Drei Themen, ein Schreibtisch.
Die Geschäftsführung fragt nach der KI-Strategie. Der Wirtschaftsprüfer fragt nach NIS2. Und die Anlage in Halle zwei läuft auf einem System, für das es seit zwei Jahren keine Aktualisierungen mehr gibt.
Jedes dieser Themen ist berechtigt. Jedes ist dringend. Und alle drei liegen bei derselben Person, die daneben den Betrieb verantwortet.
Warum trifft alles gleichzeitig?
Weil die drei Entwicklungen nichts miteinander zu tun haben — und deshalb keine Rücksicht aufeinander nehmen.
Die Regulierung folgt einem europäischen Zeitplan. Die KI-Werkzeuge folgen dem Rhythmus der Anbieter. Und die Altsysteme folgen einer Logik, die es gar nicht gibt: Sie fallen nicht zu einem Termin aus, sie werden nur jedes Jahr ein Stück riskanter.
| Front | Was sie verlangt | Woran sie sich reibt |
|---|---|---|
| NIS2 | Risikomanagement, Meldefähigkeit, Beschluss der Geschäftsleitung | am Fehlen einer belastbaren Bestandsübersicht |
| KI-Werkzeuge | saubere Identitäten, gepflegte Berechtigungen, klare Datenhaltung | an gewachsenen Strukturen aus fünfzehn Jahren |
| Altsysteme | Ablösung, Budget, Wartungsfenster | an der Produktion, die nicht stillstehen darf |
Die dritte Spalte zeigt das eigentliche Problem. Alle drei Fronten stoßen auf dieselbe Schwachstelle: Es fehlt ein gepflegtes Bild davon, was im Unternehmen überhaupt betrieben wird und wer dafür zuständig ist.
Sie haben nicht drei Probleme. Sie haben ein Problem, das sich an drei Stellen gleichzeitig meldet.
Was ändert NIS2 wirklich — und für wen?
Zuerst die Einschränkung, die selten dabeisteht: NIS2 gilt nicht für alle. Betroffen sind besonders wichtige und wichtige Einrichtungen, abgegrenzt nach Sektor und Größe — in Deutschland rund 29.500. Wer nicht direkt betroffen ist, wird oft über die Anforderungen seiner Kunden erfasst.
Prüfen Sie das zuerst. Es entscheidet über alles Weitere.
Wenn Sie betroffen sind, gilt das Umsetzungsgesetz seit dem 6. Dezember 2025 — ohne materielle Übergangsfrist. Die Registrierung beim BSI war bereits am 6. März 2026 fällig; die Behörde duldet Nachzügler bis Ende Juli 2026, aber eine verspätete Registrierung ist ein eigener Bußgeldtatbestand (Datenschutz-Notizen zur Registrierungsfrist).
Der Teil, der die Geschäftsführung betrifft, steht in § 38 BSIG: Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen, sich nachweisbar schulen lassen. Bei Verletzung dieser Pflichten haftet sie persönlich, und die Haftung ist nicht abdingbar (Arendt Data & Law).
Nüchtern betrachtet ist das Bemerkenswerte an diesen Terminen, dass sie alle bereits vergangen sind:
Wichtig für die Priorisierung: NIS2 verlangt keine bestimmte Technik. Es verlangt einen Prozess — erkennen, bewerten, vorlegen, entscheiden. Das ist eine gute Nachricht für alle, die spät dran sind.
Warum macht KI alte Strukturen gefährlich?
Weil sie funktioniert.
Ein Assistent im Microsoft-365-Umfeld durchsucht das, worauf ein Anwender zugreifen darf. Wenn die Berechtigungsstruktur über Jahre gewachsen ist — Freigaben für ausgeschiedene Projekte, geerbte Rechte aus Umstrukturierungen, ein Laufwerk, auf das „alle“ dürfen —, dann findet der Assistent genau das zuverlässig.
Das ist kein Fehler des Werkzeugs. Es ist ein Sichtbarwerden.
