Der Leiter des britischen NCSC nutzt die RSAC 2026, um verpflichtende Sicherheitsleitplanken für AI-Codegenerierungstools zu fordern. Die FCA richtet die Meldung von Cybervorfällen an den Grundsätzen von DORA aus. Die Polizei von Essex setzt den Einsatz von Gesichtserkennung aus, nachdem eine Cambridge-Studie rassistische Verzerrungen festgestellt hat – ein Testfall für die Hochrisiko-Bestimmungen des EU AI Act. Die britische Regierung eröffnet eine Konsultation zur digitalen Identität, während Fragen zum GDPR unbeantwortet bleiben. ENISA veröffentlicht einen praxisorientierten Rahmen für NIS2-Cybersicherheitsübungen für Organisationen in der EU.
NCSC-CEO Richard Horne nutzte seine Keynote auf der RSAC 2026, um die Cybersicherheitsbranche dazu aufzurufen, „die disruptive Chance des Vibe Coding zu ergreifen“ und zugleich verpflichtende Sicherheitsvorkehrungen in AI-Codegenerierungstools zu integrieren.
Auf der RSA Conference 2026 in San Francisco sprach Richard Horne, Chief Executive des britischen National Cyber Security Centre (NCSC), eine Warnung aus, die einer regulatorischen Kampfansage gleichkommt: Der rasante Aufstieg der AI-gestützten Softwareentwicklung – weithin als „Vibe Coding“ bezeichnet – ist sowohl eine enorme Chance als auch ein systemisches Risiko, mit dem sich die Branche jetzt und nicht erst in fünf Jahren befassen muss.
Parallel dazu veröffentlichte NCSC-CTO David C die „Gebote für sicheres Vibe Coding“ der Behörde:
Die Position des NCSC stimmt unmittelbar mit den Anforderungen des EU AI Act an AI-Systeme überein, die in kritischen Infrastrukturen eingesetzt werden. Nach dem Gesetz würden AI-Codegenerierungstools, mit denen Software für wesentliche Dienste entwickelt wird, wahrscheinlich als Hochrisiko-AI-Systeme eingestuft. Damit wären Konformitätsbewertungen, Transparenzpflichten und eine menschliche Aufsicht erforderlich. Die Gebote des NCSC lesen sich wie eine Vorschau auf die technischen Standards, die die EU letztlich vorschreiben wird.
Für Organisationen im DACH-Raum, die sich bereits auf die im August 2026 geltenden Pflichten des EU AI Act für AI mit allgemeinem Verwendungszweck vorbereiten, ist dies ein Signal, heute mit der Prüfung zu beginnen, wie AI-generierter Code in ihren Entwicklungspipelines gesteuert wird.
Die britische Financial Conduct Authority hat vereinfachte Vorschriften für die Meldung sowohl interner Cybervorfälle als auch Ausfälle bei Drittanbietern erlassen und richtet gemeinsam mit der PRA und der Bank of England ein zentrales Meldeportal ein.
Das neue Meldesystem der FCA greift eine seit Langem bestehende Beschwerde von Finanzinstituten auf: die Unklarheit darüber, was gemeldet werden muss, wann die Meldung erfolgen soll und welche Informationen darin enthalten sein müssen. Die Aktualisierung umfasst:
Obwohl das Vereinigte Königreich nicht mehr den Vorschriften der EU unterliegt, orientiert sich die Aktualisierung der FCA eindeutig am Konzept des Digital Operational Resilience Act (DORA). Der Rahmen von DORA für die Meldung von Vorfällen – der Finanzunternehmen in der EU verpflichtet, schwerwiegende IKT-bezogene Vorfälle ihrer zuständigen nationalen Behörde zu melden – hat den Maßstab gesetzt. Dass die FCA nun Vorfälle bei Drittanbietern einbezieht, entspricht dem Schwerpunkt von DORA auf kritischen IKT-Drittdienstleistern.
FCA-Direktor Mark Francis erklärte: „Die Widerstandsfähigkeit wird wie nie zuvor auf die Probe gestellt, da Unternehmen mit wachsenden Cyberbedrohungen und einer zunehmenden Abhängigkeit von Drittanbietern konfrontiert sind.“ Die Daten bestätigen dies: 40 % der 2025 an die FCA gemeldeten Vorfälle betrafen einen Drittanbieter, darunter öffentlichkeitswirksame Ausfälle bei AWS und Cloudflare.
Für Organisationen, die sowohl im Vereinigten Königreich als auch in der EU tätig sind, ist die Annäherung eine gute Nachricht: Die Meldesysteme werden zunehmend aufeinander abgestimmt. Dennoch bestehen weiterhin Unterschiede hinsichtlich Geltungsbereich, Fristen und konkreten Anforderungen. Doppelt regulierte Unternehmen sollten ihre Abläufe zur Meldung von Vorfällen sowohl mit DORA als auch mit dem neuen FCA-System abgleichen, um Lücken zu erkennen.
Die Polizei von Essex hat den Einsatz ihrer Live-Gesichtserkennung ausgesetzt, nachdem eine Studie der Universität Cambridge ergeben hatte, dass das System statistisch gesehen häufiger Schwarze Personen identifizierte. Dies wirft unmittelbare Fragen zur Einhaltung des EU AI Act durch vergleichbare Systeme auf.
Ein kontrolliertes Feldexperiment von Forschenden der Universität Cambridge ergab, dass das Live-Gesichtserkennungssystem (LFR) der Polizei von Essex eine statistisch signifikante rassistische Verzerrung aufwies: Es identifizierte Schwarze Teilnehmende häufiger korrekt als Personen anderer ethnischer Gruppen. Die Forschenden wiesen zwar darauf hin, dass dies auf die begrenzte Zahl falsch positiver Ergebnisse und nicht auf einen systematischen Effekt zurückzuführen sein könnte, doch die Polizei von Essex entschied sich, den Einsatz auszusetzen und gemeinsam mit dem Anbieter des Algorithmus an der Behebung des Problems zu arbeiten.
Die Ergebnisse werden veröffentlicht, während die britische Regierung den Einsatz von Gesichtserkennung bei der Polizeiarbeit aktiv ausweitet und mehr als 26 Millionen £ für ein landesweites System sowie 11,6 Millionen £ für zusätzliche mit LFR ausgestattete Fahrzeuge ausgibt.
Nach dem EU AI Act gilt die biometrische Echtzeit-Fernidentifizierung durch Strafverfolgungsbehörden im öffentlichen Raum mit wenigen eng begrenzten Ausnahmen als verbotene Praxis. Selbst die nachträgliche Identifizierung wird als hochriskant eingestuft und erfordert:
Dieser Fall ist ein Lehrbuchbeispiel dafür, warum es den EU AI Act gibt. Die Verzerrung wurde nur entdeckt, weil die Polizei von Essex unabhängige wissenschaftliche Studien in Auftrag gegeben hatte – viele Organisationen, die ähnliche Systeme einsetzen, führen niemals Prüfungen mit dieser Gründlichkeit durch.
Gesichtserkennung ist nicht nur ein Instrument der Polizei. Banken, Flughäfen, Einzelhändler und Zutrittskontrollsysteme in der gesamten EU setzen biometrische Identifizierung ein. Wenn Ihre Organisation irgendeine Form biometrischer AI verwendet, ist der Fall der Polizei von Essex eine Warnung: Prüfen Sie proaktiv auf Verzerrungen, sonst werden die Aufsichtsbehörden dies für Sie tun.
Die britische Regierung hat eine öffentliche Konsultation zu ihrem System für digitale Identitäten eingeleitet. Dieses soll zunächst Prüfungen des Rechts auf Arbeit abdecken und später auf Sozialleistungen, Renten und Studienkredite ausgeweitet werden. Entscheidende Fragen zur Vereinbarkeit mit GDPR bleiben unbeantwortet.
Die Konsultation der britischen Regierung zur digitalen Identität wurde eröffnet und beschreibt ein System, das zunächst Prüfungen des Rechts auf Arbeit abdecken und später auf weitere staatliche Dienstleistungen ausgeweitet werden soll. Zu mehreren entscheidenden Datenschutzfragen schweigt die Konsultation jedoch auffällig:
Obwohl sich das Vereinigte Königreich nach dem Brexit in einigen Datenschutzfragen von der EU entfernt hat, gilt das UK GDPR (aus dem EU-Recht übernommen) weiterhin. Zu den wichtigsten Bedenken zählen:
Die eigene eIDAS-2.0-Verordnung der EU schreibt europäische Wallets für digitale Identitäten bis 2026–2027 vor. Die britische Konsultation liefert dazu wertvolle warnende Beispiele. Der Rahmen der EU enthält stärkere Datenschutzvorkehrungen – darunter die selektive Offenlegung (etwa der Nachweis, dass man über 18 Jahre alt ist, ohne das Geburtsdatum preiszugeben) und Verbote der dienstübergreifenden Nachverfolgung. Die Mitgliedstaaten der EU sollten die Datenschutzlücken des britischen Systems als Beispiele dafür betrachten, was zu vermeiden ist.
Ressource zur Einhaltung von NIS2: Die Agentur der EU für Cybersicherheit (ENISA) hat eine umfassende Methodik zur Entwicklung von Cybersicherheitsübungen veröffentlicht. Sie soll Organisationen dabei unterstützen, die NIS2-Anforderungen an die Vorbereitung auf Sicherheitsvorfälle zu erfüllen. Es handelt sich um eine praktische Schritt-für-Schritt-Anleitung – nicht um theoretische Leitlinien.
Die Methodik von ENISA für Cybersicherheitsübungen soll „Organisationen dazu befähigen und dabei unterstützen, wirksame Cybersicherheitsübungen von Anfang bis Ende zu entwickeln“. Gemäß Artikel 21 der NIS2 müssen wesentliche und wichtige Einrichtungen Maßnahmen zur Bewältigung von Sicherheitsvorfällen umsetzen, einschließlich regelmäßiger Tests und Übungen.
Die Methodik umfasst:
Viele von NIS2 betroffene Organisationen ringen weiterhin mit der praktischen Frage: „Wie testen wir unsere Fähigkeiten zur Reaktion auf Sicherheitsvorfälle eigentlich?“ Die Methodik von ENISA liefert eine konkrete, von der EU unterstützte Antwort. Die zuständigen nationalen Behörden werden bei der Bewertung der Compliance wahrscheinlich auf diesen Rahmen verweisen, wodurch er faktisch zur Pflichtlektüre wird.
| Entwicklung | Regulierung | Auswirkung | Erforderliche Maßnahme |
|---|---|---|---|
| NCSC-Schutzmaßnahmen für Vibe Coding | EU AI Act | Für AI-Codegenerierungstools gelten künftig neue Sicherheitsstandards | AI-Coding-Tools prüfen und auf Compliance vorbereiten |
| Reform der Vorfallmeldung durch die FCA | DORA | Das Vereinigte Königreich gleicht sich an den Risikorahmen der EU für Drittanbieter an | Meldeabläufe bis März 2027 aktualisieren |
| Aussetzung der Gesichtserkennung wegen Verzerrungen | EU AI Act | Praxisbeleg dafür, dass Prüfungen auf Verzerrungen unverzichtbar sind | Alle biometrischen AI-Systeme auf Verzerrungen prüfen |
| Britische Konsultation zur digitalen Identität | GDPR / eIDAS 2.0 | Datenschutzlücken im nationalen Identitätssystem | Rückmeldung zur Konsultation einreichen und Datenströme bewerten |
| Übungsmethodik von ENISA | NIS2 | Praktischer Compliance-Rahmen veröffentlicht | Cybersicherheitsübung für das zweite Quartal 2026 planen |
Regulatorische Compliance beginnt damit, dass Sie Ihre Angriffsfläche kennen. KENSAI bietet automatisierte Sicherheitsscans für Ihre Webanwendungen, APIs und Infrastruktur – mit integrierter Zuordnung zu Compliance-Anforderungen.
Kostenlosen Sicherheitsscan starten →Veröffentlicht vom KENSAI-Team für regulatorische Informationen · 25. März 2026
Compliance wahren. Geschützt bleiben. Weitere Briefings lesen →