NIS2 Richtlinie und Hochrisiko-KI: Wer ist betroffen und warum?

NIS2 ist die zentrale EU-Richtlinie für Netz- und Informationssicherheit. Für regulierte Unternehmen mit Hochrisiko-KI-Systemen nach EU AI Act bedeutet sie einen zusätzlichen Layer an Pflichten auf derselben Infrastruktur, auf der Ihre KI arbeitet.

Was die NIS2-Richtlinie erreichen soll

Die NIS2-Richtlinie verfolgt drei klar definierte Ziele:

• Höheres Sicherheitsniveau für kritische und wichtige Einrichtungen in der gesamten EU
• Verbindliche Mindeststandards für technische und organisatorische Schutzmaßnahmen
• Einheitlicher Rahmen für Meldepflichten bei Sicherheitsvorfällen, mit konkreten Fristen

Für Sie bedeutet das: Ihre digitale Infrastruktur muss zu jedem Zeitpunkt einen nachweisbaren Sicherheitsstandard einhalten, der gegenüber Aufsicht und Auditoren belegbar ist. Der Druck verlagert sich weg von Papier-Policies hin zu belastbarem Nachweis technischer Zustände.

Relevanz für Unternehmen mit Hochrisiko-KI-Systemen

Wenn Sie Hochrisiko-KI nach EU AI Act betreiben, treffen sich mehrere Regime auf derselben Oberfläche: NIS2, branchenspezifische Regulierung (zum Beispiel Finanzaufsicht oder Gesundheitsrecht) und der EU AI Act selbst. Betroffen sind insbesondere:

• Finanzdienstleister mit KI-gestützten Scoring-, Trading- oder Monitoring-Systemen
• Gesundheitseinrichtungen und Health-Tech mit KI-gestützter Diagnostik oder Triage
• Anbieter von HR-Software mit automatisierten Entscheidungsprozessen
• Betreiber kritischer Infrastrukturen mit KI in Steuerungs- oder Monitoringketten
• B2B-SaaS-Anbieter mit KI-Funktionalitäten für EU-Kunden

Für alle diese Organisationen stellt sich immer wieder dieselbe Frage: Können Sie das nachweisen? Genau hier setzt ein technischer Infrastruktur-Nachweis an, der NIS2, DORA und EU AI Act gemeinsam adressiert, etwa über Verfahren wie sie in NIS2 und DORA beschrieben sind.

Zentrale Begriffe und regulatorischer Rahmen

Wichtige und besonders wichtige Einrichtungen

NIS2 unterscheidet zwischen Kategorien von Einrichtungen mit abgestufter Aufsichtstiefe. Ob Sie als wichtig oder besonders wichtig gelten, hängt von Sektor, Unternehmensgröße und Kritikalität der erbrachten Dienste ab. Für Hochrisiko-KI-Betreiber erhöht sich damit die Erwartung an formalisierte Sicherheits- und Nachweisprozesse.

Netz- und Informationssysteme

Unter Netz- und Informationssystemen versteht NIS2 die gesamte technische Infrastruktur, auf der Ihre Dienste laufen. Dazu gehören Hosting, Netzwerk, DNS, Identitäts- und Zugriffsmanagement, Logging, Monitoring und der Applikationsstack, auf dem Ihr KI-System produktiv arbeitet.

Regulatorischer Rahmen und Schnittstellen

NIS2 verzahnt sich mit:

• EU AI Act Vorgaben für Hochrisiko-KI
• Branchenspezifischer Regulierung wie Finanz- oder Gesundheitsaufsicht
• Nationalen Umsetzungsnormen in Deutschland

Für Compliance-Teams wird damit klar: Sie brauchen maschinenlesbare, reproduzierbare Evidenz über den Zustand Ihrer Infrastruktur zum Zeitpunkt der Prüfung. Genau an dieser Stelle liefert CERTavia kryptografisch überprüfbare Infrastruktur-Evidenz, die als Baustein in Ihr NIS2- und AI-Act-Dossier einfließt. Mehr dazu finden Sie unter CERTavia Infrastruktur-Nachweis.

Zielgruppen und Anwendungsbereich der NIS2-Richtlinie

NIS2 zielt auf Dienste von hoher gesellschaftlicher und wirtschaftlicher Bedeutung. Für Organisationen mit Hochrisiko-KI heißt das, Sie geraten über zwei Achsen in den Anwendungsbereich: über Ihren Sektor und über die Kritikalität Ihrer digitalen Dienste.