Vor der Einführung war die ungepflegte Berechtigungsstruktur ein theoretisches Risiko: Man hätte die Gehaltsliste finden können, wenn man gewusst hätte, wo sie liegt. Danach reicht eine Frage in natürlicher Sprache.
3 Fragen
vor jeder KI-Einführung: Wer darf worauf zu? Ist das noch richtig? Und wer prüft das künftig regelmäßig?
Wer diese drei Fragen nicht beantworten kann, sollte die Einführung verschieben. Nicht, weil KI schlecht wäre — sondern weil sie vorhandene Strukturen verstärkt. Gute wie schlechte.
Und die Altsysteme?
Sie sind die stillste der drei Fronten und deshalb die, die am längsten wartet.
Ein System ohne Herstellerunterstützung fällt nicht aus. Es läuft weiter, oft jahrelang, und liefert damit täglich den Beweis, dass die Ablösung noch Zeit hat. Genau darin liegt die Falle: Der Zustand ist stabil, bis er es schlagartig nicht mehr ist.
Zwei Dinge ändern sich dadurch gerade.
Erstens: Ein bekanntes, dokumentiertes und nicht entschiedenes Risiko ist unter NIS2 die schlechteste aller Lagen. Nicht das alte System selbst ist das Problem, sondern die fehlende Entscheidung darüber.
Zweitens: Altsysteme blockieren die KI-Vorhaben, die parallel gefordert werden. Wer Copilot auf eine Landschaft aufsetzt, deren Datenhaltung seit 2010 nicht bereinigt wurde, bekommt keine bessere Arbeitsweise. Er bekommt schnelleren Zugriff auf ungeordnete Information.
Warum ist die Lage 2026 anders als vor drei Jahren?
Weil sich zwei Größen gegenläufig entwickelt haben.
Die eine ist der Personalmarkt. Der IT-Fachkräftemangel in Deutschland hat sich seit 2023 fast halbiert: von 149.000 offenen Stellen auf 109.000 im Jahr 2025 und 79.000 im Jahr 2026. Trotzdem melden achtundsiebzig Prozent der Unternehmen weiterhin einen Mangel, und sechsundsiebzig Prozent erwarten, dass er sich wieder verschärft. Eine offene IT-Stelle bleibt im Schnitt fünf Monate unbesetzt (Bitkom, Arbeitsmarkt für IT-Fachkräfte).
Die Entspannung am Markt kommt also nicht dort an, wo sie gebraucht wird. Fünf Monate Vakanz sind länger als das Zeitfenster der meisten Vorhaben.
Die andere Größe ist der Schuldenstand. IT-Verantwortliche schätzen technische Schulden auf zwanzig bis vierzig Prozent des Werts ihrer IT-Landschaft, und sechzig Prozent geben an, dass der Berg in den letzten drei Jahren gewachsen ist (McKinsey, Tech debt: Reclaiming tech equity).
Weniger Leute für mehr Altlast, bei gleichzeitig neuer Regulierung. Das ist die Rechnung, die 2026 aufzumachen ist — und sie geht nur auf, wenn man Vorhaben weglässt.
Wie priorisieren Sie, wenn alles dringend ist?
Nicht, indem Sie alles anfangen. Das ist die häufigste Reaktion und die teuerste.
Drei Schritte, die in dieser Reihenfolge funktionieren.
Erstens: Bestandsübersicht vor Maßnahmen. Was betreiben wir, wer ist zuständig, welche Systeme haben keine Herstellerunterstützung mehr, welche sind ans Netz angebunden? Diese Liste dient allen drei Fronten gleichzeitig. Sie ist die einzige Arbeit, die dreifach zählt.
Zweitens: entscheiden statt beheben. Für jedes erkannte Risiko braucht es eine dokumentierte Entscheidung — beheben, absichern, oder bewusst tragen mit Datum zur Wiedervorlage. Alle drei sind zulässig. Was nicht zulässig ist, ist die fehlende Entscheidung.
