Forum InCyber 2026 startet Qualifizierungsoffensive für Cybersicherheit, während das EU-Parlament den AI Act vereinfacht, Nudifier-KI verbietet und die e-Privacy-Ausnahme für CSAM ausläuft

Die Europäische Kommission stellt auf dem Forum InCyber 2026 in Lille neue Zusagen zur Cybersecurity Skills Academy vor. Abgeordnete stimmen dafür, die Anforderungen an Hochrisiko-KI-Systeme im AI Act zu vereinfachen, und verbieten KI-Nudifier-Werkzeuge. Die freiwillige e-Privacy-Ausnahme zur CSAM-Erkennung läuft ohne Verlängerung aus. Die Risikoeinstufung von KI-Agenten wird zur zentralen Governance-Herausforderung bei der Durchsetzung des EU AI Act. Zugleich wirft die eigene Sicherheitsuntersuchung der Kommission unangenehme Fragen zur NIS2-Konformität auf.

1. Forum InCyber 2026: Neue Zusagen zur Cybersecurity Skills Academy in Lille vorgestellt

Die Europäische Kommission hat auf der Konferenz Forum InCyber 2026 einen deutlichen Ausbau ihrer Initiative Cybersecurity Skills Academy angekündigt. Die Veranstaltung, eine der bedeutendsten Cybersicherheitskonferenzen Europas, begann am 31. März in Lille und läuft bis zum 2. April. Sie diente als Bühne für neue Zusagen, mit denen die sich verschärfende Fachkräftelücke des Kontinents geschlossen werden soll.

Die Qualifikationskrise in Zahlen

Europa fehlen rund 500.000 Fachkräfte für Cybersicherheitso der jüngste NIS-Investitionsbericht der ENISA vom Dezember 2025. Die sechste Ausgabe des Berichts zeigte einen beunruhigenden Trend: Organisationen verlagern ihre Investitionen von Menschen hin zu Technik, während sich der Fachkräftemangel weiter vertieft — ein gefährliches Ungleichgewicht, bei dem ausgefeilten Werkzeugen die qualifizierten Bediener fehlen.

Was angekündigt wurde

• EU-weite Nachweisverfahren für Qualifikationen: Harmonisierte Zertifizierungsrahmen, damit Cybersicherheitsqualifikationen in allen 27 Mitgliedstaaten anerkannt werden
• Pilotprogramme der Cybersecurity Skills Academy: Finanziert über das Programm Digitales Europa, mit Fokus auf unterrepräsentierte Gruppen, darunter Frauen und Quereinsteiger
• Partnerschaften zwischen Wirtschaft und Hochschulen: Neue Zusagen großer Technologieunternehmen, Lehrpläne gemeinsam zu entwickeln und an den Anforderungen von NIS2, DORA und CRA auszurichten
• Koordinierungsrolle der ENISA: Die Agentur wird zur zentralen Stelle für die Beobachtung der Qualifikationslücke und die Bündelung von Schulungsangeboten

Regulatorischer Zusammenhang

Der Zeitpunkt ist bewusst gewählt. Da das Rahmenwerk für bedrohungsgeleitete Penetrationstests (TLPT) nach DORA inzwischen in Betrieb ist und die Meldepflichten für Schwachstellen nach dem CRA im September 2026 greifen, wird die Nachfrage nach qualifizierten Fachkräften stark steigen. Auch der Vorschlag für einen überarbeiteten Cybersicherheitsrechtsakt, der derzeit im Parlament beraten wird, enthält Bestimmungen zur Personalentwicklung als strategische Sicherheitspriorität.

2. EU-Parlament stimmt für Vereinfachung des AI Act und Verbot von KI-Nudifier-Systemen

In einer richtungsweisenden Abstimmung am 26. März hat das Europäische Parlament Vorschläge angenommen, die den Umsetzungsrahmen des EU AI Act vereinfachen und zugleich ein umfassendes Verbot von KI-gestützten Nudifier-Systemen einführen — Werkzeuge, die mit künstlicher Intelligenz intime Aufnahmen ohne Einwilligung erzeugen.

