Die neue Regulierungsrealität – warum jetzt?
Seit Oktober 2024 ist die europäische NIS2-Richtlinie in deutsches Recht überführt. Gleichzeitig gilt seit August 2024 der EU AI Act verbindlich. Zwei Regelwerke, die in Brüssel entstanden sind und dennoch unmittelbar in den Alltag mittelständischer Unternehmen in der Region eingreifen – auch wenn das auf den ersten Blick nicht so wirkt.
Wer als Zulieferer, Dienstleister oder Produktionspartner für ein größeres Unternehmen tätig ist, das unter NIS2 fällt, ist indirekt betroffen. Und wer Software einsetzt, die Entscheidungen automatisiert oder unterstützt, kommt am EU AI Act nicht vorbei. Die Frage ist nicht ob, sondern wann und wie.
Was NIS2 für Zulieferer konkret bedeutet
Die NIS2-Richtlinie verpflichtet Unternehmen in kritischen Sektoren – darunter Energie, Transport, Gesundheit, Finanzwesen und Teile der verarbeitenden Industrie – zur Umsetzung umfangreicher Cybersicherheitsmaßnahmen. Dazu gehört explizit die Absicherung der Lieferkette.
Das bedeutet: Ein direkt betroffenes Unternehmen muss sicherstellen, dass seine Lieferanten und Dienstleister ein akzeptables Sicherheitsniveau aufweisen. In der Praxis schlägt sich das in Sicherheitsfragebögen, Lieferantenaudits und vertraglichen Anforderungen nieder – die an Zulieferer weitergegeben werden, unabhängig von deren eigener Betroffenheit.
Wer als Zulieferer auf einen solchen Fragebogen antwortet, sollte wissen, was gefragt wird: Welche Maßnahmen bestehen zur Zugangskontrolle? Wie werden Sicherheitsvorfälle gemeldet und dokumentiert? Gibt es eine Backup- und Wiederherstellungsstrategie? Wie ist der Datenschutz geregelt?
Diese Fragen sind keine Schikane. Sie sind der praktische Ausdruck einer europäischen Entscheidung: Cybersicherheit ist Infrastrukturschutz – und dieser endet nicht an den Werkstoren eines einzelnen Unternehmens.
Der EU AI Act: Unterschätzt, aber relevant
Der EU AI Act reguliert den Einsatz von Künstlicher Intelligenz in der EU nach einem Risikoklassensystem. Was viele mittelständische Unternehmen nicht wissen: Nicht nur die Entwickler von KI-Systemen sind betroffen, sondern auch deren Anwender – also Unternehmen, die KI-gestützte Produkte und Dienste einsetzen.
Das betrifft in der Praxis mehr Unternehmen als erwartet. KI-gestützte Buchhaltungssoftware, automatisierte Lieferantenbewertungssysteme, Zeiterfassungstools mit Verhaltensanalyse oder Predictive-Maintenance-Systeme in der Fertigung: All das können KI-Systeme im Sinne des AI Acts sein – mit konkreten Transparenz- und Dokumentationspflichten.
Besonders relevant: In bestimmten Hochrisikoanwendungen – etwa bei HR-Entscheidungen oder sicherheitskritischen Prozessen – gelten umfangreichere Pflichten. Hier braucht es Dokumentation, Risikoanalysen und in manchen Fällen sogar eine Konformitätsbewertung.
Governance statt Technik – warum die Reihenfolge entscheidet
Der häufigste Fehler, den ich in meiner Beratungspraxis beobachte: Unternehmen investieren in Technik, bevor sie die Governance-Frage geklärt haben. Sie kaufen neue Firewall-Systeme oder implementieren Verschlüsselung – ohne zu wissen, wer im Unternehmen verantwortlich ist, wie Vorfälle gemeldet werden sollen und welche Prozesse überhaupt dokumentiert werden müssen.
Technik löst kein Governance-Problem. Sie verstärkt es – im Guten wie im Schlechten.
Die richtige Reihenfolge ist: Verantwortung klären. Ist-Zustand erheben. Lücken priorisieren. Erst dann investieren – gezielt und begründet.
Das klingt nach Bürokratie. In der Praxis ist es der einzige Weg, nicht im Chaos zu enden, wenn der erste Fragebogen auf dem Tisch liegt.
Ein realistischer Einstieg in vier Schritten
Aus meiner Erfahrung heraus empfehle ich mittelständischen Unternehmen einen strukturierten Einstieg in vier Schritten:
- Schritt 1 – Betroffenheit klären: Welche Ihrer Kunden fallen unter NIS2? Welche KI-Systeme setzen Sie ein? Das schafft Klarheit darüber, wo tatsächlicher Handlungsbedarf besteht.
- Schritt 2 – Ist-Zustand erfassen: Welche Sicherheitsmaßnahmen bestehen bereits? Wo gibt es Lücken? Ein strukturierter Self-Assessment-Prozess reicht für den Anfang.
- Schritt 3 – Prioritäten setzen: Nicht alles gleichzeitig. Die größten Risiken und die dringlichsten Kundenanforderungen bestimmen die Reihenfolge.
- Schritt 4 – Governance verankern: Wer ist intern verantwortlich? Wie wird dokumentiert? Wie werden Vorfälle gemeldet? Erst wenn diese Fragen beantwortet sind, hat Technik eine stabile Grundlage.
Das ist kein Sechsmonatsprojekt. Wer strukturiert vorgeht, kann in wenigen Wochen einen belastbaren Stand erreichen – und dann kontinuierlich verbessern.
Fazit: Die Vorbereitung ist die Investition
NIS2 und der EU AI Act sind keine bürokratischen Hindernisse, die man aussitzt. Sie sind Ausdruck einer veränderten Risikorealiät – und einer politischen Entscheidung, dass Cybersicherheit und verantwortungsvoller KI-Einsatz keine Kür, sondern Pflicht sind.
Für mittelständische Zulieferer in der Region bedeutet das: Die Anforderungen kommen – über die Kundenbeziehung, wenn nicht über das Gesetz. Wer heute beginnt, hat Spielraum. Wer wartet, reagiert.
Wenn Sie wissen möchten, wo Ihr Unternehmen konkret steht und welche ersten Schritte sinnvoll sind: Ich führe derzeit kurze strukturierte Erstgespräche durch – ohne Beratervertrag, ohne Verpflichtung. Schreiben Sie mir eine Nachricht.
Über den Autor
Rainer V. Hiller ist Senior Program Manager mit 25 Jahren Erfahrung in der Steuerung komplexer Transformationsprogramme — spezialisiert auf regulierte Umfelder, Organisationsrückbau und Compliance-konforme Cloud-Transformation.
Er ist ab sofort verfügbar für Interim-Mandate.
Kontakt: rainer.hiller@dxb-41.consulting
