Eine wegweisende Woche für die europäische Cybersecurity-Regulierung: Das Parlament strafft die AI-Act-Fristen, stimmt gegen das CSAM-Content-Scanning, die ENISA verweist auf wachsende NIS2-Compliance-Investitionsungleichgewichte, erweiterte Bankenabwicklungsregeln verschärfen die DORA-Ausrichtung, und die 1,5-Mrd.-£-Rettung von Jaguar Land Rover durch das UK entfacht eine Debatte über Regierungen als Cyber-Versicherer letzter Instanz.
In einem der folgenreichsten Schritte seit der Verabschiedung des EU AI Act 2024 hat der gemeinsame IMCO-LIBE-Ausschuss des Europäischen Parlaments Vorschläge zur Vereinfachung der Umsetzung der Verordnung vereinbart. Die Änderungen legen klare Geltungsdaten für die Anforderungen an Hochrisiko-KI-Systeme fest und führen ein ausdrückliches Verbot von KI-„Nudifier“-Systemen ein — Werkzeuge, die mittels künstlicher Intelligenz nicht-einvernehmliche intime Bilder erzeugen.
Organisationen, die Hochrisiko-KI-Systeme einsetzen, sollten den überarbeiteten Zeitplan sofort prüfen. Die Vereinfachung beseitigt Mehrdeutigkeit — aber auch Ausreden: Die Regulierer werden die Einhaltung der neuen klaren Termine erwarten.
Der AI Act wurde seit seiner Verabschiedung für seine Komplexität kritisiert. Diese Vereinfachungen signalisieren, dass die EU-Regulierer dem Branchenfeedback zuhören, während sie gleichzeitig die Durchsetzung bei den schädlichsten Anwendungen verschärfen. Insbesondere das Nudifier-Verbot ist eine schnelle regulatorische Antwort auf eine Technologie, deren Missbrauch im vergangenen Jahr explodiert ist.
In einer bedeutenden Abstimmung am Donnerstag weigerte sich das Europäische Parlament, die vorläufige Ausnahme von den e-Privacy-Regeln zu verlängern, die es Diensteanbietern erlaubt hatte, in privater Kommunikation freiwillig nach Material über sexuellen Kindesmissbrauch (CSAM) zu suchen.
Seit 2021 erlaubte eine befristete Ausnahme Messaging-Plattformen, private Nachrichten auf CSAM zu scannen, ohne EU-Datenschutzrecht zu verletzen. Dies war stets als Übergangsmaßnahme gedacht, während über die umstrittene „Chat-Control“-Verordnung debattiert wurde. Ohne dauerhaften Rahmen stand das Parlament vor der Wahl: die Übergangslösung verlängern oder auslaufen lassen.
📌 Zentrale Erkenntnis: Diese Abstimmung bedeutet nicht, dass die EU den Kampf gegen CSAM aufgibt — sie bedeutet, dass das Parlament sich weigert, die Massenüberwachung privater Kommunikation als Standardansatz zu normalisieren. Zu erwarten ist ein erneuter Vorstoß für gezielte, rechtewahrende Alternativen.
Die Agentur der Europäischen Union für Cybersicherheit (ENISA) hat ihren 6. NIS-Investitionsbericht veröffentlicht, der zeigt: Während NIS2-Compliance der wichtigste Treiber der Cybersecurity-Ausgaben in der EU ist, fließen die Investitionen in bedenkliche Richtungen.
Die ENISA-Daten zeigen eine Steigerung der Ausgaben für Cybersecurity-Technik um 15 % gegenüber dem Vorjahr, aber nur eine Steigerung der Investitionen in Personal um 3 %. Organisationen, die SIEM-Plattformen und EDR-Lösungen ohne geschulte Analysten zu deren Bedienung kaufen, bauen teures Sicherheitstheater.
Der ECON-Ausschuss des Europäischen Parlaments hat neue Regeln zur Erweiterung des Geltungsbereichs der EU-Bankenabwicklungsrahmen verabschiedet — ein Schritt, der sich direkt mit dem im Januar 2025 in Kraft getretenen Digital Operational Resilience Act (DORA) überschneidet.
