Wen es betrifft
Rund 29.500 Unternehmen in 18 Sektoren unterliegen nun der Aufsicht des Bundesamts für Sicherheit in der Informationstechnik. Zuvor waren es etwa 4.500. Diese Vervielfachung ist der eigentliche Kern der Reform: NIS2 verlässt den engen Kreis kritischer Infrastrukturen und erfasst breite Teile der Wirtschaft.
Viele der neu Betroffenen haben nie mit Cybersicherheitsregulierung zu tun gehabt. Entsprechend groß ist der Anteil derer, die schlicht nicht wissen, dass sie dazugehören.
Was verlangt wird
Betroffene Unternehmen müssen Risikomanagementmaßnahmen in zehn Bereichen umsetzen. Darunter befinden sich Risikoanalyse, Backup-Management, Multi-Faktor-Authentifizierung — und der Punkt, um den es hier geht: Sicherheit der Lieferkette.
Warum KI unter die Lieferkette fällt
Lieferkettensicherheit meint nicht nur Hardware und Bauteile. Sie umfasst Dienstleister, die Zugang zu Ihren Systemen oder Daten haben. Ein KI-Dienst, in den Ihre Beschäftigten täglich Dokumente, Kundendaten und interne Auswertungen geben, ist genau das.
Damit wird eine Frage prüfungsrelevant, die viele Unternehmen bisher nicht beantworten können: Welche KI-Dienste sind im Einsatz, welche Daten fließen dorthin, wo werden sie verarbeitet, und was passiert bei einem Vorfall beim Anbieter?
Wer seine KI-Nutzung nicht kennt, kann seine Lieferkette nicht absichern. Und wer sie nicht absichern kann, erfüllt eine der zehn Pflichten nicht.
Die Meldefristen sind der eigentliche Stresstest
Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden. Diese Fristen sind knapp und laufen unabhängig davon, ob gerade Wochenende ist:
| Frist | Was zu liefern ist | Praktische Hürde |
|---|---|---|
| 24 Stunden | Frühwarnung | Vorfall muss überhaupt bemerkt werden |
| 72 Stunden | Meldung mit erster Bewertung | Betroffene Systeme und Daten müssen benennbar sein |
| 1 Monat | Abschlussbericht | Ursache und Maßnahmen dokumentiert |
Die zweite Spalte ist harmlos, die dritte ist es nicht. Wenn ein Datenabfluss über einen KI-Dienst passiert, den niemand offiziell eingeführt hat, ist die 72-Stunden-Frage — welche Daten waren betroffen? — praktisch nicht zu beantworten.
Was bei Verstößen droht
Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Hinzu kommt etwas, das in vielen Häusern schwerer wiegt: NIS2 nimmt die Geschäftsleitung persönlich in die Pflicht. Das Thema lässt sich nicht vollständig an die IT delegieren.
Was jetzt zu tun ist
- Betroffenheit klären. Sektor, Unternehmensgröße, Umsatz. Wenn die Antwort unklar ist, ist sie zu klären — Nichtwissen schützt nicht.
- Registrierung nachholen. Die Frist ist abgelaufen, das Portal ist offen. Eine verspätete Registrierung ist besser als keine.
- KI-Dienste inventarisieren. Offiziell eingeführte und inoffiziell genutzte. Diese Liste ist die Grundlage für die Lieferkettenbewertung.
- Meldekette definieren. Wer bemerkt einen Vorfall, wer entscheidet, wer meldet? 24 Stunden sind nichts, wenn erst geklärt werden muss, wer zuständig ist.
- Angriffsfläche verkleinern. Jeder externe Dienst weniger ist ein Lieferkettenrisiko weniger.
Einordnung
NIS2 ist keine KI-Regulierung und war nie als solche gedacht. Sie wirkt aber auf den KI-Einsatz, weil moderne Sicherheitsregulierung dort ansetzt, wo Daten das Haus verlassen. Und das tun sie bei kaum einer Anwendung so beiläufig wie bei einem Chatfenster.
Für Unternehmen, die ohnehin zwischen Cloud-KI und eigener Plattform abwägen, ist NIS2 damit ein zusätzliches Argument in einer Rechnung, die längst läuft.
Weniger externe Dienste, weniger Lieferkette
Wir betreiben Ihre KI-Plattform in Deutschland — auf Wunsch in Ihrem eigenen Rechenzentrum. Sie behalten Kontrolle über Daten, Protokolle und Zugriffe.
Quellen: OpenKRITIS — NIS2-Umsetzungsgesetz, secjur — NIS2 Umsetzung Deutschland, Advant Beiten — Neue Cybersicherheitspflichten. Der Beitrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.
Zuletzt aktualisiert am