Vereinfachung des AI Act

Die Ausschüsse IMCO und LIBE brachten Änderungen durch, die mehrere Aspekte der Anforderungen an Hochrisiko-Systeme klarstellen und straffen:

• Klare Anwendungstermine: Beseitigung von Unklarheiten darüber, wann bestimmte Pflichten für welche Kategorien von KI-Systemen greifen
• Verhältnismäßige Konformitätsbewertungen: Anforderungen richten sich nach dem tatsächlichen Risiko, statt einheitliche Maßstäbe auf alle Hochrisiko-Kategorien anzuwenden
• Erleichterungen für KMU: Verlängerte Übergangsfristen und reduzierte Dokumentationspflichten für kleine und mittlere Unternehmen, die Hochrisiko-KI einsetzen
• Harmonisierte Auslegungshinweise: Einheitliche Begriffsbestimmungen, um abweichende nationale Umsetzungen und eine Zersplitterung des Binnenmarkts zu verhindern

Verbot von KI-Nudifiern

Das Verbot von KI-Nudifier-Systemen ergänzt die verbotenen Praktiken nach Artikel 5 des AI Act. Die Abgeordneten stuften diese Werkzeuge als „unannehmbares Risiko“ für die Grundrechte ein, namentlich für Würde, Privatsphäre und den Schutz vor geschlechtsbezogener Gewalt.

Das Verbot erfasst:

• KI-Systeme, die Bilder erzeugen oder verändern, um Personen ohne deren Einwilligung in intimen Situationen darzustellen
• Verbreitungsplattformen, die solche Systeme wissentlich betreiben oder den Zugang dazu erleichtern
• Kommerzielle Dienste, die Nudifizierung als Funktion anbieten, unabhängig vom angegebenen Zweck

3. e-Privacy-Ausnahme für CSAM läuft aus: Ende der freiwilligen Erkennung

In einer umstrittenen Entscheidung mit weitreichenden Folgen hat das Europäische Parlament gegen eine Verlängerung der befristeten Ausnahme von den e-Privacy-Vorschriften gestimmt, die es Diensteanbietern erlaubt hatte, freiwillig nach Material über sexuellen Kindesmissbrauch (CSAM) in privater Kommunikation zu suchen.

Was das bedeutet

Seit 2021 bot eine befristete Verordnung eine Rechtsgrundlage dafür, dass Plattformen wie Meta, Google und Microsoft private Nachrichten mittels Hash-Abgleich auf bekanntes CSAM-Material prüfen. Ohne Verlängerung werden diese freiwilligen Prüfungen nach der e-Privacy-Richtlinie, die die Vertraulichkeit elektronischer Kommunikation schützt, rechtlich problematisch .

Die regulatorische Blockade

Das Auslaufen macht die ungelöste Spannung zwischen der vorgeschlagenen CSAM-Verordnung (oft „Chatkontrolle“ genannt) und dem Grundrecht auf Privatsphäre sichtbar. Rat und Parlament bleiben uneins über die Reichweite verpflichtender clientseitiger Prüfungen; Verfassungsgerichte mehrerer Mitgliedstaaten haben Bedenken wegen Massenüberwachung geäußert.

4. Governance für KI-Agenten: die neue regulatorische Herausforderung

Während Unternehmen rasch autonome KI-Agenten einsetzen, die über Geschäftssysteme hinweg schlussfolgern, planen und handeln, entsteht im Rahmen des EU AI Act eine kritische Governance-Lücke. Fachleute warnen, dass die heutigen Ansätze zur Risikoeinstufung dem agentischen KI-Paradigmanicht gerecht werden.

