NIS-2 und EU AI Act: Haftung, Governance und Compliance für Geschäftsführer

Über viele Jahre hinweg wurde die Einhaltung von IT-Sicherheitsstandards und Datenschutzvorgaben in europäischen Vorstandsetagen als nachgelagerte Fachaufgabe behandelt. Geschäftsführer und Vorstände verabschiedeten jährliche Sicherheitsbudgets, ernannten einen Chief Information Security Officer (CISO) oder einen externen Datenschutzbeauftragten und betrachteten ihre gesellschaftsrechtliche Aufsichtspflicht damit als erfüllt. Mit dem greifenden Zangengriff aus europäischer NIS-2-Richtlinie und dem EU AI Act ist dieses Delegationsmodell endgültig Geschichte.

Beide Rechtsakte vollziehen in den Jahren 2025 und 2026 einen tiefgreifenden Systemwechsel im europäischen Wirtschafts- und Technologierecht. Erstmals adressiert der Gesetzgeber nicht mehr nur die juristische Person des Unternehmens über empfindliche Verbandsgeldbußen, sondern nimmt die natürlichen Personen in der Geschäftsleitung unmittelbar in die Pflicht. Wer als Geschäftsführer einer GmbH oder als Vorstand einer Aktiengesellschaft agiert, rückt persönlich in das Zentrum der regulatorischen Aufsicht.

Die Konsequenzen reichen weit über klassische Compliance-Abteilungen hinaus. Allein in Deutschland fallen rund 30.000 mittelständische und große Unternehmen als besonders wichtige oder wichtige Einrichtungen unter das verschärfte Regime des BSI-Gesetzes (BSIG), während die KI-kompetenzrechtlichen Vorgaben nach Artikel 4 der europäischen KI-Verordnung ausnahmslos jeden Betreiber von KI-Systemen erfassen. Eine fundierte Einordnung des gesamten Rechtsrahmens bietet unser strategischer Überblick zur EU-Regulierung für IT-Entscheider.

Die doppelte Regulierungszange: NIS-2 Artikel 20 und EU AI Act im Zusammenspiel

Um die juristische Sprengkraft für das Top-Management zu durchdringen, muss das Zusammenwirken beider Regelwerke betrachtet werden. Auf der Infrastrukturebene verpflichtet die Richtlinie (EU) 2022/2555 (NIS-2) in Artikel 20 die Leitungsorgane dazu, die Risikomanagementmaßnahmen nach Artikel 21 eigenhändig zu billigen, deren Umsetzung fortlaufend zu überwachen und regelmäßig an spezialisierten Cybersicherheits-Schulungen teilzunehmen. Im deutschen Recht wird diese Vorgabe über § 38 BSIG flankiert.

Der Clou dieser gesetzlichen Neuregelung liegt in der verschärften Innenhaftung gegenüber der eigenen Gesellschaft. Verletzt ein Geschäftsleiter seine Überwachungs- oder Billigungspflichten schuldhaft und entsteht dem Unternehmen infolgedessen ein Schaden durch einen Cyberangriff, haftet das Organmitglied nach den gesellschaftsrechtlichen Grundsätzen (§ 43 GmbHG, § 93 AktG) in Verbindung mit § 38 BSIG mit seinem gesamten Privatvermögen für den entstandenen Ausfallschaden.

Besonders brisant für angestellte Geschäftsführer: Der Gesetzgeber hat in den Entwürfen zur NIS-2-Umsetzung klargestellt, dass ein Verzicht der Gesellschafterversammlung auf diese Ersatzansprüche oder ein Vergleich über die Haftung der Geschäftsleitung in der Regel unwirksam ist. Selbst wohlwollende Eigentümer oder Muttergesellschaften können einen Geschäftsführer nach einem schweren Ransomware-Stillstand somit kaum noch pauschal von der persönlichen Regressforderung freistellen.

Artikel 4, 26 und 99 EU AI Act: Von der KI-Kompetenzpflicht zur Hochrisiko-Betreiberhaftung

Während NIS-2 die Resilienz der Netz- und Informationssysteme absichert, schließt die Verordnung (EU) 2024/1689 (EU AI Act) die Flanke auf der Applikations- und Datenebene. Seit dem 2. Februar 2025 sind nicht nur die Verbote unannehmbarer KI-Praktiken nach Artikel 5 unmittelbar wirksam, sondern auch die allgemeine Pflicht zur Sicherstellung ausreichender KI-Kompetenz (AI Literacy) gemäß Artikel 4 für sämtliche Mitarbeiter und Auftragnehmer.