DORA verlangt von Finanzunternehmen robustes IKT-Risikomanagement und die Meldung schwerer Vorfälle. Die erweiterten Bankenabwicklungsregeln stellen nun sicher, dass beim tatsächlichen Scheitern eines Finanzinstituts seine IKT-Infrastruktur und Drittparteienabhängigkeiten im Abwicklungsprozess ordnungsgemäß berücksichtigt werden. Das schließt eine Lücke, in der eine Bank im Betrieb technisch DORA-konform sein konnte, aber keinen Plan für ihre digitalen Vermögenswerte und Verträge während der Abwicklung hatte.
Die Kreditgarantie von 1,5 Milliarden £ der britischen Regierung an Jaguar Land Rover (JLR) nach einem verheerenden Cyberangriff hat eine heftige Debatte darüber entfacht, ob Regierungen als Cyber-Versicherer letzter Instanz fungieren sollten — eine Frage mit tiefgreifenden Implikationen für NIS2 und DORA in ganz Europa.
Bei einer Veranstaltung des Royal United Services Institute (RUSI) bezeichnete Ciaran Martin, Vorsitzender des UK Cyber Monitoring Centre, die Rettung als „einen unglücklichen Präzedenzfall“ — eine fallspezifische Intervention ohne klare Kriterien dafür, wann ein solches staatliches Handeln erfolgen sollte.
📌 EU-Regulierungsperspektive: Unter NIS2 müssen wesentliche Einrichtungen bereits robuste Sicherheitsmaßnahmen umsetzen — die Logik der Verordnung ist Prävention statt Rettung. Unter DORA müssen Finanzunternehmen Resilienz nachweisen. Der JLR-Präzedenzfall wirft die Frage auf: Was passiert, wenn Compliance nicht ausreicht?
Analysten warnen, dass ein einzelner Cyberangriff nun „durch eine ganze Volkswirtschaft rippeln“ kann — mit Auswirkungen auf BIP, Beschäftigung und nationale Exporte. Das ist nicht theoretisch: Der Produktionsstopp von JLR betraf Tausende Lieferkettenarbeitsplätze in mehreren Ländern. Die Frage für EU-Politiker ist, ob der Prävention-zuerst-Ansatz von NIS2 und DORA ausreicht — oder ob ein formaler Rahmen für katastrophale Cybervorfälle nötig ist.
| Regulierung | Entwicklung | Auswirkung |
|---|---|---|
| EU AI Act | Vereinfachte Hochrisiko-Fristen, Nudifier-Verbot | 🔴 Hoch — sofortige Änderungen des Compliance-Zeitplans |
| e-Privacy / DSGVO | CSAM-Scanning-Ausnahme ausgelaufen | 🟠 Mittel — Plattformen müssen Rechtsgrundlage neu bewerten |
| NIS2 | ENISA-Investitionsbericht hebt Talentlücke hervor | 🟠 Mittel — Budget-Rebalancing nötig |
| DORA | Bankenabwicklungsregeln mit IKT-Fokus erweitert | 🟡 Moderat — Abwicklungsplanung des Finanzsektors |
| EU-Zollkodex | Große Reform zur E-Commerce-Sicherheit | 🟡 Moderat — Implikationen für Lieferkettensicherheit |
Diese Woche zeigt, dass die europäische Cybersecurity-Regulierung in ihre operative Phase eintritt. Der AI Act wird für den realen Einsatz verfeinert. NIS2s Einfluss auf die Ausgaben ist unbestreitbar, aber unausgewogen. DORA greift in benachbarte Regulierungsrahmen hinein. Und die grundlegende Frage, wer zahlt, wenn katastrophale Cybervorfälle selbst konforme Organisationen überwältigen, bleibt unbeantwortet.
Die Botschaft an Sicherheitsverantwortliche: Compliance ist der Boden, nicht die Decke. Investieren Sie in Ihre Menschen so aggressiv wie in Ihre Plattformen. Und beginnen Sie darüber nachzudenken, wie der Plan B Ihrer Organisation aussieht, wenn das Schlimmste eintritt — denn Ihre Regierung ist womöglich nicht bereit, Ihr Versicherer letzter Instanz zu sein.
Erhalten Sie tägliche Security-Regulierungs-Briefings in Ihr Dashboard. KENSAI verfolgt Entwicklungen bei NIS2, DORA, DSGVO und EU AI Act, damit Ihnen keine kritischen Compliance-Fristen entgehen.
KENSAI entdecken →— KENSAI Regulation Intelligence · Veröffentlicht am 30. März 2026 · Quellen: Europäisches Parlament, ENISA, RUSI/Cyber Monitoring Centre, CSO Online