← Zurück zum Sicherheitsblog

EU-Parlament stimmt für Vereinfachung des AI Act und Verbot von Nudifier-Systemen — CRA-Durchsetzung beschleunigt sich, DORA-TLPT-Fristen rücken näher

Die Ausschüsse IMCO und LIBE des Europäischen Parlaments schlagen eine umfassende Vereinfachung des EU AI Act vor — einschließlich eines ausdrücklichen Verbots von AI-„Nudifier“-Systemen und klarerer Anwendungsfristen für Hochrisikoanforderungen. Gleichzeitig ist der Durchsetzungsapparat des Cyber Resilience Act nach der ersten Sitzung der Gruppe für Verwaltungszusammenarbeit nun einsatzbereit, und die Fristen für bedrohungsorientierte Penetrationstests gemäß DORA rücken für Finanzinstitute näher. Hier erfahren Sie alles, was sich diese Woche getan hat.

---

🤖 EU-Parlament schlägt Vereinfachung des AI Act mit Nudifier-Verbot vor

Dies ist die erste bedeutende gesetzgeberische Überarbeitung seit Inkrafttreten des AI Act und sendet ein klares Signal: Die EU ist bereit, die Komplexität der Regulierung anzupassen und zugleich ihre Haltung gegenüber schädlichen Anwendungen zu verschärfen.

Vorgeschlagene zentrale Änderungen

• Verbot von AI-Nudifiern: Ausdrückliches Verbot von AI-Systemen, die intime Bilder ohne Einwilligung erzeugen. Dadurch wird eine Lücke in der ursprünglichen Liste „verbotener Praktiken“ geschlossen und auf die explosionsartige Zunahme von Deepfake-Pornografie reagiert, die sich ohne deren Zustimmung gegen Einzelpersonen richtet
• Klarere Anwendungsfristen für Hochrisikosysteme: Die Abgeordneten des Europäischen Parlaments schlagen eindeutige Zeitpläne für das Inkrafttreten der Anforderungen an Hochrisiko-AI-Systeme vor, um die Rechtsunsicherheit für Entwickler und Betreiber zu reduzieren
• Vereinfachungsmaßnahmen: Straffung der Compliance-Anforderungen zur Verringerung des regulatorischen Aufwands, insbesondere für KMU und Start-ups, die AI-Systeme entwickeln
• Fokus auf Verhältnismäßigkeit: Anpassungen, die sicherstellen sollen, dass Verpflichtungen dem tatsächlichen Risiko entsprechen, anstatt pauschale Anforderungen zu schaffen

Was dies für Organisationen bedeutet

Wenn diese Vorschläge das gesamte Parlament und das Trilogverfahren durchlaufen, profitieren Organisationen von:

• Weniger Unklarheit bei der Compliance: Klarere Fristen bedeuten weniger rechtlichen Interpretationsspielraum und mehr Planungssicherheit bei der Compliance
• Niedrigeren Compliance-Kosten für AI mit geringem Risiko: Vereinfachte Anforderungen könnten den Dokumentations- und Bewertungsaufwand für AI-Systeme reduzieren, die nicht in Hochrisikokategorien fallen
• Einer strengeren Liste verbotener Praktiken: Jeder AI-Anbieter, der Werkzeuge zur Bildbearbeitung anbietet, muss seine Systeme anhand der erweiterten Verbote überprüfen

---

🏛️ CRA: Durchsetzungsinfrastruktur jetzt einsatzbereit

Nach der ersten Sitzung der Gruppe für Verwaltungszusammenarbeit am 20. März ist der Durchsetzungsapparat des Cyber Resilience Act nun vollständig aktiviert. Die nationalen Marktüberwachungsbehörden aller 27 Mitgliedstaaten koordinieren sich jetzt zu folgenden Themen:

• Harmonisierte Durchsetzungsverfahren für eine einheitliche Anwendung des CRA im gesamten Binnenmarkt
• Protokolle für Produkttests und gemeinsame Methoden zur Überprüfung der Cybersicherheits-Compliance
• Grenzüberschreitende Zusammenarbeit zur gleichzeitigen Entfernung nicht konformer Produkte aus mehreren Märkten
• Abstimmung der Sanktionen — Geldbußen können bis zu 15 Millionen € oder 2,5 % des weltweiten Jahresumsatzes betragen

ENISA-Umfrage zur Bereitschaft von KMU weiterhin geöffnet

Die gezielte Umfrage der ENISA für KMU zu Bekanntheit, Bereitschaft und Unterstützungsbedarf beim CRA, die am 18. März gestartet wurde, ist weiterhin geöffnet. Für Organisationen, die Produkte mit digitalen Elementen herstellen, ist dies sowohl ein Weckruf zur Compliance als auch eine Gelegenheit, die Unterstützungsangebote der EU mitzugestalten.

