Die EU-Agentur für Cybersicherheit ENISA hat am 23. Juli 2026 drei technische Leitlinien veröffentlicht, die klären, wie Künstliche Intelligenz und NIS2 zusammenwirken. Die Dokumente adressieren eine der meistdiskutierten offenen Fragen der NIS2-Umsetzung: Wer ist ein KI-Anbieter im Sinne der Richtlinie, und was genau müssen diese Einrichtungen implementieren?
Drei zentrale Klarstellungen
1. KI-Trainingsinfrastruktur gilt als Netz- und Informationssystem
ENISA bestätigt, dass Rechenzentren und Cloud-Cluster, die zum Training großer KI-Modelle genutzt werden, uneingeschränkt unter den NIS2-Begriff des Netz- und Informationssystems fallen. Damit unterliegen GPU-Cluster-Betreiber und ML-Trainingsplattformen denselben Sicherheitspflichten wie klassische Cloud-Infrastrukturanbieter.
2. KI-Dienste als kritische Services von Dritten
KI-APIs, die in kritischen Prozessen von Einrichtungen eingesetzt werden – etwa zur automatisierten Anomalieerkennung in der Energieübertragung oder zur Risikoklassifizierung im Bankwesen – sind als kritische Drittanbieter gemäß Art. 21 Abs. 2 lit. d NIS2 einzustufen. Abnehmende Einrichtungen müssen diese Abhängigkeiten im Lieferantenregister dokumentieren und risikobewerten.
3. Spezifische Maßnahmen für KI-Systeme
Zusätzlich zu den allgemeinen Art.-21-Anforderungen identifiziert ENISA drei KI-spezifische Sicherheitsmaßnahmen, die im Risikoregister berücksichtigt werden sollten:
- Data-Poisoning-Schutz: Integritätsprüfungen für Trainingsdaten sowie Nachweis der Datenherkunft (Data Provenance)
- Modellzugangskontrollen: Authentifizierung und Autorisierung bei Zugriff auf KI-Modelle und Inferenz-APIs, besonders in Mehrmieter-Umgebungen
- Robustheitstests gegen adversarielle Angriffe: Regelmäßige Tests mit Adversarial-Inputs als Teil der Wirksamkeitsüberprüfung nach Art. 21 Abs. 2 lit. f NIS2
Was bedeutet das in der Praxis?
Für Einrichtungen, die KI-Systeme von externen Anbietern einsetzen, bedeutet dies zunächst: Der KI-Anbieter muss als kritischer Drittanbieter identifiziert und bewertet werden – unabhängig davon, ob er selbst als wesentliche oder wichtige Einrichtung eingestuft ist. Die Bewertung sollte Zertifikate (z. B. ISO/IEC 42001 für KI-Management), Auditberichte und vertragliche Sicherheitsklauseln umfassen.
Für Einrichtungen, die eigene KI-Modelle entwickeln oder betreiben, ergänzen die ENISA-Empfehlungen das bestehende Risikoregister um drei neue Risikokategorien. ENISA empfiehlt, diese Risiken in die jährliche Aktualisierung des Risikoregisters zu integrieren. Ein angepasstes Risikoregister-Template steht unter nis2have.eu/templates zur Verfügung.
Abgrenzung zum AI Act
Die Leitlinien grenzen ausdrücklich ab: NIS2 und der EU AI Act verfolgen unterschiedliche Ziele und haben unterschiedliche Anwenderkreise. Während der AI Act auf KI-Systeme mit Risikopotenzial für natürliche Personen abstellt, adressiert NIS2 die Sicherheit der Infrastruktur selbst. Einrichtungen, die hochriskante KI-Systeme im Sinne des AI Acts betreiben, sind in aller Regel auch NIS2-pflichtig – müssen beide Regelwerke aber getrennt erfüllen.