Forschungsfeld · Regulatorik
Regulatory Intelligence: von der Primärquelle zum prüfbaren Control
NIS2, DORA, der Cyber Resilience Act und der EU AI Act überschneiden sich in Risikomanagement, Lieferkette und Meldewesen – und einzelne Fristen verschieben sich. Vami Research liest die Primärquellen, trennt Pflicht, Leitlinie und Entwurf, verfolgt Fristen und übersetzt Anforderungen in Controls und Nachweise. Daraus entsteht die Grundlage für Agentic GRC Engineering.
- NIS2
- DORA
- Cyber Resilience Act
- EU AI Act
- BaFin KI & IKT
- EBA Third-Party Risk
- KRITIS
- Deep Dives
- 8
- Whitepaper
- 7
- Lösungen
- 2
Dichte Regulierung braucht klare Einordnung
EU-Recht und seine deutsche Umsetzung greifen in dichter Folge: DORA ist seit dem 17. Januar 2025 anwendbar, das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft, das KRITIS-Dachgesetz seit dem 17. März 2026. Seit dem 2. August 2026 gelten die Transparenzpflichten des AI Act, seit dem 11. September 2026 die Meldepflichten des Cyber Resilience Act. Hinzu kommen Leitlinien und Orientierungshilfen der Aufsicht, etwa der EBA zum Third-Party Risk und der BaFin zu KI.
Für die Praxis entscheidet der Status. Die BaFin-Orientierungshilfe zu KI ist ausdrücklich unverbindlich, für die neue KRITIS-Verordnung liegt seit dem 26. Mai 2026 ein Referentenentwurf ohne Rechtskraft vor, und den Anwendungsbeginn der EBA-Leitlinien legt erst die Veröffentlichung der Übersetzungen fest. Wer Pflicht, Auslegung und Entwurf vermischt, plant zu früh oder zu spät.
Wir lesen die Primärquellen und belegen Kernaussagen mit Fundstellen; eigene Bewertungen kennzeichnen wir als solche. Daraus entstehen Deep Dives, teils mit interaktiven Werkzeugen, die Reality-Check-Whitepaper zu NIS2, DORA, CRA und AI Act sowie Control-Sets, mit denen eine einmal umgesetzte Maßnahme mehrere Regelwerke bedient.
Offene Fragen der Praxis
- 01
Was ist verbindliche Pflicht – und was Leitlinie, Entwurf oder eigene Empfehlung?
Unser Ansatz
Wir weisen für jede Quelle den Status aus und trennen durchgängig, was Verordnung und technische Standards verlangen, was Aufsichten als bewährte Praxis beschreiben und was wir zusätzlich empfehlen. Beispiel BaFin: Die Orientierungshilfe zu KI schafft keine neuen Pflichten – die Pflichten ergeben sich unmittelbar aus DORA und den technischen Standards.
- 02
Wie behalten Sie Fristen im Blick, die sich verschieben – wie beim AI Act?
Unser Ansatz
Wir verfolgen Anwendungsbeginn, Übergangs- und Meldefristen je Regelwerk an der Primärquelle. Der Digital Omnibus verschob die Hochrisiko-Pflichten für eigenständige Systeme auf den 2. Dezember 2027, für in Produkte eingebettete auf den 2. August 2028. Die Transparenzpflichten gelten seit dem 2. August 2026; nur generative Bestandssysteme haben für die maschinenlesbare Kennzeichnung Zeit bis zum 2. Dezember 2026.
- 03
Wie setzen Sie NIS2, DORA, CRA und AI Act um, ohne dieselbe Maßnahme mehrfach zu bauen?
Unser Ansatz
Wir ordnen Anforderungen einem gemeinsamen Kontrollrahmen zu – etwa ISO/IEC 27001 als Fundament und DORA als Overlay, mit einer Risikomethodik und gemeinsamen Evidenzen. Maschinenlesbar wird das über OSCAL: Der Framework Composer in VamiGRC nutzt ein Control-Set für mehrere Standards, bis zur Erklärung zur Anwendbarkeit.
- 04
Welche Pflichten gelten bereits für KI-Systeme und KI-Agenten in regulierten Organisationen?
Unser Ansatz
Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz, seit dem 2. August 2026 gelten die Transparenzpflichten, die auch Agenten im Kundenkontakt erfassen. Im Finanzsektor fallen KI-Systeme zudem unter das IKT-Risikomanagement nach DORA. Wir beginnen mit einem vollständigen KI-Inventar und dem Rollen-Mapping als Anbieter oder Betreiber, gefolgt von einer Gap-Analyse.
Was wir festhalten
- 01
Transparenzpflichten gelten seit dem 2. August 2026 – auch für KI-Agenten
KI-Systeme im direkten Kontakt mit Menschen müssen als KI erkennbar sein; ein Hinweis nur im Handbuch genügt laut Leitlinienentwurf der Kommission vom 8. Mai 2026 nicht. Generative Ausgaben, auch agentischer Systeme, sind maschinenlesbar zu markieren.
