NIS2 und EU AI Act: Was seit 2025 wirklich gilt

Kaum ein Thema erzeugt gerade so viel Betriebsamkeit bei so wenig Klarheit. Deshalb hier der Stand ohne Dramatisierung — und ohne die Fristen, die längst wieder verschoben wurden.

NIS2 gilt, ohne Übergangsfrist

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, und zwar ohne Übergangsfrist. Es erfasst Unternehmen aus 18 Sektoren ab 50 Mitarbeitern. Die Registrierungsfrist beim BSI ist im Juli 2026 abgelaufen; ein erheblicher Teil der betroffenen Unternehmen war zu diesem Zeitpunkt noch nicht registriert.

Ob ihr darunter fallt, hängt an eurer Branche, nicht nur an der Mitarbeiterzahl. Das ist die erste Frage, die sich beantworten lässt, bevor irgendjemand über Maßnahmen spricht.

Beim EU AI Act wirken zwei Pflichten bereits heute

Hier wird am meisten durcheinandergebracht, weil die bekannteste Frist verschoben wurde. Der Reihe nach:

KI-Kompetenz nach Artikel 4 gilt seit Februar 2025 — für jedes Unternehmen, das KI einsetzt. Keine Branchenbeschränkung, keine Mindestgröße. Wer Mitarbeitenden ein KI-Werkzeug an die Hand gibt, muss dafür sorgen, dass sie es einschätzen können.

Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Wo KI mit Menschen interagiert oder Inhalte erzeugt, muss das erkennbar sein.

Die Pflichten für Hochrisiko-Systeme wurden dagegen durch den Digital Omnibus vom Mai 2026 auf Dezember 2027 verschoben. Das ist der Punkt, der oft als „alles verschoben” weitergereicht wird — er betrifft aber nur diesen einen Teil.

Was daraus praktisch folgt

Der unangenehme Teil ist selten die Technik. Er ist, dass niemand sagen kann, welche KI-Werkzeuge im Unternehmen tatsächlich benutzt werden. Schatten-IT ist kein Sicherheitsproblem am Rand, sondern der Normalfall: Mitarbeitende nutzen längst, was ihnen die Arbeit erleichtert — nur eben privat, unkontrolliert und im Zweifel mit Firmendaten.

Drei Dinge, die sich ohne großes Programm klären lassen:

1. Bestandsaufnahme. Welche KI-Werkzeuge sind im Einsatz, wer zahlt sie, welche Daten gehen hinein? Das ist eine Frage von Tagen, nicht von Monaten.
2. Ein sanktionierter Weg. Solange es kein freigegebenes Werkzeug gibt, wird das private weiterbenutzt. Ein sicherer, unternehmensweiter Zugang löst mehr Compliance-Probleme als jede Richtlinie.
3. Schulung und Dokumentation. Beides ist bei Artikel 4 ohnehin Pflicht — und beides entscheidet darüber, ob eine Automatisierung im Alltag angenommen wird.

Ich bin kein Anwalt und leiste keine Rechtsberatung. Was ich mache: Automatisierung und KI-Rollouts so aufsetzen, dass sie diese Anforderungen nicht unterlaufen — mit dokumentierten Datenflüssen, klaren Zugriffsregeln und Schulung als festem Bestandteil, nicht als Aufpreis.