Zugriff und Rollen
Benutzer, Administratoren und Wartungszugänge sind getrennt angelegt. Jede Rolle bekommt so viele Rechte wie nötig und so wenige wie möglich; wer welche Unterlagen sehen darf, folgt den Freigaben, die in Ihrem Haus ohnehin gelten.
NIS2
NIS2 & lokale KI
Sichere KI-Infrastruktur für Unternehmen in der EU nachvollziehbar planen, betreiben und dokumentieren.
Grundlagen
Worum es bei NIS2 geht
- Was ist NIS2?
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie legt fest, welche Unternehmen und Einrichtungen in der Europäischen Union Mindestanforderungen an ihre Cybersicherheit erfüllen müssen, welche Maßnahmen dazu gehören und wie Sicherheitsvorfälle zu melden sind.
Als Richtlinie gilt sie nicht unmittelbar, sondern wird von jedem Mitgliedstaat in ein eigenes Gesetz übertragen. Die Grundanforderungen sind europaweit dieselben, Behörden, Meldewege und einzelne Details können sich je nach Land unterscheiden.
- Für welche Unternehmen ist NIS2 relevant?
Die Richtlinie unterscheidet „wesentliche" und „wichtige" Einrichtungen in einer Reihe von Sektoren — darunter Energie, Verkehr, Gesundheit, Banken und Finanzmärkte, Trinkwasser und Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. In der Regel sind Unternehmen ab mittlerer Größe betroffen; für einzelne Bereiche gelten Ausnahmen in beide Richtungen.
Dazu kommen Unternehmen, die selbst nicht unter die Richtlinie fallen, aber als Lieferanten oder Dienstleister die Anforderungen ihrer betroffenen Kunden vertraglich erfüllen müssen. Ob und wie Ihr Unternehmen eingeordnet ist, ergibt sich aus der nationalen Umsetzung und ist eine rechtliche Frage, die wir nicht beantworten — wohl aber die technischen Voraussetzungen dafür schaffen können.
- Warum betrifft NIS2 auch KI-Infrastruktur?
Ein KI-System, das Dokumente liest, Wissen bereitstellt und Abläufe automatisiert, ist ein IT-System wie jedes andere — mit Zugriffen, Schnittstellen, Updates und Daten, die gesichert werden müssen. Es gehört damit zu der Informationstechnik, auf die sich die Sicherheitsmaßnahmen eines betroffenen Unternehmens erstrecken.
Lokale Verarbeitung nimmt dabei einen Teil der Fragen vom Tisch, etwa die nach externen Empfängern. Sie beantwortet aber nicht die Fragen nach Zugriffsrechten, Protokollierung, Wiederherstellung und Aktualität. Genau diese Fragen gehören bei der Einführung geklärt, nicht danach.
- Was bedeutet Lieferkettensicherheit?
NIS2 verlangt von betroffenen Unternehmen, auch die Sicherheit ihrer Lieferkette zu betrachten — also die Dienstleister und Produkte, von denen die eigene IT abhängt. Für ein KI-System heißt das: Es muss nachvollziehbar sein, welche Software, welche Modelle und welche Komponenten darin stecken, woher sie kommen und wer sie pflegt.
Deshalb gehört zu jeder von uns gelieferten Infrastruktur eine Dokumentation der eingesetzten Komponenten. Sie macht aus einer Blackbox eine Liste, mit der Ihre Verantwortlichen arbeiten können.
Sicherheitsmaßnahmen
Welche Sicherheitsmaßnahmen berücksichtigt Locallution?
Innerhalb der von uns gelieferten KI-Infrastruktur sehen wir die folgenden Maßnahmen vor. Welche davon in welcher Tiefe umgesetzt werden, legen wir gemeinsam mit Ihren IT- und Datenschutzverantwortlichen bei der Planung fest — und halten es schriftlich fest.
Multi-Faktor-Authentifizierung
Administrative Zugänge können mit einem zweiten Faktor abgesichert werden, Fernwartungszugänge ebenso. Ob und wo MFA auch für Benutzer sinnvoll ist, hängt von Ihrer bestehenden Anmeldung ab und wird bei der Planung geklärt.