Beleg: AI-Act-Transparenzpflichten
- 02
KI unter DORA braucht keine Parallelstruktur
Die BaFin-Orientierungshilfe vom 18. Dezember 2025 ist unverbindlich und schafft keine neuen Pflichten. Sie ordnet KI-Systeme als Netzwerk- und Informationssysteme im Sinne von DORA ein: Modelle, Trainingsdaten und Bibliotheken gehören ins Asset-Inventar, KI-Vorfälle in den bestehenden Meldeprozess. Der Hebel liegt in der Integration in den IKT-Risikomanagementrahmen.
Beleg: BaFin-Orientierungshilfe KI
- 03
Third-Party Risk konvergiert: Die EBA übernimmt die DORA-Logik
Mit EBA/GL/2026/09 vom 18. September 2026 überträgt die EBA die DORA-Definition der kritischen oder wichtigen Funktion auf Non-ICT-Dienstleistungen. Register, Policy und Überwachungsrolle dürfen mit den DORA-Pendants zusammengeführt werden. Der Anwendungsbeginn folgt mit den Übersetzungen; für kritische oder wichtige Funktionen gilt dann eine zweijährige Übergangsfrist.
- 04
NIS2-Betroffenheit prüfen Sie selbst – eine Benachrichtigung kommt nicht
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft; der Gesetzgeber rechnet mit rund 30.000 betroffenen Einrichtungen. Für bereits bei Inkrafttreten erfasste Einrichtungen lief die Registrierungsfrist am 6. März 2026 ab, die vom BSI kommunizierte Nachfrist am 31. Juli 2026. Nachholen beendet den laufenden Verstoß, heilt aber nicht die Vergangenheit.
Beleg: NIS2
Wie wir vorgehen
Unsere Methode folgt dem Weg einer Anforderung: von der Primärquelle über Status und Frist bis zum Control mit Nachweis.
Primärquellen-Lektüre
Rechtsakte, technische Standards, Leitlinien und Final Reports im Original auswerten und Kernaussagen mit Fundstellen belegen.
Status-Kennzeichnung
Pflicht, aufsichtliche Praxis, Entwurf und eigene Empfehlung durchgängig getrennt ausweisen.
Fristenradar
Anwendungsbeginn, Übergangs- und Meldefristen je Regelwerk verfolgen – einschließlich Verschiebungen wie durch den Digital Omnibus.
Control-Mapping
Pflichten auf einen gemeinsamen Kontrollrahmen abbilden, damit eine Maßnahme mehrere Regelwerke bedient – maschinenlesbar über OSCAL.
Reality Checks für CISOs
Whitepaper zu NIS2, DORA, CRA und AI Act mit Fahrplänen für die Umsetzung – inklusive Agentic AI als neues IKT-Risiko unter DORA.
Werkzeuge und Kompetenz
Interaktive Werkzeuge wie Scope-Navigator und Register-Builder machen Leitlinien anwendbar; Praxisschulungen und VamiAcademy-Lernpfade je Rolle verankern das Wissen.
So starten Sie
- 1Lesen und einordnenPrimärquelle auswerten, Status, Adressaten und Fristen bestimmen und gegen bestehende Pflichten abgrenzen.
- 2In Controls übersetzenPflichten in Controls, Prozesse und Nachweise übersetzen und mit vorhandenen Regelwerken zusammenführen, statt Parallelstrukturen aufzubauen.
- 3Betreiben und nachweisenControls einmal umsetzen, Nachweise laufend pflegen; in VamiGRC erledigen KI-Agenten Routine nach Freigaberegeln, Meldeentwürfe prüft Ihr Team.
Deep Dives, Whitepaper und Analysen
Deep Dives 8
Whitepaper 7
NIS2 Reality Check — Registrierung, Lieferkette & Haftung
DORA Reality Check — Third-Party Risk & Agentic AI
CRA Reality Check — Zero-Days, Supply Chain & AI
AI Act Reality Check — Hochrisiko-Fristen, GPAI & Agentic AI
EU AI Act — Compliance-Leitfaden für Unternehmen (EN)
KI unter DORA für CISOs — BaFin-Orientierungshilfe zu IKT-Risiken
Third-Party Risk für CISOs — EBA-Leitlinien Non-ICT 2026Analysen & News
Weitere Seiten
- ENISA NIS2 Technical Implementation Guidance
- DORA & ISO 27001 synergetisch umsetzen
- KI Compliance
- NIST Cybersecurity Framework 2.0: Beratung & Assessment
- CIS Controls v8.1
- ISO/IEC 27005:2022
- ISO 31000 Risikomanagement: Rahmen für Cyber-Risiko
- ISO/IEC 27035: Incident Management strukturiert
- ISO/IEC 27036: Lieferantenrisiko & Lieferkette
Vom Feld in die Umsetzung
Verwandte Forschungsfelder
Welche Pflichten gelten für Sie – und ab wann?
Wir ordnen Ihre Organisation in NIS2, DORA, CRA und AI Act ein, trennen Pflicht von Empfehlung und zeigen, wie eine Maßnahme mehrere Regelwerke bedient.