Research

KI-Agenten und Meldepflichten: Was zwei aktuelle ENISA-Studien zu DORA, DSGVO und NIS-2 bedeuten

Redaktion · 14. Oktober 2026 · 10 Min. Lesezeit

Wenn ein Angriff in acht Minuten administrative Rechte erreicht, die Entscheidung über eine Meldung aber durch ein Gremium muss, das erst am Montag tagt, hat man kein Erkennungsproblem. Man hat ein Zuständigkeitsproblem. ENISA hat dafür 2026 einen Namen geliefert.

Ausgangslage: Zwei Veröffentlichungen, ein Befund

Im Juli 2026 hat die Agentur der Europäischen Union für Cybersicherheit ihre Sicht auf die Lage im Zeitalter der Frontier-Modelle veröffentlicht. Der Kern des Papiers ist keine Modellkritik, sondern eine Aussage über Zeit: Der Abstand zwischen der Offenlegung einer Schwachstelle und ihrer Ausnutzung nähert sich null. Angriffe, die früher Teams und Wochen brauchten, laufen als Kette automatisierter Schritte.

Im September 2026 folgte die Threat Landscape 2026 mit Daten zum Berichtsjahr 2025. Dort steht die nüchterne Einordnung dazu: Agentische Systeme sind im realen Angriffsgeschehen noch die Ausnahme, die große Mehrheit der Akteure nutzt KI zur Verstärkung bekannter Techniken. Dokumentiert ist aber bereits ein staatsnaher Akteur, der ein agentisches System in einer Kampagne einsetzte, und ein Fall, in dem KI-gestützt in acht Minuten administrativer Zugriff in einer Cloud-Umgebung erreicht wurde.

Beides zusammen ergibt die Lage, über die zu sprechen ist. Nicht die Frage, ob Agenten angreifen. Sondern die Frage, ob die eigene Meldekette mit einem Ablauf Schritt hält, der nicht mehr in Personentagen gemessen wird.

Die Fristen, um die es geht

Drei Regelwerke, drei Uhren, und sie laufen nicht synchron. Das ist der am häufigsten übersehene Punkt: Die Fristen starten bei unterschiedlichen Ereignissen.

Wer ist betroffen?

Alle, die eine dieser Uhren laufen haben. In der Praxis sind das häufig mehrere gleichzeitig: Ein Ransomware-Vorfall in einem Energieversorger mit Beschäftigtendaten im abgeflossenen Datensatz löst NIS-2 und DSGVO zugleich aus. Bei einem Zahlungsdienstleister kommt DORA hinzu. Die Fristen laufen dann parallel, mit unterschiedlichen Adressaten und unterschiedlichen Startpunkten.

Warum ist das wichtig? Die Lücke, die ENISA beschreibt

Das Juli-Papier führt einen Begriff ein, der die Sache auf den Punkt bringt: die Authority Gap. Gemeint ist nicht ein technischer Rückstand, sondern ein organisatorischer. Change Advisory Boards und vergleichbare Freigabegremien sind nicht dafür gebaut, Eingriffe in den wenigen Minuten zu autorisieren, die zur Verfügung stehen. Der Engpass ist damit nicht mehr die Erkennung, sondern die Befugnis.

Was das für den Einsatz von Agenten im eigenen Haus heißt

Die naheliegende Antwort lautet, die Meldekette ebenfalls zu automatisieren. ENISA empfiehlt ausdrücklich etwas anderes, nämlich KI-gestützte Triage bei durchgehend menschlicher Kontrolle, und benennt dafür den Begriff der human-gated Workflows. Das ist keine Vorsichtsfloskel, sondern folgt aus der Rechtslage: Eine Meldung nach Artikel 23 NIS-2 oder Artikel 19 DORA ist eine Erklärung der Einrichtung gegenüber einer Behörde. Sie ist zurechenbar, sie kann unrichtig sein, und sie kann Folgen haben.

Die praktisch tragfähige Aufteilung sieht deshalb so aus: Alles bis zur Entscheidungsvorlage darf der Agent, die Entscheidung selbst nicht.

