![int[cube] Logo](../assets/media/68aade45427e121494873a4c_int-cube-Wortmarke.svg)
Wer weiß, was alles gilt?
Meine Eingangsfrage: Wer kann aus dem Stand sagen, welche Regelwerke für das eigene Unternehmen gelten? Es wurde still.
Das ist kein Wunder. Allein für die Energiewirtschaft habe ich auf einer Folie eine Auswahl von 27 Regelwerken und Anforderungen gesammelt: NIS2 und das NIS2-Umsetzungsgesetz, BSIG und BSI-KritisV, KRITIS-Dachgesetz, EnWG und IT-Sicherheitskatalog der BNetzA, Network Code Cybersecurity, Cyber Resilience Act, Radio Equipment Directive, DSGVO, Data Act, AI Act, Messstellenbetriebsgesetz, ISO 27001, ISO 27019, IEC 62443, IT-Grundschutz und dazu Kundenfragebögen, Lieferantenaudits und Fragebögen der Versicherer.
Jedes dieser Regelwerke ist für sich sinnvoll und gut gemeint. Das Problem ist die Summe, und die Überschneidungen.
Ein Vorfall, drei Meldewege
Wie das im Alltag aussieht, zeigt ein Beispiel. Ein Hersteller von Energie-Hardware stellt fest, dass eine Schwachstelle in seinem Produkt ausgenutzt wurde und dabei auch personenbezogene Daten betroffen sind. Mit Pech heißt das: drei Fristen, drei Stellen, drei Formulare.
| Regelwerk | Erste Meldung | Meldung | Abschluss | An wen |
|---|---|---|---|---|
| NIS2 (erheblicher Vorfall) | 24 h | 72 h | 1 Monat | BSI |
| CRA (ausgenutzte Schwachstelle) | 24 h | 72 h | 14 Tage nach Fix | CSIRT und ENISA |
| DSGVO (Datenpanne) | 72 h | Datenschutzaufsicht |
Ein Konzern hat für so etwas eigene Abteilungen für Compliance, Recht, Security, Revision und Datenschutz. Im kleinen Stadtwerk liegt das alles in einer Hand, neben dem Tagesgeschäft. Die Pflichten sind ähnlich, die Ressourcen ein Bruchteil.
Wie Konzerne das lösen: zwei Maschinen
Große Unternehmen setzen dafür zwei bewährte „Maschinen“ ein:
- Integriertes Managementsystem (IMS), top-down: Es bündelt mehrere Normen unter einem Dach und übersetzt die Ziele der Geschäftsleitung in Richtlinien, Rollen und Prozesse. Kette: Regelwerk, Richtlinie, Prozess.
- Internes Kontrollsystem (IKS), bottom-up: Kontrollen sitzen in den Prozessen, werden getestet und belegt; die Ergebnisse gehen an Revision und Prüfer. Kette: Kontrolle, Test, Bericht.
Beides funktioniert und lässt sich kombinieren. Beides braucht aber Tools, Personal, Pflege und Audits und lohnt sich erst ab einer gewissen Größe.
Der dritte Weg: quer
Mit KI können jetzt auch kleine Organisationen ihre eigene Maschine bauen. Am besten keine verkleinerte Kopie der Konzernlösung. Mein Vorschlag ist ein dritter Weg, quer zu beiden: Startpunkt ist der eigene Betrieb, also das, was das Unternehmen heute schon tut. Von dort aus verbindet KI die eigenen Maßnahmen mit allem, was die Regelwerke fordern.
Das Prinzip lautet: einmal tun, vielfach nachweisen. Eine vereinfachte Compliance-Landkarte:
| Ihre Maßnahme | bedient | Nachweis aus dem Betrieb |
|---|---|---|
| Vorfälle melden | NIS2, CRA, DSGVO | Tickets |
| Schwachstellen managen | CRA, ISO 27001, EnWG | Scan-Berichte |
| Zugänge steuern | DSGVO, ISO 27001, EnWG | Konfigurationen |
| Lieferkette sichern | NIS2, Kundenanforderungen | Verträge |
Wenige eigene Maßnahmen in der Mitte, viele Regelwerke darüber, echte Belege darunter.
Die Maschine hat vier Funktionen: Sie klärt, was für das Unternehmen gilt (eine Seite statt eines Ordners). Sie fasst doppelte Anforderungen zu wenigen eigenen Maßnahmen zusammen. Sie sammelt Belege aus dem Betrieb, aus denen sich Audits und Kundenfragebögen speisen. Und wenn sich eine Regel ändert, zeigt sie, was das für die eigenen Maßnahmen bedeutet.
Für das Beispiel oben heißt das: ein interner Ablauf, eine Lagebeschreibung, und die KI entwirft daraus die Meldungen für NIS2, CRA und DSGVO mit ihren Fristen. Menschen prüfen, entscheiden und senden.
Was KI Ihnen nicht abnimmt
Die Maschine bereitet vor, Menschen entscheiden. Die Verantwortung bleibt bei der Geschäftsleitung, unter NIS2 ausdrücklich. Welche Risiken das Unternehmen trägt, entscheiden Menschen. Und gehärtet, gepatcht und geübt wird weiter an den eigenen Systemen. Dazu gehört auch, die KI selbst sicher und datenschutzkonform zu betreiben.
So fangen Sie an
- Eine Seite: Was gilt für uns? Die Regelwerke mit KI auf das eigene Unternehmen eingrenzen und fachlich prüfen.
- Eine Pflicht durchspielen. Zum Beispiel die Meldewege, einmal von der Anforderung bis zum Nachweis.
- Nicht allein bauen. In einer Kohorte mit anderen: gleiche Aufgabe, jede baut ihre eigene Maschine.
Die Folien
Folien als PDF (13 Seiten)
Wer baut seine Maschine mit uns?
Mehr Compliance, weniger Aufwand: Unter Agentic Consulting beschreiben wir, wie KI-Agenten und Expert*innen von int[cube] die Maschine gemeinsam mit Ihrem Team aufbauen; am Ende gehört sie Ihnen. Wer lieber mit anderen zusammen startet, findet unter Kohorten für die Energiewirtschaft das passende Format. Oder spielen Sie eine Pflicht direkt mit uns durch: Buchen Sie einen Termin mit David Fuhr.
Hinweis: Diese Seite und unsere Leistungen sind keine Rechtsberatung. Fragen zur rechtlichen Auslegung von NIS2, CRA, DSGVO und weiteren Regelwerken klären Sie bitte mit Ihren Rechtsberater*innen.
