EU-Aktionsplan Cybersicherheit & KI: Folgen für DACH-Teams

Sophie Laurent Leiterin Recht & Compliance, YuSMP Group · Hilft US- und EU-Teams, Datenschutz, Sicherheit und Regulierung in ihre Plattformen einzubauen

Die kurze Antwort

Was hat die Kommission tatsächlich angekündigt?

Die Maßnahme ist ein Aktionsplan, keine Verordnung – ein koordiniertes Bündel von Initiativen, das Mitgliedstaaten, Unternehmen und Behörden hilft, die Chancen von KI in der Cybersicherheit zu nutzen und zugleich die neuen Risiken zu beherrschen. Die Kommission beschreibt eine doppelte Herausforderung: Dieselben Modelle, die Verteidigern helfen, Schwachstellen zu erkennen, Alarme zu priorisieren und kritische Infrastruktur zu schützen, lassen sich von Angreifern umdrehen, um Schwächen zu finden und Cyberangriffe in Maschinengeschwindigkeit und -menge zu fahren.

Dafür verbindet der Plan Fördermaßnahmen mit der bestehenden Rechtsgrundlage der EU. Er beauftragt die Kommission und ENISA, die EU-Cybersicherheitsagentur, mit einem europäischen Blueprint für den sicheren Zugang zu fortschrittlichen KI-Systemen für Cybersicherheitszwecke sowie einer sicheren Testplattform, damit Organisationen in kritischen Sektoren – Energie, Verkehr, Gesundheit, Finanzen und öffentliche Verwaltung – KI-Verteidigungswerkzeuge vor der Produktion erproben können. Er startet eine EU Grand Challenge zu KI für Cybersicherheit, um Unternehmen und Forschende zu praxistauglichen Werkzeugen zu bewegen, und verpflichtet die EU, ihre Kapazität aufzubauen, fortschrittliche KI-Modelle vor dem Inverkehrbringen auf dem EU-Markt zu bewerten – einsatzbereit voraussichtlich 2027 und Zulieferer der Regulierungsfunktion des KI-Büros. Betreibt Ihre Organisation kritische Infrastruktur oder verkauft sie dorthin, lohnt es sich, dieses Test- und Bewertungsrückgrat früh in die eigene Sicherheitstest-Roadmap einzuweben.

Exekutiv-Vizepräsidentin für technologische Souveränität, Sicherheit und Demokratie Henna Virkkunen fasste die Absicht zusammen: „KI verändert die Bedeutung von Cybersicherheit. Und wir müssen Schritt halten. Die EU verfügt über starke Grundlagen, um ihre Antwort an die Schwachstellen anzupassen, die aufkommende Technik mit sich bringt.“

Die fünf Maßnahmen, in einer Tabelle

So ist der Plan geschnitten, und wen jeder Strang zuerst betrifft.

Ein Vorbehalt gehört in jedes Planungsdeck: Das ist ein Plan, kein Gesetz. Er ändert Richtung und Förderung, nicht den Wortlaut einer heute geltenden Pflicht. Verfolgen Sie ihn als Kurssignal, verankern Sie Ihre Compliance-Basis aber an den tatsächlichen Gesetzen, auf die er sich stützt.

Warum gibt es kein neues Gesetz?

Brüssel hat sich bewusst entschieden, über Umsetzung statt Gesetzgebung zu handeln. Die EU hat bereits ein dichtes Regelwerk – die NIS2-Richtlinie für Cybersicherheits-Risikomanagement und Vorfallmeldung bei wesentlichen und wichtigen Einrichtungen, den Cyber Resilience Act für Security-by-Design bei Produkten mit digitalen Elementen und die KI-Verordnung für KI-Governance. Nach Einschätzung der Kommission ist die Lücke nicht ein Mangel an Regeln, sondern eine ungleiche Anwendung; deshalb drängt der Plan auf eine vollständigere und schnellere Nutzung des Bestehenden und ergänzt Tests, Förderung und Koordinierung.

Für Entwickler ist das schwerer auszureizen als eine einzelne neue Frist. Es gibt keinen fernen Stichtag, auf den man vertagen kann; erwartet wird, dass die bereits geltenden Pflichten erfüllt und jetzt belegt werden können. Der Plan sagt dem Markt faktisch, dass KI-getriebene Bedrohungen ein gegenwärtiges Risiko sind und dass die Aufsicht den bereits geltenden Regeln folgen wird.

Was das für Softwareteams im DACH-Raum bedeutet

Nimmt man die Brüsseler Verfahrensebene weg, ist das ein Haltungssignal. Behandeln Sie KI als beides zugleich: als Werkzeug, das Ihre Verteidigung stärkt, und als Fläche, die Angreifer abtasten. Vorn liegen die Teams, die KI-gestützte Funktionen sicherheitstesten wie alles andere und ihre Arbeit vorzeigen können, wenn der Einkauf eines Kunden oder ein Prüfer fragt.

Die Reichweite ist transatlantisch, nicht nur europäisch. Ein US-SaaS-Anbieter, der in die EU verkauft, steht im NIS2- und Cyber-Resilience-Act-Perimeter, sobald sein Produkt qualifiziert – unabhängig vom Firmensitz, nach derselben extraterritorialen Logik, die schon für KI-Verordnung und DSGVO gilt. Praktisch heißt das: die KI-Lieferkette durchgängig härten – die Modelle, die Sie aufrufen, die Prompts und Agenten, die Sie orchestrieren, und die Daten, die durch sie fließen. Verbinden Sie diese Disziplin mit Ihrer KI-Verordnungs-Klassifizierung, damit Sicherheits- und Governance-Nachweise einmal entstehen und mehrfach genutzt werden.

Am stärksten wirkt die Sektorspaltung in regulierten Branchen. Im FinTech unterliegt ein KI-Betrugs- oder Kreditmodell zugleich NIS2 und dem DORA-Test der operativen Resilienz, das in Deutschland von der BaFin beaufsichtigt wird – eine einzige KI-Funktion kann also zwei Nachweisstränge auslösen. Im HealthTech, wo Kliniken und Gesundheitsplattformen als kritische Infrastruktur gelten, ist die sichere Testplattform eine direkte Einladung, KI-Verteidigung zu erproben, bevor sie Patientensysteme berührt. Ordnen Sie jede KI-gestützte Funktion den Regeln zu, unter die sie tatsächlich fällt, und bauen Sie Protokollierung, Tests und menschliche Aufsicht in die Entwicklung ein, statt sie unter Prüfdruck nachzurüsten.

Eine praktische Liste für die nächsten 90 Tage

Nichts davon ist eine neue gesetzliche Frist. Doch der Plan ist ein guter Anlass, Lücken zu schließen, die Sie ohnehin haben. Eine praktische Reihenfolge:

1. Klären Sie Ihren NIS2- und CRA-Status. Stellen Sie fest, ob Produkt und Einrichtung erfasst sind und wo Melde- und Security-by-Design-Pflichten schon greifen. Lücken, die Sie nicht kartiert haben, können Sie nicht schließen.
2. Testen Sie Ihre KI-Funktionen auf Sicherheit. Führen Sie Adversarial- und Penetrationstests gegen KI-gestützte Pfade – Prompt Injection, Modellmissbrauch, Agenten-Missbrauch, Datenabfluss –, nicht nur gegen die klassische Web-Fläche.
3. Härten Sie die KI-Lieferkette. Inventarisieren Sie Modelle, Prompts, Agenten und Datenquellen, von denen Sie abhängen, und kontrollieren Sie Zugang, Herkunft und Änderungen wie bei jeder kritischen Abhängigkeit.
4. Halten Sie Nachweise vor. Dokumentieren Sie Tests, Kontrollen und Entscheidungen. Der Plan signalisiert, dass Aufsichten nachweisbare Resilienz wollen – machen Sie die Spur standardmäßig prüffähig.
5. Nutzen Sie Governance-Arbeit mehrfach. Führen Sie Cybersicherheit und KI-Verordnungs-Compliance als einen Strang, damit Klassifizierung, Protokollierung und Risikonachweis einmal statt doppelt entstehen.
6. Beobachten Sie die Bewertungskapazität ab 2027. Wer KI-Modelle auf dem EU-Markt platziert, muss mit mehr Vorabprüfung rechnen; beginnen Sie jetzt, Modellfähigkeiten, -grenzen und -risiken zu dokumentieren.

Nichts davon ist Rechtsberatung, und Ihre genauen Pflichten hängen von Ihren Systemen, Sektoren und Märkten ab. Aber das strategische Signal ist klar: Die EU fügt weniger eine neue Regel hinzu, als dass sie die Erwartung erhöht, die bestehenden zu erfüllen – und dass die KI, die Sie ausliefern, geprüft wurde, um zu verteidigen, nicht nur um zu demonstrieren.

Häufige Fragen

Quellen

Europäische Kommission — Commission presents EU Action Plan on Cybersecurity and Artificial Intelligence, 7. Juli 2026 (Primärquelle)
Europäische Kommission — New EU plan to address the risks and opportunities of advanced AI for cybersecurity, 7. Juli 2026
MLex — EU cybersecurity, AI action plan focuses on implementation, not new legislation, 2026