Zum Hauptinhalt springen
NIS2Certify
Zurück zur Übersicht

NIS2 und KI-Bedrohungserkennung: Was der neue EU-Aktionsplan für MSPs bedeutet

Von NIS2Certify
nis2ki-bedrohungserkennungartikel-21mspeu-aktionsplan
NIS2 und KI-Bedrohungserkennung: Was der neue EU-Aktionsplan für MSPs bedeutet

Am 7. Juli 2026 veröffentlichte die European Commission ihren Action Plan on Cybersecurity and Artificial Intelligence. Die meiste Berichterstattung behandelte ihn als KI-Politikthema. Das ist er nicht. Für alle, die die Sicherheit wesentlicher oder wichtiger Einrichtungen verantworten, hat er still und leise den Maßstab dafür verschoben, wie NIS2-Erkennung aussehen soll.

Der Plan ist das erste EU-weite Dokument, das KI-gestützte Bedrohungserkennung als erwartete operative Praxis behandelt und nicht als optionales Upgrade. Diese Formulierung zählt. Article 21 von NIS2 verlangt Maßnahmen, die dem "Stand der Technik" entsprechen. Wenn die Kommission schwarz auf weiß feststellt, dass KI Erkennung und Reaktion wesentlich verbessert, umfasst "Stand der Technik" auf einmal Fähigkeiten, die Sie bei Ihren Kunden vielleicht noch nicht ausgerollt haben.

Hier steht, was der Action Plan tatsächlich sagt, welche Article 21-Maßnahmen er berührt und was Sie Ihren Kunden vor dem ersten Audit vorlegen sollten.

Der Action Plan koordiniert fünf Verordnungen, statt eine sechste hinzuzufügen

Das Wichtigste, was Sie Kunden sagen sollten, ist, was der Action Plan nicht ist. Er ist kein neues Compliance-Regime. Es gibt keine neue Registrierung, kein neues Meldeportal, keinen neuen Satz von Controls, gegen den zertifiziert werden muss.

Stattdessen koordiniert er Pflichten, die bereits im AI Act, in NIS2, DORA, dem Cyber Resilience Act und dem Cyber Solidarity Act bestehen. Ziel der Kommission ist es, zu verhindern, dass diese Rahmenwerke in verschiedene Richtungen ziehen, und den Aufsichtsbehörden einen gemeinsamen Bezugspunkt dafür zu geben, wie KI in die Cyberresilienz passt.

Für einen MSP ist das zugleich eine gute Nachricht und eine Falle. Gut, weil Sie kein sechstes Regelbuch lernen müssen. Eine Falle, weil die Erwartungen jetzt in Rahmenwerken stecken, an die Ihre Kunden rechtlich bereits gebunden sind, es gibt also keine Übergangsfrist, auf die man verweisen könnte.

NIS2 vs. ISO 27001 — Anforderungsvergleich
◈Nur NIS2
Pflicht zur Vorfallsmeldung an Behörden (24h / 72h)
Persönliche Haftung auf Leitungsebene für Cybersicherheit
Lieferkettensicherheitspflichten für wesentliche Einrichtungen
Sektorspezifische regulatorische Pflichten
⬡Gemeinsame Anforderungen
Informationssicherheits-Risikomanagement
Zugangssteuerung und Identitätsmanagement
Geschäftskontinuität und Notfallwiederherstellung
Sicherheitsbewusstsein und Schulung
◇Nur ISO 27001
Interne Audit- und Managementbewertungszyklen
Dokumentation der Erklärung zur Anwendbarkeit (SoA)
Formelle Zertifizierung und externe Prüfung
Die mittlere Spalte zeigt Anforderungen, die NIS2 und ISO 27001 gemeinsam haben

Der Plan setzt sich drei eigene Ziele: die sichere Nutzung fortgeschrittener KI fördern, die EU-Cyberresilienz stärken und die europäische KI-Kapazität für Cybersicherheit ausbauen. Das zweite Ziel ist der Ort, an dem NIS2 lebt, und es ist dasjenige, das Ihr Tagesgeschäft verändert.

