EU AI Act, NIS2 und DORA: Was die neuen KI- und Sicherheitsregeln für kleine Unternehmen bedeuten
Kurz beantwortet: Drei EU-Regelwerke prägen gerade die Sicherheits- und KI-Pflichten in Europa: der EU AI Act (Regeln für den Einsatz von KI, gestaffelt nach Risiko), die NIS2-Richtlinie (Cybersicherheits-Pflichten für bestimmte Branchen) und DORA (digitale Betriebsstabilität im Finanzsektor). Für viele kleine Unternehmen und Selbstständige gelten nicht alle drei direkt – DORA und NIS2 betreffen vor allem bestimmte Branchen und Größen. Der EU AI Act dagegen kann jeden treffen, der KI einsetzt, je nachdem wofür. Wichtig ist: Auch wer formal nicht voll unter eine Pflicht fällt, bekommt die Anforderungen indirekt über Kunden, Auftraggeber und Lieferketten weitergereicht. Dieser Artikel ordnet ein, was wirklich relevant ist – ersetzt aber keine Rechtsberatung.
Wer als Selbstständiger oder kleines Unternehmen von „EU AI Act", „NIS2" und „DORA" hört, reagiert oft mit einer Mischung aus Unsicherheit und Abwehr: noch mehr Bürokratie, noch mehr Pflichten, vermutlich nichts, was man selbst stemmen kann. Die gute Nachricht vorweg: Längst nicht alles davon betrifft dich direkt. Die weniger gute: Was dich nicht direkt trifft, erreicht dich oft über Umwege – weil größere Kunden ihre Pflichten an ihre Dienstleister weiterreichen.
Dieser Artikel sortiert die drei Regelwerke so, dass du erkennst, was für deine Situation zählt. Vorab ein klarer Hinweis: Das hier ist eine Einordnung zum Verständnis, keine Rechtsberatung. Für die verbindliche Bewertung deines konkreten Falls ist eine fachkundige Beratung der richtige Weg.
Die drei Regelwerke auf einen Blick
Bevor wir ins Detail gehen, hilft eine grobe Einordnung. Die drei Regelwerke verfolgen unterschiedliche Ziele und treffen unterschiedliche Adressaten.
| Regelwerk | Worum es geht | Wen es vor allem betrifft |
|---|---|---|
| EU AI Act | Regeln für den Einsatz von KI, gestaffelt nach Risikoklasse | Alle, die KI entwickeln oder einsetzen – Umfang je nach Anwendung |
| NIS2 | Pflichten zur Cybersicherheit und zum Risikomanagement | Unternehmen bestimmter Branchen ab einer gewissen Größe |
| DORA | Digitale Betriebsstabilität und Resilienz | Finanzsektor und dessen IT-Dienstleister |
EU AI Act: Regeln nach Risiko
Der EU AI Act ist das Regelwerk, das am ehesten jeden betrifft, der KI nutzt. Sein Grundgedanke ist einleuchtend: Nicht jede KI-Anwendung ist gleich riskant, also gelten gestaffelte Regeln. Eine KI, die Produktbeschreibungen formuliert, wird anders behandelt als eine KI, die über Kreditvergaben oder Bewerbungen entscheidet.
Je höher das Risiko einer Anwendung für Menschen, desto strenger die Anforderungen. Für viele alltägliche KI-Nutzungen in kleinen Betrieben – Texte, Bilder, Recherche, Automatisierung – sind die direkten Pflichten überschaubar. Kritisch wird es erst, wenn KI in sensiblen Bereichen eingesetzt wird, etwa bei Entscheidungen über Personen. Wer wissen will, wie sich die regulatorische Großwetterlage rund um KI entwickelt, findet einen Anknüpfungspunkt darin, was passiert, wenn selbst leistungsfähige KI-Modelle aus Sicherheitsgründen reguliert oder gesperrt werden.
NIS2: Cybersicherheit als Pflicht
Die NIS2-Richtlinie hebt die Cybersicherheits-Anforderungen für bestimmte Branchen auf ein verbindliches Niveau. Sie verlangt Risikomanagement, Meldepflichten bei Vorfällen und nachweisbare Schutzmaßnahmen. Anders als der EU AI Act zielt NIS2 nicht auf KI, sondern auf die allgemeine Widerstandsfähigkeit gegen Cyberangriffe.
