EU-Aktionsplan KI: Was Hochrisiko-Sektoren jetzt bei Cybersicherheit erwartet

Ein neuer Rahmen, ein alter Reflex: Wenn Brüssel einen Aktionsplan präsentiert, fragen Compliance-Abteilungen zuerst, wie viele neue Formulare sie ab jetzt ausfüllen müssen. Am 7. Juli 2026 hat die EU-Kommission den Aktionsplan für Cybersicherheit und künstliche Intelligenz vorgestellt, und die Antwort ist diesmal überraschend entspannt: keine neuen Gesetzespflichten, aber ein klarer politischer Druck, bestehende Regeln endlich konsequent anzuwenden. Für Unternehmen in Hochrisiko-Sektoren ist das kein Grund zur Entwarnung, sondern eine Ankündigung mit Verzögerung. Der Plan bündelt Testinfrastrukturen, Prüfkapazitäten und Förderinstrumente rund um AI Act, NIS2, Cyber Resilience Act und DORA – und macht damit deutlich, wohin die Aufsichtspraxis in den kommenden Jahren steuert.

Kein neues Gesetz, aber ein klarer Kompass

Wer den EU-Aktionsplan KI liest, sucht vergeblich nach neuen Paragrafen. Das ist Absicht. Die Kommission betont ausdrücklich, dass es sich um ein Koordinationsinstrument handelt, das auf bereits verabschiedete Regelwerke aufsetzt, statt sie zu ersetzen. Diese Einordnung ist wichtig, weil in den ersten Reaktionen aus der Wirtschaft schnell der Eindruck entstand, hier komme eine weitere Regulierungswelle auf Unternehmen zu.

Tatsächlich ist die Stoßrichtung eine andere: Die Kommission will die Umsetzung von AI Act, NIS2, CRA und DORA beschleunigen, indem sie Testumgebungen, Prüfstellen und gemeinsame Standards schafft, auf die einzelne Mitgliedstaaten und Unternehmen zurückgreifen können. Wer aufmerksam die offizielle Faktensammlung der Kommission liest, erkennt schnell, dass der Aktionsplan eher Infrastruktur baut als Pflichten formuliert.

Meine Einschätzung: Genau das macht den Plan gefährlicher für Nachzügler als ein hartes Gesetz. Ein Gesetz mit Frist kann man ignorieren und hoffen, dass Kontrollen ausbleiben. Ein Ökosystem aus Testplattformen, Prüfstellen und Fördergeld setzt sich in der Praxis durch, weil Aufsichtsbehörden es als Referenz nutzen werden, sobald es verfügbar ist.

Die Bausteine des Plans im Detail

Vier Elemente stechen aus dem Aktionsplan heraus. Erstens: eine gemeinsame Testplattform von ENISA und dem Joint Research Centre, auf der KI-Modelle in simulierten Umgebungen für kritische Sektoren wie Finanzwesen, Energie, Gesundheit, Transport und öffentliche Verwaltung geprüft werden sollen. Sie soll bis Ende 2026 einsatzbereit sein.

Zweitens entsteht eine europäische Bewertungskapazität, die dem AI Office bei der Prüfung fortgeschrittener KI-Modelle zuarbeitet und ab 2027 operativ arbeiten soll. Drittens plant die Kommission einen Blueprint, der definiert, wie öffentliche und private Organisationen strukturierten Zugang zu fortgeschrittenen KI-Modelle für Sicherheitszwecke erhalten – auch dieser soll bis Ende 2026 stehen. Viertens folgt die EU Grand Challenge on AI for Cybersecurity, ein Innovationswettbewerb, der laut aktuellen Fachberichten im vierten Quartal 2026 starten soll und gemeinsame KI-basierte Verteidigungswerkzeuge fördern will.

Diese vier Bausteine ergeben zusammen eine Art europäische Werkbank für KI-Sicherheit. Unternehmen, die heute schon in Hochrisiko-Sektoren aktiv sind, sollten diese Werkbank nicht als fernes EU-Projekt abtun, sondern als künftigen Referenzrahmen für eigene Testverfahren einplanen.

