NIS2 und KI: was das NIS2-Umsetzungsgesetz für Ihren KI-Einsatz bedeutet
Kurz gesagt
NIS2 regelt keine KI, betrifft sie aber: Ein KI-Dienst ist Teil Ihrer informationstechnischen Systeme und Ihrer Lieferkette. In Deutschland gilt NIS2 seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz, ohne Übergangsfristen. Besonders wichtige und wichtige Einrichtungen müssen die Risiken ihrer KI-Anbieter steuern, erhebliche Sicherheitsvorfälle binnen 24 Stunden erstmelden, und die Geschäftsleitung haftet für die Umsetzung.
NIS2 in Deutschland: das NIS2UmsuCG
Die europäische NIS2-Richtlinie (2022/2555) hätte bis Oktober 2024 umgesetzt sein müssen. Deutschland hat das mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) getan, das am 6. Dezember 2025 in Kraft trat und das BSI-Gesetz neu fasst. Rund 29.500 Unternehmen fallen darunter, als besonders wichtige oder wichtige Einrichtung. Die Meldefristen und die Vereinbarungen mit KI-Anbietern stehen in NIS2-Meldepflicht und KI-Anbieter.
Die Pflichten gelten ohne allgemeine Übergangsfrist: Registrierung beim BSI (die Frist wurde bis zum 31. Juli 2026 verlängert), Risikomanagementmaßnahmen und Meldung erheblicher Sicherheitsvorfälle.
Wo sich NIS2 und KI berühren
- Risikomanagement (Art. 21 der Richtlinie): KI-Anwendungen gehören in Ihre Risikoanalyse, wie jedes andere IT-System. Welche Daten gehen hinein, wer hat Zugriff, was passiert bei einem Ausfall?
- Sicherheit der Lieferkette: Ein externer KI-Dienst ist ein Lieferant. NIS2 verlangt, dass Sie die Sicherheitspraktiken Ihrer Lieferanten bewerten und vertraglich regeln. Bei einem großen ausländischen KI-Anbieter haben Sie darauf wenig Einfluss.
- Meldepflicht (Art. 23 der Richtlinie): Ein erheblicher Sicherheitsvorfall ist binnen 24 Stunden erstzumelden, binnen 72 Stunden mit einer ersten Bewertung und binnen eines Monats mit einem Abschlussbericht. Ein KI-Vorfall, etwa ein Datenabfluss über einen KI-Dienst, kann darunter fallen.
- Geschäftsleitung (Art. 20 der Richtlinie): Sie billigt die Maßnahmen, überwacht die Umsetzung, muss an Schulungen teilnehmen und kann haftbar gemacht werden.
Fünf Fragen, die Ihre Geschäftsleitung zu KI beantworten können muss
- Welche KI-Dienste nutzt die Organisation, offiziell und inoffiziell? Siehe Schatten-KI.
- Welche Daten gehen hinein, und bei welchen Anbietern liegen sie?
- Was passiert, wenn ein KI-Dienst ausfällt oder seine Bedingungen ändert?
- Können wir einen Vorfall mit einem KI-Dienst binnen 24 Stunden erkennen und melden?
- Können wir nachweisen, wer was mit KI getan hat? Siehe KI-Verordnung 2026 zur Überschneidung mit der KI-Verordnung.
Die Lieferkette verkürzen
Je mehr externe KI-Dienste, desto mehr Lieferanten müssen Sie bewerten, vertraglich einbinden und überwachen. Wer KI auf eigener Infrastruktur betreibt, nimmt dieses Glied aus der Kette: Es gibt keinen externen Modellanbieter, der Daten verarbeitet oder ausfallen kann.
Mit werqly laufen Open-Weight-Modelle auf einem eigenen Node in Ihrem Serverraum, angebunden an Ihren Identity Provider. Das Audit-Log von werqly AI Control geht in Ihr SIEM, sodass ein KI-Vorfall unter dieselbe Erkennung und Meldekette fällt wie Ihre übrigen Systeme. Im Eigenbetrieb ist werqly vor allem Softwarelieferant; bei werqly Pro-Betrieb oder werqly Cloud ist werqly ein Lieferant in Ihrer Kette, den Sie wie andere bewerten. Die ISO-27001-Zertifizierung von werqly läuft. Siehe auch Was ist private KI?
Häufige Fragen
Fragen zu diesem Thema
Seit wann gilt NIS2 in Deutschland?
Seit dem 6. Dezember 2025, mit dem Inkrafttreten des NIS2-Umsetzungsgesetzes. Allgemeine Übergangsfristen gibt es nicht; die Registrierungsfrist beim BSI wurde bis zum 31. Juli 2026 verlängert.
Gehört ein KI-Dienst zur NIS2-Lieferkette?
Ja. Ein externer KI-Dienst verarbeitet Ihre Daten und ist Teil Ihrer IT-Systeme. NIS2 verlangt, dass Sie die Sicherheit solcher Lieferanten bewerten und vertraglich regeln, wie bei anderen IT-Dienstleistern.
Muss ein Datenabfluss über einen KI-Chatbot nach NIS2 gemeldet werden?
Wenn es ein erheblicher Sicherheitsvorfall ist, ja: Erstmeldung binnen 24 Stunden an das BSI, Meldung mit erster Bewertung binnen 72 Stunden. Unabhängig davon gilt die Meldepflicht für Datenpannen nach der DSGVO gegenüber der Datenschutzaufsicht.
Haftet die Geschäftsleitung persönlich nach NIS2?
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Verletzt sie diese Pflichten, kann sie haftbar gemacht werden. KI-Risiken gehören daher auf die Agenda der Geschäftsleitung.
Quellen
- BSI — NIS-2-Umsetzungsgesetz ab morgen in Kraft (Dezember 2025)
- NIS2-Richtlinie — Richtlinie (EU) 2022/2555
- Solidaris — BSI setzt neue Frist bis 31. Juli 2026 für NIS-2-Registrierung
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.