Für Unternehmen, die KI-Modelle im Personalwesen, in der Bewerbervorauswahl, bei der Kreditwürdigkeitsprüfung oder zur Steuerung kritischer Infrastrukturen einsetzen, greifen zudem die strengen Betreiberpflichten (Deployer Obligations) für Hochrisiko-KI nach Artikel 26. Betreiber müssen sicherstellen, dass Eingabedaten der Zweckbestimmung entsprechen, qualifizierte Personen den Betrieb überwachen (Human-in-the-Loop) und Systemprotokolle mindestens sechs Monate lang revisionssicher aufbewahrt werden.

Die Sanktionsmechanik nach Artikel 99 des EU AI Act übertrifft dabei selbst die bekannten Maßstäbe der DSGVO deutlich. Bei Verstößen gegen das Verbot bestimmter KI-Praktiken drohen Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres.

Verletzungen der Betreiberpflichten nach Artikel 26 oder der Datenschutz- und Dokumentationsvorgaben werden mit bis zu 15 Millionen Euro oder 3 Prozent des globalen Umsatzes geahndet. Alle Details zu den einzelnen Risikoklassen und Nachweispflichten erläutert unser vertiefender Leitfaden zum EU-KI-Gesetz (EU AI Act) in der Unternehmenspraxis.

Genau an der Schnittstelle zwischen NIS-2 und dem EU AI Act entsteht die gefährlichste Haftungsfalle der kommenden Jahre. Wenn Fachabteilungen ohne technisches Gateway vertrauliche Quellcodes, Konstruktionsdaten oder personenbezogene Kundendaten in externe Sprachmodelle einspeisen, liegt gleichzeitig ein Verstoß gegen das NIS-2-Lieferketten- und Kryptografie-Gebot (Art. 21 Abs. 2) sowie eine Verletzung der KI-Governance nach dem EU AI Act vor.

Ergänzende Architektur-Analysen und technische Entscheidungsmatrizen für Ihre IT-Planung finden Sie in unseren weiterführenden Leitartikeln zu Cyber-Resilience im Enterprise-Einsatz, zu Authentik vs Okta im Enterprise-Einsatz sowie zu OPNsense vs Fortinet im Enterprise-Einsatz.

Technischer Deep-Dive: Integriertes ISMS und AIMS nach ISO/IEC 27001 und ISO/IEC 42001

Wie lässt sich diese doppelte Nachweispflicht technisch und organisatorisch so umsetzen, dass für die Geschäftsführung eine unangreifbare Exkulpationsbasis entsteht? Der Versuch, NIS-2 und den EU AI Act in getrennten Silos über manuelle Excel-Listen und isolierte Richtlinien-Dokumente zu verwalten, scheitert in der Praxis spätestens beim ersten behördlichen Audit oder einem zeitkritischen Sicherheitsvorfall am Wochenende.

Architektonisch führende Unternehmen konsolidieren ihre Governance daher in einem integrierten Managementsystem, das ein Information Security Management System (ISMS) nach ISO/IEC 27001 bzw. BSI IT-Grundschutz unmittelbar mit einem Artificial Intelligence Management System (AIMS) nach der neuen Weltnorm ISO/IEC 42001 verknüpft. Beide Standards teilen die identische High-Level-Structure (Annex SL), sodass Risikoanalysen, Lieferketten-Audits und Zugriffssteuerungen in einem einzigen Regelkreis zusammenlaufen.

Die 24/72-Stunden-Meldekette und automatisierte Telemetrie via OpenTelemetry und SIEM

Ein zentraler Prüfstein für die operative Wirksamkeit dieses Managementsystems ist das dreistufige Meldeverfahren nach Artikel 23 NIS-2 (§ 32 BSIG). Bei jedem erheblichen Sicherheitsvorfall muss das Unternehmen innerhalb von 24 Stunden nach Kenntniserlangung eine elektronische Frühwarnung an das BSI absetzen. Binnen 72 Stunden folgt die detaillierte Vorfallsmeldung samt Kompromittierungsindikatoren (IoCs), ergänzt durch den forensischen Abschlussbericht nach einem Monat.