Welche Sektoren im Fokus stehen

Der Aktionsplan adressiert keine beliebige Breite der Wirtschaft, sondern eine klar umrissene Gruppe. Genannt werden kritische Infrastrukturen wie Stromnetze, Gas- und Wasserversorgung sowie Telekommunikation, der Finanzsektor im Zusammenspiel mit DORA, das Gesundheitswesen samt Krankenhäusern, der Transportsektor über Luft, Schiene, Straße und Schifffahrt sowie die öffentliche Verwaltung.

Ergänzend rückt der Plan Betreiber kritischer Open-Source-Software in den Blick, weil zentrale OSS-Komponenten häufig unbemerkt in sensiblen Systemen stecken. Diese Sektorauswahl deckt sich weitgehend mit der Hochrisiko-Logik, die schon aus anderen EU-Vorhaben bekannt ist: Wo Ausfälle unmittelbar Menschenleben, Finanzstabilität oder staatliche Funktionsfähigkeit gefährden, greift die Kommission tiefer durch als anderswo.

Für Unternehmen außerhalb dieser Kernsektoren bedeutet das nicht automatisch Entwarnung. Wer als Zulieferer, Cloud-Anbieter oder Softwarepartner in die Lieferketten dieser Hochrisiko-Sektoren eingebunden ist, wird die neuen Erwartungen indirekt spüren, etwa über Audits, Vertragsklauseln oder verschärfte Sicherheitsnachweise gegenüber den eigentlichen Betreibern kritischer Infrastruktur.

Das Zusammenspiel mit AI Act, NIS2, DORA und CRA

Der eigentliche Kern des Aktionsplans liegt in der Verzahnung bestehender Regelwerke. Der AI Act bleibt die zentrale Rechtsgrundlage für Hochrisiko-KI: Für Systeme in Bereichen wie Biometrie, kritischer Infrastruktur, Bildung, Beschäftigung, Migration oder Grenzkontrollen gelten die entsprechenden Vorschriften ab dem 2. Dezember 2027. Für Hochrisiko-KI in Produkten wie Robotik und Industriemaschinen greift die Pflicht erst ab dem 2. August 2028. Diese Fristen bleiben unverändert, der Aktionsplan verschiebt sie nicht, er bereitet nur die Prüfinfrastruktur dafür vor.

NIS2 bleibt parallel der zentrale Rechtsrahmen für Cybersicherheit wesentlicher und wichtiger Einrichtungen, mit nationaler Umsetzung, die je Mitgliedstaat unterschiedlich weit fortgeschritten ist. Der Cyber Resilience Act adressiert die Produktsicherheit digitaler Systeme mit eigenen Übergangsfristen, während DORA speziell für den Finanzsektor operative Resilienz einfordert. Der Aktionsplan verweist ausdrücklich auf die Kohärenz dieser vier Rahmenwerke und signalisiert damit, dass Aufsichtsbehörden künftig stärker sektorübergreifend prüfen werden, statt jedes Regelwerk isoliert zu betrachten.

Wer sich schon einmal mit Gatekeeping-Verfahren vor dem Marktstart von Hochrisiko-KI-Systemen befasst hat, erkennt hier ein bekanntes Muster: Prüfstellen werden zur Norm, nicht die Ausnahme. Genau diese Logik zieht sich künftig durch Testplattform, Evaluation Capacity und Blueprint gleichermaßen.

Ein häufiges Gegenargument in der Praxis lautet, dass diese vier Regelwerke ohnehin schon redundant seien und Unternehmen durch die schiere Menge an Anforderungen lähmen. Stimmt das? Teilweise ja: Die Dokumentationspflichten überlappen sich bei Risikobewertung, Incident-Meldung und Lieferkettenprüfung tatsächlich. Genau hier setzt der Aktionsplan jedoch einen Hebel an, indem er gemeinsame Testumgebungen und Bewertungsstandards schaffen will, die idealerweise als einheitliche Nachweisgrundlage für mehrere Regelwerke gleichzeitig dienen. Ob das in der Praxis gelingt, hängt stark davon ab, ob ENISA, das AI Office und nationale Aufsichtsbehörden wirklich abgestimmte Prüfkataloge vorlegen – oder ob jedes Gremium eigene Interpretationen durchsetzt.

