NIS2 und Ihr KI-⁠Stack: Wer haftet, wenn ein Agent handelt?

Die NIS2-Richtlinie hat Europas Cybersicherheitsnetz von einigen hundert Betreibern auf zehntausende „wesentliche und wichtige Einrichtungen" ausgeweitet — und die Haftung nach oben verlagert: Leitungsorgane müssen Risikomaßnahmen freigeben und können bei grober Fahrlässigkeit persönlich haftbar gemacht werden. Das verändert das KI-Gespräch. Ein autonomer Agent, der Tickets liest, E-Mails entwirft und APIs aufruft, ist im Sinne von NIS2 kein Produktivitätswerkzeug; er ist zugleich Teil Ihrer Angriffsfläche und Ihrer Lieferkette.

Drei Fragen, die Ihr NIS2-Auditor zur KI stellen wird

• Wer hat diesen Agenten autorisiert — und wozu? Ein Prompt ist keine Autorisierung. Sie brauchen einen dauerhaften Nachweis, welche Werkzeuge ein Agent aufrufen darf, mit welchem Budget, in welchem Geltungsbereich — und den Beleg, dass er diese Befugnis nicht überschreiten kann.
• Was passiert, wenn er kompromittiert wird? Prompt-Injection ist der Lieferkettenangriff des KI-Zeitalters. Artikel 21 erwartet dokumentierte Maßnahmen gegen genau diese Angriffsklasse — und den Nachweis, dass eine gekaperte Eingabe nicht zu einer gekaperten Aktion werden kann.
• Können Sie den Verlauf belegen? Die Meldefristen unter NIS2 sind hart — Frühwarnung binnen 24 Stunden. Liegt Ihre KI-Aktivität verstreut in SaaS-Logs, die Sie nicht kontrollieren, können Sie Vorfälle nicht rechtzeitig rekonstruieren.

Die architektonische Antwort

Governance, die in Richtliniendokumenten lebt, scheitert an diesen Fragen; Governance im Ausführungspfad besteht sie. Signierte, bei jedem Lauf durchgesetzte Autoritätsverträge für Agenten, eine zweistufige Abwehr, die Inhalte und Aktionen unabhängig prüft, Default-Deny-Egress auf jedem Konnektor und ein unveränderliches Audit-Register, das kein Administrator umschreiben kann — damit wird die NIS2-Antwort vom Archäologieprojekt zur Datenbankabfrage.

Die praktische Checkliste

• Inventarisieren Sie jede Stelle, an der ein KI-System handeln kann — nicht nur antworten.
• Binden Sie jeden Agenten an eine explizite, widerrufbare Autorität: Werkzeuge, Budget, Geltungsbereich, Ablaufdatum.
• Verlangen Sie Fail-Closed-Verhalten, wo Sicherheit auf dem Spiel steht — und ehrlichen Status, wenn nicht durchgesetzt wird.
• Behalten Sie die Nachweise innerhalb Ihres Perimeters — „die Logs hat unser Anbieter" akzeptiert keine Aufsicht.