Welche Unternehmen typischerweise unter NIS2 fallen

NIS2 adressiert vor allem Einrichtungen, die als wichtig oder besonders wichtig eingestuft werden. Ob Ihre Organisation dazu gehört, hängt von:

• dem Sektor (zum Beispiel Finanzmarkt, Gesundheit, Energie, Transport, Verwaltung)
• der Rolle in der Wertschöpfungskette (Betreiber kritischer Dienste oder wesentlicher digitaler Plattformen)
• der Unternehmensgröße und Reichweite Ihrer Dienste

Für KI-getriebene Geschäftsmodelle heißt das: Sobald Ihre Plattform oder Ihr Service systemrelevant für Kunden oder Infrastruktur wird, rücken Sie in den Fokus von NIS2.

Finanzdienstleistungen

Banken, Zahlungsdienstleister, Versicherer und Marktplattformen mit KI-gestützten Hochrisiko-Systemen bewegen sich im Doppelregime aus Finanzaufsicht und NIS2. Konkret bedeutet das:

• Verfügbarkeit, Integrität und Nachvollziehbarkeit der Infrastruktur werden gleichermaßen geprüft
• Scoring-, Trading- und Entscheidungssysteme brauchen einen dokumentierten Infrastrukturzustand zum Prüfzeitpunkt
• DORA und NIS2 überlappen sich stark: ein gemeinsamer technischer Nachweis reduziert Doppelaufwand

Gesundheitswesen

Krankenhäuser, Labore, Telemedizin- und Health-Tech-Anbieter mit diagnostischer oder triagebezogener KI sind besonders exponiert. Die zentralen Anforderungen:

• Bei Ausfall oder Kompromittierung entsteht unmittelbares Patientenrisiko. NIS2 stuft das als besonders kritisch ein
• Strukturierte Sicherheitsmaßnahmen müssen belastbar nachgewiesen werden, über bloße Dokumentation hinaus
• Netze und Systeme müssen den Schutzlevel zum Zeitpunkt der Prüfung einhalten. Rückwirkende Aussagen greifen zu kurz

HR-Software und Hochrisiko-KI

HR-Plattformen mit automatisierter Bewerberauswahl oder Personaleinsatzplanung geraten über den EU AI Act in die Hochrisiko-Klassifikation. Was das für NIS2 bedeutet:

• NIS2 greift, sobald die Plattform als wesentlicher digitaler Dienst eingestuft wird, besonders bei Einsatz in kritischen Sektoren
• Geprüft wird, wie Ihre Infrastruktur Identitäten, Zugriffe, Logging und Deployment der KI-Modelle kontrolliert
• Fehlende Nachweise zu IAM und Deployment-Pfaden sind der häufigste Befund im Audit

Kritische Infrastrukturen

Betreiber kritischer Infrastrukturen nutzen KI für Monitoring, Anomalieerkennung oder Steuerung. NIS2, sektorale Spezialgesetze und EU AI Act sind hier eng verschränkt:

• Der Nachweis eines stabilen, korrekt konfigurierten Stacks wird integraler Bestandteil jedes Audits
• Sektorspezifische Behörden (BSI, BNetzA, BaFin) erwarten konsistente Evidenz aus einem einzigen Nachweis-Set
• Ein maschinenlesbarer Infrastruktur-Nachweis über das Sovereign Validation Protocol reduziert Interpretationsspielräume

B2B SaaS-Anbieter mit KI-Funktionalitäten

B2B-SaaS-Anbieter geraten in den NIS2-Anwendungsbereich, wenn Ihre Dienste als wesentliche digitale Dienste für regulierte Kunden fungieren. Die wichtigsten Implikationen:

• Betreiben Ihre Kunden Hochrisiko-KI auf Ihrer Plattform, wird Ihre Infrastruktur faktisch Teil des Audit-Scopes
• NIS2 verschärft Anforderungen an Lieferanten und IKT-Drittdienstleister erheblich
• Vertragliche Zusicherungen allein greifen zu kurz: technische Evidenz über den Infrastrukturzustand wird erwartet

Abgrenzung und Einordnung von Hochrisiko-KI-Systemen

Die Einordnung, ob ein System als Hochrisiko gilt, erfolgt primär über den EU AI Act, insbesondere Annex III. Für die Praxis hat sich bewährt, in drei Schritten vorzugehen:

1. Kartierung der KI-Systeme nach Geschäftsprozess und Betroffenheit von Personen
2. Abgleich mit den Annex-III-Kategorien anhand eines festen Kriterienrasters
3. Zuordnung des relevanten Infrastruktur-Scopes für NIS2 einschließlich Hosting, Netzwerk, IAM und Logging

Ein strukturierter Schnellcheck, wie er mit dem EU AI Act Schnelltest möglich ist, verschafft hier erste Klarheit. Wer diese Einordnung früh vornimmt, kann NIS2-, DORA- und AI-Act-Anforderungen konsistent auf denselben Infrastruktur-Nachweis mappen und führt eine einzige Dokumentationswelt statt drei getrennter.

CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.