Diese engen Fristen sind mit manueller Logfile-Suche nicht einzuhalten. Eine haftungssichere Zielarchitektur koppelt deshalb sämtliche Infrastruktur-Knoten, Identity-Provider (etwa Keycloak mit FIDO2/WebAuthn-Erzwingung) und lokalen KI-Inferenz-Endpunkte über den offenen Standard OpenTelemetry an ein zentrales Security Information and Event Management (SIEM) sowie eine Security-Orchestration-Plattform (SOAR) an.

„Persönliche Enthaftung für Geschäftsführer entsteht nicht durch Hochglanz-Richtlinien im Intranet, sondern durch kryptografisch signierte Audit-Trails: Nur wer im Ernstfall binnen Minuten per SIEM- und OpenTelemetry-Protokoll belegen kann, dass Zero-Trust-Kontrollen, WORM-Backups und KI-Leitplanken aktiv griffen, dreht die Beweislast zu seinen Gunsten um.“

Sobald die Anomalieerkennung des SIEM verdächtige Rechteausweitungen, ungewöhnliche Datenabflüsse oder Prompt-Injection-Angriffe nach der OWASP-LLM-Top-10-Taxonomie registriert, isoliert das System den betroffenen Container automatisiert und generiert bereits das strukturierte Datengerüst für die 24-Stunden-BSI-Frühwarnung. Warum die zugrunde liegende Infrastruktur frei von extraterritorialen Zugriffen sein muss, zeigt unser Grundsatzbeitrag zur digitalen Souveränität für europäische Unternehmen.

On-Premises-KI-Gateways und unveränderbare WORM-Audit-Speicher

Parallel dazu löst diese Architektur das Problem der Schatten-KI und die Dokumentationspflichten nach Artikel 12 und Artikel 26 des EU AI Act. Anstatt Mitarbeitern den unkontrollierten Direktzugriff auf außereuropäische Consumer-KI-Plattformen zu gestatten oder ihn pauschal auf dem Papier zu verbieten, bündeln Unternehmen sämtliche KI-Anfragen über ein zentrales, selbst gehostetes AI-Gateway vor einer lokalen Enterprise-RAG-Pipeline.

Jeder eingehende Prompt durchläuft zunächst einen automatisierten PII-Filter (Personally Identifiable Information), der personenbezogene Daten und geschützte Finanzkennzahlen vor der Verarbeitung maskiert. Gleichzeitig prüft eine rollenbasierte Zugriffskontrolle (RBAC), auf welche Vektordatenbank-Segmente der Nutzer zugreifen darf, bevor das Sprachmodell eine Antwort erzeugt. Den Aufbau solcher Systeme beschreiben wir im Leitfaden für lokale LLMs und Enterprise-RAG mit voller Datensouveränität.

Sämtliche Systemereignisse, Modellversionen, Zugriffsentscheidungen und Freigaben der menschlichen Aufsichtspersonen werden anschließend mit Zeitstempel und SHA-256-Prüfsumme in einen unveränderbaren Object-Lock-Speicher (Write Once, Read Many, WORM) geschrieben. Damit sind die gesetzlichen Aufbewahrungspflichten des EU AI Act und die forensischen Nachweisanforderungen des BSI gleichermaßen manipulationssicher erfüllt.

Regulatorische und architektonische Entscheidungsmatrix für die Geschäftsleitung

Um im Aufsichtsrat, in der Gesellschafterversammlung und gegenüber der D&O-Versicherung den Reifegrad der eigenen Organisation präzise darzustellen, empfiehlt sich eine strukturierte Gegenüberstellung der gesetzlichen Pflichten und ihrer technischen Umsetzung.

Die folgende Bloomberg-Radar-Matrix vergleicht die gefährliche Standardpraxis unvorbereiteter Unternehmen mit einer integrierten ISMS/AIMS-Zielarchitektur über die fünf haftungsrelevanten Kerndimensionen hinweg:

Die Gegenüberstellung macht deutlich, warum punktuelle Einzelmaßnahmen im Ernstfall nicht ausreichen. Eine Aufsichtsbehörde wie das BSI oder die Marktüberwachungsbehörde für den EU AI Act prüft bei einem Vorfall stets die Durchgängigkeit der Kontrollkette von der Vorstands-Risikoanalyse bis zum technischen Systemprotokoll.

