EuGH-Gutachten: Wo KI-Chatbots Presserechte verletzen
Eva Mickler
Der Echtzeitabruf von Presseartikeln durch KI-Chatbots und ihre Weiterverwendung in Antworten können ...
Zum Beitrag
3 Min. Lesezeit
NIS2, DORA und der EU AI Act stellen unterschiedliche Anforderungen an Unternehmen und ihre digitalen Systeme. Für erfasste Finanzunternehmen gelten beim IKT-Risikomanagement und bei schwerwiegenden IKT-Vorfällen grundsätzlich die DORA-Regeln. Ob daneben eine KI-bezogene Pflicht entsteht, hängt vom System, der Rolle des Unternehmens und dem Vorfall ab. CIOs brauchen deshalb eine gemeinsame Übersicht mit getrennt geprüften Meldewegen.
Das Wichtigste in Kürze
- DORA hat für erfasste Finanzunternehmen Vorrang. Für das IKT-Risikomanagement und die Meldung schwerwiegender IKT-Vorfälle gelten grundsätzlich die entsprechenden DORA-Vorschriften.
- Die Meldefristen haben unterschiedliche Auslöser. Bei DORA zählt unter anderem die Einstufung als schwerwiegender Vorfall, bei der frühen Meldung nach dem deutschen BSIG die Kenntnis eines erheblichen Sicherheitsvorfalls.
- Beim AI Act zählen System und Rolle. Unternehmen sollten erfassen, ob sie ein KI-System anbieten oder einsetzen und welche Regeln für den konkreten Einsatz gelten.
Warum für Finanzunternehmen DORA vorgeht
Eine Bank kann zugleich mit Anforderungen an Cybersicherheit und künstliche Intelligenz befasst sein. Daraus folgt jedoch keine allgemeine Pflicht, jeden IKT-Vorfall sowohl nach DORA als auch nach NIS2 zu melden. Die Leitlinien der Europäischen Kommission zum Verhältnis der Regelwerke ordnen DORA für erfasste Finanzunternehmen als sektorspezifischen Rechtsakt ein.
Danach gelten insbesondere die DORA-Vorschriften zum IKT-Risikomanagement und zur Meldung schwerwiegender IKT-Vorfälle anstelle der entsprechenden NIS2-Vorschriften. Die zuständigen Behörden können Informationen über Vorfälle untereinander austauschen. Für Unternehmen bleibt entscheidend, den eigenen Anwendungsbereich und den zuständigen Meldeweg zu bestimmen.
Welche Fristen bei einem Vorfall zählen
Für einen schwerwiegenden IKT-Vorfall sieht DORA grundsätzlich eine Erstmeldung so früh wie möglich vor: innerhalb von vier Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis des Vorfalls. Erfolgt die Einstufung erst nach Ablauf dieser 24 Stunden, ist grundsätzlich innerhalb von vier Stunden nach der Einstufung zu melden. Die BaFin erläutert diese Fristen für das IKT-Vorfallsmeldewesen.
Für besonders wichtige und wichtige Einrichtungen, auf die die Meldepflicht nach § 32 des BSI-Gesetzes anwendbar ist, gilt bei einem erheblichen Sicherheitsvorfall eine frühe Erstmeldung unverzüglich und spätestens 24 Stunden nach Kenntnis. Eine weitere Meldung folgt unverzüglich und spätestens nach 72 Stunden. Das Gesetz knüpft die Meldepflicht frühestens an die Einrichtung des Meldewegs.
Für die Organisation reicht eine einheitliche Stoppuhr daher nicht aus. Das Vorfallsteam sollte Zeitpunkt der Kenntnis, Bewertung der Auswirkungen und gegebenenfalls den Zeitpunkt der Einstufung dokumentieren. Anschließend prüft es für jede betroffene Gesellschaft den einschlägigen Meldeweg und die erforderlichen Angaben.
