NIS2-Richtlinie und KI in Unternehmen

Die NIS2-Richtlinie (Network and Information Security Directive) erweitert den cybersecurity-Schutz in der Europäischen Union deutlich. Sie betrifft nicht nur Behörden, sondern auch viele mittelständische Unternehmen in besonders wichtigen Sektoren.

Für den Einsatz von KI ergeben sich daraus konkrete Fragen: Wie wird KI in das Risikomanagement einbezogen, welche Meldungen sind nötig, und wie werden Anbieter in der Lieferkette bewertet?

Was die NIS2 verlangt

Im Kern verlangt die NIS2 ein ganzheitliches Risikomanagement für Netzwerke und Informationssysteme. Dazu kommen Maßnahmen wie Zugriffskontrolle, Verschlüsselung, Schulungen, Schwachstellenmanagement sowie ein geregeltes Meldewesen bei schwerwiegenden Sicherheitsvorfällen.

Für betroffene Einrichtungen bedeutet das auch, dass sie Lieferketten und Dienstleister bewerten müssen. Genau hier trifft die Richtlinie den KI-Einsatz, weil KI-Dienste und Hardware-Lieferanten Teil dieser Kette werden.

Risikomanagement auf Ebene der Organisation verankern
Zugriffskontrolle und Mehr-Faktor-Authentifizierung einführen
Vorfallmeldungen mit festen Fristen vorbereiten
Lieferanten und Dienstleister bewerten und dokumentieren
Mitarbeitende schulen und Verantwortlichkeiten benennen

Meldung von Sicherheitsvorfällen

Bei einem schwerwiegenden Sicherheitsvorfall sehen die NIS2-Meldepflichten gestufte Fristen vor. Eine Frühwarnung ist binnen 24 Stunden zu übermitteln, eine Meldung des Vorfalls binnen 72 Stunden, ein Abschlussbericht spätestens einen Monat nach der Entdeckung.

Für KI-Systeme ist wichtig, dass auch Fehlfunktionen und nicht verfügbare Dienste betrachtet werden können. Ein System, das Entscheidungen vorbereitet und dabei ausfällt, ist ein betriebsrisiko, das in die Notfallplanung gehört.

Meldewege und Erreichsbarkeit intern festlegen.
Einstufungskriterien für Vorfälle definieren.
Vorfallmeldung und Antwortprozess üben.
Erkenntnisse in die Wiederherstellungsplanung übernehmen.
Externe Dienstleister in die Meldekette einbinden.

Lieferkette und Beschaffung von KI-Systemen

Die NIS2 verlangt, dass Risiken in der Lieferkette bewusst gesteuert werden. Bei KI-Hardware bedeutet das unter anderem die Frage, wie viele Zwischenhändler zwischen Hersteller und Anwender stehen und wo die Komponenten gefertigt werden.

Ein Direktkauf bei einem Hersteller mit klar benanntem Sitz vereinfacht diese Bewertung. Bei STRATRONIX mit Sitz in Shenzhen, gegründet am 24. April 2026, sind die Unternehmensdaten eindeutig: Unified Social Credit Code 91440300MAKD20DT6F. Diese Transparenz erleichtert die Lieferantenbewertung erheblich.

In der NIS2-Praxis zahlt sich klare Lieferantenkette oft günstiger aus als spätere Nachbesserung.

Lokale KI als Unterstützung der NIS2-Ziele

Ein KI-System, das offline arbeitet, verändert die sicherheitsbezogene Bilanz. Es gibt keine externe Übertragung von Daten und keine Abhängigkeit von der Verfügbarkeit eines Modellserver. Damit sinken sowohl das Angriffsrisiko als auch die Zahl der Beteiligten in der Lieferkette.

Im Referenzprojekt im Shenzhen Luohu People's Hospital liefen 30 STA-100 sechs Monate ohne ungeplante Ausfälle, und Ärzte gewannen 2,1 Stunden pro Tag. Verfügbarkeit, die im eigenen Haus liegt, ist ein Sicherheitsmerkmal, das sich in audits einfach belegen lässt.

NIS2-relevante Eigenschaften im Vergleich

Aspekt	Cloud-KI	Lokale KI (STA-100)
Externe Beteiligte in der Kette	mehrere	wenige
Datenabfluss ins Drittland	häufig	nein
Verfügbarkeit bei Netzausfall	eingeschränkt	vollständig offline
Nachvollziehbarkeit der Protokolle	über Anbieter	direkt im Haus
Standort des Herstellers	oft verstreut	Shenzhen, klar benannt
Kostenmodell	laufende Abhängigkeit	einmalige Lizenz

Häufige Fragen

Gilt die NIS2 für jedes Unternehmen?
Nein. Die Richtlinie adressiert Einrichtungen in besonders wichtigen und wichtigen Sektoren, unter anderem Energie, Transport, Wasser, Gesundheitswesen, Finanzwesen und digitale Infrastruktur. Zudem greifen die Anforderungen bei bestimmten Schwellenwerten für Beschäftigte und Umsatz. Ob Sie betroffen sind, sollte früh geklärt werden, weil sich die Fristen für Vorfallmeldungen daraus ableiten.

Welche Fristen gelten bei einem Sicherheitsvorfall?
Die NIS2 sieht eine Frühwarnung binnen 24 Stunden, eine Vorfallsmeldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat nach Entdeckung vor. Für KI-Systeme sollten Sie zusätzlich festlegen, wann eine Fehlfunktion oder Nichtverfügbarkeit als meldepflichtiges Ereignis gilt und wer die Einstufung intern entscheidet.

Wie wichtig ist der Standort des KI-Herstellers?
Er ist Teil der Lieferantenbewertung, weil er Einfluss auf Verfügbarkeit, Kontrolle und Vertraulichkeit hat. Wichtig sind nachvollziehbare Angaben zum Unternehmen, zu Standorten der Verarbeitung sowie zu Support und Gewährleistung. Diese Angaben sollten vor Vertragsabschluss schriftlich vorliegen, damit die Bewertung in der NIS2-Dokumentation nachvollziehbar bleibt.

Was kostet eine NIS2-taugliche lokale KI-Lösung?
Der STRATRONIX STA-100 kostet €399 pro Stück, zehn Stück kosten €3.990 (10 Stück), verbindlich bestätigt bei der Bestellung. Es gibt kein Abo und keine laufenden Nutzungskosten. Die Hardware-Garantie beträgt zwei Jahre, die Installation dauert 8–10 Minuten. Der Betrieb bleibt damit auch bei wechselnder Nachfrage planbar.

Weiterführende Seiten

STA-100 in Ihrem Unternehmen testen

On-Premise-KI: Deutschsprachig, ohne Cloud-Zugriff, 2 Jahre Garantie, 399 € pro Gerät.

sales@stratronix.ai Zum Produkt Kontakt