Cyber Resilience Act: Neue Meldepflichten für Hersteller ab September

Die zunehmende Notwendigkeit, rechtliche Risiken bei KI-basierten Arbeitsprozessen und Cloud-Infrastrukturen durch systematische Compliance-Maßnahmen zu minimieren, rückt verstärkt in den Fokus von Fachveranstaltungen und Sicherheitsarchitekturen.

Angesichts einer komplexer werdenden regulatorischen Landschaft in der Europäischen Union stehen Unternehmen vor der Herausforderung, ihre IT-Infrastrukturen an neue Sicherheitsstandards anzupassen, um Haftungsrisiken und operative Ausfälle zu vermeiden.

Verschärfte Meldepflichten durch den Cyber Resilience Act

Ein zentraler Baustein der künftigen Sicherheitsarchitektur ist der Cyber Resilience Act (CRA, EU 2024/2847). Dieser verpflichtet Hersteller von Produkten mit digitalen Elementen – dazu zählen Hardware, Software sowie Cloud-Komponenten – ab dem 11.09.2026 dazu, aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen kurzer Fristen zu melden.

Eine erste Meldung muss innerhalb von 24 Stunden an die ENISA und den CERT-Bund erfolgen, eine vollständige Dokumentation wird nach 72 Stunden erwartet.

Die technische Dokumentation muss künftig eine Software Bill of Materials (SBOM) enthalten, während der Supportzeitraum für Produkte mindestens 5 Jahre betragen muss. Während erste Fristen bereits im Herbst 2026 greifen, ist die vollständige Anwendung der Verordnung ab dem 11.12.2027 vorgesehen. Meldungen sollen zentral über die ENISA Single Reporting Platform abgewickelt werden.

Umsetzungsdruck bei NIS-2 und KI-Regulierung

Parallel dazu bleibt die Umsetzung der NIS-2-Richtlinie ein kritisches Thema für die deutsche Wirtschaft. Obwohl die Richtlinie bis zum 17.10.2024 in nationales Recht hätte überführt werden müssen, liegt in Deutschland bislang lediglich ein Referentenentwurf (NIS2UmsuCG) vor.

Betroffen sind nach Schätzungen des Bundesinnenministeriums rund 29.000 Unternehmen, während der TÜV Nord die Zahl auf bis zu 40.000 beziffert. Bei Verstößen droht ein Strafrahmen von bis zu 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes.

Im Bereich der Künstlichen Intelligenz gibt es unterdessen terminliche Verschiebungen: Die Pflichten für Hochrisiko-KI-Systeme wurden vom ursprünglichen Termin im August 2026 auf den 02.12.2027 verlegt. Für eingebettete KI-Systeme gilt die Frist bis zum 02.08.2028. In Deutschland wurde die Bundesnetzagentur als zuständige Marktüberwachungsbehörde für KI-Anwendungen benannt.

Angesichts der neuen EU-KI-Verordnung stehen viele Unternehmen vor der Herausforderung, Risikoklassen und Dokumentationspflichten korrekt einzuordnen. Dieser kostenlose Praxisleitfaden bietet einen kompakten Überblick über alle Fristen und Anforderungen des EU AI Act. Umsetzungsleitfaden zur KI-Verordnung jetzt kostenlos herunterladen

Diskrepanz zwischen KI-Adoption und Risikoverständnis

Trotz des rasanten Einsatzes von Technologien – laut einer IDC-Studie im Auftrag von Cohere nutzen bereits 99% der Unternehmen generative KI – besteht ein erhebliches Defizit beim Risikoverständnis.

Lediglich 13% der befragten Unternehmen verfügen über ein breites Verständnis für souveräne KI, während 78% kaum ein Bewusstsein für die damit verbundenen Risiken zeigen. Deutschland nimmt hierbei mit einer Awareness-Quote von 29% eine führende Rolle ein.

Die Bedrohungslage verschärft sich zudem durch Insider-Risiken. Die Bitkom-Studie „Wirtschaftsschutz 2025“ identifiziert insbesondere Administratoren, Entwickler und externe IT-Spezialisten mit weitreichenden Zugriffsberechtigungen als potenzielle Risikofaktoren. 68% der Unternehmen sehen Gefahren durch organisierte Kriminalität, während staatliche Akteure aus Russland und China mit jeweils 46% als Bedrohung wahrgenommen werden. Eine Studie von Keeper zeigt zudem, dass 25% der deutschen Unternehmen eine Governance-Lücke bei Zugriffen durch Drittanbieter aufweisen.

Während die Nutzung von KI-Systemen rasant zunimmt, bleiben die rechtlichen Konsequenzen für viele Verantwortliche oft unklar. Erfahren Sie in diesem kostenlosen Report, welche KI-Anwendungen als Hochrisiko gelten und wie Sie die Compliance-Anforderungen rechtzeitig erfüllen. Gratis E-Book zum EU AI Act anfordern

Technologische Lösungen und strategische Ausrichtung

Um diesen Anforderungen zu begegnen, setzen Unternehmen verstärkt auf spezialisierte Softwarelösungen. Moderne ISMS-Software (Information Security Management System) dient dabei nicht nur der Einhaltung von Vorgaben wie DSGVO, NIS-2 oder DORA, sondern unterstützt die Geschäftsführung auch bei der rechtlichen Exkulpation gemäß §43 GmbHG oder §93 AktG.

Auf der kommenden Fachmesse it-sa im Oktober 2026 in Nürnberg werden neue Ansätze präsentiert, wie etwa die Software ConSense GRC, die beim Aufbau eines ISMS unterstützt und KI-Funktionen mit einem Human-in-the-Loop-Ansatz kombiniert.

Auch spezialisierte Plattformen wie die Segura Privilege Platform von AERAsec zielen darauf ab, die Dokumentation privilegierter Zugriffe zu automatisieren. Im Infrastrukturbereich bietet Nutanix mit der Version 2.8 seiner Enterprise AI (NAI) Funktionen wie Agent Gateways und Multi-GPU-Inferenz an, um die Kontrolle über KI-Workloads zu erhöhen.

Experten wie James Tucker von Zscaler warnen zudem, dass die nächste Generation von KI-Modellen die Bedrohungslage bereits in 6 bis 9 Monaten dramatisch verändern könnte. Als Gegenmaßnahmen werden die Verkleinerung der Angriffsflächen, Zero-Trust-Architekturen sowie eine verstärkte Segmentierung und KI-gestützte Verteidigungsstrategien empfohlen.