KI-Einführung und Anforderungen an die Geschäftskontinuität: Was Führungskräfte wissen müssen

Künstliche Intelligenz (KI) ist mittlerweile ein fester Bestandteil europäischer Geschäftsstrategien. Für Führungskräfte liegt die Herausforderung darin, die Möglichkeiten der KI gezielt zu nutzen, um die Stabilität und Widerstandsfähigkeit ihres Unternehmens zu erhöhen und dabei gleichzeitig die strengen EU-Vorgaben zur Geschäftskontinuität und Notfallwiederherstellung einzuhalten. Der Digital Operational Resilience Act (DORA), die NIS2-Richtlinie und die DSGVO fordern Verantwortlichkeit, Transparenz und nachweisbare Widerstandsfähigkeit. KI kann hier ein großer Vorteil sein, aber auch neue Compliance-Lücken schaffen, wenn sie nicht richtig gesteuert wird.

EU-Regulierungsrahmen für Kontinuität

• Digital Operational Resilience Act (DORA): Finanzinstitute und kritische IKT-Anbieter müssen ihre Fähigkeit nachweisen, dass sie IKT-Störungen standhalten und sich davon erholen können. Dazu gehören das IKT-Risikomanagement, die Meldung von Vorfällen, Resilienztests und die Überwachung von Dienstleistern.
• NIS2-Richtlinie: Weitet die Anforderungen an die Cyberresilienz auf Sektoren wie Energie, Gesundheitswesen, Transport und digitale Infrastruktur aus.
• DSGVO: Verlangt, dass personenbezogene Daten vertraulich, integer und verfügbar bleiben. Das bindet KI-Initiativen implizit an verlässliche Geschäftskontinuitätsplanungen, da KI-Modelle häufig sensible Daten verarbeiten, die auch während Störungen geschützt werden müssen.

Wie KI Geschäftskontinuität und Wiederherstellung stärkt

KI sorgt für spürbare Verbesserungen bei der Resilienzplanung:

• Schnellere Erkennung von und Reaktion auf Anomalien in IT- und Anbieter-Ökosystemen.
• Automatisierte Wiederherstellungsprozesse, die die Wiederherstellung von Services beschleunigen.
• Skalierbare Szenario-Simulationen, die Stresstests gemäß den DORA-Anforderungen ermöglichen.
• KI-gestützte Cyberabwehre, die Eindringversuche besser erkennt und auf Vorfälle schneller reagiert.

Wie in unserem Blogpost Wenn das Netzwerk wankt: Warum resiliente Netzwerkinfrastruktur im KI-Zeitalter entscheidend ist erwähnt, müssen Netzwerke anpassungsfähig sein, sich selbst überwachen und Bedrohungen erkennen. KI stärkt genau diese Fähigkeiten und macht Kontinuitätspläne für Regulierungsbehörden glaubwürdiger.

Wo KI die Compliance erschwert

So sehr KI die Widerstandsfähigkeit in vielen Bereichen stärkt, so sehr bringt ihre Einführung auch Risiken mit sich, die Vorstände nicht ignorieren dürfen. Diese Herausforderungen sind besonders ausgeprägt in regulierten EU-Märkten, wo Transparenz, Rechenschaftspflicht und Nachweisbarkeit für die Erwartungen der Aufsichtsbehörden von zentraler Bedeutung sind.

Intransparente KI-Entscheidungen

Viele KI-Systeme – insbesondere solche auf Basis von Machine Learning – funktionieren wie „Black Boxes“. Wenn Wiederherstellungsmaßnahmen ausgelöst werden, ohne dass klar nachvollziehbar ist, warum, könnten Prüfer die Kontinuitätspläne als nicht konform bewerten. Aufsichtsbehörden wie die Europäische Bankenaufsichtsbehörde betonen schon heute die Notwendigkeit der Nachvollziehbarkeit in automatisierten Risikomanagementsystemen. Vorstände müssen deshalb KI-Modelle fordern, die dokumentierte Entscheidungswege liefern, damit KI-gesteuerte Handlungen bei Prüfungen oder nach einem Ausfall nachvollziehbar gerechtfertigt werden können.

Modellfragilität und Angriffsrisiken

KI-Modelle können auf unerwartete Weise versagen. Fragilität entsteht, wenn Modelle, die auf engen Datensätzen trainiert wurden, nicht auf neuartige Krisen reagieren können, wie beispielsweise gleichzeitige Cyber- und physische Ausfälle. Angriffsrisiken treten auf, wenn Angreifer Eingaben gezielt manipulieren, um Systeme in die Irre zu führen, zum Beispiel durch Verschleierung eines bösartigen Netzwerksereignisses, das so der Erkennung entgeht. In beiden Fällen können Kontinuitätsannahmen zusammenbrechen, wenn KI-Modelle unter Druck unvorhersehbar reagieren. Um dies zu verhindern, sollten Vorstände Stresstests von KI auch unter „Edge-Case“-Störungsszenarien verlangen, nicht nur unter Routinevorfällen.