Ob du direkt betroffen bist, hängt von Branche und Größe ab. Viele sehr kleine Unternehmen fallen nicht unmittelbar darunter. Aber – und das ist der entscheidende Punkt – NIS2 wirkt über die Lieferkette. Wer als Dienstleister für ein betroffenes Unternehmen arbeitet, bekommt dessen Sicherheitsanforderungen oft vertraglich weitergereicht. Plötzlich ist Cybersicherheit kein Nice-to-have mehr, sondern Voraussetzung für den Auftrag. Wer hier vorbereitet sein will, baut am besten auf solide Cybersecurity-Grundlagen auf, die ohnehin sinnvoll sind.
DORA: Stabilität für den Finanzsektor
DORA – der Digital Operational Resilience Act – ist das spezialisierteste der drei Regelwerke. Es richtet sich an den Finanzsektor und dessen IT-Dienstleister und verlangt, dass digitale Systeme auch unter Druck stabil bleiben: bei Angriffen, Ausfällen oder Störungen. Für die meisten Selbstständigen außerhalb der Finanzbranche ist DORA nicht direkt relevant.
Trotzdem lohnt der Blick, denn DORA zeigt eine Richtung, in die sich Regulierung insgesamt bewegt: weg von „Hauptsache, es läuft", hin zu „beweise, dass es auch im Krisenfall läuft". Diese Logik – Resilienz statt bloßer Funktion – wird perspektivisch auch andere Bereiche prägen. Wer mit Krypto und digitalen Vermögenswerten arbeitet, kennt das Prinzip bereits aus der Praxis: Es geht nicht nur darum, dass etwas funktioniert, sondern dass es den Ernstfall übersteht.
Der indirekte Weg: Wie Pflichten dich über Umwege erreichen
Hier liegt der für kleine Unternehmen wichtigste Gedanke. Selbst wenn keines der drei Regelwerke dich formal direkt verpflichtet, bedeutet das nicht, dass du unberührt bleibst. Größere Auftraggeber, die unter NIS2 oder DORA fallen, müssen ihre gesamte Lieferkette absichern – und reichen ihre Anforderungen an alle Dienstleister weiter, auch an die kleinen.
Konkret kann das heißen: Ein Kunde verlangt vor Vertragsabschluss Nachweise über deine Sicherheitsmaßnahmen, eine Selbstauskunft oder bestimmte technische Standards. Wer das vorbereitet hat, gewinnt Aufträge, die anderen entgehen. Sicherheit wird damit vom Kostenfaktor zum Wettbewerbsvorteil. Ein erster praktischer Baustein ist oft ein sauberes Datenleck-Monitoring, das zeigt, dass du Risiken aktiv im Blick hast.
Sicherheit nachweisbar machen – auch im Krypto-Bereich
Ob für Kunden, Lieferketten oder die eigene Ruhe: Wer den Ernstfall durchdacht hat, ist im Vorteil. Der vollständige Leitfaden zeigt, wie du dein Krypto-Vermögen so absicherst, dass es auch Krisen übersteht.
Zum Sicherheits-Leitfaden →Was du jetzt sinnvoll tun kannst
Die Regelwerke wirken erschlagend, die praktischen Schritte sind es nicht. Vieles, was die Regulierung verlangt, ist ohnehin gute Praxis – du machst es also nicht „für die EU", sondern für dich.
- Prüfen, was dich betrifft. Kläre realistisch, ob und wie EU AI Act, NIS2 oder DORA für deine Tätigkeit gelten. Im Zweifel mit fachkundiger Beratung.
- KI-Einsatz dokumentieren. Halte fest, welche KI-Tools du wofür nutzt und welche Daten sie sehen. Diese Übersicht ist die Basis für jede Auskunft.
- Transparenz herstellen. Kennzeichne KI-gestützte Inhalte und Funktionen auf deiner Website, wo es geboten ist.
- Sicherheits-Basis schaffen. Gehärtete Zugänge, Backups und ein Notfallplan decken einen Großteil dessen ab, was Auftraggeber erwarten.
- Hilfe einkaufen, wo nötig. Für Audits oder die technische Absicherung lassen sich gezielt Spezialisten beauftragen, etwa über Cybersecurity-Dienstleistungen auf Fiverr.
- EU AI Act: betrifft potenziell jeden KI-Nutzer, mit gestaffelten Pflichten nach Risiko der Anwendung.
- NIS2: Cybersicherheits-Pflichten für bestimmte Branchen ab einer gewissen Größe.
- DORA: digitale Resilienz, vor allem für den Finanzsektor und dessen Dienstleister.
- Auch ohne direkte Pflicht erreichen dich die Anforderungen oft über Kunden und Lieferketten.
- Vorbereitete Sicherheit wird vom Kostenfaktor zum Wettbewerbsvorteil.
- Das meiste ist ohnehin gute Praxis – und ersetzt im Zweifel keine Rechtsberatung.
Häufige Fragen
Betrifft mich der EU AI Act als Einzelunternehmer?
Das hängt davon ab, wie du KI einsetzt. Für viele alltägliche Anwendungen wie Texterstellung oder Recherche sind die direkten Pflichten gering, vor allem im Bereich Transparenz und Kennzeichnung. Kritisch wird es, wenn KI in sensiblen Bereichen eingesetzt wird, etwa bei Entscheidungen über Personen. Eine pauschale Antwort gibt es nicht – die konkrete Anwendung entscheidet.
Muss ich KI-generierte Inhalte auf meiner Website kennzeichnen?
In vielen Fällen ja. Der EU AI Act verlangt Transparenz, wenn Menschen mit KI interagieren oder Inhalte von KI erzeugt wurden. Für Website-Betreiber bedeutet das, KI-gestützte Funktionen und teils auch KI-generierte Inhalte offenzulegen. Die genauen Anforderungen hängen vom Einzelfall ab – im Zweifel lohnt eine rechtliche Prüfung.
Fällt mein kleines Unternehmen unter NIS2?
Das hängt von Branche und Größe ab. Viele sehr kleine Unternehmen fallen nicht direkt unter NIS2. Wichtig ist aber: Wenn du für ein betroffenes Unternehmen als Dienstleister arbeitest, können dessen Sicherheitsanforderungen vertraglich an dich weitergereicht werden. Dann gelten die Standards faktisch auch für dich, auch ohne direkte gesetzliche Pflicht.
Ist DORA für mich relevant, wenn ich nichts mit Finanzen mache?
Direkt meist nicht. DORA richtet sich an den Finanzsektor und dessen IT-Dienstleister. Für Selbstständige außerhalb dieser Branche ist die Verordnung in der Regel nicht direkt anwendbar. Interessant ist sie eher als Hinweis auf die Richtung, in die Regulierung geht: weg von bloßer Funktion, hin zu nachweisbarer Krisenfestigkeit.
Was passiert, wenn ich diese Regeln ignoriere?
Das hängt davon ab, ob du tatsächlich verpflichtet bist. Wo Pflichten gelten, drohen je nach Regelwerk empfindliche Konsequenzen. Wo sie nur indirekt über Kunden wirken, riskierst du vor allem, Aufträge zu verlieren, weil du Anforderungen nicht erfüllst. In beiden Fällen ist es klüger, sich früh damit zu befassen, als auf den Ernstfall zu warten.
Wo finde ich verbindliche Antworten zu meiner Situation?
Bei einer fachkundigen Beratung. Dieser Artikel ordnet die Regelwerke zum Verständnis ein, ersetzt aber keine rechtliche Prüfung. Ob und wie eine Pflicht für dich gilt, hängt von vielen Details deines konkreten Falls ab, die nur eine individuelle Beratung verbindlich klären kann.
Lohnt sich der Aufwand für ein kleines Unternehmen überhaupt?
Ja, weil das meiste doppelt nützt. Die Maßnahmen, die Regulierung verlangt – Übersicht über KI-Tools, gehärtete Zugänge, Backups, Transparenz – schützen dich ohnehin und machen dich gleichzeitig auskunftsfähig gegenüber Kunden. Du investierst also nicht in Bürokratie, sondern in Sicherheit, die sich auch als Wettbewerbsvorteil auszahlt.