Ist die Geschäftsführung bereit für den EU AI Act?
Die Unternehmensleitung ist ab sofort rechtlich verantwortlich. Selbst für KI-Funktionen, die nie offiziell genehmigt wurden.
Ein zeitlich definierter Readiness-Sprint: Er deckt auf, wo KI unbemerkt in das Unternehmen gelangt ist, klärt die rechtlichen Pflichten als KI-Betreiber („Deployer“) und liefert eine konkrete, vorstandsgerechte Compliance-Roadmap.
Das eigentliche Problem
Viele Unternehmen sorgen sich darum, dass Mitarbeitende sensible Daten in ChatGPT kopieren. Ein weitaus größeres, unüberwachtes Risiko ist jedoch integrierte Shadow AI („Embedded Shadow AI“). Diese entsteht, wenn etablierte Softwareanbieter generative KI-Funktionen standardmäßig per automatischem Update aktivieren. Solche Änderungen stehen oft auf der Website, in Release Notes oder in den Bedingungen - aber selten als explizite Go/No-Go-Entscheidung der Geschäftsführung. Wer Updates oder Bedingungen akzeptiert, ist gebunden.
Sobald KI-Funktionen über bestehende Tools wie CRM, ERP oder Office-Suiten Einzug halten, muss das Unternehmen sie klassifizieren, überwachen oder einschränken. In der Praxis werden Teams selten früh genug informiert, um zu handeln. Hier klafft eine gewaltige Prozesslücke.
Nach dem EU AI Act gilt dieses Unternehmen schnell als „Deployer“. Die gesetzliche Verantwortung für Protokollierung, Aufsicht und Mitarbeiteraufklärung liegt dann bei euch - noch bevor diese Tools live gehen. Wenn Software-Updates im Hintergrund KI-Funktionen aktivieren, erfahrt ihr es meist als Letzte.
Warum jetzt: Das Cbw (NIS2)
Das Cyberbeveiligingswet (Cbw) ist die niederländische Umsetzung der EU-NIS2-Richtlinie. Das Gesetz ist seit dem 15. August 2026 in Kraft. Organisationen müssen selbst prüfen, ob sie als essenzielle oder wichtige Einrichtung unter das Gesetz fallen. Für diese Einrichtungen gelten unter anderem folgende gesetzliche Pflichten:
Sorgfaltspflicht (Art. 21)
Essenzielle und wichtige Einrichtungen müssen angemessene, risikobasierte Maßnahmen ergreifen, um ihre Netzwerk- und Informationssysteme zu schützen und die Auswirkungen von Vorfällen zu begrenzen.
Meldepflicht bei signifikanten Vorfällen (Art. 25-27)
Nach Kenntnis eines signifikanten Vorfalls: Frühwarnung innerhalb von 24 Stunden (Art. 26), danach eine Meldung mit Erstbewertung innerhalb von 72 Stunden (Art. 27) an CSIRT und zuständige Behörde.
Registrierung im Einrichtungenregister (Art. 43-44)
Essenzielle und wichtige Einrichtungen müssen sich im nationalen Einrichtungenregister registrieren. In den Niederlanden erfolgt das über das NCSC (mijn.ncsc.nl), damit Aufsicht und CSIRT-Dienste anschließen können.
Verantwortung der Geschäftsführung (Art. 24)
Die Geschäftsführung muss die Sorgfaltspflichtmaßnahmen genehmigen. Führungskräfte müssen nachweislich Cyberrisiken verstehen (Schulungspflicht). Bei Verstößen gegen diese Pflichten kann die Aufsicht auch gegen einzelne Vorstandsmitglieder vorgehen.
Die Aufsicht liegt bei den zuständigen Behörden, darunter die RDI und branchenspezifische Aufsichtsstellen. Wir bereiten Organisationen auf diese Pflichten vor - als strategischer Berater, nicht als Auditor.
Quellen: Cyberbeveiligingswet (Stb. 2026, 187) · in Kraft seit 15. August 2026 · NCTV Meldepflicht · NCSC-Registrierung
Der regulatorische blinde Fleck
Digitale Resilienz (Cbw) und KI-Governance (EU AI Act) laufen bei einer einzigen, komplexen Frage zusammen: Welche Software läuft tatsächlich im Netzwerk? Die meiste moderne KI wird nicht bewusst eingeführt, sondern automatisch in Tools aktiviert, die bereits genutzt werden (CRM, Videokonferenz, Office-Suiten). Als KI-Betreiber („Deployer“) steht das Unternehmen in der gesetzlichen Pflicht, diese zu überwachen. Unser Readiness-Sprint bündelt verdeckte KI-Risiken und Cbw-Schwachstellen in einer einzigen, vorstandsgerechten Roadmap. Dies ist eine praxisnahe Beratung zur Vorbereitung, kein generisches Zertifizierungsaudit.
Executive Readiness Report
Die Ergebnisse
Ein vorstandsgerechtes Assessment, das den aktuellen Status im Hinblick auf den EU AI Act und NIS2 detailliert darlegt. Es bietet einen ungeschminkten Blick auf die größten Risiken, ergänzt durch einen prioritätenbasierten 30/60/90-Tage-Maßnahmenplan mit festen Verantwortlichkeiten - verfasst in klarer, konkreter Sprache, die direkt als Entscheidungsvorlage dient.
Der Bericht umfasst zwei spezielle Assessment-Module:
Scan auf integrierte Shadow AI
Eine Analyse ohne Auswirkungen auf die Produktivumgebung, die versteckte KI-Funktionen bestehender Softwareanbieter aufdeckt - ohne Netzausfälle oder Software-Installationen.
Assessment zur souveränen Datenmigration
Eine strukturierte Evaluierung pro Workload, um zu bestimmen, welche Datenbestände von ausländischen Clouds auf souveräne EU- oder private Infrastrukturen migriert werden müssen und in welcher Reihenfolge.
Für wen wir da sind
Speziell entwickelt für mittelständische Unternehmen (50-250 Mitarbeitende), die mit sensiblen, geschützten oder streng regulierten Daten arbeiten und den EU AI Act sowie NIS2 einhalten müssen. Unsere Schwerpunkte liegen auf Fertigung, F&E, Chemie, Pharma, regulierten Finanzdienstleistungen, dem Gesundheitswesen und hochwertigen professionellen Dienstleistungen.
Strategische Beratung, kein starres Audit
Wir identifizieren regulatorische Lücken und bereiten Unternehmen gründlich auf die offizielle Überprüfung durch die zuständigen nationalen Behörden vor. Wir liefern eine umsetzbare Strategie, keine standardisierten Stempel-Zertifizierungen. Erfordert der Compliance-Pfad eine formelle rechtliche Freigabe oder ein gesetzliches Audit, übergeben wir nahtlos an unser Netzwerk akkreditierter Partner.
Das Unternehmen schützen
Risiken noch heute identifizieren und ein 30-minütiges Readiness-Erstgespräch vereinbaren.