Nur wenn die organisatorische Richtlinie (etwa das Verbot der Eingabe von Geschäftsgeheimnissen in unzertifizierte externe KI-Dienste) durch eine technische Leitplanke (AI-Gateway mit lokaler Inferenz und DLP-Filter) erzwungen und per SIEM-Log revisionssicher dokumentiert wird, greift die haftungsbefreiende Wirkung des Sorgfaltsnachweises.

Vollkostenrechnung (60-Monats-TCO^*): Präventionsarchitektur versus Schadens- und Bußgeldfall

In Budgetverhandlungen begegnet Geschäftsführern und CIOs häufig der Einwand, der Aufbau eines kombinierten Managementsystems nach ISO/IEC 27001 und ISO/IEC 42001 inklusive SIEM-Telemetrie belaste das operative Ergebnis übermäßig. Eine Vollkostenrechnung über 60 Monate für ein mittelständisches Unternehmen mit 500 Mitarbeitern und 120 Millionen Euro Jahresumsatz widerlegt diese Annahme.

Im ersten Szenario (reaktiver Minimalbetrieb ohne integriertes ISMS/AIMS) trägt das Unternehmen ein extremes finanzielles Klumpenrisiko. Schon ein einziger meldepflichtiger Sicherheitsvorfall mit einwöchigem Produktionsstillstand, forensischer Notfallbereinigung und einem moderaten Bußgeldansatz von 1,5 Prozent des Umsatzes verursacht direkte Kosten von über 3,2 Millionen Euro sowie persönliche Regressforderungen gegen die Geschäftsleitung.

Im zweiten Szenario baut dasselbe Unternehmen eine strukturierte Compliance- und Sicherheitsarchitektur auf Basis offener Enterprise-Standards auf. Die einmaligen Initialkosten (CAPEX im ersten Jahr) für die Einführung des integrierten ISMS/AIMS, das Onboarding eines Open-Source-gestützten SIEM/SOAR-Stacks, FIDO2-Hardware-Token, ein lokales KI-Gateway und die Erstzertifizierung belaufen sich auf rund 160.000 Euro.

Für den laufenden Betrieb über 60 Monate (inklusive Managed-SOC-Bereitschaft für die 24-Stunden-BSI-Meldekette, Überwachungsaudits und Pflichtschulungen nach § 38 BSIG sowie Artikel 4 EU AI Act) fallen OPEX-Kosten von 78.000 Euro pro Jahr an (390.000 Euro über fünf Jahre). Die Fünfjahres-TCO von 550.000 Euro senkt die Versicherungsprämie deutlich und schützt das Privatvermögen.

Die Make-or-Buy Sourcing-Weiche: Drei Betriebsmodelle für mittelständische und große Unternehmen

Während die rechtliche Letztverantwortung nach § 38 BSIG und Artikel 20 NIS-2 zwingend bei der Geschäftsführung verbleibt und niemals ausgelagert werden darf, lassen sich die technische Überwachung, die SIEM-Korrelation und die Vorbereitung der 24/7-Vorfallsmeldungen flexibel strukturieren. In der Praxis haben sich drei belastbare Betriebsmodelle etabliert.

Erstens (Eigenbetrieb): Konzerne, kritische Infrastrukturen (KRITIS) und größere Mittelständler ab etwa 800 Mitarbeitern mit eigenem Security-Team betreiben ihr GRC-System, die SIEM/OpenTelemetry-Pipeline und die lokalen KI-Inferenz-Cluster vollständig in eigener Regie. Externe Kanzleien und Prüfer werden lediglich für jährliche Penetrationstests, ISO-Zertifizierungsaudits und die juristische Aktualisierung der Vorstands-Schulungen hinzugezogen.

Zweitens (Co-Managed): Gehobene mittelständische Unternehmen zwischen 150 und 800 Mitarbeitern behalten die Datenhoheit, das Identity-Management (Keycloak/FIDO2) und ihr lokales Enterprise-RAG-System auf eigener Infrastruktur, koppeln ihre Telemetrie-Endpunkte jedoch an ein zertifiziertes europäisches Managed-Detection-and-Response-Team (MDR). So ist die 24-Stunden-Frühwarnfähigkeit gegenüber dem BSI nachts und an Feiertagen ohne eigenes Schichtpersonal gesichert.

