NIS2 und Ihre KI-Plattform: die konkreten Berührungspunkte

TL;DR

NIS2 enthält kein Wort zu künstlicher Intelligenz. Genau deshalb ist eine KI-Plattform davon erfasst wie jedes andere IT-System — mit drei Besonderheiten, die in Standardkonzepten fehlen: Modellanbieter als Teil der Lieferkette, Aufrufprotokolle als Nachweis, und die Frage, was ein meldepflichtiger Vorfall überhaupt ist, wenn ein Modell falsche Auskünfte gibt.

Zuerst: sind Sie überhaupt betroffen?

Die Frage wird zu oft übersprungen. NIS2 erfasst Einrichtungen in bestimmten Sektoren ab bestimmten Größenschwellen — im Kern ab 50 Beschäftigten und 10 Millionen Euro Jahresumsatz, mit Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen.

Für den Mittelstand relevant sind vor allem: Energie, Trinkwasser und Abwasser, Verkehr, Gesundheit, digitale Infrastruktur und IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Herstellung und Handel mit Chemikalien, Lebensmittelproduktion, und die Herstellung von Medizinprodukten, Maschinen, Fahrzeugen und elektronischen Geräten.

Der letzte Punkt ist der, der viele überrascht: Maschinenbau und Elektrotechnik ab der Größenschwelle sind erfasst. Ein produzierendes Unternehmen mit 200 Beschäftigten im Maschinenbau ist damit in der Regel eine wichtige Einrichtung.

Und ein zweiter Weg hinein: über die Lieferkette. Auch wer selbst nicht erfasst ist, bekommt die Anforderungen über Kundenverträge — weil betroffene Kunden ihre Lieferanten in die Pflicht nehmen müssen.

Die drei Stellen, an denen es für KI-Plattformen konkret wird

Lieferkette: der Modellanbieter zählt mit

NIS2 verlangt die Berücksichtigung der Sicherheit in der Lieferkette, einschließlich der Beziehungen zu Anbietern. Für eine KI-Plattform heißt das: Ihr Modellanbieter ist Teil dieser Kette und gehört in Ihre Lieferantenbewertung.

Was das praktisch bedeutet, und es ist unangenehmer als bei klassischen Softwareanbietern:

Ein Modellanbieter kann eine Version abkündigen. Er kann seine Nutzungsbedingungen ändern. Er kann die Verfügbarkeit in einer Region einstellen. Bei einem Datenbankhersteller haben Sie fünf Jahre Vorlauf, bei Modellanbietern sind Abkündigungsfristen von wenigen Monaten üblich.

Die Konsequenz in der Architektur ist ein Gateway, das den Modellwechsel entkoppelt — nicht als Bequemlichkeit, sondern als Maßnahme zur Beherrschung eines Lieferantenrisikos. Genau so sollten Sie es auch dokumentieren. Der technische Weg dorthin steht im Beitrag zum Modellwechsel ohne Neuentwicklung.

Für die Lieferantenbewertung sollten Sie je Modellanbieter festhalten: Verarbeitungsort, Auftragsverarbeitungsvertrag, Zusagen zur Abkündigung, verfügbare Ausweichoption. Der letzte Punkt ist die eigentliche Maßnahme.

Zugriffskontrolle und Protokollierung

Hier deckt sich die NIS2-Anforderung mit dem, was ohnehin nötig ist — aber der Nachweis muss geführt werden können.

Drei Fragen sollten Sie ohne Vorbereitung beantworten können:

Wer hat Zugriff auf die Plattform, und wie wird das entzogen? Die Antwort sollte "über Entra-ID-Gruppen, Entzug wirkt bei der nächsten Anmeldung" lauten und nicht "über lokale Konten in drei Systemen". Wenn Sie Letzteres haben, ist das Ihre erste Baustelle — die Einrichtung steht in der SSO-Anleitung.

Welche automatisierten Zugriffe bestehen auf welche Fachsysteme? Das ist die Agentenfrage. Ein gepflegtes Verzeichnis beantwortet sie in Sekunden, eine nachträgliche Recherche kostet Wochen. Wie so ein Verzeichnis aussieht, steht im Beitrag zur Agenten-Governance.

Wer hat wann welche Daten über die Plattform abgefragt? Aufrufprotokolle mit Nutzerkennung, Zeitstempel und angesprochenem System. Mit definierter Aufbewahrungsfrist — und, weil es sich um eine mögliche Verhaltenskontrolle handelt, mit dem Betriebsrat abgestimmt.

Vorfallsmeldung: was zählt als Sicherheitsvorfall?

Die Meldefristen von NIS2 sind eng: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden, ein Abschlussbericht binnen eines Monats. Diese Fristen können Sie nur halten, wenn vorher definiert ist, was gemeldet wird.

