IT-Sicherheit · Branchen-Briefing

Das KRITIS-Dachgesetz könnte eine neue Regulierungslandschaft für kritische Infrastrukturen schaffen und damit Investitionen, Lieferketten und Unternehmensübernahmen erheblich beeinflussen. Vor dem Hintergrund zunehmender Drohnensichtungen, vermuteter Sabotageakte und hybrider Bedrohungen wird Sicherheitsresilienz zum strategischen Investitionsthema und könnte sich als wichtiger Wettbewerbsfaktor für M&A-Aktivitäten etablieren.

Die EU hat 2024 den EU AI Act als umfassendstes globales Regelwerk für künstliche Intelligenz formal verabschiedet. Das Gesetz etabliert Pflichten für alle Akteure der AI-Wertschöpfungskette und gilt für EU-Organisationen sowie global für Nicht-EU-Akteure auf dem europäischen Markt. Es verfolgt einen risikobasierten Ansatz mit vier AI-Kategorien: verbotene Praktiken, hochrisikante Systeme mit umfangreichen Compliance-Anforderungen (Risikomanagement, Datengovernance, technische Dokumentation, Logging, Transparenz, Cybersecurity), limitierte Risiken mit Transparenzverpflichtungen, sowie niedrig- und minimalrisikante Systeme. Verstöße können Geldbußgelder von 3 bis 7 Prozent des globalen Jahresumsatzes oder 15 bis 35 Millionen Euro auslösen. Der AI Act gilt parallel zur GDPR, der NIS2-Direktive und weiteren EU-Digitalgesetzen. Provider tragen die schwerwiegendsten Compliance-Lasten einschließlich Konformitätsbewertung, CE-Kennzeichnung und Registrierung in der EU-Datenbank. Deployer müssen Verbotskompliance sicherstellen, hochrisikante Systeme überwachen, Fundamental Rights Impact Assessments durchführen und ernsthafte Vorfälle melden. Allerdings haben nur etwa 33 Prozent der EU-Mitgliedstaaten ihre Marktüberwachungs- und Meldebehörden vollständig benannt, während 22 Prozent noch keine Behörden designiert haben.

Die Payment Services Regulation (PSR) führt umfangreiche neue Anforderungen ein, die bis Januar 2027 veröffentlicht und 21 Monate später in Kraft treten werden. Wesentliche Änderungen betreffen die Transaktionsüberwachung: Zahlungsdienstleister müssen künftig nicht nur zahlerseitig, sondern auch zahlungsempfängerseitig Zahlungen vor Gutschrift überwachen und haften direkt bei Unterlassung – eine neue Pflicht gegen Mule Accounts, die auch verpflichtenden Betrugsdatenaustausch zwischen PSPs mit expliziter Datenrechtssicherheit erfordert. Das Haftungsregime wird erheblich kompliziert: Neben der modifizierten Logik für nicht autorisierte Transaktionen treten zwei völlig neue parallele Haftungsregime hinzu – VoP-Fehlerhaftung (sofortige Erstattung bei fehlgeschlagener Zahlungsempfänger-Verifizierung) und Identitätsbetrug/Spoofing (volle Haftung bei betrügerischer Impersonation des PSP). Jedes Regime hat eigene Auslösebedingungen, Fristen und Beweislastregeln. Im Open-Banking-Bereich wird die dedizierte Schnittstelle verpflichtend; der automatische Fallback zur Kundenschnittstelle entfällt weitgehend. Zusätzlich entstehen neue Anforderungen an Protokollierung, Consent-Management und Wartungsfenster. Die Komplexität liegt nicht in einzelnen Anforderungen, sondern in deren paralleler Umsetzung über multiple Abteilungen – Fraud/Risk, Recht, IT, Kundenservice und Produktmanagement müssen koordiniert Systeme, Prozesse und Governance anpassen.