Die Zahl, die man kennen sollte

Die Threat Landscape 2026 nennt für das Berichtsjahr 2025 insgesamt 1.954 unter NIS-2 gemeldete Ereignisse, Stand Mitte Juli 2026. Davon entfielen 941 auf schädliche Handlungen, und bei rund der Hälfte aller Ereignisse blieb die Ursache unbekannt. Am stärksten betroffen waren öffentliche Verwaltung, Gesundheit, digitale Infrastruktur, Banken und Verkehr.

Die Hälfte ohne bekannte Ursache ist die eigentliche Nachricht. Sie sagt nichts über die Qualität der meldenden Häuser aus, sondern etwas über den Zeitpunkt: Gemeldet wird früh, weil die Frist früh läuft. Zu diesem Zeitpunkt ist die Ursache in vielen Fällen schlicht noch nicht bekannt. Genau dafür ist die gestufte Meldung gebaut, und genau deshalb ist die Angst vor einer unvollständigen Erstmeldung der falsche Grund, eine Frist reißen zu lassen.

Das zweite Papier beschreibt daneben ein strukturelles Risiko, das in der Planung selten auftaucht: Wenn eine Schwachstelle breit und schnell ausgenutzt wird, treffen viele Meldungen gleichzeitig bei denselben Stellen ein. Die Kapazität der nationalen Computer-Notfallteams ist dann der Engpass, nicht die eigene Meldebereitschaft.

Was muss konkret getan werden?

• Die drei Fristen mit ihren jeweiligen Auslösern in eine Übersicht bringen und ausdrücklich festhalten, dass sie nicht gemeinsam starten.
• Festlegen, wer außerhalb der Geschäftszeiten einstufen darf, mit Vertretung und ohne Gremiumsvorbehalt. Das ist die Delegationsregel, die die Authority Gap schließt.
• Vorlagen für Frühwarnung und Erstmeldung so vorbereiten, dass sie mit unbekannter Ursache ausgefüllt werden können.
• KI-gestützte Triage einsetzen, aber die Einstufungsentscheidung protokolliert beim Menschen belassen, einschließlich der Begründung.
• Die Meldekette einmal im Jahr mit der Stoppuhr üben, bevorzugt an einem Freitagabend. Alles andere misst die falsche Lage.
• Agenten, die im eigenen Haus Werkzeuge bedienen, in das Vorfallmanagement einbeziehen. Ein Agent kann auch Verursacher sein, nicht nur Melder.

BAM-Mapping: Die Meldekette als Objekt

Im Brain-Media Audit Model ist die Meldekette kein Textabschnitt, sondern ein Prozessobjekt mit Auslöser, Frist, verantwortlicher Rolle, Vertretung und Adressat. Dadurch lässt sich die Frage beantworten, die in einer Prüfung tatsächlich gestellt wird: Welche Fristen liefen bei diesem Vorfall, wer war zuständig, und woran lässt sich das belegen.

Weil dieselbe Kette NIS-2, DORA und die DSGVO bedient, wird sie einmal modelliert und mehrfach zugeordnet, statt in drei Richtlinien getrennt beschrieben zu werden. Bei einem Vorfall, der alle drei auslöst, ist das der Unterschied zwischen einer Übersicht und einer Suche.

Unsere Empfehlung

Investieren Sie zuerst in die Verkürzung des Wegs zum Freigabepunkt, nicht in die Beschleunigung der Erkennung. Die meisten Häuser erkennen inzwischen schneller, als sie entscheiden dürfen. Eine schriftliche Delegationsregel, die einer benannten Person die Einstufung außerhalb der Geschäftszeiten zuweist, kostet eine Seite und wirkt sofort.

Und widerstehen Sie der Versuchung, die Meldung selbst zu automatisieren. Eine automatisch versendete Erstmeldung mit falscher Einstufung ist kein Zeitgewinn, sondern eine Erklärung gegenüber einer Behörde, die Sie anschließend korrigieren müssen.

Wie sich Vorfälle mit KI-Beteiligung erkennen, einstufen und dokumentieren lassen, behandelt KI Incident Response ausführlich. Was autonome Agenten im Unternehmenseinsatz heute tatsächlich leisten, ordnet Agent Reality Check ein.

Häufige Fragen