Open-Source-KI als Sicherheitsressource statt Risikofaktor

Ein bemerkenswertes Detail des Plans betrifft Open-Source-KI-Modelle. Die Kommission ermutigt ausdrücklich zum Einsatz offener Modelle für Schwachstellenanalyse und Incident Response, statt sie primär als Kontrollrisiko zu behandeln. Das ist ein interessanter Kurswechsel gegenüber der oft misstrauischen Grundhaltung, die Open Source in Regulierungsdebatten sonst begleitet.

Gleichzeitig plant die Kommission eine Kampagne zur Absicherung kritischer Open-Source-Software, weil zentrale OSS-Komponenten oft unauffällig in Produktionssystemen laufen, ohne dass Betreiber ihre Abhängigkeit vollständig kennen. Für Unternehmen in Hochrisiko-Sektoren heißt das: Wer offene Modelle zur Verteidigung einsetzen will, sollte parallel die eigene Lieferkette an Open-Source-Komponenten dokumentieren, weil genau diese Transparenz in kommenden Audits erwartet werden dürfte.

Ich halte diesen Kurs für richtig, auch wenn er widersprüchlich wirkt. Offene Modelle lassen sich prüfen, nachvollziehen und anpassen – geschlossene Systeme verlangen blindes Vertrauen in Anbieterversprechen. Wer Cybersicherheit ernst nimmt, sollte Nachvollziehbarkeit über Bequemlichkeit stellen, auch wenn das mehr internes Know-how erfordert.

Ein konkretes Risiko, das in der Debatte oft zu kurz kommt, betrifft Angriffe auf die Modelle selbst: Wer offene KI-Komponenten in sicherheitskritischen Workflows einsetzt, muss sich auch mit Manipulationstechniken wie gezielten Eingabeinjektionen auseinandersetzen, die das Verhalten eines Modells im laufenden Betrieb unbemerkt verändern können. Eine realistische Bewertung, ob der AI Act in solchen Szenarien wirklich schützt, gehört daher in jede eigene Risikoabwägung – unabhängig davon, was die EU-Testplattform später als Baseline definieren wird.

Praxis-Szenario: Wie ein Audit ab 2027 aussehen könnte

Um die abstrakten Bausteine greifbar zu machen, lohnt ein vorsichtiger Blick auf ein denkbares Szenario: Ein mittelständischer Energieversorger betreibt eine KI-gestützte Lastprognose, die nach AI Act als Hochrisiko-System einzustufen ist. Im Frühjahr 2027 meldet sich die nationale Marktüberwachungsbehörde und verlangt Nachweise zu Risikomanagement, Datengüte, Robustheit und menschlicher Aufsicht.

Im besten Fall kann das Unternehmen dann auf Tests verweisen, die über die ENISA-JRC-Plattform gelaufen sind, und auf interne Bewertungen, die dem Blueprint für fortgeschrittene Modelle folgen. Im schlechtesten Fall stehen Compliance-Team und IT-Sicherheit vor einem Flickenteppich aus hausintern entwickelten Benchmarks, die die Prüfer nicht als hinreichend anerkannt einordnen. Der Unterschied zwischen beiden Fällen ist weniger eine Frage der Rechtslage als der vorbereiteten Infrastruktur – und genau die baut der Aktionsplan auf.

