Beauftragtenpflicht oder nicht?

Wer kennt sie nicht – die Diskussion um die Notwendigkeit neuer Beauftragtenrollen im Unternehmen. Dabei herrscht oft Unsicherheit darüber, was eigentlich wirklich gefordert ist – und dabei könnte es so einfach sein. 🙂 Ein aktuelles Beispiel aus meiner LinkedIn-Bubble: Alle hypen das Hinweispapier der Bundesnetzagentur , in dem ausdrücklich steht: Die KI-Verordnung enthält keine Pflicht zur Ein…

Was EU-Regularien wirklich sagen – und worauf man achten muss.

Ein aktuelles Beispiel aus meiner LinkedIn-Bubble: Alle hypen das Hinweispapier der Bundesnetzagentur, in dem ausdrücklich steht: Die KI-Verordnung enthält keine Pflicht zur Einführung eines KI-Beauftragten.

Richtig – die gibt es nicht! Doch wir alle hätten das längst wissen können. Aber dazu braucht es ein wenig mehr Verständnis dafür, wie man europäische Verordnungen und Richtlinien überhaupt richtig liest.

Und glaubt es oder nicht: Das Lesen dieser – oft eher trockenen – Gesetzestexte gehört tatsächlich zu meinen persönlichen Hobbies. Am liebsten morgens um 5 Uhr in meiner DORA-Werkstatt (hüstel)😄

Darum teile ich heute ein paar Erkenntnisse mit euch:

1️⃣ Originalquellen nutzen

Wer europäische Regularien verstehen will, sollte immer auf die Originalquellen zugreifen und sich nicht von Kurzfassungen und bunten Folien locken lassen. Die Originale findet ihr unter EU-Recht – EUR-Lex, dem offiziellen Portal der EU für Rechtsdokumente – verfügbar in allen 24 Amtssprachen (was ein Glück – also auch in deutsch)

2️⃣ EU-Verordnungen ≠ EU-Richtlinien

Zwei grundlegende Dokumententypen solltet ihr kennen, da sich die Anwendbarkeit der Vorgaben auf das eigene Unternehmen deutlich unterscheidet:

Europäische Verordnungen gelten unmittelbar in allen EU-Mitgliedstaaten – also auch direkt für betroffene Unternehmen. Beispiele sind die DSGVO, DORA und auch die KI-Verordnung
Europäische Richtlinien müssen erst in nationales Recht umgesetzt werden, bevor sie für die Unternehmen gelten. Prominente Beispiele sind die NIS2-Richtlinie und die CER-Richtlinie, deren Umsetzung in deutsches Recht noch immer aussteht.

3️⃣ Faktencheck durchführen

Gerade bei der KI-Verordnung sieht man, wie so manche Schulungsanbieter und Beratungsunternehmen (aus nachvollziehbarem Eigeninteresse) die Notwendigkeit eines KI-Beauftragten postulieren. Oft wird hier auf Artikel 4 der KI-Verordnung verwiesen, wo es heißt:

Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal […] über ein ausreichendes Maß an KI-Kompetenz verfügen […]

Einige Menschen lesen daraus die Pflicht, einen KI-Beauftragten zu benennen. Fakt ist aber: Das steht da nicht! Es handelt sich vielmehr um eine allgemeine Anforderung an die Organisation, nicht an eine explizite Rolle.

Ganz ähnlich sieht es übrigens auch im deutschen Umsetzungsgesetz zur NIS2-Richtlinie aus: Es gibt keine explizite Forderung nach einem Informationssicherheitsbeauftragten! Die Verantwortung liegt vielmehr bei der Geschäftsleitung, die mit Blick auf die Überwachung der Risikomanagementmaßnahmen in die Pflicht genommen wird.

Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

4️⃣ Signalworte kennen

Ob eine Beauftragtenrolle tatsächlich gesetzlich vorgeschrieben ist, lässt sich mit ein wenig Übung ganz einfach erkennen. Es gibt Signalworte, die unmissverständlich sind. Ich zeig es euch am Beispiel von Artikel 37 der DSGVO. Hier findet sich eine sehr klar formulierte Benennungspflicht für den DSB:

Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten […]

Und auch in der DORA-Verordnung wird in Artikel 6(4) ebenso unmissverständlich eine Kontrollfunktion zur Überwachung des IKT-Risikos eingefordert.

Finanzunternehmen […] übertragen die Zuständigkeit für das Management und die Überwachung des IKT-Risikos an eine Kontrollfunktion […]

5️⃣ Nichts muss, aber vieles kann…

Natürlich ist es oft sinnvoll, verantwortliche Personen für Themen wie Künstliche Intelligenz oder Cybersicherheit zu benennen. Alles ausschließlich auf Ebene der Geschäftsleitung zu verankern, funktioniert in der Praxis selten gut.

Dennoch gilt: Wer gesetzliche Anforderungen umsetzt, sollte wissen, was tatsächlich verpflichtend ist – und was eben nicht. Nur so lassen sich Maßnahmen entwickeln, die wirkungsvoll und gleichzeitig effizient sind, ohne dass man in überbordender Governance erstickt.

Viel zu oft beobachte ich große Unsicherheit – und leider auch viel Unwissen – beim Lesen und Umsetzen gesetzlicher Vorgaben. Und ebenso oft nehmen Diskussionen aufgrund von Fehlannahmen und Halbwissen eine falsche Richtung. Es entsteht der Eindruck, es gäbe zu viele Anforderungen, zu wenig Realitätssinn beim Regulator und zu wenig Verständnis für unternehmerische Zwänge der Unternehmen. Dabei wäre vieles einfacher, wenn man genauer lesen würde. Also:

🔍 Seid präzise in der Anforderungsanalyse.

⚖️ Achtet auf Signalwörter.

🧐 Zieht bei der Diskussion von Anforderungen ruhig mal das „kleinkarierte Hemd“ an, denn: Es zählt, was geschrieben steht – nicht, was man zwischen den Zeilen vermutet.

Soweit von mir – Ich freu mich wie immer über Kommentare und Feedback und wünsche euch eine schöne Restwoche! 🙂

🎉😉🎉Ach übrigens – wenn ihr mehr Interesse an meiner DORA-Werkstatt habt, schaut gerne auf meiner Website www.marlen-hofmann.de vorbei. Dort findet ihr neben vielen nützlichen Informationen auch weitere Informationen zu meinem DORA-Anforderungskatalog, welcher über die FCH AG erworben werden kann, sowie meine DORA-Schulungsfolien, die einen strukturierten, praxisnahen Wissensaufbau zur DORA-Verordnung ermöglichen.