"Stand der Technik" neigt jetzt zur KI-gestützten Erkennung

NIS2 schreibt keine bestimmten Werkzeuge vor. Article 21 verlangt Risikomanagementmaßnahmen, die geeignet und verhältnismäßig sind, unter Berücksichtigung des Stands der Technik und der Implementierungskosten. Diese Dehnbarkeit schnitt immer in beide Richtungen. Sie erlaubt einer kleinen wichtigen Einrichtung einen schlanken Stack, bedeutet aber auch, dass der Maßstab steigt, wenn sich der Markt bewegt.

Der Action Plan hebt den Maßstab. Indem er KI-gestützte Erkennung auf der Ebene eines offiziellen EU-Dokuments als erwartete Praxis benennt, gibt er Prüfern eine Fundstelle. Eine Aufsichtsbehörde, die einen schweren Vorfall bewertet, kann nun berechtigterweise fragen, warum ein Verteidiger, der sich auf reine Signaturerkennung stützte, keine breit verfügbaren verhaltens- und anomaliebasierten Werkzeuge einsetzte, die die Kommission selbst als wirksam kennzeichnete.

Sie müssen Ihren Stack nicht herausreißen. Sie brauchen aber eine verteidigbare Position. Wenn ein Kunde eine Erkennung betreibt, die sich seit 2023 nicht wesentlich geändert hat, ist das jetzt eine wartende Feststellung, keine neutrale Wahl.

Übertragen Sie es zurück auf die konkreten Maßnahmen. Der Action Plan setzt vor allem die Erkennungs- und Reaktionsseite von Article 21(2) unter Druck: die Behandlung von Vorfällen und die Überwachung, die sie speist.

Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
Artikel 21
10 Cybersicherheitsmaßnahmen
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien
6Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
Vorfälle & Kontinuität
2Vorfallsbehandlung & Meldung
3Geschäftskontinuität & Notfallwiederherstellung
Lieferkette & Systeme
4Sicherheit der Lieferkette
5Sicherheit bei der Entwicklung von Netz- und Informationssystemen
Technische Kontrollen
8Kryptografie & Verschlüsselung
10Multi-Faktor-Authentifizierung & sichere Kommunikation
Personal & Ressourcen
7Cyber-Hygiene & Schulung
9Personalsicherheit & Zugangskontrolle

Praktische Übersetzung für Ihre Kunden: Die Maßnahmen auf dem Papier haben sich nicht geändert, wohl aber der Nachweis, den Sie brauchen, um zu zeigen, dass sie "wirksam" sind. Ein Prüfer will sehen, dass Ihre Überwachung das erfassen kann, was Angreifer heute tatsächlich tun, einschließlich KI-beschleunigter Einbrüche, nicht nur bekannte Signaturen.

KI schneidet in beide Richtungen, und der Plan ist dabei ehrlich

Der Grund für das Handeln der Kommission ist, dass Angreifer KI zuerst erreichten. Der Plan erkennt ausdrücklich an, dass Frontier-Modelle Aufklärung, Phishing, Schwachstellensuche und Exploit-Entwicklung beschleunigen. Schnellere Angriffe komprimieren jede Zeitleiste, auf die sich Ihre Kunden verlassen.

Diese Kompression prallt direkt auf die Meldeuhr von NIS2. Eine wesentliche oder wichtige Einrichtung muss innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Vorfalls eine Frühwarnung einreichen, gefolgt von einer umfassenderen Meldung innerhalb von 72 Stunden. Wenn KI die Lücke zwischen Erstzugriff und Auswirkung verkürzt, tritt der "Kenntnis"-Moment später in der Kill Chain ein, es sei denn, Ihre Erkennung ist schnell genug, um ihn früh zu fassen.

Das ist der operative Kern der Sache. Bessere Erkennung ist keine Compliance-Nettigkeit. Sie ist das, was Ihre Fähigkeit bewahrt, die Meldefristen überhaupt einzuhalten.

NIS2 Zeitplan für die Vorfallmeldung
24h
Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
72h
Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
1mo
Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.

Dieselbe KI, die Ihre Kunden bedroht, ist also auch die ehrliche Antwort auf das Zeitleistenproblem. Verhaltenserkennung, automatisierte Triage und Korrelation über Telemetrie geben einem überlasteten Sicherheitsteam eine realistische Chance, einen Vorfall innerhalb des Fensters zu bemerken, statt ihn im Nachhinein zu rekonstruieren.