Übertragen auf andere Sektoren ergibt sich ein ähnliches Bild: Banken, die unter DORA Stresstests für operative Resilienz durchführen müssen, werden KI-Komponenten in diesen Prozessen künftig zusätzlich gegen AI-Act-Kriterien spiegeln müssen. Krankenhäuser, die diagnostische Assistenzsysteme einsetzen, werden sich mit der Frage konfrontiert sehen, ob ihre Modelle über die europäische Evaluation Capacity bewertet wurden oder ob nur Herstellerzertifikate vorliegen. Je früher Unternehmen diese Doppelanforderungen zusammen denken, desto weniger Überraschungen gibt es, wenn die Fristen greifen.

Ressourcen und Kosten: Was realistisch einzuplanen ist

Ein Aspekt, der in der politischen Kommunikation des Plans kaum vorkommt, ist der interne Aufwand für Unternehmen. Testumgebungen nutzen zu können, setzt voraus, dass eigene Fachleute die Ergebnisse interpretieren, in Risikomanagementprozesse übersetzen und gegenüber Aufsichtsgremien vertreten können. Das erfordert Kompetenzen, die in vielen Häusern heute noch nicht in ausreichender Tiefe vorhanden sind – insbesondere an der Schnittstelle zwischen IT-Sicherheit, Data Science und Regulatorik.

Konservativ geschätzt sollten Unternehmen in Hochrisiko-Sektoren für die Vorbereitung auf die Fristen 2027 und 2028 einen eigenen Projektansatz einplanen, der über reine Rechtsberatung hinausgeht: Inventarisierung der KI-Systeme, Klassifizierung nach AI-Act-Kriterien, Dokumentation der Open-Source-Abhängigkeiten, Aufbau interner Testroutinen und Schulung der Verantwortlichen. Wer diese Arbeit auf wenige Monate vor Fristende komprimiert, läuft Gefahr, entweder oberflächlich zu bleiben oder operative Systeme kurzfristig vom Markt nehmen zu müssen.

Was Compliance-Teams jetzt konkret tun sollten

Auch ohne neue Rechtspflichten ergeben sich aus dem Aktionsplan praktische Handlungsfelder. Erstens lohnt sich ein Abgleich der eigenen KI-Systeme mit der Hochrisiko-Klassifizierung des AI Act, damit die Fristen 2027 und 2028 nicht überraschend nah wirken, wenn die eigentliche Vorbereitung erst beginnt. Zweitens sollten Unternehmen in kritischen Sektoren beobachten, ob sie über Branchenverbände oder Aufsichtsbehörden Zugang zur geplanten ENISA-JRC-Testplattform erhalten können, sobald diese Ende 2026 startet.

Drittens empfiehlt sich eine Bestandsaufnahme der eigenen Open-Source-Abhängigkeiten, gerade weil die Kommission diesen Bereich explizit adressiert. Viertens sollten IT-Sicherheitsverantwortliche die Verzahnung von NIS2-Meldepflichten, DORA-Anforderungen und AI-Act-Risikomanagement nicht länger getrennt verwalten, sondern in ein gemeinsames Compliance-Set überführen, weil genau das die Stoßrichtung des Aktionsplans ist.

Fünftens bietet sich an, frühzeitig Kontakt zu Förderprogrammen rund um die Grand Challenge on AI for Cybersecurity zu suchen, sobald Details zu Teilnahmebedingungen veröffentlicht werden. Wer in Finanz-, Energie- oder Gesundheitssektoren aktiv ist, dürfte hier auf Pilotprojekte stoßen, die frühzeitige Beteiligung honorieren.

Sechstens lohnt ein Blick auf interne Prozesse zur Erkennung von KI-gestützten Angriffen, denn der Plan geht explizit von einer Doppelrolle aus: KI-Modelle finden Schwachstellen schneller, gleichzeitig sollen sie zur Verteidigung eingesetzt werden. Wer beide Seiten dieser Medaille ignoriert, verschenkt Verteidigungspotenzial.

Kritikpunkte und offene Fragen

Nicht alles am Aktionsplan überzeugt gleich stark. Die genannten Zeitpläne – Testplattform bis Ende 2026, Evaluation Capacity ab 2027, Grand Challenge im vierten Quartal 2026 – sind Planungsziele, keine gesetzlich fixierten Termine. Budgetentscheidungen, technische Verzögerungen oder politische Verschiebungen können diese Daten durchaus nach hinten verschieben, wie es bei vergleichbaren EU-Vorhaben bereits mehrfach geschehen ist.