Drittens (Managed Service): Kleinere wichtige Einrichtungen nach NIS-2 mit schlanker IT-Abteilung beziehen ein schlüsselfertiges Compliance- und Security-Paket über einen nach ISO/IEC 27001 und BSI C5 testierten europäischen Managed Security Service Provider (MSSP). Ein interner Compliance-Verantwortlicher bündelt die monatlichen Risikoberichte des Dienstleisters und legt sie der Geschäftsführung zur formalen Billigung und Kontrolle vor.

Der 4-Phasen-Umsetzungsfahrplan: In sechs Monaten zur revisionssicheren Enthaftung

Um die persönliche Haftung der Geschäftsleitung schnellstmöglich zu minimieren, sollten Unternehmen nicht auf den Abschluss langwieriger Gesetzgebungsdebatten warten, sondern ein straffes Sechs-Monats-Programm starten. Da Behörden und Gerichte im Schadensfall vor allem den dokumentierten Beginn und die Systematik der Schutzmaßnahmen bewerten, zählt jeder dokumentierte Meilenstein.

Phase 1 (Monat 1): Betroffenheitsanalyse, KI-Inventur und C-Level-Pflichtschulung

Im ersten Schritt wird verbindlich festgestellt, ob das Unternehmen als besonders wichtige oder wichtige Einrichtung unter NIS-2 und das BSIG fällt, und die fristgerechte Registrierung beim BSI vorbereitet. Parallel erfolgt eine vollständige Inventarisierung aller genutzten KI-Systeme nach den Risikoklassen des EU AI Act, während die Geschäftsführung ihre erste dokumentierte Pflichtschulung nach § 38 BSIG sowie das KI-Kompetenzprogramm nach Artikel 4 EU AI Act absolviert.

Phase 2 (Monat 2 bis 3): Härtung der Basis-Hygiene, FIDO2-Rollout und 24h-Meldekette

In den Monaten zwei und drei schließt das Technikteam die kritischsten Einfallstore, die im Schadensfall als grobe Fahrlässigkeit gewertet würden. Dazu gehören die Durchsetzung Phishing-resistenter Multi-Faktor-Authentifizierung (FIDO2/WebAuthn) für sämtliche Administratoren- und Remote-Zugänge, die Isolierung unveränderbarer WORM-Backups sowie die Einrichtung und Erprobung des 24/72-Stunden-Incident-Response-Meldewegs zum BSI inklusive Out-of-Band-Kommunikation.

Phase 3 (Monat 4 bis 5): Souveränes AI-Gateway, SIEM-Telemetrie und Lieferketten-Verträge

Anschließend wird unkontrollierte Schatten-KI durch ein zentrales, datenschutzkonformes AI-Gateway mit PII-Filterung und sechsmonatiger WORM-Protokollierung gemäß Artikel 26 EU AI Act abgelöst. Gleichzeitig werden alle sicherheitskritischen Systeme per OpenTelemetry an das SIEM angebunden und die Verträge mit kritischen IT-Zulieferern und Cloud-Dienstleistern um verbindliche NIS-2-Sicherheits-, Audit- und Meldeklauseln ergänzt.

Phase 4 (Monat 6): Integriertes ISMS/AIMS-Review, Krisenstabsübung und D&O-Abgleich

Zum Abschluss führt die Organisation ein internes Audit des verzahnten Managementsystems nach ISO/IEC 27001 und ISO/IEC 42001 durch und testet das Zusammenspiel von Technik und Vorstand in einer realitätsnahen Tabletop-Krisenstabsübung. Mit den daraus resultierenden Prüfprotokollen und Vorstands-Freigabebeschlüssen legt die Geschäftsführung ihrem D&O- und Cyber-Versicherer den lückenlosen Nachweis ordnungsgemäßer Corporate Governance vor.

Fünf Kontrollfragen für Vorstand und Geschäftsführung zur Haftungsprävention

1. Können Sie heute durch Protokolle belegen, dass die Geschäftsführung die Cyber- und KI-Risikoanalyse persönlich gebilligt hat?

