Der am 7. Juli 2026 von der Europäischen Kommission vorgelegte Aktionsplan zu Cybersicherheit und künstlicher Intelligenz formalisiert ein Investitionsprogramm in Höhe von 300 Millionen Euro und aktiviert ein unionsweites KI-Modellbewertungsmandat mit operativem Zieldatum 2027 — mit konkreten Compliance-Verpflichtungen für alle Organisationen, die fortgeschrittene KI in kritischen Infrastruktursektoren der EU einsetzen.
Für alle, die tiefer einsteigen möchten, bietet Grace Certified Checklisten für KI-Governance-Hygiene.
Was der Aktionsplan vorschreibt
Der Aktionsplan gliedert sein Regulierungsprogramm in drei komplementäre Säulen: die Förderung des sicheren und verantwortungsvollen Einsatzes fortgeschrittener KI-Modelle; die Stärkung der EU-Cybersicherheit und operativen Resilienz; sowie den Ausbau europäischer KI-Kapazitäten für defensive Cybersicherheitsanwendungen. Diese Säulen bündeln Verpflichtungen aus vier bestehenden Rechtsinstrumenten — KI-Verordnung, Cyber Resilience Act, NIS2-Richtlinie und Digital Operational Resilience Act (DORA) — in einem einheitlichen Umsetzungsrahmen mit definierten Meilensteinen und Investitionszusagen bis Ende 2027.
Das Kernstück des Plans ist die Einrichtung einer europäischen KI-Bewertungskapazität mit Schwerpunkt Cybersicherheit, die bis 2027 einsatzbereit sein soll. Diese Kapazität versetzt das KI-Büro in die Lage, Drittbewertungen von Frontier- und Allzweck-KI-Modellen (GPAI) vor der EU-Markteinführung durchzuführen — womit die Pflichten aus Kapitel V der KI-Verordnung für GPAI-Anbieter um eine dedizierte Cybersicherheitsbewertungsschiene erweitert werden. Anbieter, die fortgeschrittene KI auf dem EU-Markt platzieren, durchlaufen eine kombinierte Bewertung systemischer Risikoeinstufungen und cybersicherheitsspezifischer Risikofaktoren — zwei Dimensionen, die bislang in parallelen Regulierungsspuren liefen und fortan unter einer einzigen zuständigen Behörde konvergieren.
Der Plan beauftragt die Agentur der Europäischen Union für Cybersicherheit (ENISA), gemeinsam mit der Gemeinsamen Forschungsstelle (JRC), zwei konkrete Infrastrukturelemente bereitzustellen. Erstens: einen europäischen Blueprint für den strukturierten Zugang zu fortgeschrittenen KI-Systemen, der festlegt, welche Akteursgruppen — EU-Institutionen, Mitgliedstaaten, Betreiber kritischer Infrastrukturen, Cybersicherheitsanbieter und Forschungseinrichtungen — Zugang zu Frontier-KI-Kapazitäten für defensive Zwecke erhalten. Zweitens: eine sichere Testplattform, die es Betreibern kritischer Sektoren ermöglicht, KI-Lösungen unter kontrollierten Bedingungen gegen simulierte Angriffszenarien zu testen und zu validieren.
Eine Open-Source-Software-Resilienzkampagne startet im dritten Quartal 2026 mit dem Ziel, Sicherheitslücken in KI-Toolchains und Cybersicherheitssoftware auf Basis von Open-Source-Komponenten zu identifizieren und zu beheben. Die Kampagne mobilisiert Behörden, private Entwickler und Forschungsgemeinschaften entlang der gesamten kritischen digitalen Lieferkette der EU — als direktes Komplement zu den Softwarekomponenten-Verpflichtungen des Cyber Resilience Act.
Die EU Grand Challenge on AI for Cybersecurity wird Unternehmen, Forschungseinrichtungen und öffentliche Organisationen für die Entwicklung souveräner europäischer defensiver KI-Lösungen zusammenführen, mit technischen Spezifikationen, die an den drei Säulen des Aktionsplans ausgerichtet sind.
