Kann man NIS2 mit KI umsetzen?

Was kann ein KI Assistent für NIS 2 übernehmen?

Er kann Angaben zusammentragen, die es schon gibt, und in die Form bringen, die der Durchgang verlangt. Aus einer Kreditorenliste, einem Inventar oder einer Lizenzübersicht macht er Zeilen in einer Liste.

Für eine Richtlinie wählt er die passenden Abschnitte aus und schreibt, was bei Ihnen sonst noch gilt.

Dafür ist der NIS 2 Durchgang gebaut: Er fragt Punkt für Punkt, was festzuhalten ist, und ein verbundener Assistent trägt es dort ein.

Was muss Ihr Unternehmen selbst tun?

Eine Maßnahme ist umgesetzt, wenn sie im Betrieb wirkt: wenn etwa der zweite Faktor an den Anmeldungen eingeschaltet ist und sich die Datensicherung wirklich zurückspielen lässt.

Ein Assistent, der Unterlagen ausfüllt, kann das festhalten. Herbeiführen kann er es nicht.

Auch die Entscheidung bleibt bei Menschen: Nach Art. 20 Abs. 1 NIS 2 billigt die Geschäftsführung die Maßnahmen und überwacht ihre Umsetzung. Wer für die Einträge einer KI haftet, erklärt unser Artikel dazu.

Art. 20 Abs. 1 NIS 2

Was sagt NIS 2 über KI?

Wenig. Die Richtlinie nennt künstliche Intelligenz nur in zwei Erwägungsgründen, also in der Begründung vor den Artikeln.

Nach Erwägungsgrund 51 sollen die Mitgliedstaaten KI fördern, wo sie hilft, Angriffe aufzudecken und zu verhüten, im Einklang mit dem Datenschutzrecht. Nach Erwägungsgrund 89 sollen Einrichtungen ihre Fähigkeiten in der Cybersicherheit bewerten und, wo es passt, Technik wie KI oder maschinelles Lernen einsetzen.

Die Durchführungsverordnung (EU) 2024/2690, die die Maßnahmen für bestimmte digitale Dienste genauer beschreibt, erwähnt KI gar nicht. Keiner der Texte regelt, ob eine Risikoanalyse mit Hilfe einer KI entstehen darf.

Ob eine Behörde mit KI geschriebene NIS 2 Unterlagen anerkennt, hat bisher keine gesagt, soweit wir das prüfen konnten (Stand Oktober 2026).

Wo hilft ein Assistent im NIS 2 Durchgang, und wo nicht?

Am meisten bei Listen, die es in anderer Form schon gibt. In 2.2 entsteht aus Ihrem Inventar die Liste Ihrer Programme und Technik, in 5.1 aus der Kreditorenliste die Liste Ihrer Lieferanten.

Wenig hilft er bei Tatsachen, die nirgends stehen. Ist in keinem Dokument festgehalten, wann eine Sicherung zuletzt erfolgreich zurückgespielt wurde, kann der Assistent es nicht wissen.

Der Server gibt ihm deshalb die Anweisung mit, nur einzutragen, was Ihre Unterlagen und Systeme zeigen, und ein Feld lieber leer zu lassen als zu raten.

Bei zwei Entscheidungen hat er gar kein Werkzeug: ob Ihr Unternehmen einen Punkt bewusst nicht umsetzt, und ob die Geschäftsführung die Unterlagen freigibt. Das entscheiden Menschen in der App.

Was passiert, wenn die KI sich irrt?

Ein Sprachmodell kann Angaben erfinden oder falsch zuordnen. Im Durchgang wäre das etwa ein Lieferant, den es nicht gibt, oder ein Sicherungsrhythmus, der nicht stimmt.

Der Server prüft die Form einer Angabe, etwa ob ein Datum ein Datum ist. Ob sie stimmt, kann er nicht wissen.

Deshalb schließt eine Person jeden Punkt selbst ab. Auf jedem Bildschirm, den ein Assistent geschrieben hat, stehen sein Name und der Tag. Lesen Sie diese Bildschirme vor dem Abschließen und korrigieren Sie in der App, was nicht stimmt.