Cyber Resilience Act: Hersteller müssen Schwachstellen ab September melden
Veröffentlicht am: 31.08.2026 um 09:30 Uhr | Redaktion boerse-global.de
Die rechtlichen Anforderungen an die betriebliche Cybersicherheit sowie die regulatorischen Rahmenbedingungen durch die neue KI-Verordnung der Europäischen Union (KI-VO) stellen Unternehmen vor komplexe Umsetzungsaufgaben. Während erste Transparenzpflichten für Künstliche Intelligenz bereits seit Anfang August greifen, rücken weitere Fristen für die Produkthaftung und die Meldung von Sicherheitslücken näher.
Der regulatorische Rahmen der KI-Verordnung
Mit der Verordnung über künstliche Intelligenz hat die EU einen weltweit beachteten Rechtsrahmen geschaffen. Seit dem 02.08.2026 sind die Transparenzpflichten gemäß Artikel 50 der KI-VO durchsetzbar.
Um die Einhaltung dieser Vorgaben technisch zu unterstützen, hat das Unternehmen VeroNex den Standard EU2122 für KI-Verifizierungsbelege bei der IETF eingereicht. Diese Spezifikation definiert Mindestfelder für KI-Ausgaben und soll die Konformität mit dem EU-KI-Gesetz sowie der Produkthaftungsrichtlinie sicherstellen. Letztere wird ab dem 09.12.2026 relevant.
Die juristische Aufarbeitung der Materie schreitet ebenfalls voran. Der Verlag C.H. Beck veröffentlicht Ende August 2026 einen umfangreichen Kommentar zur KI-VO mit 1200 Seiten. Parallel dazu beschäftigen Urheberrechtsfragen die Gerichte. So hat der Carlsen Verlag eine Klage gegen OpenAI im Zusammenhang mit einem KI-generierten Bilderbuch erhoben.
In einem verwandten Kontext entschied das Landgericht München im Verfahren zwischen der GEMA und Suno, dass das Training von KI-Modellen rechtswidrig sei, wenn es zur Memorisierung geschützter Inhalte führe. Die Schranke für Text- und Data-Mining rechtfertige nach Ansicht des Gerichts weder die Speicherung noch den Output solcher Inhalte.
Ein Sachverständiger, Felix Stang, wies in diesem Zusammenhang darauf hin, dass die Wahrscheinlichkeit für eine rein zufällige Übereinstimmung des beanstandeten Bilderbuchs mit dem Original etwa 18.000 Mal geringer sei als ein Lottosechser.
Angesichts der komplexen Regulierung von KI-Systemen in der EU benötigen Unternehmen jetzt einen klaren Überblick über geltende Fristen und Risikoklassen. Dieser kostenlose Umsetzungsleitfaden zum EU AI Act liefert Ihrer Rechts- und IT-Abteilung die notwendige Orientierung. EU AI Act in 5 Schritten verstehen
Haftung und Lieferkettensicherheit unter NIS2
Bereits seit dem 06.12.2025 ist das NIS2-Umsetzungsgesetz in Kraft. Die Registrierungsfristen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) sind nach einer Nachfrist zum 31.07.2026 abgelaufen.
Betroffene Unternehmen mit mindestens 50 Beschäftigten oder einem Umsatz von mehr als 10 Mio. Euro in 18 definierten Sektoren müssen nun mit strengen Sanktionen rechnen. Für besonders wichtige Einrichtungen können Bußgelder bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes fällig werden. Eine verspätete Registrierung kann mit bis zu 500.000 Euro geahndet werden.
Ein wesentlicher Aspekt von NIS2 ist die persönliche Haftung der Geschäftsleitung sowie die Weitergabe von Sicherheitsanforderungen entlang der Lieferkette.
Auch Unternehmen, die nicht direkt unter die Richtlinie fallen, wie etwa Autohäuser, werden durch vertragliche Anforderungen ihrer Auftraggeber zur Einhaltung von Standards gezwungen. Typische Vorgaben umfassen die Multi-Faktor-Authentisierung (MFA), Patchmanagement und Vorfallsmeldungen innerhalb von 24 Stunden.
Wer sich mit der Absicherung digitaler Lieferketten und neuen gesetzlichen Anforderungen befasst, muss proaktive Schutzmaßnahmen ergreifen. Dieser kostenlose Report klärt auf, wie Sie Sicherheitslücken schließen und rechtliche Pflichten ohne hohe Investitionen erfüllen können. Gratis-E-Book zur IT-Sicherheit herunterladen
Der Cyber Resilience Act und operative Hürden
Zusätzlicher Handlungsbedarf entsteht durch den Cyber Resilience Act (CRA). Ab dem 11.09.2026 sind Hersteller digitaler Produkte verpflichtet, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden bei der ENISA zu melden. Ein vollständiger Bericht muss nach 72 Stunden folgen. Die vollständige Anwendung des CRA ist für den 11.12.2027 vorgesehen.
Eine Studie von ONEKEY unter 200 deutschen Industrieunternehmen zeigt jedoch erhebliche Defizite bei der Vorbereitung: 45 Prozent der Befragten sind kaum oder gar nicht mit dem CRA vertraut. 62 Prozent betrachten die 24-Stunden-Meldefrist als große Herausforderung. Jan Wendenburg, CEO von ONEKEY, mahnte eine Beschleunigung der Umsetzung an, da bisher nur 8 Prozent der Unternehmen die Compliance-Vorgaben erfüllen.
Steigende Risiken und Qualifizierungsbedarf
Die Dringlichkeit dieser Maßnahmen wird durch aktuelle Sicherheitsberichte unterstrichen. Laut dem SANS Report 2026 ist das Risiko durch KI-Anwendungen von Platz 4 auf Platz 2 der größten Sicherheitsrisiken gestiegen und wird von 42 Prozent der Befragten genannt. Phishing bleibt mit 77 Prozent die Hauptgefahr.
Um diesen Herausforderungen zu begegnen, investieren Betriebe verstärkt in Personal. Das Durchschnittsgehalt im Bereich Cybersicherheit liegt laut SANS Report bei 123.624 USD. Reife Sicherheitsprogramme benötigen demnach mindestens drei Vollzeitkräfte (FTE), während für einen umfassenden Kulturwandel über einen Zeitraum von fünf bis zehn Jahren sogar 4,3 FTE veranschlagt werden.
Bildungsanbieter wie alfatraining reagieren auf diesen Bedarf mit zertifizierten Weiterbildungen zum IT-Security-Manager oder -Beauftragten. Diese vier- bis achtwöchigen Kurse decken Inhalte wie ISO/IEC 27001, IT-Risikomanagement und den BSI IT-Grundschutz ab und schließen mit TÜV-geprüften Qualifikationen ab. Dies ist insbesondere für KMU relevant, da Zertifizierungen wie ISO 27001 oder TISAX zunehmend zur Voraussetzung für die Vergabe von Aufträgen werden.
