Zwei Regulierungen treffen 2026 aufeinander: der EU AI Act mit seiner KI-Kompetenzpflicht und die NIS-2-Richtlinie mit verschärften Cybersicherheitsanforderungen. Für Unternehmen entstehen daraus zwei Pflichtenkreise: eine echte Schulungspflicht aus NIS-2 und eine Kompetenzpflicht aus dem EU AI Act. Denn KI verändert die Bedrohungslandschaft grundlegend und macht gleichzeitig neue Abwehrstrategien möglich.

Das Wichtigste in Kürze

Wichtig für die Geschäftsführung: NIS-2 Artikel 20 verlangt, dass Leitungsorgane persönlich an Cybersicherheitsschulungen teilnehmen. Eine Delegation an die IT-Abteilung reicht nicht aus.

NIS-2: Wen betrifft es?

Wesentliche Einrichtungen: Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung.

Wichtige Einrichtungen: Post, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung.

Schwellenwerte: Mindestens 50 Mitarbeiter oder mehr als 10 Millionen Euro Jahresumsatz. Aber: Auch als Zulieferer NIS-2-pflichtiger Unternehmen können Sie indirekt betroffen sein (Lieferketteneffekt).

KI als Angriffswaffe

KI-gestütztes Phishing: Personalisierte Phishing-Mails, kaum von echten Geschäftsmails zu unterscheiden. Laut BSI-Lagebericht steigt die Erfolgsquote um den Faktor 3 bis 5.

Deepfake-Betrug: Audio- und Video-Deepfakes ermöglichen CEO-Fraud auf neuem Niveau.

Automatisierte Schwachstellensuche: KI-Tools scannen Netzwerke in Minuten statt Tagen.

Adaptive Malware: Schadsoftware, die ihr Verhalten anpasst, um Erkennungssysteme zu umgehen.

KI als Verteidigungsinstrument

Anomalieerkennung: Ungewöhnliche Muster im Netzwerkverkehr erkennen, bevor ein Mensch den Vorfall bemerkt.

Automatisierte Reaktion: Verdächtige Verbindungen trennen, Konten sperren, Systeme isolieren.

Phishing-Erkennung: KI-basierte E-Mail-Filter erkennen auch neue, unbekannte Angriffsmuster.

Zwei Pflichtenkreise: NIS-2 und EU AI Act

ThemaNIS-2EU AI Act
KI-gestütztes Phishing erkennenJa (Cyber-Schulung)Ja (KI-Kompetenz)
KI-Sicherheitstools bedienenJa (Tool-Schulung)Ja (KI-System-Kompetenz)
Deepfake-Betrug verhindernJa (Social Engineering)Ja (KI-Risiken)
Incident Response mit KIJa (Vorfallmanagement)Ja (KI-Monitoring)

7-Punkte-Checkliste für Unternehmen

  1. NIS-2-Betroffenheit prüfen. Sektoren, Schwellenwerte und Lieferketteneffekt berücksichtigen.
  2. KI-Risikobewertung im Cybersicherheitskontext. Anfälligkeit für KI-Phishing und Deepfakes bewerten.
  3. Integrierte Schulungsstrategie. Cybersicherheit und KI-Kompetenz in einer Schulung verbinden.
  4. Technische Maßnahmen. KI-basierte E-Mail-Filter, MFA, Deepfake-Verifizierung, Netzwerk-Monitoring.
  5. Dokumentation. Maßnahmen, Schulungen, Vorfälle und KI-Systeme dokumentieren.
  6. Meldeprozesse einrichten. NIS-2 verlangt: 24h Frühwarnung, 72h Vorfallmeldung, 1 Monat Abschlussbericht.
  7. Lieferkette absichern. Cybersicherheit bei Zulieferern und KI-Dienstleistern prüfen.

Sanktionen bei Verstößen

RegelwerkMaximale Sanktion
NIS-2 (wesentliche Einrichtungen)10 Mio. EUR oder 2 % des Jahresumsatzes
NIS-2 (wichtige Einrichtungen)7 Mio. EUR oder 1,4 % des Jahresumsatzes
EU AI Act (Hochrisiko-Pflichten)15 Mio. EUR oder 3 % des Jahresumsatzes

Besonders brisant: Die persönliche Haftung der Geschäftsführung nach NIS-2. Das ist ein Novum im europäischen Cybersicherheitsrecht.

KI-Kompetenz als Wettbewerbsvorteil

Die Weiterbildung zum Digitalisierungsmanager vermittelt beide Kompetenzbereiche: KI-Grundlagen, Prozessautomatisierung und IT-Sicherheit. 4 Monate, komplett online, DEKRA-zertifiziert und förderbar über das Qualifizierungschancengesetz.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Häufige Fragen

Ist mein Unternehmen von NIS-2 betroffen, wenn ich weniger als 50 Mitarbeiter habe?
In den meisten Fällen nicht direkt. NIS-2 erfasst generell Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz. Indirekt können Sie über die Lieferkette betroffen sein, wenn Ihre Kunden NIS-2-pflichtig sind und Sicherheitsnachweise verlangen.
Muss die Geschäftsführung wirklich persönlich an Cybersicherheitsschulungen teilnehmen?
Ja. NIS-2 Artikel 20 verlangt ausdrücklich, dass die Leitungsorgane an Cybersicherheitsschulungen teilnehmen. Die Geschäftsführung haftet bei Verstößen persönlich. Eine Delegation der Verantwortung an die IT-Abteilung reicht nicht aus.
Wie hängen NIS-2 und EU AI Act zusammen?
Beide Regelwerke sind eigenständig, aber sie überschneiden sich thematisch. NIS-2 verlangt Cybersicherheit, der EU AI Act verlangt KI-Kompetenz. Wer KI in der Cybersicherheit einsetzt, muss beide Regelwerke gleichzeitig erfüllen. In der Praxis empfiehlt sich eine integrierte Schulung.
Brauche ich einen CISO?
NIS-2 schreibt keinen CISO vor, aber die Verantwortlichkeiten müssen klar zugeordnet sein. Für wesentliche Einrichtungen ist ein dedizierter Sicherheitsverantwortlicher faktisch notwendig. Wichtige Einrichtungen können die Aufgabe in bestehende Rollen integrieren.

KI-Kompetenz für Ihr Team aufbauen?

Die Weiterbildung zum Digitalisierungsmanager erfüllt die Anforderungen des EU AI Act Artikel 4. DEKRA-zertifiziert, 100 % förderbar.

Weiterbildung ansehen WhatsApp