Die EU-Rechtslandschaft befindet sich derzeit in einem grundlegenden Wandel. Die KI-Verordnung (AI Act) und die NIS2-Richtlinie (in Polen als Änderung des National Cybersecurity System Act – UKSC umgesetzt) bilden dabei ihre tragenden Säulen. Diese Änderungen, die im April 2026 in Polen vollständig in Kraft traten, stellen Unternehmen vor beispiellose Herausforderungen im Bereich Risikomanagement und digitale Resilienz. Eine zentrale Erkenntnis aus der Analyse beider Gesetze ist, dass ihre Anforderungen nicht nur für risikoreiche KI-Systeme gelten, sondern ein breites Spektrum an Technologien und Prozessen umfassen, die von wichtigen Akteuren eingesetzt werden.
Universeller Geltungsbereich der Regulierung:
Ein grundlegendes Missverständnis des KI-Gesetzes ist die Annahme, dass diese Verordnung nur für eine kleine Gruppe von als risikoreich eingestuften Systemen gilt. Tatsächlich zielt der EU-Rechtsrahmen darauf ab, nahezu das gesamte Ökosystem . Die NIS2-Richtlinie verfolgt einen horizontalen Ansatz, der alle Gefahren berücksichtigt. Das bedeutet, dass jedes IT-System (einschließlich solcher auf Basis künstlicher Intelligenz), das zur Bereitstellung kritischer oder wichtiger Dienste eingesetzt wird, strenge Sicherheitsstandards erfüllen muss. Wenn also beispielsweise ein Unternehmen im Energie-, Transport- oder Gesundheitssektor KI-Tools zur Prozessoptimierung einsetzt, wird es – unabhängig davon, ob das System gemäß dem KI-Gesetz als risikoreich eingestuft wird – integraler Bestandteil der Netze und IT-Systeme, die der NIS2-Richtlinie unterliegen. Dies wiederum erfordert die Umsetzung angemessener und verhältnismäßiger technischer, betrieblicher und organisatorischer Maßnahmen wie Risikoanalyse, Incident-Management und Business-Continuity-Management.
Wichtige und Schlüsselsektoren:
Die Änderung des UKSC erweiterte die Liste der in den neuen Anforderungen tätigen Unternehmen erheblich und unterteilte sie in 19 wichtige Sektoren. Zu den wichtigsten Unternehmen, die der strengsten Aufsicht unterliegen, zählen die öffentliche Verwaltung, die Raumfahrtindustrie sowie Cloud- und Rechenzentrumsdienstleister. Wichtige Sektoren umfassen die Chemie-, Lebensmittel- und Medizintechnikbranche sowie die Abfallwirtschaft.
Für Unternehmen dieser Branchen erfordert die Integration des KI-Gesetzes in NIS2 systematische Risikobewertungen, die die Besonderheiten von KI-Tools berücksichtigen. NIS2 betrachtet künstliche Intelligenz als innovative Technologie, die zwar die Angriffserkennung unterstützt, aber auch neue Schwachstellen in der Lieferkette schaffen kann.
Touchpoint – Lieferkettensicherheit:
Eines der wichtigsten Themen von NIS2 ist die Sicherheit der Lieferkette. Unternehmen sollten daher nicht nur ihre eigenen Systeme, sondern auch die Sicherheitsstandards ihrer IKT-Produkt- oder Dienstleistungsanbieter überprüfen. Im Kontext künstlicher Intelligenz bedeutet dies, dass der Anbieter von KI-Modellen zu einem entscheidenden Glied in der gesamten Sicherheitsarchitektur eines Unternehmens wird.
Das KI-Gesetz und das zugehörige Cyberresilienzgesetz (CRA) führen Anforderungen an „Sicherheit durch Design“ ein und verpflichten zur Behebung von Schwachstellen während des gesamten Produktlebenszyklus (von der Entwicklung über die Produktion bis hin zur Marktrücknahme). Unternehmen, die unter NIS2 fallen und KI-Technologien einsetzen oder implementieren, müssen Sorgfaltspflichten erfüllen und haben das Recht, Lieferanten zu auditieren und deren Sicherheitsrichtlinien zu überprüfen. Andernfalls kann mangelnde Aufsicht über KI-Softwareanbieter als Verstoß gegen gesetzliche Pflichten gewertet werden und empfindliche Sanktionen nach sich ziehen.
Der Vorstand und seine Verantwortung:
Ein bedeutender Wandel der Unternehmenskultur besteht jedoch in der durch die NIS2-Richtlinie auferlegten direkten und persönlichen Verantwortung der Führungskräfte. Gemäß Artikel 20 der NIS2-Richtlinie sind die Vorstände verpflichtet, Risikomanagementmaßnahmen zu genehmigen und deren Umsetzung zu überwachen. Daher entbindet die Unkenntnis der Besonderheiten von KI-Systemen im Unternehmen die Führungskräfte nicht von der Verantwortung für potenzielle Vorfälle. Darüber hinaus führt die Änderung des UKSC in Verbindung mit Artikel 20 Absatz 2 der NIS2-Richtlinie auch die Pflicht zu regelmäßigen Cybersicherheitsschulungen für Bereichsleiter ein. Ziel ist es, das Bewusstsein dafür zu schärfen, dass die Sicherheit von IT-Systemen (einschließlich KI-basierter Systeme) eine strategische Unternehmensverantwortung ist – und nicht allein in der Zuständigkeit der IT-Abteilungen liegt.
Sanktionen und Strafen:
Die Nichteinhaltung der Verpflichtungen aus NIS2 und dem KI-Gesetz kann empfindliche finanzielle Sanktionen nach sich ziehen, die den Sanktionen der DSGVO nachempfunden sind. Für wichtige Unternehmen können die Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Bei besonders schwerwiegenden Verstößen, beispielsweise bei Gefährdung der nationalen Sicherheit, der Verteidigung, der öffentlichen Ordnung oder des Lebens und der Gesundheit von Menschen, sind gemäß Artikel 73 Absatz 5 des britischen Zivilgesetzbuches (UKSC) Bußgelder von bis zu 100 Millionen PLN vorgesehen.
Ein wichtiges Element der Aufsicht ist das S46-System, bei dem sich wichtige Einrichtungen bis zum 3. Oktober 2026 registrieren müssen. Dieses System dient der mehrstufigen Meldung schwerwiegender Vorfälle (24 Stunden für eine Frühwarnung, 72 Stunden für einen vollständigen Bericht), die beispielsweise im Falle eines Ausfalls von KI-Systemen, der eine schnelle Reaktion erfordert, zu einer zentralen operativen Herausforderung werden.
Zusammenfassend lässt sich sagen, dass die Verknüpfung des KI-Gesetzes mit der NIS2-Richtlinie ein kohärentes Rechtsregime schafft und Unternehmen dazu zwingt, von reaktivem zu proaktivem Risikomanagement überzugehen. Unternehmen in den von dieser Verordnung erfassten Sektoren sollten sich darüber im Klaren sein, dass die Sicherheit von KI-Technologien untrennbar mit der allgemeinen Cyberresilienz eines Unternehmens verbunden ist. Die Zeit für Nachsicht bei Verzögerungen bei der Umsetzung dieser Standards ist vorbei. Es geht nicht nur darum, Millionenstrafen zu vermeiden, sondern vor allem darum, die Geschäftskontinuität und das Vertrauen in den digitalen Handel zu gewährleisten.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Rechtsstatus ab dem 22. Juli 2026.
Autor/Herausgeber der Reihe:
