NIS2 und AI Act zusammen umsetzen: ein Managementsystem

Zwei Regelwerke, zwei Uhren, oft dieselben Leute: Wer als wichtige Einrichtung unter § 30 BSIG fällt und zugleich KI-Systeme einsetzt, bekommt Anforderungen aus zwei Rechtsakten auf denselben Schreibtisch. Keine der beiden Vorschriften verlangt, dass die andere im selben System geführt wird. Trotzdem fragen beide mehrfach dasselbe ab: Risiken, Vorfälle, Lieferanten, Schulungen. Dieser Beitrag zeigt, wo sich Nachweise teilen lassen, wo die Trennung bleibt und welche Fristen nicht durcheinandergeraten dürfen.

Was beide Vorschriften verlangen und was keine verlangt

Auf der NIS2-Seite steht § 30 Abs. 1 BSIG: Besonders wichtige und wichtige Einrichtungen ergreifen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen und dokumentieren nach Satz 3 deren Einhaltung. § 30 Abs. 2 BSIG nennt zehn Bereiche, die diese Maßnahmen mindestens abdecken, von der Risikoanalyse über Sicherheitsvorfälle und Lieferkette bis zu Schulungen und Multi-Faktor-Authentifizierung. Daneben laufen § 32 (Meldung), § 33 (Registrierung) und § 38 BSIG (Geschäftsleitung); die Einzelheiten stehen in NIS2-Pflichten konkret.

In der KI-Verordnung (EU) 2024/1689 hängt alles am System und an der Rolle. Art. 4 verlangt seit dem 2. Februar 2025 von Anbietern und Betreibern ein ausreichendes Maß an KI-Kompetenz, unabhängig von der Risikoklasse. Für Hochrisiko-Systeme schuldet der Anbieter nach Art. 9 ein Risikomanagementsystem als kontinuierlichen Prozess über den gesamten Lebenszyklus und nach Art. 15 ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit. Der Betreiber trägt Art. 26: Verwendung nach Betriebsanleitung, menschliche Aufsicht, Überwachung, Protokolle, Information der Beschäftigten vor der Inbetriebnahme.

• Kein gemeinsames Managementsystem. Weder das BSIG noch die KI-Verordnung schreiben vor, wie die Nachweise organisiert sind.
• Keine Zertifizierung. ISO 27001 und ISO/IEC 42001 sind Standards, die man wählen kann, keine Rechtspflicht.
• Keine gemeinsame Zuständigkeit. § 38 Abs. 1 BSIG nimmt die Geschäftsleitung in die Pflicht, die KI-Verordnung nennt keine bestimmte Person.
• Keine Deckungsvermutung. Eine erfüllte NIS2-Maßnahme erfüllt keine Pflicht der KI-Verordnung mit, und umgekehrt.

Wer beides trifft: zwei Auslöser, die nichts voneinander wissen

NIS2 knüpft an Sektor und Größe an. Nach § 28 Abs. 2 Nr. 3 BSIG wird eine Einrichtung der Anlagen 1 oder 2 ab 50 Beschäftigten oder ab jeweils über 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme zur wichtigen Einrichtung; nach § 28 Abs. 1 Nr. 4 BSIG ab 250 Beschäftigten oder ab 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme in Anlage 1 zur besonders wichtigen. Die KI-Verordnung kennt keine Größenschwelle. Sie fragt, welches System eingesetzt wird und ob Sie Anbieter oder Betreiber sind; die Abgrenzung steht in Anbieter oder Betreiber.

Daraus folgen vier Lagen: nur NIS2 (wichtige Einrichtung ohne KI), nur KI-Verordnung (Betrieb unter der Schwelle mit Chatbot), beides (wichtige Einrichtung, die Bewerbungen mit KI vorsortiert oder KI unter eigenem Namen anbietet) oder keins. Nur in der dritten Lage gibt es etwas zusammenzuführen; in den ersten beiden wäre ein gemeinsames System eine Ablage mit einer leeren Hälfte.

Wo sich die Nachweise decken: fünf Berührungspunkte

Die Überschneidung liegt im Gegenstand, nicht im Adressaten. Fünf Bereiche des § 30 Abs. 2 BSIG haben ein Gegenstück in der KI-Verordnung; in vier lässt sich ein Teil des Nachweises teilen, im fünften nichts.

Beim zweiten Punkt sind die Empfänger verschieden. Einen erheblichen Sicherheitsvorfall meldet die Einrichtung nach § 32 Abs. 1 Satz 1 BSIG an das BSI. Stellt ein Betreiber fest, dass die Verwendung eines Hochrisiko-Systems ein Risiko birgt, informiert er nach Art. 26 Abs. 5 der KI-Verordnung unverzüglich den Anbieter und die Marktüberwachungsbehörde und setzt die Verwendung aus. Ein manipuliertes Modell nach einem Angriff kann beide Wege auslösen.

Der vierte Punkt ist der einfachste und der am häufigsten verschenkte: Eine Teilnehmerliste mit Datum, Rolle und Inhalt trägt Cybersicherheit und KI-Kompetenz zugleich, wenn der Inhalt beide Themen ausweist. Was Art. 4 verlangt und nicht verlangt, steht in Art. 4: die Schulungspflicht.

Zwei Uhren: Stunden und Stichtage

Der häufigste Fehler eines gemeinsamen Kalenders ist kein falsches Datum, sondern eine fehlende Spalte: der Auslöser. Die Termine der KI-Verordnung sind Stichtage, die für alle gleich gelten. Die Fristen des BSIG laufen je Ereignis, ab Kenntniserlangung oder ab Eintritt der Einrichtungseigenschaft.

Die Stichtage erklärt KI-Verordnung: der Zeitplan des Artikels 113, die Meldekette NIS2-Meldung in 24 Stunden. Für die gemeinsame Ablage heißt das: „Fällig am 02.08.2026“ und „fällig 24 Stunden nach Kenntnis“ stehen nie in derselben Spalte, ohne dass der Unterschied sichtbar ist.

Pflicht, Standard, Empfehlung

Drei Ebenen, die bei diesem Thema besonders leicht verschwimmen, weil Berater und Normen dieselben Wörter benutzen:

• Pflicht (BSIG): die zehn Bereiche des § 30 Abs. 2, Dokumentation nach § 30 Abs. 1 Satz 3, Meldung nach § 32, Registrierung nach § 33, Umsetzung, Überwachung und Schulung der Geschäftsleitung nach § 38 Abs. 1 und 3.
• Pflicht (KI-VO), je nach Rolle und System: Art. 4 für alle, Art. 26 für Hochrisiko-Betreiber, Art. 9 bis 16 für Anbieter, Art. 50 bei Kontakt zu Menschen.
• Standard, freiwillig: ISO 27001 und ISO/IEC 42001. Wer sie einführt, erfüllt keine der Pflichten oben von selbst; die Zuordnung muss jemand belegen.
• Empfehlung: eine Ablage, eine verantwortliche Person mit Namen, eine Fundstelle je Zeile, eine Spalte für den Auslöser.

Warum die Fundstelle je Zeile keine Kosmetik ist: § 38 Abs. 1 BSIG bindet die Leitung an die NIS2-Maßnahmen, Art. 26 Abs. 7 der KI-Verordnung verpflichtet den Betreiber, Arbeitnehmervertretung und Beschäftigte vor der Inbetriebnahme eines Hochrisiko-Systems zu informieren. Wer eines vergisst, kann sich mit dem anderen nicht entlasten.

Praxisbeispiel: Logistiker mit 180 Beschäftigten und einer KI-Vorauswahl

Ein Transportunternehmen mit 180 Beschäftigten gehört zum Sektor Verkehr der Anlage 1 und ist nach § 28 Abs. 2 Nr. 3 BSIG wichtige Einrichtung. Es setzt zwei KI-Systeme ein: einen eingekauften Tourenplaner und ein Bewerbermanagement, das Bewerbungen vorsortiert. Der Tourenplaner fällt in den Bereich minimalen Risikos, für ihn bleibt Art. 4. Die Vorsortierung von Bewerbungen steht in Anhang III Nr. 4 der KI-Verordnung; das Unternehmen ist dafür Betreiber eines Hochrisiko-Systems.

RegelWerk führt beide Regelwerke so nebeneinander: die NIS2-Einstufung aus Sektor und Größe mit einer abhakbaren Pflichten-Roadmap, in der jede Zeile ihre Fundstelle trägt, ein KI-Register mit Risikoklasse und Rolle je System und Schulungsnachweise mit Datum und Person. Wer ein ISMS betreibt, kann im Tarif „Konzern“ seine Kontrollenliste als CSV oder JSON einlesen; die App schlägt vor, welche Kontrolle welche NIS2-Pflicht decken könnte, und Sie bestätigen die Zuordnung. Einen fertigen Abgleich zwischen ISO-Kontrollen und § 30 BSIG liefert sie bewusst nicht, weil das eine Normbehauptung wäre. Sie meldet nicht an das BSI und ersetzt keine rechtliche Prüfung im Einzelfall.

Häufige Fragen

Muss ich NIS2 und AI Act in einem Managementsystem führen?

Nein, keine Vorschrift verlangt das. § 30 Abs. 1 Satz 3 BSIG verlangt die Dokumentation der NIS2-Maßnahmen, die KI-Verordnung verlangt ihre Nachweise je Rolle und System; wie beides organisiert wird, bleibt Ihnen überlassen. Eine gemeinsame Ablage lohnt sich, wenn Sie unter beide Rechtsakte fallen.

Deckt ein ISMS nach ISO 27001 die KI-Verordnung ab?

Nein. ISO 27001 ist ein freiwilliger Standard für Informationssicherheit und erfüllt weder eine Pflicht des BSIG noch der KI-Verordnung von selbst. Einzelne Nachweise daraus, etwa Schulungslisten oder das Lieferantenverzeichnis, lassen sich einer Pflicht zuordnen; die Zuordnung muss jemand prüfen und belegen.

Gilt die KI-Verordnung nur für NIS2-Einrichtungen?

Nein. Die KI-Verordnung kennt keine Größenschwelle und keinen Sektorbezug; sie knüpft an das eingesetzte System und an die Rolle als Anbieter oder Betreiber an. Art. 4 gilt seit dem 2. Februar 2025 für jedes Unternehmen, das KI-Systeme einsetzt, ob es unter NIS2 fällt oder nicht.

Welche Frist läuft zuerst, NIS2 oder KI-Verordnung?

Das lässt sich nicht allgemein sagen, weil die Uhren verschieden sind. Die KI-Verordnung hat Stichtage: 2. Februar 2025, 2. August 2026, 2. August 2027. Das BSIG hat Fristen je Ereignis: drei Monate zur Registrierung (§ 33 Abs. 1 BSIG), 24 Stunden, 72 Stunden und ein Monat je erheblichem Sicherheitsvorfall ab Kenntnis (§ 32 Abs. 1 Satz 1 BSIG).

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.