Wer handeln muss und bis wann
Vier Organisationskategorien tragen materielle Compliance-Verpflichtungen im Rahmen des integrierten Zeitplans des Aktionsplans.
KI-Modellanbieter stehen ab dem 2. August 2026 unter verstärkter Aufsicht — dem Datum, an dem die Aufsichtsbefugnisse der KI-Verordnung vollständig operativ werden. Anbieter fortgeschrittener GPAI-Modelle mit Cybersicherheitsrisikobezug treten in die Warteschlange für das Bewertungsframework 2027 ein; jene, die den proaktiven Dialog mit der regulatorischen Funktion des KI-Büros aufnehmen, sichern sich einen Verhandlungsvorteil bei der Klassifizierungsmethodik vor Beginn formaler Bewertungszyklen. Der Aktionsplan stellt klar, dass die bis 2027 aufzubauende Bewertungskapazität systemische Risiken und Cybersicherheitsrisikofaktoren als kombinierte Verpflichtung bewertet.
Betreiber kritischer Infrastrukturen in den Sektoren Energie, Verkehr, Gesundheit, Finanzen und öffentliche Verwaltung erhalten explizite Leitlinien zur Intensivierung von Cyberhygiene-Programmen, zur Integration KI-gestützter Schwachstellenverwaltung in operative Sicherheits-Workflows und zur Registrierung für den Zugang zur sicheren ENISA-Testplattform. Diese Betreiber befinden sich an der dokumentierten Schnittstelle von NIS2-Verpflichtungen und Hochrisikoeinstufungen nach Artikel 6 der KI-Verordnung — der Aktionsplan formalisiert diese Schnittstelle und etabliert Rechenschaftsstrukturen.
Cybersicherheits-Startups und Scale-ups erhalten bis Ende 2026 Zugang zu 100 Millionen Euro EIC-Fonds-Investitionen, ausgerichtet auf KI-native Sicherheitslösungen. Parallel dazu fließen 200 Millionen Euro aus den Programmen Horizont Europa und Digitales Europa an Forschungseinrichtungen und KI-Fabriken, die verantwortungsvolle KI-Infrastruktur entwickeln und zur Bewertungsarchitektur 2027 beitragen, im Rahmen des laufenden Mehrjährigen Finanzrahmens.
Finanzsektor-Einheiten mit DORA-Verpflichtungen stehen vor derselben Terminkonvergenz 2027: NIS2, DORA und der Cyber Resilience Act erreichen alle im gleichen Zeitfenster Umsetzungsreife, in dem die EU-Bewertungskapazität operativ wird. Eine vorausschauende Compliance-Kartierung, die alle drei Instrumente umfasst, reduziert das Risiko doppelter Sanierungsprogramme und widersprüchlicher interner Zeitpläne.
Die Entscheidung auf Vorstandsebene
Vorstände und Chefjuristen sollten bis zum vierten Quartal 2026 eine formelle KI-Cybersicherheits-Compliance-Kartierung in Auftrag geben. Das Ergebnis: ein strukturiertes Register, das jeden aktiven KI-Einsatz mit seinen Pflichten aus der KI-Verordnung (Kapitel V für GPAI-Modelle, Artikel 6 für Hochrisiko-KI-Systeme), NIS2, DORA und dem Cyber Resilience Act verknüpft — mit benannten Verantwortlichen für jeden Compliance-Strang. Dieses Register wird zum primären internen Dokument für den Regulatordialog, wenn der Bewertungszyklus 2027 startet, und positioniert die Organisation für eine konstruktive Teilnahme am ENISA-Blueprint-Zugangsprozess. Die Aufsichtsbefugnisse der KI-Verordnung werden am 2. August 2026 wirksam: Dieses Datum markiert den verbindlichen Startpunkt für die Vorstandsverantwortung in der GPAI-Modell-Governance.
Artikel von ATLAS — Governance & Compliance
ATLAS berichtet über KI-Regulierung aus primären Rechtsquellen. Jede Verpflichtung mit Verweis auf das offizielle Dokument belegt.