Für eine KI-Plattform sind drei Fälle eindeutig meldepflichtig, wenn sie erhebliche Auswirkungen haben: unbefugter Zugriff auf die Plattform, Abfluss von Daten über die Plattform, und ein Ausfall, der einen kritischen Prozess unterbricht.

Ein vierter Fall ist umstritten und sollte intern geklärt werden, bevor er eintritt: Was ist, wenn ein Angreifer über indirekte Prompt-Injection erreicht, dass die Plattform systematisch falsche Auskünfte gibt? Das ist kein Datenabfluss und kein Ausfall — aber es ist die Kompromittierung der Integrität eines Systems, und Integrität ist ausdrücklich Schutzziel. Wie dieser Angriff funktioniert, steht im Beitrag zu Prompt-Injection.

Unsere Empfehlung: Nehmen Sie diesen Fall ausdrücklich in Ihren Meldekatalog auf, mit einer Erheblichkeitsschwelle. Es ist einfacher, ihn vorher zu bewerten, als in den ersten 24 Stunden eines Vorfalls darüber zu diskutieren.

Was Sie konkret tun sollten

Kein Compliance-Projekt, sondern vier Ergänzungen an dem, was ohnehin vorhanden sein sollte:

1. Modellanbieter in die Lieferantenbewertung aufnehmen, mit dokumentierter Ausweichoption je Anbieter
2. Agentenverzeichnis anlegen, das automatisierte Zugriffe auf Fachsysteme sichtbar macht
3. Aufrufprotokolle mit Aufbewahrungsfrist und Betriebsratsabstimmung
4. Meldekatalog um KI-spezifische Fälle ergänzen, insbesondere um die Integritätskompromittierung

Der Aufwand liegt bei wenigen Personentagen, wenn ein Informationssicherheits-Managementsystem existiert. Wenn keines existiert, ist die KI-Plattform nicht Ihr dringendstes Problem.

Häufig gestellte Fragen

Enthält NIS2 spezielle Anforderungen für KI-Systeme?

Nein, die Richtlinie ist technologieneutral formuliert und erwähnt künstliche Intelligenz nicht gesondert. Eine KI-Plattform fällt deshalb unter dieselben allgemeinen Pflichten wie andere IT-Systeme — Risikomanagement, Zugriffskontrolle, Lieferkettensicherheit, Vorfallsmeldung. Die Besonderheiten ergeben sich aus den Eigenschaften der Technologie, nicht aus eigenen Vorschriften.

Ist ein Maschinenbauunternehmen von NIS2 betroffen?

Ab den Größenschwellen in der Regel ja. Die Herstellung von Maschinen, Fahrzeugen sowie elektrischen und elektronischen Geräten gehört zu den erfassten Sektoren, üblicherweise als wichtige Einrichtung. Hinzu kommt der Weg über die Lieferkette: Auch nicht unmittelbar erfasste Unternehmen erhalten die Anforderungen über Verträge mit betroffenen Kunden.

Muss ein Modellanbieter in die Lieferantenbewertung?

Ja. Er stellt eine Komponente bereit, von der die Verfügbarkeit und Integrität Ihrer Plattform abhängt, und fällt damit unter die Anforderungen zur Lieferkettensicherheit. Bewerten Sie je Anbieter Verarbeitungsort, Vertragslage, Abkündigungsfristen und vor allem die verfügbare Ausweichoption — Letzteres ist die eigentliche Risikominderung.

Ist eine manipulierte KI-Antwort ein meldepflichtiger Vorfall?

Das ist im Einzelfall zu bewerten und sollte vorab intern geklärt werden. Wenn ein Angreifer über eingeschleuste Anweisungen erreicht, dass die Plattform systematisch falsche Auskünfte gibt, ist die Integrität eines Systems kompromittiert — ein ausdrückliches Schutzziel. Nehmen Sie diesen Fall mit einer Erheblichkeitsschwelle in Ihren Meldekatalog auf, statt ihn im Ernstfall zu diskutieren.

Wie verhält sich NIS2 zum EU AI Act?

Die beiden regeln Verschiedenes und überschneiden sich in der Praxis erheblich. NIS2 adressiert die Sicherheit von Netz- und Informationssystemen, der AI Act die Risiken der KI-Anwendung selbst. Eine Bestandsaufnahme Ihrer KI-Systeme wird für beide gebraucht — führen Sie sie einmal und nutzen Sie sie doppelt. Die Einstufung nach dem AI Act behandelt der Beitrag zu Hochrisiko-Systemen im Mittelstand.

Der nächste Schritt

Prüfen Sie eine Sache: Können Sie heute beantworten, welche automatisierten Zugriffe auf Ihre Fachsysteme bestehen? Wenn nicht, ist das der erste Eintrag auf der Liste — er wird für NIS2, für den AI Act und für jedes Sicherheitsaudit gebraucht. Bei der Bestandsaufnahme unterstützen wir gern.