---

💶 Zyprische Ratspräsidentschaft legt digitale Prioritäten fest

Am 19. März stellten Minister der zyprischen Präsidentschaft des Rates der EU den Ausschüssen des Europäischen Parlaments ihre Prioritäten vor. Das vollständige Programm umfasst zwar mehrere Politikbereiche, doch die Prioritäten für Digitalisierung und Cybersicherheit sind besonders bemerkenswert:

• Vollendung des digitalen Binnenmarkts: Vorantreiben von Rechtsvorschriften, die die Fragmentierung digitaler Dienste zwischen den Mitgliedstaaten reduzieren
• Aufbau von Cybersicherheitskapazitäten: Stärkung nationaler Fähigkeiten zur Umsetzung der NIS2-Verpflichtungen und zur Reaktion auf grenzüberschreitende Vorfälle
• Umsetzung der AI-Governance: Unterstützung der Mitgliedstaaten bei der Einrichtung nationaler AI-Behörden und der im AI Act vorgeschriebenen Durchsetzungsstellen
• Turnberry-Handelsabkommen zwischen EU und USA: Der INTA-Ausschuss verabschiedete Positionen zu Zollaspekten, die auch Bestimmungen zu Datenströmen und digitalem Handel mit Auswirkungen auf die Cybersicherheit umfassen könnten

Der Schwerpunkt der Ratspräsidentschaft auf der Umsetzung statt auf neuen Rechtsvorschriften ist bedeutsam. Der Regulierungsrahmen der EU (NIS2, DORA, CRA, AI Act, GDPR) ist weitgehend vollständig — die Herausforderung besteht nun in einer einheitlichen Durchsetzung in 27 Mitgliedstaaten mit sehr unterschiedlichen Cybersicherheitsreifegraden.

---

🔐 DORA: Compliance-Kontrollpunkt im 1. Quartal 2026

Der Digital Operational Resilience Act ist seit dem 17. Januar 2025 durchsetzbar. Finanzunternehmen sollten inzwischen eine aktive Compliance nachweisen. Zu den zentralen Aktivitäten im 1. Quartal 2026 gehören:

Bedrohungsorientierte Penetrationstests (TLPT)

Bedeutende Finanzinstitute müssen ihren ersten TLPT-Zyklus nach dem TIBER-EU-Rahmenwerk durchführen. Dabei handelt es sich nicht um einen gewöhnlichen Schwachstellenscan — TLPT umfasst informationsgestützte Red-Team-Übungen, die reale Techniken von Bedrohungsakteuren gegen kritische Produktionssysteme simulieren.

• Festlegung des Umfangs: Der TLPT-Umfang muss aktive Produktionssysteme und kritische Funktionen einschließen — keine Sandboxen, keine Testumgebungen
• Bedrohungsinformationen: Die Tests müssen auf aktuellen, speziell auf den Finanzsektor bezogenen Informationen zur Bedrohungslage basieren
• Externe Anbieter: TLPT muss von externen, zertifizierten Testanbietern mit entsprechender Akkreditierung durchgeführt werden
• Aufsichtliche Beteiligung: Die zuständigen nationalen Behörden beaufsichtigen den TLPT-Prozess und validieren die Ergebnisse

Risikomanagement für ICT-Drittanbieter

Finanzunternehmen müssen umfassende Register aller ICT-Drittdienstleister führen, einschließlich:

• Kritikalitätsbewertungen für jeden Anbieter
• Vertraglicher Bestimmungen, die Prüfungsrechte und Sicherheitsanforderungen gewährleisten
• Analysen von Konzentrationsrisiken — zur Vermeidung einer übermäßigen Abhängigkeit von einzelnen Cloud- oder Infrastrukturanbietern
• Ausstiegsstrategien und Ersatzplänen für kritische Anbieter

---

🌐 Digital Europe Programme für mehr Sicherheit umstrukturiert

Die Europäische Kommission gab am 19. März bekannt, dass das Digital Europe Programme umstrukturiert wird, um den sich wandelnden Anforderungen an die digitale Sicherheit besser gerecht zu werden. Zusammen mit der am 17. März eröffneten Horizon-Europe-Ausschreibung des ECCC über 56,2 Millionen € bedeutet dies erhebliche neue Fördermittel für Cybersicherheitsfähigkeiten:

• Nationale SOC-Netzwerke: Grenzüberschreitende Security Operations Center zur Erkennung von Bedrohungen und zum Austausch von Informationen
• Entwicklung von Cybersicherheitskompetenzen: Schulungsprogramme zur Bewältigung der schätzungsweise mehr als 500.000 unbesetzten Cybersicherheitsstellen in der EU
• Compliance-Werkzeuge für KMU: Praktische Ressourcen und Unterstützung bei der Zertifizierung für kleinere Organisationen, die die Anforderungen von NIS2 und CRA bewältigen müssen
• AI-gestützte Sicherheit: Forschungsförderung für AI-basierte Bedrohungserkennung, automatisiertes Schwachstellenmanagement und intelligente Reaktion auf Vorfälle

---

📊 Trends bei der GDPR-Durchsetzung — 1. Quartal 2026

Obwohl diese Woche keine richtungsweisenden GDPR-Geldbußen verhängt wurden, verschärft sich der allgemeine Durchsetzungstrend im 1. Quartal 2026 weiter:

• Grenzüberschreitende Durchsetzung: Der zentrale Anlaufstellenmechanismus wird weiterhin wegen Verzögerungen kritisiert, doch mehrere große grenzüberschreitende Fälle dürften im 2. Quartal 2026 abgeschlossen werden
• Schnittstelle zwischen AI und GDPR: Datenschutzbehörden prüfen zunehmend die Praktiken bei AI-Trainingsdaten, insbesondere das Web-Scraping zum Trainieren großer Sprachmodelle
• Durchsetzung der Cookie-Einwilligung: Mehrere Datenschutzbehörden der Mitgliedstaaten haben die Durchsetzung der Anforderungen an Cookie-Einwilligungen intensiviert, mit besonderem Fokus auf manipulative Muster in Einwilligungsbannern
• Daten von Kindern: Das vorgeschlagene Verbot von AI-Nudifiern überschneidet sich mit dem verstärkten Schutz Minderjähriger durch die GDPR und schafft damit eine regulatorische Durchsetzungsfläche über mehrere Vorschriften hinweg

---

🗓️ Bevorstehende regulatorische Fristen

Datum	Regulierung	Meilenstein
Juni 2026	NIS2	Niederlande: Frist für die Selbstbewertung von Unternehmen
2. Aug. 2026	EU AI Act	Verpflichtungen für Hochrisiko-AI-Systeme treten in Kraft
Sept. 2026	CRA	Verpflichtungen zur Meldung von Schwachstellen und Vorfällen beginnen
4. Quartal 2026	DORA	Abschluss des ersten TLPT-Zyklus für bedeutende Unternehmen
2027	EU AI Act	Verpflichtungen für AI-Modelle mit allgemeinem Verwendungszweck gelten
Dez. 2027	CRA	Vollständige Produktkonformität erforderlich

---

✅ Compliance-Maßnahmen für diese Woche

1. EU AI Act: Verfolgen Sie die Vereinfachungsvorschläge des Parlaments. Prüfen Sie alle Werkzeuge zur AI-Bilderzeugung oder -bearbeitung anhand des vorgeschlagenen Nudifier-Verbots. Stellen Sie sicher, dass Ihr Compliance-Fahrplan für Hochrisikosysteme bis zum 2. August 2026 im Zeitplan liegt.
2. CRA: Die Gruppe für Verwaltungszusammenarbeit ist aktiv — die Durchsetzung ist real. Beginnen Sie jetzt mit der SBOM-Dokumentation und den Produktsicherheitsbewertungen. Bis zur Meldefrist im September 2026 bleiben sechs Monate.
3. DORA: Finanzinstitute müssen überprüfen, ob die Festlegung des TLPT-Umfangs läuft. Vervollständigen Sie die Risikoregister für ICT-Drittanbieter. Stellen Sie sicher, dass die Vorfallmeldung die standardisierten Vorlagen der ESA verwendet.
4. NIS2: Nutzen Sie die Methodik für Cybersicherheitsübungen der ENISA, um interne Testfähigkeiten aufzubauen. Aktualisieren Sie Risikobewertungen, sodass staatlich unterstützte Angriffe auf verschlüsselte Kommunikationsdienste berücksichtigt werden (FBI-Warnung von letzter Woche).
5. Fördermittel: Prüfen Sie die Horizon-Europe-Ausschreibung des ECCC über 56,2 Mio. € für Cybersicherheitsforschung und -entwicklung. Das Bewerbungsfenster ist begrenzt.
6. GDPR: Überprüfen Sie die Praktiken für AI-Trainingsdaten. Prüfen Sie die Umsetzung der Cookie-Einwilligung auf die Einhaltung der Vorschriften zu manipulativen Mustern. Bewerten Sie die Verarbeitung von Kinderdaten im Kontext der vorgeschlagenen Änderungen am AI Act.