Drittens: eine Front zuerst. In der Regel NIS2, weil dort eine Frist läuft und die Vorarbeit den anderen beiden zugutekommt. KI-Vorhaben verschieben Sie um ein Quartal, ohne dass etwas passiert. Eine versäumte Meldefrist lässt sich nicht nachholen.
Was, wenn die Mannschaft dafür nicht reicht?
Das ist der Normalfall, nicht die Ausnahme.
Zwei Wege haben sich in Mandaten bewährt. Der eine ist, die Bestandsübersicht extern erstellen zu lassen — sie ist einmalige Arbeit und braucht Zeit, nicht Systemkenntnis im Detail. Der andere ist, für die Dauer eines Vorhabens Steuerung zuzukaufen und die eigene Mannschaft an der fachlichen Arbeit zu lassen, wo sie unersetzlich ist.
Was in beiden Fällen nicht funktioniert: die drei Fronten auf dieselbe Person zu verteilen, die den Betrieb verantwortet. Dann gewinnt der Betrieb, und das ist auch richtig so — nur bleibt dann alles andere liegen.
Fazit
Es fühlt sich an wie drei Aufgaben. Es ist eine.
Wer weiß, was er betreibt, wer dafür zuständig ist und welche Risiken bewusst getragen werden, hat für NIS2 die Grundlage, für KI die Voraussetzung und für die Altsysteme die Entscheidungsgrundlage.
Diese Übersicht zu erstellen ist unspektakulär. Sie ist auch die einzige Arbeit, die man in dieser Lage einmal macht und dreimal nutzt.
Häufige Fragen
Muss ich NIS2 vor der KI-Einführung umsetzen?
In der Regel ja, aber nicht aus Vorschriftsgründen. NIS2 verlangt eine Bestandsübersicht und geklärte Zuständigkeiten — genau das, was eine KI-Einführung ebenfalls voraussetzt. Wer die Reihenfolge umdreht, macht dieselbe Arbeit zweimal und führt das Werkzeug auf ungeprüfter Grundlage ein.
Was passiert, wenn wir die Registrierung beim BSI versäumt haben?
Nachholen, so schnell es geht. Die Frist lief am 6. März 2026 ab, das BSI duldet Nachzügler bis Ende Juli 2026. Die verspätete Registrierung ist ein eigener Bußgeldtatbestand — sie zu unterlassen macht die Lage jedoch nur schlechter.
Können wir ein Altsystem bewusst weiterbetreiben?
Ja. Ein bewusst getragenes Risiko ist zulässig, ein unbewusstes nicht. Voraussetzung ist, dass das Risiko beschrieben, bewertet, der Geschäftsleitung vorgelegt und mit einem Datum zur Wiedervorlage versehen ist. Zusätzlich sollten kompensierende Maßnahmen dokumentiert sein — etwa Netztrennung oder eingeschränkter Zugang.
Woran erkenne ich, dass wir zu viel gleichzeitig angefangen haben?
An drei Anzeichen: Keines der Vorhaben hat einen Termin, der noch stimmt. Statusberichte bestehen aus Aktivitäten statt aus Ergebnissen. Und dieselben zwei bis drei Personen tauchen in allen Vorhaben als Verantwortliche auf.
Was ist der erste konkrete Schritt?
Eine Liste. Alle Systeme mit Netzanbindung, je Zeile ein Verantwortlicher und der Hinweis, ob es noch Herstellerunterstützung gibt. Sie wird im ersten Anlauf unvollständig sein, und das ist kein Problem — jede Zeile ohne Namen ist bereits ein Ergebnis.
Passend dazu
- IT/OT-Konvergenz: Verantwortung klar regeln — Wo die Verantwortung zwischen IT und OT verschwimmt
- Legacy Debt: Warum technische Schulden Innovation blockieren — Was technische Schulden die Handlungsfähigkeit kosten
- Projektportfolio-Management im Mittelstand — Wie aus der Gleichzeitigkeit eine steuerbare Reihenfolge wird