DORA-, NIS2- und AI-Act-Compliance als eine Aufgabe: Analyse

Eine Bank, die KI in Europa einsetzt, kann inzwischen vor dem Mittagessen drei Compliance-Besprechungen über dasselbe System abhalten. Ein Team nennt es operationelle Resilienz. Ein anderes nennt es Cybersicherheit. Ein drittes nennt es KI-Governance. Dem Modell ist es leider egal, in welchem Register es geführt wird. Marco Eggerling, Field CISO bei UiPath, bringt ein praktischeres Argument vor: Behandelt DORA, NIS2 und den EU AI Act als eine gemeinsame Governance-Aufgabe. In schriftlichen Antworten, über die The Fintech Times berichtet, sagt er, die gemeinsame Frage sei, ob eine Institution die Kontrolle über ein System nachweisen kann, das sie nicht vollständig von Anfang bis Ende versteht. Das ist keine philosophische Frage. Es ist ein Problem von Beschaffung, Protokollierung, Incident Response und Berichterstattung an den Vorstand, das drei verschiedene Abzeichen trägt.

Die Überschneidung ist der entscheidende Punkt, laut

The Fintech Times und Digital Chiefs The Fintech Times beschreibt das Problem ganz klar: Banken, die KI in Europa einsetzen, unterliegen gleichzeitig DORA, der Cybersicherheitsrichtlinie NIS2 und dem EU AI Act. Außerdem verweist sie auf den bekannten institutionellen Reflex, jedem Regelwerk ein eigenes Programm, eine eigene verantwortliche Person und ein eigenes Register zu geben. Eggerling argumentiert, dass hier die Schwierigkeiten beginnen, weil die Rahmenwerke beim Nachweis von Resilienz und Kontrolle zusammenlaufen, statt bei getrennten Papierarbeits-Ästhetiken. Übersetzt heißt das: Wenn dein KI-System in der Produktion ausfällt, Daten preisgibt, driftet oder sich falsch verhält, wird die Aufsicht nicht beeindruckt sein, dass der Vorfall wunderschön über drei Tabellen hinweg dupliziert wurde. Digital Chiefs ordnet diese Konvergenz zeitlich ein und stellt fest, dass DORA seit Januar 2025 gilt, die Pflichten für Hochrisiko-Systeme nach dem EU AI Act im August 2026 beginnen und die Durchsetzung von NIS2 im Oktober 2026 startet. Die genauen Fristen sind weniger wichtig als die operative Realität, die sie schaffen. Finanzinstitute bekommen keine drei sauber getrennten Umsetzungsphasen. Sie bekommen überlappende Pflichten, die auf dieselben Systeme, Lieferanten und Entscheidungsträger treffen.

Eine Kontrolllandkarte ist besser als drei Register, laut

The Fintech Times The Fintech Times berichtet, dass Eggerling Governance nicht als bloßes Abhaken von Kästchen versteht, sobald ein Modell in Produktion ist. Diese Formulierung leistet wichtige Arbeit. Die Rechtsabteilungen mögen getrennte Rechtsverweise pflegen, aber Engineering- und Risikoteams brauchen eine gemeinsame Landkarte der Systeme, Abhängigkeiten, des Modellverhaltens, der Zugriffsrechte, Audit-Logs, Incident-Pfade und Lieferantenverantwortlichkeiten. Andernfalls wird derselbe Ausfall oder Modellfehler dreimal untersucht, meist von Menschen, die fast identische Fragen in leicht unterschiedlichen Schriftarten stellen.

Die praktische Version besteht nicht darin, die Gesetze zu einer imaginären Super-Regulierung zu verschmelzen. DORA spricht weiterhin über digitale operationelle Resilienz, NIS2 über Cybersicherheitspflichten und der EU AI Act über KI-Governance. Es geht darum, gemeinsame Nachweise einmal zu erstellen und sie dort mit jeder Pflicht zu verknüpfen, wo sie relevant sind. Für einen produktiven KI-Workflow bedeutet das: ein Inventareintrag, eine Linie der Risikobewertung, eine Lieferantendatei, ein Überwachungsplan und eine Incident-Spur, die mehreren Aufsichtsbehörden ohne Improvisation Antworten liefern kann.

Auch der Vorstand ist betroffen, laut

The Fintech Times und Digital Chiefs The Fintech Times sagt, Eggerling würde sich schon jetzt auf KI-Kompetenz auf Vorstandsebene als aufsichtliche Erwartung vorbereiten. Das ist der Teil, den viele Organisationen unter Schulung ablegen und bis zur jährlichen Präsentation vergessen. Ein Vorstand muss kein Modell feinabstimmen können, aber er muss verstehen, was das System tut, wo es in kritischen Abläufen sitzt und wie ein Ausfall aussehen würde. Wenn die einzige Person, die die KI-Kontrollumgebung erklären kann, der Solution Architect des Anbieters ist, dann ist das keine Governance. Es ist Outsourcing mit schönerem Briefpapier.

Digital Chiefs ergänzt eine schärfere Kante und sagt, dass sowohl NIS2 als auch DORA Führungskräfte und Vorstandsmitglieder bei Cybersicherheitsversagen in Fällen grober Fahrlässigkeit persönlich haftbar machen. Das bedeutet nicht, dass jeder schlechte Alarm zur Vorstandskrise wird. Es bedeutet aber, dass Direktoren vor dem Vorfall nach verständlichen Nachweisen fragen sollten, nicht erst nachdem die Rechtsabteilung begonnen hat, in jedem Satz das Wort Haltung zu verwenden. KI-Kompetenz im Vorstand ist in dieser Lesart kein Webinar-Zertifikat. Sie ist die Fähigkeit zu fragen, ob der Kontrollstapel zum operationellen Risiko passt.

Was Entwickler jetzt ändern sollten, laut The Fintech Times Für

Entwickler ist die langweilige Antwort die richtige: Macht Compliance zu einer Architekturanforderung. The Fintech Times berichtet, dass Eggerling darauf fokussiert ist, wie Kontrolle aussieht, sobald ein Modell in Produktion ist. Genau dort hören viele KI-Governance-Programme auf, Folienware zu sein, und beginnen, Logs, Alerts und Verträge zu berühren. Wenn eine Bank Automatisierung oder KI innerhalb eines regulierten Workflows nutzt, sollte das Produktteam wissen, welche Nachweise automatisch erzeugt werden und welche Nachweise noch davon abhängen, dass jemand an einem Freitag daran denkt, ein Register zu aktualisieren.

Die nützliche Checkliste ist kurz genug, um den Kontakt mit dem Engineering zu überstehen. Identifiziere das KI-System und seine Geschäftsfunktion. Kartiere seine operativen Abhängigkeiten, Cybersicherheitskontrollen, Modell-Governance-Kontrollen und Verantwortlichkeiten Dritter. Entscheide, welche Nachweise DORA-, NIS2- und AI-Act-Pflichten gemeinsam unterstützen können. Teste dann den Incident-Pfad, denn das erste echte Audit kommt oft als Ausfall verkleidet.

Die kontraintuitive Lehre des Field CISO von UiPath ist nicht, dass Europa Compliance einfach gemacht hat. Das hat es nicht. Die Lehre ist, dass überlappende Regeln isolierte Abläufe stärker bestrafen als sorgfältige Kartierung. Für Leserinnen und Leser, die KI in regulierten Sektoren entwickeln oder einkaufen, lautet die nächste nützliche Frage nicht, welches Gesetz das Problem besitzt. Sie lautet, ob eure Nachweisspur es aushält, dieselbe Frage auf drei Arten gestellt zu bekommen.