NIS2 und AI Act zusammen umsetzen: doppelte Pflichten, einmal Arbeit

Es gibt gerade eine Sorte Gespräch, die ich öfter führe, als mir lieb ist. Ein Geschäftsführer erzählt mir, dass sein Unternehmen unter NIS2 fällt: Die Registrierung beim BSI ist erledigt, ein Projekt für die Sicherheitsmaßnahmen läuft. Und dann, fast beiläufig, erwähnt er das zweite Projekt: Der EU AI Act ist seit dem 2. August 2026 in weiten Teilen anwendbar, im Unternehmen laufen KI-Systeme, also hat jemand ein zweites Compliance-Projekt aufgesetzt. Zwei Projekte, zwei Verantwortliche, zwei Berater, zwei Dokumentenberge. Und wenn ich dann frage, ob die beiden Projekte miteinander reden, kommt meistens ein nachdenkliches Schweigen.

Kennst du diese Konstellation auch:

• NIS2 liegt bei der IT, der AI Act „irgendwo zwischen Recht und Digitalisierung", und keiner schaut auf das Ganze?
• Zwei Beratungsangebote auf dem Tisch, die verdächtig ähnliche Dinge zu verdächtig unterschiedlichen Preisen versprechen?
• Das Gefühl, dieselben Fragen nach Risiken, Prozessen und Zuständigkeiten schon zum zweiten Mal zu beantworten, nur in anderer Reihenfolge?

Falls ja: Dieses Gefühl täuscht nicht. Und genau darum geht es in diesem Artikel. Denn die unbequeme Nachricht ist, dass viele Mittelständler tatsächlich beides umsetzen müssen. Die gute Nachricht ist: Es ist deutlich weniger als doppelte Arbeit, wenn man es richtig anstellt.

Warum plötzlich beides auf dem Tisch liegt

Kurz zur Einordnung, falls eines der beiden Regelwerke bei dir noch nicht auf dem Radar ist. NIS2 ist die europäische Cybersecurity-Richtlinie; das deutsche Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, die Registrierungsfrist beim BSI war der 6. März 2026. Betroffen sind laut BSI rund 29.500 Unternehmen in Deutschland: längst nicht mehr nur Kraftwerke und Krankenhäuser, sondern ab bestimmten Größen auch Logistik, produzierendes Gewerbe und IT-Dienstleister. Die Kernpflichten: Risikomanagement, Meldepflichten bei Vorfällen (erste Meldung innerhalb von 24 Stunden, Folgemeldung nach 72), Sicherheit in der Lieferkette. Und eine persönliche Verantwortung der Geschäftsführung, die man nicht wegdelegieren kann. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes.

Der AI Act wiederum regelt den Einsatz von KI-Systemen und ist laut EU-Kommission seit dem 2. August 2026 in weiten Teilen anwendbar; die Verbote, die Pflichten zur KI-Kompetenz und die Regeln für allgemeine KI-Modelle gelten sogar schon länger. Anhang III ist die Liste der besonders riskanten Einsatzfelder, etwa Personalauswahl oder kritische Infrastruktur. Die Pflichten für diese Hochrisiko-Systeme hat die EU mit dem Digital-Omnibus-Paket allerdings auf den 2. Dezember 2027 verschoben. Verschoben heißt dabei nicht gestrichen: Wer Hochrisiko-KI einsetzt, hat Vorbereitungszeit gewonnen, keine Freistellung. Ob und wie stark du betroffen bist, hängt davon ab, welche KI-Systeme du einsetzt und wofür. Wie man das für das eigene Unternehmen herausfindet, habe ich in einem eigenen Artikel beschrieben.

Das Entscheidende: Die Schnittmenge der betroffenen Unternehmen wächst rasant. Wer als Logistiker oder Maschinenbauer unter NIS2 fällt und gleichzeitig KI in seinen Prozessen einsetzt (und wer tut das 2026 nicht?), hat beide Regelwerke am Hals. Gleichzeitig.

Die Überschneidung, die kaum jemand nutzt

Und jetzt kommt der Teil, der mich an diesem Thema wirklich packt. Ich habe beide Regelwerke nebeneinandergelegt. Es war ein langer Abend mit viel Kaffee (und ich gebe zu: Es gibt aufregendere Abendgestaltungen). Was einem dabei auffällt: NIS2 und AI Act verlangen in ihrem Kern dasselbe. Nur mit anderen Vokabeln.

Beide verlangen Risikomanagement: NIS2 für deine IT- und Netzwerksicherheit, der AI Act für deine KI-Systeme. Beide verlangen Dokumentation: Was setzen wir ein, welche Risiken bestehen, welche Maßnahmen haben wir getroffen. Beide verlangen Vorfallsprozesse: Wenn etwas schiefgeht, muss es erkannt, behandelt und gemeldet werden. Und beide verlangen Governance: klare Antworten auf die Frage, wer im Unternehmen wofür verantwortlich ist, bis hinauf zur Geschäftsführung.

