Thought Leadership
NIS2, EU AI Act, Datenschutz und weitere Digitalgesetze: Unternehmen fehlt es nicht an Regeln. Was häufig fehlt, ist die notwendige Struktur.
Denn mit jedem neuen Regelwerk entstehen zusätzliche Pflichten, Fristen und Zuständigkeiten. Gleichzeitig setzen Unternehmen immer mehr KI-Anwendungen ein. Oft eingebettet in bestehende Software für Personal, Kundenservice, Marketing oder Dokumentenanalyse. Neue regulatorische Anforderungen treffen auf Systeme und Prozesse, deren Einsatz im Unternehmen teilweise noch gar nicht vollständig erfasst ist.
In der Praxis landen viele dieser Aufgaben bei denselben Teams: Compliance muss Vorgaben bewerten, die technologischen Maßnahmen umsetzen, das Risikomanagement Auswirkungen erfassen und die Geschäftsleitung den Überblick behalten. Viele Unternehmen beginnen erst jetzt mit der operativen Umsetzung. Dabei zeigt sich, dass nicht allein die einzelnen Vorschriften komplex sind. Vor allem ihr Zusammenspiel bringt bestehende Organisationsstrukturen an ihre Grenzen.
NIS2 reicht weit über die IT hinaus
Mit NIS2 will die Europäische Union ein hohes gemeinsames Cybersicherheitsniveau schaffen. Die Richtlinie gilt für einen Kreis an fest definierten Unternehmen. Entweder mit einem Jahresumsatz von 10 Mio. EUR oder mindestens 50 Beschäftigten. Betroffene Branchen sind beispielsweise Energie, Transport, Finanzen, Gesundheit, Forschung, Postwesen und so weiter.
Cyberrisikomanagement, Meldeprozesse für Sicherheitsvorfälle, die Berücksichtigung von Lieferkettenrisiken sowie eine stärkere Verantwortung der Leitungsorgane müssen integriert werden. Zum März waren zwei Drittel der in Deutschland betroffenen Unternehmen noch nicht für das Verfahren registriert.
NIS2 ist aufgrund der hohen Komplexität kein Vorhabenrojekt, das allein an die IT-Abteilung delegiert werden kann. Technische Lösungen wie Firewalls, Datensicherungen und Angriffserkennung bleiben wichtig. Sie beantworten jedoch nicht alle organisatorischen Fragen.
Unternehmen müssen wissen, welche Prozesse für den Geschäftsbetrieb besonders kritisch sind, welche Systeme und externen Dienstleister dafür benötigt werden und wer bei einem Sicherheitsvorfall welche Entscheidung trifft. Ebenso muss geklärt sein, wie Vorfälle intern weitergegeben, bewertet und fristgerecht gemeldet werden.
Genau an diesen Schnittstellen entstehen häufig Lücken. Die IT kennt die Systeme und technischen Abhängigkeiten. Das Risikomanagement bewertet mögliche wirtschaftliche Folgen. Compliance verfolgt die regulatorischen Pflichten. Arbeiten diese Bereiche getrennt und isoliert voneinander fehlt eine gemeinsame Sicht auf Risiken, Maßnahmen und Verantwortlichkeiten.
Cybersicherheit wird damit von einer technischen Aufgabe zu einer unternehmensweiten Steuerungsfrage.
Der AI Act erhöht den Abstimmungsdruck
Parallel zu NIS2 müssen Unternehmen den EU AI Act in ihre Prozesse übersetzen. Nach Angaben der Europäischen Kommission handelt es sich um den ersten umfassenden Rechtsrahmen für künstliche Intelligenz. Er folgt einem risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für Sicherheit, Gesundheit oder Grundrechte ist, desto umfangreicher sind die damit verbundenen Pflichten.
Die praktische Umsetzung beginnt mit einer grundlegenden Frage: Wo wird im Unternehmen überhaupt künstliche Intelligenz eingesetzt?
Die Antwort ist häufig schwieriger als erwartet. KI steckt nicht nur in selbst entwickelten Anwendungen, sondern auch in eingekaufter Standardsoftware. Der Einkauf kennt möglicherweise den Anbieter, die Fachabteilung den konkreten Anwendungsfall und die IT den technischen Zugang. Ob eine Anwendung regulatorisch relevant ist, welche Risiken bestehen und welche Rolle das Unternehmen nach dem AI Act einnimmt, lässt sich deshalb nur bereichsübergreifend beurteilen.
Wenn jedes Regelwerk sein eigenes Projekt bekommt
Viele Unternehmen reagieren auf neue Vorgaben mit eigenen Projektgruppen. Für NIS2 wird ein Maßnahmenplan erstellt, für den AI Act ein separates KI-Register aufgebaut und für Datenschutz, Informationssicherheit oder interne Revision bestehen weitere Kontrollsysteme.
Auf den ersten Blick erscheint diese Trennung übersichtlich. Mit zunehmender Zahl der Regelwerke führt sie jedoch zu Doppelarbeit und Abstimmungsproblemen.
Eine regelmäßige Kontrolle von Zugriffsrechten kann beispielsweise für NIS2, den Datenschutz, interne Sicherheitsrichtlinien und bestimmte KI-Anwendungen relevant sein. Wird sie für jedes Regelwerk erneut beschrieben, geprüft und dokumentiert, steigt der Aufwand, ohne dass die Kontrolle dadurch wirksamer wird.
Das eigentliche Problem ist kein Mangel an Dokumenten. Es ist ein Mangel an Verbindung zwischen den vorhandenen Informationen.
Von der Bestandsaufnahme zur laufenden Steuerung
Der erste Schritt ist eine belastbare Bestandsaufnahme. Unternehmen müssen klären, welche Gesellschaften, Standorte, Prozesse, Systeme und Dienstleister von NIS2 betroffen sein können. Für den AI Act ist zusätzlich ein möglichst vollständiges Verzeichnis der bereits eingesetzten und geplanten KI-Anwendungen erforderlich.
Darauf folgt die klare Zuordnung von Verantwortlichkeiten. Für jede wesentliche Anforderung sollte feststehen, wer sie bewertet, wer notwendige Maßnahmen umsetzt und wer deren Wirksamkeit kontrolliert. Unklare Zuständigkeiten führen in der Praxis häufig dazu, dass Aufgaben zwar erkannt, aber nicht konsequent abgeschlossen werden.
Im nächsten Schritt sollten bestehende Kontrollen zusammengeführt werden. Themen wie Zugriffsmanagement, Lieferantenprüfung, Datensicherung, Notfallvorsorge oder Vorfallmeldungen müssen nicht für jedes Regelwerk neu entwickelt und dokumentiert werden. Eine bestehende Kontrolle kann mehreren regulatorischen Anforderungen zugeordnet werden, sofern ihre Ausgestaltung, Zuständigkeit und Wirksamkeit nachvollziehbar festgehalten sind.
Erst auf dieser Grundlage ist ein aussagekräftiges Reporting möglich. Die Geschäftsleitung benötigt keine Auflistung sämtlicher Gesetzesartikel. Sie muss erkennen können, welche wesentlichen Risiken bestehen, welche Maßnahmen noch offen sind, wo Nachweise fehlen und an welchen Stellen Entscheidungen erforderlich sind.
Das bedeutet nicht, sämtliche Verantwortung in einer zentralen Abteilung zu bündeln. Die IT bleibt für technische Maßnahmen zuständig, die Fachbereiche für ihre Prozesse und Compliance für die regulatorische Einordnung. Notwendig sind jedoch gemeinsame Begriffe, einheitliche Bewertungsmaßstäbe und klare Übergaben zwischen den beteiligten Bereichen. So können einzelne Segmente individuell arbeiten, ohne den Fokus auf zentrale Ziele im Unternehmen zu verlieren. Governance, Risk und Compliance, kurz GRC, bietet dafür einen organisatorischen Rahmen. Risiken, regulatorische Pflichten, Kontrollen und Zuständigkeiten werden nicht getrennt betrachtet, sondern systematisch miteinander verknüpft.
Compliance wird zur dauerhaften Steuerungsaufgabe
NIS2 und der AI Act sind daher keine Dynamiken, die nach einer einmaligen Umsetzung abgeschlossen sind. Systeme verändern sich, neue Dienstleister kommen hinzu und Fachbereiche führen weitere KI-Anwendungen ein. Gleichzeitig entwickeln sich technische Bedrohungen, Standards und regulatorische Vorgaben weiter.
Unternehmen benötigen deshalb Prozesse, die solche Veränderungen laufend erfassen. Eine neue KI-Funktion darf nicht erst bei einer internen Prüfung auffallen. Auch ein Wechsel des Cloud-Anbieters oder eine Veränderung eines geschäftskritischen Prozesses muss in die Risiko- und Compliancebewertung einfließen.
Wer NIS2 ausschließlich als Aufgabe der IT und den AI Act ausschließlich als Thema für Compliance behandelt, verschiebt die Komplexität lediglich zwischen den Abteilungen.
Entscheidend ist, regulatorische Anforderungen mit bestehenden Prozessen, Risiken und Kontrollen zu verbinden. Dadurch lassen sich Doppelarbeit reduzieren, Zuständigkeiten klarer festlegen und Prüfungen besser vorbereiten.
Der Überblick entsteht nicht durch immer mehr Listen. Er entsteht durch eine gemeinsame Struktur, in der neue Anforderungen eingeordnet werden können, ohne für jedes Regelwerk wieder bei null zu beginnen.
