KI in der Cybersicherheit: EU AI Act, NIS2 und Cyber Resilience Act

Die meisten Cybersecurity-KI-Anwendungen fallen unter minimales oder begrenztes Risiko: SIEM-Systeme mit KI-Anomalieerkennung: minimales Risiko. KI-basierte Endpoint Protection: minimales Risiko. KI-Phishing-Erkennung: minimales Risiko. KI-Vulnerability-Scanner: minimales Risiko. Ausnahmen (potenziell Hochrisiko): KI-Systeme in kritischer Infrastruktur-Sicherheit nach Anhang III Nr. 2, biometrische Authentifizierungssysteme.

NIS2 (Netz- und Informationssicherheits-Richtlinie, EU 2022/2555) gilt für kritische und wichtige Einrichtungen und fordert Cybersicherheitsmaßnahmen. Für KI-Systeme in NIS2-Pflichtunternehmen: EU AI Act Art. 15 (Cybersicherheitsanforderungen für Hochrisiko-KI) ergänzt NIS2. KI-Systeme sind potenzielle Angriffsvektoren (Adversarial Attacks, Prompt Injection) – NIS2-konforme Security umfasst diese. Koordinieren Sie NIS2-Compliance und EU AI Act-Compliance in einem integrierten Rahmen.

Der EU AI Act regelt nur die Entwicklung und den Einsatz von KI – nicht explizit die Nutzung von KI durch Angreifer. Relevant sind: Verbote nach Art. 5 (KI zur Manipulation von Personen kann bei Cyberangriffen eingesetzt werden), Cyber Resilience Act (fordert Security-by-Design auch für KI-Produkte), NIS2 (Betreiber kritischer Infrastruktur müssen sich auch gegen KI-Angriffe absichern). Investieren Sie in KI-Sicherheitsforschung und regelmäßige Red-Team-Übungen.