Zudem bleibt unklar, wie verbindlich die Ergebnisse der neuen Evaluation Capacity für nationale Aufsichtsbehörden tatsächlich werden. Eine Prüfstelle, die dem AI Office zuarbeitet, ist kein automatischer Ersatz für nationale Marktüberwachung, und die Reibung zwischen EU-Ebene und Mitgliedstaaten ist bei Cybersicherheitsthemen historisch nicht klein. Auch die nationale Umsetzung von NIS2 unterscheidet sich je Mitgliedstaat erheblich, was die vom Aktionsplan angestrebte Kohärenz in der Praxis erschweren dürfte.

Eine berechtigte Frage bleibt außerdem, ob der Fokus auf Testplattformen und Prüfstellen tatsächlich Angriffe verhindert oder vor allem Papierarbeit produziert. Zertifizierungen und Gutachten sind wichtig, ersetzen aber keine gelebte Sicherheitskultur in den Unternehmen selbst. Wer nur auf das nächste EU-Siegel wartet, statt eigene Prozesse zu härten, hat den eigentlichen Punkt verpasst.

Einordnung: Zwischen Innovationsförderung und Prüfdruck

Der Aktionsplan positioniert sich bewusst als Innovationsförderung, nicht als Regulierungshürde. Fachbeobachter betonen, dass der Schwerpunkt auf Testumgebungen, Leitlinien und Fördermaßnahmen liegt, um einen koordinierten europäischen Ansatz für Cybersicherheit und KI zu etablieren, statt Unternehmen mit neuen Pflichten zu belasten. Das passt zur allgemeinen Linie der Kommission, europäische Wettbewerbsfähigkeit bei KI nicht durch immer neue Verbote, sondern durch geteilte Infrastruktur zu stärken.

Gleichzeitig zeigt die begleitende Pressemitteilung der EU-Vertretung in Deutschland, dass die Kommission Hochrisiko-Sektoren gezielt adressiert, weil hier Ausfälle besonders teuer werden. Diese Doppelstrategie – fördern und zugleich Erwartungen erhöhen – ist typisch für die europäische Digitalpolitik der vergangenen Jahre und wird auch bei künftigen Vorhaben wiederkehren.

Eine unabhängige Analyse ordnet den Plan zudem klar als politisches Signal statt als Gesetzestext ein und verweist darauf, dass er explizit auf bestehenden Rahmenwerken aufbaut, wie die Analyse des Fachblogs KIberblick festhält. Wer den Plan also als reine Ankündigungspolitik abtut, unterschätzt die Wirkung, die geteilte Testinfrastruktur und Prüfstellen mittelfristig auf Marktstandards haben können – ähnlich wie bereits bei Foundation Models und ihrer Einordnung in neue Risikokategorien zu beobachten war.

Was bleibt?

Der Aktionsplan verschiebt keine Fristen, ändert keine Gesetze und schreibt keine neuen Bußgelder fest. Trotzdem verändert er die Erwartungshaltung an Unternehmen in Hochrisiko-Sektoren, weil er zeigt, wohin die Prüfpraxis in den kommenden Jahren steuert: mehr Testumgebungen, mehr strukturierter Zugang zu fortgeschrittenen Modellen, mehr Aufmerksamkeit für Open-Source-Abhängigkeiten. Wer jetzt beginnt, eigene KI-Systeme gegen die Hochrisiko-Kriterien des AI Act zu spiegeln, verschafft sich einen Vorsprung, bevor die Fristen 2027 und 2028 tatsächlich greifen. Die spannendere Frage ist ohnehin nicht, ob der Plan neue Pflichten bringt, sondern ob europäische Testplattformen schnell genug entstehen, um mit dem Tempo realer Angriffe Schritt zu halten.