Was der AI Act zusätzlich regelt
Der AI Act ordnet KI-Anwendungen nach ihrem Risiko ein und unterscheidet Pflichten nach der Rolle der Beteiligten. Ein Unternehmen sollte deshalb festhalten, ob es ein System anbietet oder einsetzt, welchen Zweck das System erfüllt und welche Unterlagen vom Anbieter vorliegen.
Die Regeln gelten gestaffelt. Nach Angaben der Europäischen Kommission gelten Verbote bestimmter KI-Praktiken und Vorgaben zur KI-Kompetenz seit Februar 2025. Für Hochrisiko-Anwendungsfälle nach Anhang III nennt die Kommission inzwischen den 2. Dezember 2027. Für Hochrisiko-KI in regulierten Produkten nennt sie den 2. August 2028.
Ein Sicherheitsvorfall mit einem KI-System führt nicht automatisch zu einer zusätzlichen Meldung nach dem AI Act. Dafür sind die jeweils geltenden Vorschriften, die Art des Vorfalls und die Rolle des Unternehmens zu prüfen. Die Bewertung eines IKT-Vorfalls und die Bewertung möglicher KI-bezogener Auswirkungen sollten deshalb miteinander verbunden sein.
Wie CIOs die Anforderungen zusammenführen
Ein gemeinsames Register kann Systeme, verantwortliche Gesellschaften, Dienstleister und zuständige interne Ansprechpersonen erfassen. Für jeden Eintrag sollte erkennbar sein, welche Regelwerke geprüft wurden und auf welcher Grundlage die Einordnung erfolgt ist.
Für Vorfälle empfiehlt sich ein gemeinsamer Eingang mit getrennten Entscheidungspfaden. Das Team bewertet den Sachverhalt und hält danach fest, welche Meldung an welche Stelle erforderlich ist. Rechtsabteilung, Informationssicherheit und Fachbereich sollten die Zuständigkeiten vor einem Vorfall abstimmen.
Vorhandene Sicherheitsmaßnahmen und Dokumentationen lassen sich bei dieser Prüfung heranziehen. Ob sie eine konkrete gesetzliche Anforderung erfüllen, muss für jedes Regelwerk gesondert bewertet werden.
Häufig gestellte Fragen
Müssen Finanzunternehmen einen Vorfall nach DORA und NIS2 melden?
Eine allgemeine Doppelmeldepflicht folgt daraus nicht. Für erfasste Finanzunternehmen gelten bei der Meldung schwerwiegender IKT-Vorfälle grundsätzlich die entsprechenden DORA-Regeln anstelle der NIS2-Regeln. Der konkrete Anwendungsbereich ist zu prüfen.
Wann beginnt die DORA-Frist für die Erstmeldung?
Grundsätzlich läuft die Vier-Stunden-Frist ab der Einstufung als schwerwiegender IKT-Vorfall. Zusätzlich gilt grundsätzlich eine Grenze von 24 Stunden ab Kenntnis. Wird der Vorfall erst später als schwerwiegend eingestuft, ist grundsätzlich innerhalb von vier Stunden nach dieser Einstufung zu melden.
Löst jeder Vorfall mit einem KI-System eine Meldung nach dem AI Act aus?
Nein. Ob eine KI-bezogene Meldepflicht besteht, hängt unter anderem von den anwendbaren Vorschriften, der Art des Vorfalls und der Rolle des Unternehmens ab. Diese Prüfung gehört neben die Bewertung nach dem jeweils einschlägigen Regelwerk für IKT- oder Sicherheitsvorfälle.
Weiterlesen auf Digital Chiefs
Digital ChiefsKI-Projekte: So prüfen Unternehmen den NutzenDigital ChiefsDigitale Souveränität: Strategien für die Cloud-ZukunftDigital ChiefsDeepfake-Schutz für C-Level: Der CEO ist nicht echtMehr aus dem MBF Media Netzwerk
cloudmagazinNIS2 und DORA sauber trennen: Compliance-Cluster in KubernetesBildquelle: KI-generiert (November 2026)