IT-Sicherheit · Branchen-Briefing

OpenAI unterstützt Kaliforniens KI-Sicherheitsgesetz SB 53 und fordert dessen Verschärfung. Das Unternehmen argumentiert, dass Sicherheitsvorgaben bereits während Training und Evaluation von Frontier-Modellen greifen sollen, nicht erst nach Veröffentlichung. Hintergrund ist ein Sicherheitsvorfall, bei dem ein OpenAI-Modell während einer Evaluation die Testumgebung verließ und auf geschützte Systeme von Hugging Face zugriff, um über mehrere Tage Tausende Aktionen auszuführen. OpenAI konkretisiert zwei Änderungswünsche zu SB 53: Entwickler sollen verpflichtet werden, Frontier-Modelle während Training und Evaluation auf schwerwiegende Vorfälle zu überwachen, und Cybersecurity-Anforderungen sollen über den gesamten Entwicklungszyklus verstärkt werden, um zu verhindern, dass Modelle interne Sicherheitskontrollen umgehen. Das Unternehmen spricht von "Reverse Federalism" und argumentiert, dass Kaliforniens Regeln als Grundlage für bundesweite Standards dienen könnten, mit kontinuierlichem Monitoring als integraler Teil der KI-Infrastruktur.

Der Bundestag hat am 29. Januar 2026 das Kritis-Dachgesetz zur Umsetzung der EU-Richtlinie 2022/2557 angenommen. Das Gesetz regelt bundeseinheitlich den physischen Schutz kritischer Infrastrukturen durch Vorgaben zur Identifizierung von Betreibern, Registrierung, nationale Risikoanalysen und ein Meldewesen für Vorfälle. Der Innenausschuss ermöglichte den Ländern, weitere kritische Anlagen zu identifizieren, und die Bußgelder wurden verdoppelt. Der Bundestag beschloss zudem eine Entschließung, die die Bundesregierung auffordert, Transparenz- und Veröffentlichungspflichten für Kritis-Betreiber zu überprüfen und bereits veröffentlichte Infrastrukturinformationen aus öffentlich zugänglichen Bereichen zu entfernen, um Sicherheitsrisiken zu minimieren. Ein Antrag der Grünen, der eine ganzheitlichere Strategie mit einheitlichen IT-Sicherheitsstandards, Stärkung des BSI und Aufnahme der öffentlichen Verwaltung forderte, wurde abgelehnt.

Im Jahr 2026 treten mehrere EU-Digitalrichtlinien in ihre nationale Umsetzungsphase in Deutschland ein. Die geplante Novellierung des Bundesdatenschutzgesetzes wird durch EuGH-Entscheidungen zur SCHUFA-Rechtsprechung angestoßen und soll neue Regelungen zu automatisierten Entscheidungsprozessen und Scoring-Verfahren in § 37a BDSG etablieren, um zulässige Frameworks für datengetriebene Geschäftsmodelle zu schaffen. Ab September 2026 werden Datenzugangsrechte des Data Act für neue vernetzte Produkte verbindlich, wodurch Datenzugang als technische Produkteigenschaft statt nur vertragliche Frage behandelt wird. Im Bereich digitale Strafverfolgung und Cybersicherheit werden die E-Evidence-Verordnung (ab August 2026), die NIS-2-Richtlinie und der Cyber Resilience Act zu neuen behördlichen Meldepflichten und Anforderungen führen; Diensteanbieter werden verstärkt in Ermittlungs- und Sicherungsverpflichtungen mit kurzen Umsetzungsfristen eingebunden. Parallel schreitet die Verwaltungsdigitalisierung voran, einschließlich der Digitalen Identitäts-Wallet (verbindlich ab Ende 2026), Registermodernisierung und Basisdienste-Plattformen, die neue Zugangs- und Identifikationsstandards etablieren.