Prüfen Sie umgehend, ob für das laufende Geschäftsjahr formelle, namentlich unterzeichnete Beschlüsse der Geschäftsleitung zur Risikoakzeptanz, zum Sicherheitsbudget und zu den Maßnahmen nach Artikel 21 NIS-2 vorliegen. Ebenso müssen die Teilnahmezertifikate der Geschäftsführer an einer anerkannten NIS-2-Schulung gemäß § 38 BSIG revisionssicher in den Gesellschaftsakten hinterlegt sein.

2. Greift Ihre 24-Stunden-Meldekette an das BSI auch an einem Sonntagmorgen bei komplett verschlüsseltem Active Directory?

Verlassen Sie sich nicht auf theoretische Prozessdiagramme, sondern fordern Sie einen praktischen Funktionstest ein. Es muss technisch sichergestellt sein, dass das Bereitschaftsteam den Vorfall binnen Stunden klassifizieren und über einen vom primären Firmennetz unabhängigen Kommunikationskanal rechtzeitig vor Ablauf der 24-Stunden-Frist elektronisch an das BSI übermitteln kann.

3. Welche technischen Schranken verhindern aktuell den Abfluss von Geschäftsgeheimnissen in externe Public-Cloud-KI-Modelle?

Eine reine Dienstanweisung gegen Schatten-KI entlastet die Geschäftsführung im Ernstfall kaum, wenn gleichzeitig unbeschränkter Browser-Zugriff auf nicht auditierte Drittstaaten-APIs besteht. Stellen Sie sicher, dass den Fachbereichen eine leistungsfähige, lokal oder europäisch gehostete KI-Arbeitsumgebung mit automatischer Protokollierung nach Artikel 26 EU AI Act bereitsteht.

4. Wurden Ihre bestehenden D&O- und Cyber-Versicherungspolicen juristisch auf die neuen NIS-2-Regressklauseln geprüft?

Lassen Sie Ihre Versicherungsmakler und Gesellschaftsrechtler schriftlich bestätigen, dass Innenhaftungsansprüche der Gesellschaft gegen die Geschäftsleitung nach § 38 BSIG vom Bedingungswerk der D&O-Police vollumfänglich umfasst sind. Klären Sie zudem, welche technischen Mindestanforderungen (wie FIDO2-MFA und WORM-Backups) die Versicherung als Obliegenheit voraussetzt.

5. Liegen für sämtliche kritischen IT-Dienstleister und Software-Zulieferer aktualisierte Sicherheitsvereinbarungen vor?

Da Artikel 21 Absatz 2 Buchstabe d der NIS-2-Richtlinie die Sicherheit der Lieferkette ausdrücklich zur Chefsache erklärt, müssen bestehende Wartungs- und Cloud-Verträge überprüft werden. Verpflichten Sie Ihre Zulieferer vertraglich dazu, Sicherheitsvorfälle unverzüglich (zum Beispiel innerhalb von sechs bis zwölf Stunden) an Ihr Sicherheitsteam zu melden, damit Ihre eigene 24-Stunden-Frist gegenüber dem BSI gewahrt bleibt.

Strategisches Fazit: Von der persönlichen Haftungsabwehr zur geprüften Governance-Architektur

Das gleichzeitige Greifen der NIS-2-Richtlinie und des europäischen AI Act beendet die Ära der unverbindlichen IT-Absichtserklärungen. Wenn persönliche Organhaftung nach § 38 BSIG, unübertragbare Überwachungspflichten und Bußgeldrahmen von bis zu 35 Millionen Euro zusammentreffen, wird die technische Architektur des Unternehmens zur unmittelbaren Überlebensfrage für Geschäftsführer und Vorstände.

Führungskräfte, die diesen regulatorischen Wendepunkt aktiv gestalten, indem sie Informationssicherheit (ISO/IEC 27001) und KI-Governance (ISO/IEC 42001) in einem technisch durchgesetzten, auf offenen Standards und unveränderbaren Audit-Logs basierenden Managementsystem zusammenführen, erreichen weit mehr als reine Gesetzeskonformität. Sie sichern ihr Privatvermögen belastbar gegen Regressansprüche ab, bewahren ihren Versicherungsschutz und schaffen ein krisenfestes Fundament für vertrauenswürdige Wertschöpfung im europäischen Markt.

Häufig gestellte Fragen (FAQ) zu NIS-2, EU AI Act und Geschäftsführerhaftung