Netzwerk und Schnittstellen
Vor der Inbetriebnahme steht fest, welche Systeme das KI-System erreichen darf und welche es erreichen dürfen. Externe Verbindungen gibt es nur, wenn sie gebraucht werden — und dann benannt, begrenzt und in Ihrer Firewall kontrollierbar.
Backup und Recovery
Was gesichert wird, wohin und wie oft, ist vereinbart; die Wiederherstellung wird nicht erst im Ernstfall zum ersten Mal versucht. Modelle und Konfiguration sind reproduzierbar, ein Geräteausfall bedeutet Ausfallzeit, aber keinen Neuaufbau von Hand.
Logging
Anmeldungen, administrative Änderungen und Wartungszugriffe werden protokolliert. Was wie lange aufbewahrt wird, legen wir mit Ihnen fest — so, dass sich ein Vorfall nachvollziehen lässt, ohne dass unnötig Daten anfallen.
Patch- und Updatekonzept
Sicherheits- und Softwareupdates werden auf Kompatibilität geprüft und nach Absprache eingespielt, außerhalb Ihrer Arbeitszeiten. Wesentliche Versionsänderungen werden dokumentiert, damit jederzeit feststeht, welcher Stand läuft.
Schwachstellenmanagement
Bekannt gewordene Schwachstellen in eingesetzten Komponenten werden bewertet und, wenn sie das System betreffen, durch Update oder Konfiguration behoben. Die Komponentenliste ist dafür die Voraussetzung: Man kann nur prüfen, was man kennt.
Dokumentation eingesetzter Komponenten
Betriebssystem, Sprachmodelle, Anwendungen und wesentliche Bibliotheken stehen mit Version und Herkunft in einer Liste. Sie ist Teil der Übergabe und wird bei Änderungen fortgeschrieben — die Grundlage für jede Bewertung der Lieferkette.
Laufende Wartung
Nach der Einführung bleibt das System nicht sich selbst überlassen: regelmäßige Funktionsprüfungen, geprüfte Updates, technische Fehlerbehebung und die Pflege der Dokumentation gehören zur Betreuung — als Security & Maintenance monatlich oder in der Miete enthalten.
Innerhalb der EU
Nationale Umsetzung innerhalb der EU
NIS2 ist eine EU-Richtlinie. Die konkrete Umsetzung erfolgt durch nationale Gesetze der einzelnen Mitgliedstaaten. Deshalb können sich Behörden, Meldewege und einzelne Detailanforderungen je nach Land unterscheiden.
Locallution berücksichtigt bei Projekten sowohl die europäischen NIS2-Grundanforderungen als auch – soweit für das Projekt relevant – die nationale Umsetzung im jeweiligen Mitgliedstaat.
Beispiel: In Österreich erfolgt die nationale Umsetzung insbesondere über das NISG 2026.
Keine automatische NIS2-Konformität
Ein lokales KI-System allein stellt keine NIS2-Konformität eines Unternehmens her, und diese Seite ersetzt keine rechtliche Prüfung. Locallution unterstützt bei der technischen Umsetzung und Dokumentation relevanter Sicherheitsmaßnahmen innerhalb der gelieferten KI-Infrastruktur.
Welche konkreten rechtlichen Anforderungen für Ihr Unternehmen gelten, hängt vom jeweiligen Mitgliedstaat, von Unternehmensgröße, Branche und individueller Einordnung ab. Dafür sind Ihre Rechtsberatung und Ihre zuständige Behörde die richtigen Stellen — wir liefern die technischen Angaben zu.
Wo steht Ihre KI-Infrastruktur heute?
In einem ersten Gespräch sehen wir uns Ihre Abläufe und Ihre bestehende IT an und klären, welche Sicherheitsanforderungen für ein lokales KI-System bei Ihnen zu berücksichtigen sind. Kostenlos und unverbindlich.
Kostenlose Prozess- & Sicherheitsanalyse
Dasselbe Erstgespräch wie überall auf dieser Website, mit Blick auf Ihre Sicherheitsanforderungen.