Was heißt das praktisch? Ein Risiko-Inventar, das deine Systeme erfasst, kann IT-Systeme und KI-Systeme in einem Zug erfassen. Ein Vorfallsprozess, der eine NIS2-Meldung innerhalb von 24 Stunden schafft, schafft mit überschaubarer Erweiterung auch die Behandlung eines KI-Vorfalls. Eine Zuständigkeitsmatrix, die für die Cybersicherheit ohnehin Pflicht ist, beantwortet mit ein paar zusätzlichen Zeilen auch die Governance-Fragen des AI Act. Wer stattdessen zwei getrennte Projekte fährt, baut zwei Risiko-Inventare, zwei Prozesslandschaften, zwei Berichtswege. Und zahlt für alles doppelt: doppelt in Beratertagen, doppelt in interner Zeit, und später doppelt in der Pflege. Denn Compliance ist ja kein Projekt, das endet, sondern ein Zustand, den man aufrechterhält.

Ein gemeinsames Managementsystem deckt große Teile beider Regelwerke ab. Nicht alles: Der AI Act hat Pflichten, die spezifisch für KI sind, und NIS2 verlangt technische Maßnahmen, die mit KI nichts zu tun haben. Ich will das nicht kleinreden: Ein Rest an spezifischer Arbeit bleibt auf beiden Seiten. Aber das Fundament baust du einmal: Inventar, Risikoprozess, Vorfallsbehandlung, Zuständigkeiten, Dokumentationsstruktur. Und genau dieses Fundament ist der teuerste und zäheste Teil des Ganzen.

Warum ich dafür der falsche Anwalt und der richtige Techniker bin

An dieser Stelle ein ehrliches Wort zu meiner Rolle. Ich bin kein Jurist, und ich werde nie einer sein (meine Familie ist darüber vermutlich ganz froh). Was ich mitbringe, ist die andere Hälfte des Problems: Ich verstehe den Stack, der da abgesichert werden soll. Ich baue seit über 15 Jahren Web- und Softwaresysteme, ich betreibe meine eigenen KI-Agenten auf eigener Infrastruktur, und ich arbeite mich seit Anfang 2026 systematisch durch die Cybersecurity-Seite dieser Systeme. Auch, weil ich bei meinen eigenen Setups Lücken gefunden habe, die mir nicht gefallen haben.

Warum das relevant ist? Weil beide Regelwerke am Ende Fragen stellen, die nur beantworten kann, wer die Technik versteht. „Welche Risiken bestehen in Ihren Systemen?" ist keine juristische Frage. Es ist eine Architekturfrage. Ein Risiko-Inventar, das von jemandem erstellt wird, der nicht weiß, was ein KI-Agent mit Systemzugriff anrichten kann oder wo sich in einer Integrations-Landschaft die Türen befinden, ist Papier. Vollständig aussehend, formal korrekt – und im Ernstfall wertlos. Die besten Compliance-Dokumente, die ich gesehen habe, entstanden dort, wo jemand die Regulierung und den Maschinenraum gleichzeitig im Blick hatte.

Wie du konkret anfängst

Mein Rat, wenn NIS2 und AI Act beide bei dir anstehen: Widersteh dem Reflex, zwei getrennte Projekte aufzusetzen. Fang stattdessen mit einer gemeinsamen Bestandsaufnahme an. Welche Systeme betreiben wir, welche davon sind KI-Systeme, welche Risiken tragen sie, wer ist wofür zuständig? Diese eine Übung speist beide Regelwerke. Erst danach, auf diesem gemeinsamen Fundament, trennen sich die Wege in die spezifischen Pflichten, und selbst dort bleiben die Prozesse verwandt.

Und wenn du noch gar nicht weißt, wo du bei NIS2 stehst: Dafür habe ich einen NIS2 Risk Check gebaut, mit dem du deine Betroffenheit und die größten Lücken strukturiert erfassen kannst. Das ist bewusst der erste Schritt, nicht der letzte. Aber er verhindert das, was ich am häufigsten sehe: monatelanges Kreisen um die Frage, ob man überhaupt anfangen muss. (Spoiler: Wer sich diese Frage ernsthaft stellt, sollte sie sich beantworten. Die Bußgeldrahmen sind nicht als Dekoration gedacht.)

Was ich niemandem verspreche: dass das alles nebenbei geht. Beide Regelwerke bedeuten echte Arbeit, und wer dir ein „Compliance-Komplettpaket in zwei Wochen" verkauft, hat entweder dein Unternehmen nicht angeschaut oder sein eigenes Angebot nicht. Aber zwischen „zwei getrennte Großprojekte" und „ein durchdachtes gemeinsames Fundament" liegt ein Unterschied, der sich in Monaten und fünfstelligen Beträgen bemisst. Diesen Unterschied kann man sich holen. Man muss nur am Anfang die richtige Weiche stellen.

Genau diese Weichenstellung ist der Kern dessen, was ich unter Compliance-Begleitung verstehe: nicht Papier produzieren, sondern ein System aufbauen, das beide Pflichten trägt und mit dem Unternehmen mitwächst.

Wie gehst du das Thema an? Zwei Projekte, ein Projekt, oder steht die Entscheidung noch aus? Ich bin ehrlich neugierig, wie andere Mittelständler diese Doppelbelastung sortieren, und lerne bei jedem Gespräch dazu. Sprich mich an, schreib mir eine E-Mail oder ruf einfach an. Lass uns die doppelten Pflichten gemeinsam auf einfache Arbeit herunterkochen.