Drei Risikokategorien von KI-Agenten

Sicherheitsforscher schlagen ein Risikomodell mit zwei Größen vor: Zugriff (auf welche Systeme und Daten ein Agent gelangt) und Autonomie (wie eigenständig er handelt):

Schwierigkeiten bei der Einordnung in den AI Act

Die risikobasierte Einstufung des AI Act (minimal, begrenzt, hoch, unannehmbar) wurde vor allem für statische KI-Systeme mit vorhersagbaren Ausgaben entworfen. Agentische Systeme, die ihren eigenen Zugriff dynamisch ausweiten, Werkzeugaufrufe verketten und autonom über mehrere Unternehmenssysteme hinweg entscheiden, fügen sich nicht sauber in diese Kategorien.

• Vererbte Identitäten: Lokale Agenten, die unter den Zugangsdaten von Beschäftigten laufen, erzeugen unsichtbare Berechtigungsketten, die die zentrale IAM-Governance umgehen — ein unmittelbares Thema für NIS2 Artikel 21
• Lieferkettenrisiko: Agenten, die Plugins Dritter aus öffentlichen Ökosystemen laden, bringen ungeprüften Code mit vererbten Rechten ein — mit Bezug zu den Produktsicherheitsanforderungen des CRA
• Folgen für DORA: Finanzunternehmen, die autonome Agenten mit Zugriff auf IKT-Systeme einsetzen, müssen diese im Rahmen ihres IKT-Drittparteirisikomanagements nach Kapitel V der DORA bewerten

5. Sicherheitsuntersuchung der Europäischen Kommission: NIS2-Konformität unter der Lupe

Die laufende Untersuchung der Europäischen Kommission zum Einbruch in ihre öffentlich erreichbare Web-Infrastruktur — bekannt gegeben am 24. März, nachdem Angreifer auf Europa gehostete Websites kompromittiert hatten — wirft weiterhin unangenehme Fragen zur Einhaltung jener Vorschriften auf, für die die Institution selbst eintritt.

Neueste Entwicklungen

Nach Berichten von The Register hat die Kommission bestätigt, dass Daten abgeflossen sind — aus ihren Cloud-Systemen, auf denen die Europa-Websites betrieben werden. Zu Umfang, Auswirkungen und Angriffsweg macht sie kaum Angaben. Die Institution benachrichtigt „Unionseinrichtungen“, deren Daten betroffen sein könnten.

Es ist der zweite Sicherheitsvorfall der Kommission im Jahr 2026, nach der Meldung im Februar, dass Mobiltelefone von Mitarbeitenden kompromittiert wurden und dabei möglicherweise Namen und Rufnummern offengelegt wurden. Unabhängig davon berichtete BleepingComputer, ein Bedrohungsakteur habe möglicherweise auf die AWS-Cloud-Umgebungder Kommission zugegriffen und behaupte, mehr als 350 GB Daten entwendet zu haben.

Folgen für DORA und das Konzentrationsrisiko in der Cloud

Der Vorfall beleuchtet zugleich ein Risiko, für das die Bestimmungen der DORA zum Konzentrationsrisiko bei IKT-Drittanbietern (Artikel 29) geschaffen wurden: die übermäßige Abhängigkeit von einem einzigen Cloud-Anbieter für kritische Systeme. Sollte die AWS-Umgebung der Kommission tatsächlich der Einstiegspunkt gewesen sein, bestätigt das die regulatorische Logik hinter der Pflicht zu Ausstiegsstrategien und Multi-Cloud-Resilienzplanung — Anforderungen, die Finanzunternehmen nun umsetzen müssen.

Das größere Bild: Regulierungsübersicht April 2026

Mit dem Beginn des zweiten Quartals 2026 tritt der digitale Regulierungsrahmen der EU in seine folgenreichste Phase. So steht es um die wichtigsten Instrumente:

Das Zusammenwirken dieser Rahmenwerke schafft zugleich Compliance-Komplexität und strategische Chancen. Organisationen, die eine einheitliche Governance über NIS2, DORA und den AI Act hinweg aufbauen, stellen fest, dass sich die Investitionen summieren — ein Risikobewertungsrahmen, der für eine Verordnung entwickelt wurde, erfüllt oft Anforderungen mehrerer.