Abhängigkeit von Drittanbietern und Konzentrationsrisiko

DORA warnt ausdrücklich vor übermäßiger Abhängigkeit von kritischen IKT-Dienstleistern. Wenn eine Kontinuitätsstrategie auf wenige KI-Anbieter oder Hyperscaler-Clouds setzt, entsteht ein Konzentrationsrisiko. Eine Störung oder eine regulatorische Maßnahme gegen einen Anbieter könnte zu systemischen Ausfällen führen. Vorstände müssen daher Abhängigkeiten erfassen, Exit-Strategien entwickeln und ihre KI-Lieferketten diversifizieren, um den DORA-Anforderungen zur Überwachung von Dritten gerecht zu werden.

Sicherheitslücken in KI-Modellen

KI-Modelle sind jetzt selbst Angriffsziele. Techniken wie Data Poisoning (Verfälschung von Trainingsdaten), Modelldiebstahl oder Prompt Injection können Kontinuitätssysteme gefährden. Wenn Bedrohungsakteure erfolgreich sind, könnten Wiederherstellungswerkzeuge versagen oder eine falsche Sicherheit liefern, wodurch sich die Angriffsfläche vergrößert. Im Rahmen der NIS2, die angemessene technische und organisatorische Maßnahmen vorschreibt, müssen die Vorstände sicherstellen, dass KI-Systeme durch kontinuierliche Überwachung, Bedrohungsmodellierung und Tests der Widerstandsfähigkeit gegen Angriffe gehärtet sind.

Diese Risiken verdeutlichen ein größeres Thema: KI ist nicht von Natur aus konform. Ohne Governance auf Vorstandsebene kann die gleiche Technologie, die Resilienz stärkt, neue Schwachstellen schaffen. Deshalb haben wir bereits in unserem Blogbeitrag Damovo’s Prognosen für 2025: Die Zukunft von Kommunikation und Cybersecurity betont, dass die Einführung von KI immer Hand in Hand gehen muss mit Risikomanagement bei Anbietern, regulatorischer Abstimmung und robusten Sicherheitspraktiken.

Maßnahmen auf Führungsebene, um KI mit EU-Vorgaben in Einklang zu bringen

1. KI in Governance-Frameworks einbetten Ordnen Sie KI-Anwendungsfälle direkt den Kontrollen von DORA, NIS2 und DSGVO zu. Fordern Sie Transparenz und Überprüfbarkeit.
2. Hybride Resilienz erhalten. Behalten Sie neben der KI-Automatisierung auch von Menschen geleitete Wiederherstellungsprozesse bei, um die Erwartungen an Redundanz zu erfüllen.
3. Tests zur Validierung durchführen. Führen Sie Krisenszenarien mit KI durch und dokumentieren Sie die Ergebnisse als Nachweis für Aufsichtsbehörden.
4. Abhängigkeiten von Anbietern steuern. Erstellen Sie ein Verzeichnis von KI-Anbietern, definieren Sie Ausweichstrategien und überwachen Sie die Compliance.
5. KI-Modelle absichern. Wenden Sie Red Teaming und Monitoring an, um KI-Pipelines zu schützen und die Einhaltung gesetzlicher Vorschriften sicherzustellen.

Unser Blogbeitrag Mehr KI, mehr Cloud, mehr Komplexität: Wohin entwickelt sich der europäische CCaaS-Markt 2025? unterstreicht, dass große Transformationen im öffentlichen Sektor und in Unternehmen künftig noch stärker unter regulatorischer Beobachtung stehen. Resilienz und Compliance von KI in Verträgen und Workflows zu verankern, ist daher zu einer Pflichtaufgabe auf Vorstandsebene geworden.

Ausblick

Europäische Regulierungsbehörden geben klar zu verstehen, dass KI künftig genauso streng geprüft wird wie jede andere kritische IKT-Funktion. Die entscheidende Frage für Vorstände lautet also nicht, ob KI die Kontinuität stärkt, sondern ob dies auf transparente, überprüfbare und konforme Weise geschieht.

Jetzt ist der richtige Zeitpunkt, um:

• eine Überprüfung der KI-Resilienz, einzuleiten, die sich an DORA, NIS2 und DSGVO orientiert.
• Ihren CIO, CISO und CRO aufzuforderuf, Nachweise für Erklärbarkeit, Redundanz und Lieferantenkontrolle in der KI-Kontinuitätsplanung vorzulegen.
• und vertrauenswürdige Partner wie Damovo einzubinden, um Ihr Resilienz-Framework mit den Best Practices der EU abzugleichen und Compliance-Lücken zu schließen, bevor Aufsichtsbehörden sie aufdecken.

Führungskräfte sehen KI nicht als Abkürzung, sondern als strategische Fähigkeit, die sowohl das Vertrauen als auch die Wettbewerbsfähigkeit stärkt. Wenn Sie erfahren möchten, wie Damovo Sie dabei unterstützen kann, KI-gestützte Resilienz aufzubauen, die regulatorischen Anforderungen entspricht und Ihr Unternehmen schützt, nehmen Sie bitte Kontakt mit uns auf.