Wer die aktuelle Regulierungswelle als bürokratische Zumutung behandelt, verpasst das Muster dahinter.

Drei EU-Gesetze. Drei verschiedene Angriffspunkte. Eine gemeinsame Richtung. Wer die aktuelle Regulierungswelle als bürokratische Zumutung behandelt, verpasst das Muster dahinter. Die EU baut gerade eine digitale Sicherheitsarchitektur – und jedes der drei zentralen Regelwerke adressiert einen anderen Teil des Problems. Der EU AI Act regelt künstliche Intelligenz. Nicht ob man KI einsetzen darf, sondern wie. Je höher das Risiko einer KI-Anwendung für Menschen, desto strenger die Anforderungen. Wer KI in Personalprozessen einsetzt, in der Kreditvergabe, in der medizinischen Diagnostik oder in sicherheitskritischen Systemen, fällt in Hochrisikokategorien mit konkreten Pflichten: Dokumentation, menschliche Aufsicht, Transparenz, Risikobewertung. Und ab August 2026 greifen erste Sanktionen. Für Geschäftsführer bedeutet das: Wer in seinem Unternehmen KI einsetzt oder plant einzusetzen, muss wissen wo diese KI in der Risikohierarchie des Gesetzes sitzt. Das ist keine IT-Frage. Es ist eine Führungsfrage. Der Cyber Resilience Act regelt Produkte mit digitalen Elementen. Wer Software, Hardware oder vernetzte Geräte herstellt oder in Europa verkauft, ist betroffen. Das Gesetz verpflichtet erstmals Hersteller dazu, Cybersicherheit nicht als nachträgliche Option zu behandeln, sondern als Pflichtbestandteil des Produkts. Sicherheitsupdates müssen über den gesamten Lebenszyklus des Produkts bereitgestellt werden. Schwachstellen müssen innerhalb von 24 Stunden gemeldet werden. Das klingt nach einem Thema für Technologieunternehmen – und ist es auch. Aber es betrifft indirekt jeden der solche Produkte einkauft und in kritische Prozesse integriert, weil die Sicherheitsanforderungen durch die Lieferkette wandern. NIS2 regelt die Cybersicherheit von Unternehmen selbst. Ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in einem der 18 regulierten Sektoren gelten verbindliche Anforderungen an Risikomanagement, Incident Reporting und Lieferkettensicherheit. Die Geschäftsleitung haftet persönlich. Delegation an die IT reicht nicht. Was NIS2 von früheren Regelwerken unterscheidet, ist nicht die Strenge – es ist die Reichweite. Auch Unternehmen die nicht direkt betroffen sind, werden über Lieferantenanforderungen ihrer Kunden indirekt mit den Anforderungen konfrontiert. Was alle drei gemeinsam haben: Sie gehen davon aus dass digitale Sicherheit Chefsache ist. Nicht IT-Sache, nicht Compliance-Sache. Chefsache. Wer diese Gesetze delegiert ohne sie zu verstehen, delegiert auch die Haftung – was rechtlich nicht funktioniert. Das ist die eigentliche Botschaft hinter der Regulierungswelle. Nicht mehr Bürokratie. Mehr Verantwortung auf der Ebene wo Entscheidungen getroffen werden.