Wer haftet für KI Einträge nach NIS2?
Nach Art. 20 Abs. 1 NIS 2 billigt die Geschäftsführung die Maßnahmen, überwacht ihre Umsetzung und kann für Verstöße verantwortlich gemacht werden, gleich wer ein Feld ausgefüllt hat. Im Durchgang steht jeder Eintrag eines Assistenten unter dem Namen der Person, die ihn verbunden hat. Abschließen und freigeben kann kein Assistent.
Was weist NIS 2 der Geschäftsführung zu?
Nach Art. 20 Abs. 1 NIS 2 billigt die Geschäftsführung die Maßnahmen zum Risikomanagement nach Art. 21. Sie überwacht ihre Umsetzung und kann für Verstöße verantwortlich gemacht werden.
In Deutschland setzt § 38 Abs. 1 BSIG das um: Die Geschäftsleitung ist verpflichtet, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen.
Für bestimmte digitale Dienste wird die Durchführungsverordnung (EU) 2024/2690 genauer. Nach Nummer 2.1.1 ihres Anhangs nimmt die Geschäftsführung die Ergebnisse der Risikobewertung und die Restrisiken an, oder eine verantwortliche Person, die ihr berichtet.
KI kommt in keiner dieser Vorschriften vor. Die Pflicht zu billigen und zu überwachen bleibt bei der Geschäftsführung, wer auch immer ein Feld ausgefüllt hat.
Art. 20 Abs. 1 NIS 2 · § 38 Abs. 1 BSIG · Anhang Nr. 2.1.1 DVO (EU) 2024/2690
Wessen Eintrag ist es im Durchgang?
Ein Assistent arbeitet im Durchgang als die Person, die ihn verbunden hat, mit genau ihren Rechten. Was er speichert, steht im Aktivitätsprotokoll unter ihrem Namen, mit dem Zusatz „über“ und dem Namen des Assistenten.
Es ist also der Eintrag dieser Person. Sie hat den Assistenten verbunden und kann ihn in den Einstellungen jederzeit trennen.
Ein Admin kann mit dem Schalter „Assistenten für dieses Unternehmen erlauben“ alle Assistenten im Unternehmen ausschalten. Das beendet jede Verbindung.
Warum kann der Assistent nichts freigeben?
Die Freigabe gehört der Geschäftsführung, und deshalb hat der MCP Server kein Werkzeug dafür. Ein Assistent kann keinen Punkt abschließen, keinen als bewusst nicht umgesetzt festhalten und nichts freigeben.
Freigeben kann in 7.3 nur, wem im Team die Rolle „CEO / Geschäftsführer“ zugewiesen ist, angemeldet mit dem eigenen Zugang. Name und Datum der Freigabe stehen danach bei jedem Dokument, das sie freigegeben hat.
Was sagt der AI Act dazu?
Ein Unternehmen, das einen KI Assistenten bei der Arbeit einsetzt, ist nach Art. 3 Nr. 4 AI Act dessen „Betreiber“. Art. 4 in der Fassung der Verordnung (EU) 2026/1744 verlangt von Betreibern Maßnahmen, die die KI Kompetenz ihrer Beschäftigten fördern, ohne ein bestimmtes Niveau.
Nach unserer Lesart, keiner Aussage einer Behörde, ist das Ausfüllen von NIS 2 Unterlagen keine Hochrisikoverwendung nach Anhang III. Mehr dazu in unserem Artikel zu NIS 2 und AI Act.
Art. 3 Nr. 4 und Art. 4 AI Act
Muss die Geschäftsführung verstehen, was sie freigibt?
Billigen und überwachen setzt voraus, dass die Geschäftsführung versteht, worüber sie entscheidet. Nach Art. 20 Abs. 2 NIS 2 müssen ihre Mitglieder an Schulungen teilnehmen.
In Deutschland verlangt § 38 Abs. 3 BSIG, dass die Geschäftsleitung regelmäßig an Schulungen teilnimmt.
