacht der Information and Data Protection Commissioner (IDPC). Ergänzende Regeln stehen im Data Protection Act (Cap. 586). Wenn Sie aus Südamerika Daten maltesischer Kunden verarbeiten, brauchen Sie einen Auftragsverarbeitungsvertrag und, außer bei Ländern mit Angemessenheitsbeschluss wie Brasilien, Argentinien oder Uruguay, Standardvertragsklauseln. Für Argentinien gibt es einen Angemessenheitsbeschluss seit 2003, für Uruguay seit 2012 und für Brasilien seit Januar 2026.

Ein eigenes Lieferkettengesetz hat Malta nicht. Maßgeblich wird die CSDDD, umzusetzen bis 26.07.2028; sie trifft nur sehr große Unternehmen.

Was maltesische Kunden typischerweise verlangen

Finanzunternehmen schreiben die Anforderungen aus DORA in den Vertrag: Prüfrechte, Meldefristen für Vorfälle, Ausstiegspläne, Regeln für Unterauftragnehmer. Glücksspielanbieter fragen nach Sicherheit der Zahlungs- und Kundendaten, oft mit Bezug auf ISO 27001. Bei größeren Aufträgen ist ein Zertifikat nach ISO 27001 oder ein Bericht nach SOC 2 häufig Bedingung.

Planen Sie außerdem ein, dass der Kunde Ihre Systeme von außen prüft und nach Penetrationstests fragt. Ein Lieferant, der Ergebnisse und Abhilfe vorlegen kann, kommt in der Regel schneller durch die Prüfung. Für den Blick von außen gibt es Dienste wie veyrisk, die Ihre externe Angriffsfläche prüfen und das Ergebnis in einem Bericht festhalten.

Ein sinnvoller Einstieg für Dienstleister mit Kunden in Malta:

1. Fragen Sie Ihren Kunden, ob er unter NIS2 oder DORA fällt. Davon hängt ab, welche Klauseln er Ihnen vorlegt.
2. Legen Sie eine interne Meldefrist für Sicherheitsvorfälle fest, die deutlich unter 24 Stunden liegt, und benennen Sie einen Ansprechpartner rund um die Uhr.
3. Halten Sie eine aktuelle Liste Ihrer Unterauftragnehmer bereit, mit Sitz und Art der Daten, die sie sehen.
4. Prüfen Sie, ob ein Zertifikat nach ISO 27001 die Fragebögen Ihrer Kunden schneller beantwortet als jede Einzelauskunft.

Wo Sie heute stehen, zeigt der kostenlose EU-Readiness-Check.

Anlaufstellen

• The Malta Chamber of Commerce, Enterprise and Industry in Valletta.
• Trade Malta, die Agentur für Außenhandel.
• Die Handelsabteilung der Botschaft Ihres Landes, die für Malta zuständig ist; nicht jedes Land hat eine eigene Vertretung in Valletta.
• Das Enterprise Europe Network in Malta.
• Der maltesische Zoll (Customs Department).

FAQ