Das Durchsetzungsdatum des AI Act, das Ihre Kunden spüren werden

Daran hängt ein hartes Datum, das leicht zu übersehen ist. Ab dem 2. August 2026 begann die Kommission, ihre Aufsichtsbefugnisse nach dem AI Act über general-purpose KI-Modelle auszuüben, einschließlich solcher mit systemischem Risiko. Die Kommission kann Informationen anfordern, Bewertungen durchführen, Risikominderung verlangen und Bußgelder von bis zu 3 % des weltweiten Jahresumsatzes verhängen.

Die meisten Ihrer Kunden bauen keine Frontier-Modelle, diese spezifischen Bußgelder treffen sie also nicht. Aber zwei Dinge fließen bergab. Erstens sitzen die KI-Werkzeuge, die Ihre Kunden für Erkennung und Betrieb kaufen, auf diesen general-purpose Modellen auf, sodass die Pflichten des Anbieters prägen, was Sie sicher einsetzen können. Zweitens: Nutzt ein Kunde KI auf eine Weise, die regulierte Cybersicherheitsfunktionen berührt, sind die Dokumentations- und Risikobewertungsgewohnheiten, die der AI Act belohnt, dieselben, die ein NIS2-Prüfer sehen will.

Der Plan verspricht außerdem Infrastruktur, die später zählt: eine EU-Kapazität zur Modellbewertung, einen ENISA-Zugangsplan, eine sichere Testplattform und rund 300 Millionen Euro an kombinierter Finanzierung zum Aufbau souveräner KI-Cybersicherheitskapazität. Nichts davon ist Tooling, das Sie morgen nutzen können, aber es zeigt die Richtung an. KI in der Verteidigung wird institutionalisiert, nicht entmutigt.

Was Sie in diesem Quartal für Ihre Kunden tun sollten

Setzen Sie die Politikverschiebung in drei konkrete Schritte um. Erstens: Prüfen Sie die Erkennungsreife über Ihren gesamten Kundenstamm. Markieren Sie jeden Kunden, dessen Erkennung reine Signaturerkennung ist oder nicht gegen aktuelles Bedrohungsverhalten überprüft wurde. Diese Liste ist Ihr Risikoregister.

Zweitens: Verknüpfen Sie Erkennung mit der Meldeuhr. Bestätigen Sie für jede wesentliche oder wichtige Einrichtung, dass Sie einen erheblichen Vorfall realistisch schnell genug erkennen können, um innerhalb von 24 Stunden eine Frühwarnung zu senden. Können Sie das nicht, ist diese Lücke die Priorität, nicht der Papierkram.

Drittens: Dokumentieren Sie die Begründung. Welche Erkennungshaltung ein Kunde auch betreibt, halten Sie schriftlich fest, warum sie für sein Risiko und seine Größe angemessen ist, mit Verweis auf den Stand-der-Technik-Standard. Eine kurze, datierte Begründung verwandelt die schwierige Frage eines Prüfers in eine Zwei-Minuten-Antwort.

Sind Sie unsicher, wo ein bestimmter Kunde steht, beginnen Sie mit einem strukturierten Readiness-Assessment statt mit einer Vermutung. Unser kostenloser NIS2 Quick Scan geht die Article 21-Maßnahmen durch und zeigt, wo die Lücken sind, auch bei Erkennung und Vorfallbehandlung.

Der Action Plan hat NIS2 nicht neu geschrieben. Er hat eine Ausrede beseitigt. "Stand der Technik" hat jetzt ein offizielles Beispiel angeheftet, und dieses Beispiel ist KI-gestützte Erkennung. Kunden, die Erkennung als gelöstes Problem behandeln, sind diejenigen, die sich nach einem Vorfall schwer erklären werden. Wer sie jetzt verschärft, verbringt das nächste Audit damit, Fragen zu beantworten, statt sie zu erfinden.

Für das umfassendere Bild der zehn Article 21-Maßnahmen siehe unsere Aufschlüsselung in Article 21: die zehn Maßnahmen erklärt. Für die Meldemechanik siehe NIS2-Meldefristen für Vorfälle.

    NIS2 und KI-Bedrohungserkennung: Was der neue EU-Aktionsplan für MSPs bedeutet — NIS2Certify