Im Durchgang ist das Punkt 1.1. Ein Assistent kann dort eintragen, wer wann geschult wurde, und das Zertifikat hochladen, wenn er Dateien selbst senden kann. Teilnehmen muss die Geschäftsführung selbst.
Art. 20 Abs. 2 NIS 2 · § 38 Abs. 3 BSIG
So geht das im Durchgang
Im Durchgang zeigt sich die Verantwortung an zwei Stellen: am Anfang bei der Schulung und am Ende bei der Freigabe.
1.1 Die Geschäftsführung schulen lassen: Ein Assistent trägt ein, wer aus der Geschäftsführung wann geschult wurde. Die Schulung besucht die Geschäftsführung selbst.
Vor dem Abschließen jedes Punktes liest eine Person die Bildschirme mit dem Vermerk eines Assistenten und korrigiert in der App, was nicht stimmt.
7.3 Die Managementbewertung festhalten: Die Geschäftsführung sieht ihre Risiken und die offenen Punkte, bei denen festgehalten wird, wer sich bis wann kümmert, und gibt die Dokumente frei. Name und Datum werden festgehalten.
Danach lehnt der Server ab, wenn ein Assistent eine Liste ändern will, auf die sich ein unterschriebener Punkt stützt. Solche Änderungen macht eine Person in der App, und der Punkt geht zurück an die Geschäftsführung.
Häufige Fragen
Wer haftet, wenn die KI etwas falsch einträgt?
Im Durchgang steht der Eintrag unter dem Namen der Person, die den Assistenten verbunden hat. An den Pflichten aus NIS 2 ändert das nichts: Die Geschäftsführung billigt die Maßnahmen und überwacht ihre Umsetzung. Deshalb sollte eine Person jeden Punkt prüfen, bevor sie ihn abschließt.
Wer muss eine Risikobewertung annehmen, die eine KI erstellt hat?
Nach Art. 20 Abs. 1 NIS 2 billigt die Geschäftsführung die Maßnahmen. Für bestimmte digitale Dienste nimmt nach Nr. 2.1.1 des Anhangs der Durchführungsverordnung (EU) 2024/2690 die Geschäftsführung die Ergebnisse und Restrisiken an, oder eine verantwortliche Person, die ihr berichtet. Im Durchgang stuft ein Assistent in 2.3 ein, freigeben kann er in 7.3 nicht.
Sieht man später, welche Einträge von der KI stammen?
Ja. Auf jedem Bildschirm, den ein Assistent geschrieben hat, stehen sein Name und der Tag. Im Aktivitätsprotokoll steht jede Änderung unter dem Namen der Person, mit „über“ und dem Namen des Assistenten.
Kann der Geschäftsführer die Freigabe seinem eigenen Assistenten überlassen?
Im Durchgang nicht. Es gibt kein Werkzeug dafür, auch nicht für den Assistenten eines Geschäftsführers. Die Freigabe gibt die Geschäftsführung in der App, mit dem eigenen Zugang, und ihr Name und das Datum stehen dann bei jedem freigegebenen Dokument.
Weiterlesen
Quellen
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 20 Abs. 1 und 2, EUR-Lex
- BSIG, § 38 Abs. 1 und 3, gesetze-im-internet.de
- Durchführungsverordnung (EU) 2024/2690, Anhang Nr. 2.1.1, EUR-Lex
- Verordnung (EU) 2024/1689 (AI Act), Art. 3 Nr. 4, Art. 4 und Anhang III, Art. 4 geändert durch Verordnung (EU) 2026/1744, EUR-Lex
- open-isms, lib/mcp/procedures.ts und server/trpc/routers/durchgang.ts (die Freigabe), github.com/NISD2/open-isms
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Governance & Haftung
Die Geschäftsführung schulen lassen
Jedes Mitglied der Geschäftsführung, regelmäßig.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
