NIS2, CER, CRA und KI-VO setzen etwas voraus, das viele Unternehmen gar nicht haben

IKT-Risikomanager, IT-Governance-Spezialisten, KI-Koordinatoren und Compliance-Funktionen. Darin liegt aus meiner Sicht eines der größten Umsetzungsprobleme der europäischen Digitalregulierung.

IKT-Risikomanager, IT-Governance-Spezialisten, KI-Koordinatoren und Compliance-Funktionen.

Darin liegt aus meiner Sicht eines der größten Umsetzungsprobleme der europäischen Digitalregulierung.

In Finanzunternehmen kennen wir die Logik seit Jahren: Anforderungen werden identifiziert, bewertet, in interne Vorgaben übersetzt und deren Umsetzung nachgehalten. Wir haben die Erfahrung, wir haben die Ressourcen und wir haben die Strukturen dafür.

Im Mittelstand außerhalb dieser Branche sieht das oft anders aus. Dort liegt Informationssicherheit bei der IT-Leitung, Datenschutz bei einer externen Beratung und Vertragsprüfung bei der Geschäftsführung.

Das ist keine gute Ausgangslage, um europäische Resilienz-Anforderungen umzusetzen, denn es fehlt die fachliche Struktur und Expertise, um die grundlegenden Fragen belastbar zu beantworten:

• ❓ Bin ich überhaupt betroffen?
• ❓ Was muss ich konkret tun?
• ❓ Wie identifiziere ich meine Risiken?
• ❓ Welche Verträge muss ich prüfen?
• ❓ Welche Vorfälle muss ich melden?

Ein Mittelständler kann sich in der Regel kein zehnköpfiges Resilienzteam leisten, und vom Fachkräftemangel will ich gar nicht erst anfangen.

An dieser Stelle setzt meine Arbeit im KIMachwerk an, denn ich tüftle seit einiger Zeit an einem verlässlichen Unterstützungssystem aus KI-Agenten, die ich mit den nötigen Fähigkeiten (AgentSkills) ausstatte, damit sie die Aufgaben einer kleinen Compliance-Funktion übernehmen können.

Ein Agent kümmert sich um das Compliance-Monitoring. Ein anderer vergleicht Anforderungen aus NIS2, CRA, KI-VO und DORA und zeigt, wo sich Pflichten überschneiden. Weitere Agenten unterstützen bei Risikobewertung, Pflichtdokumenten, Prüfung von IKT-Verträgen und Vorfallklassifikation.

Hinter jedem KI-Agenten steckt natürlich viel Arbeit. Denn der Maschine muss zunächst vermittelt werden, was ein ausgebildeter Fachexperte bereits mitbringt: Methodenkompetenz, Fachwissen, Qualitätsmaßstäbe und vieles mehr. Doch je länger ich daran arbeite, desto mehr bin ich davon überzeugt, dass sich der Aufwand lohnt.

Meine Vision: ein Team von KI-Agenten mit regulatorischem Fachwissen, das einen menschlichen Chief Resilience Officer bei seiner Arbeit unterstützt. Der Mensch bleibt zuständig: Er steuert die Agenten, prüft ihre Ergebnisse, setzt Prioritäten und entscheidet über die Richtung.

Klingt das für euch nach Utopie oder nach einem spannenden Use Case? Ich bin auf euer Feedback gespannt 🙂