Mobile-Menu

Compliance für Unternehmen TrendAI aktualisiert Leitfaden zu EU AI Act, NIS2 und CRA

Von Ira Zahorsky 3 min Lesedauer

Anbieter zum Thema

TREND MICRO Deutschland GmbH
Fortinet Deutschland GmbH
Omnidocs GmbH

Drei Regelwerke prägen die neue Auflage des TrendAI-Leitfadens: EU AI Act, NIS2 und Cyber Resilience Act. Der Überblick benennt betroffene Unternehmen, zentrale Anforderungen und wichtige Termine für KI-Einsatz und Produktsicherheit.

In die 9. Auflage des juristischen Leitfadens „Cybersicherheit und IT-Compliance im Unternehmen“ hat TrendAI ein Kapitel zum EU AI Act hinzugefügt.(Bild: Dall-E / KI-generiert)
In die 9. Auflage des juristischen Leitfadens „Cybersicherheit und IT-Compliance im Unternehmen“ hat TrendAI ein Kapitel zum EU AI Act hinzugefügt.
(Bild: Dall-E / KI-generiert)

Der Compliance-Rahmen für IT und Cybersicherheit reicht inzwischen weit über klassische IT-Schutzmaßnahmen hinaus. Für die neue Auflage wurde der juristischen Leitfaden „Cybersicherheit und IT-Compliance im Unternehmen“ von TrendAI entsprechend erweitert. Ein neues Kapitel widmet sich eigens der EU-KI-Verordnung (EU AI Act). Das Kapitel zum Cyber Resilience Act wurde ergänzt und aktualisiert. Sämtliche bestehende Kapitel – unter anderem das zur NIS2-Richtlinie – wurden an die aktuelle Rechtslage angepasst.

EU AI Act: Pflichten richten sich nach dem Risiko

Seit dem 2. August 2026 ist die EU-KI-Verordnung weitgehend anwendbar. Ihr Regelungsmodell unterscheidet nach dem Risiko eines KI-Systems: Je höher die Einstufung, desto umfangreicher die Anforderungen. Einige Anwendungen sind verboten, darunter Social Scoring und das ungezielte Sammeln von Gesichtsbildern aus dem Internet.

Für Hochrisiko-Systeme – etwa in der Personalverwaltung oder bei Bonitätsprüfungen – gelten Vorgaben zu Risikomanagement, Datenqualität und menschlicher Kontrolle. Das neue Kapitel des Leitfadens erläutert auch, wann ein Unternehmen rechtlich als Anbieter und wann als Betreiber eines KI-Systems gilt. Diese Rolle kann relevant werden, wenn vorhandene KI in eigene Produkte eingebunden wird.

Bei Verstößen drohen Geldbußen von bis zu 35 Millionen Euro oder bis zu sieben Prozent des weltweiten Jahresumsatzes.

NIS2: Rund 30.000 Organisationen betroffen

Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist. Es erweitert den Anwendungsbereich des BSI-Gesetzes deutlich über Betreiber Kritischer Infrastrukturen hinaus. Der Leitfaden beziffert die Zahl der möglicherweise betroffenen Organisationen in Deutschland auf rund 30.000.

Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Zu den genannten Schwellenwerten zählen:

  • Besonders wichtige Einrichtungen: mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Jahresumsatz.
  • Wichtige Einrichtungen: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz.

Die Einstufungen betreffen Organisationen in bestimmten Sektoren, darunter Energie, Finanzwesen, Gesundheit, digitale Infrastruktur und verarbeitendes Gewerbe.

Cyber Resilience Act: Anforderungen für vernetzte Produkte

Der CRA erfasst Cybersicherheit bei einer breiten Palette digitaler Produkte – von Hardware und Software bis zu eingebetteten Systemen. Die wesentlichen Vorschriften greifen ab dem 11. Dezember 2027. Hersteller haben damit eine Übergangszeit, müssen ihre Produkte und Prozesse aber auf die neuen Vorgaben ausrichten.

Zu den Anforderungen gehören:

  • sichere Standardeinstellungen,
  • die Behebung von Schwachstellen während der Produktlebensdauer,
  • eine Software-Stückliste.

Erst nach Erfüllung der Anforderungen dürfen Hersteller eine EU-Konformitätserklärung ausstellen und das Produkt mit einer CE-Kennzeichnung versehen. Für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sieht der CRA Meldefristen vor, die sich an NIS2 orientieren.

Speziell zum Cyber Resilience Act hat auch die EU-Kommission einen Leitfaden veröffentlicht.

Komplexe Vorgaben erhöhen den Umsetzungsdruck

TrendAI-Security-Advisor Richard Werner betont, dass die neuen Vorschriften für Unternehmen anspruchsvoll sind. „Gleichzeitig sind die neuen Regelwerke in ihrer Komplexität für viele Unternehmen eine echte Belastung“, sagt er. Der Leitfaden soll laut Werner bei der Umsetzung helfen und Unternehmen dabei unterstützen, Sicherheitsmaßnahmen über die gesetzlichen Mindestvorgaben hinaus zu entwickeln.

TrendAI-Leitfaden „Cybersicherheit und IT-Compliance im Unternehmen“


Die neunte Auflage des juristischen Leitfadens „Cybersicherheit und IT-Compliance im Unternehmen“ von TrendAI behandelt den EU AI Act, die deutsche NIS2-Umsetzung und den Cyber Resilience Act (CRA).
Autor ist erneut der Rechtsanwalt und Fachanwalt für Informationstechnologierecht Dr. Thomas Stögmüller.
Der Leitfaden kann nach Registrierung kostenfrei heruntergeladen werden.

Download des Leitfadens

(ID:51012282)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte