NIS2 trifft KI-Agenten: So sichern Sie Agenten-Deployments unter Deutschlands nun verbindlichem Cybersicherheitsgesetz ab

Am 6. Dezember 2025 hörte NIS2 auf, eine Richtlinie irgendwo in Brüssel zu sein, und wurde verbindliches deutsches Recht. Das NIS2-Umsetzungsgesetz trat ohne Übergangsfrist in Kraft, und die Zahl der Unternehmen unter BSI-Aufsicht sprang von rund 4.500 auf etwa 29.500 in 18 Sektoren¹. Viele davon sind mittelständische Hersteller, Zulieferer und Dienstleister, die sich nie als kritische Infrastruktur verstanden haben.

Zugleich wandern KI-Agenten vom Pilot in die Produktion, in der Werkhalle wie im Backoffice. Gartner erwartet, dass bis Ende 2026 40 Prozent der Unternehmensanwendungen aufgabenspezifische KI-Agenten enthalten - von unter 5 Prozent im Jahr 2025¹⁸. Ein Agent ist kein Chatbot. Er liest aus Ihrem ERP, schreibt in Ihre Systeme, hält Zugangsdaten und führt Aktionen aus. Das macht ihn zur am schnellsten wachsenden Angriffsfläche in der Unternehmens-IT - und gleichzeitig zu einem Asset, das nun mitten in einem BSI-regulierten ISMS liegt.

Dieser Leitfaden richtet sich an den CISO, CTO oder Geschäftsführer, der beides zugleich leisten muss: KI-Agenten einsetzen, die echten Wert schaffen, und sie innerhalb der Grenzen eines Cybersicherheitsgesetzes halten, das persönliche Haftung mit sich bringt. Keine Angst, kein Hype. Nur was NIS2 tatsächlich verlangt, wo Agenten das Bild verändern und wie Sie ein Deployment bauen, das vom ersten Pilot an konform ist.

Die doppelte Exposition: Angriffsfläche und reguliertes Asset

Die meisten Beiträge behandeln KI-Agenten und NIS2 als zwei getrennte Projekte. Das sind sie nicht. Ein KI-Agenten-Deployment verändert Ihr Cyberrisiko und Ihre regulatorische Lage in ein und demselben Schritt - deshalb braucht es einen einzigen, zusammengeführten Plan.

• Agenten vergrößern die Angriffsfläche - 48 Prozent der Cybersicherheitsfachleute nennen agentische KI und autonome Systeme als den Top-Angriffsvektor für 2026, vor Deepfakes und anderen Risiken¹⁷.
• Agenten handeln mit echten Berechtigungen - anders als ein reiner Lese-Chatbot authentifiziert sich ein Agent, hält Zugangsdaten und führt Aktionen über Systeme hinweg aus; eine Kompromittierung ist dann keine verratene Antwort, sondern eine ausgeführte Transaktion²².
• Schatten-KI ist längst drin - schätzungsweise 68 Prozent der Beschäftigten nutzen KI-Tools ohne IT-Freigabe und schaffen Agenten und Integrationen, die kein ISMS erfasst²¹.
• Agenten entgleisen im Feld - 80 Prozent der IT-Fachleute berichten, KI-Agenten bei unautorisierten oder unerwarteten Aktionen beobachtet zu haben²¹.
• Derselbe Agent ist nun reguliert - wenn Ihr Unternehmen betroffen ist, ist dieser Agent Teil der Netz- und Informationssysteme, die das BSI nach Paragraph 30 BSIG beaufsichtigt³.
• Die Kosten sind messbar - eine agentenbezogene Datenpanne wird für 2026 im Schnitt auf 4,7 Millionen Dollar geschätzt, noch vor jedem Bußgeld¹⁷.

Was NIS2 jetzt verlangt (in Klartext)

NIS2 lebt in Deutschland im geänderten BSIG. Fünf Paragraphen tragen den größten Teil des Gewichts, und es lohnt sich, sie nach Nummer zu kennen, weil das BSI und Ihre Auditoren sie direkt zitieren werden.

• Paragraph 28 - Geltungsbereich - legt fest, wer als besonders wichtige oder wichtige Einrichtung gilt, anhand von Sektor, Mitarbeiterzahl und Umsatz⁵.
• Paragraph 30 - Risikomanagement - die zehn technischen und organisatorischen Mindestmaßnahmen, die jede betroffene Einrichtung umsetzen muss⁴.
• Paragraph 32 - Meldepflichten - die 24-Stunden-, 72-Stunden- und Ein-Monats-Meldepflichten für erhebliche Vorfälle⁸.
• Paragraph 38 - Geschäftsleitungspflichten - Geschäftsführer müssen Maßnahmen billigen und überwachen und an Schulungen teilnehmen, mit persönlicher Haftung⁷.
• Paragraph 65 - Bußgelder - bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für besonders wichtige, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen¹.

Die Termine liegen bereits hinter uns, und genau das übersehen viele. Es gab keine Schonfrist.

Bin ich betroffen? Besonders wichtige vs. wichtige Einrichtungen

Die erste Frage dreht sich gar nicht um Agenten. Sie lautet, ob Ihr Unternehmen reguliert ist. NIS2 sortiert betroffene Organisationen in zwei Stufen, und die Stufe entscheidet, wie hart die Aufsicht zubeißt.

Die zwei Stufen

So führen Sie die Betroffenheitsprüfung durch

1. Sektor abgleichen - prüfen Sie, ob Ihre Tätigkeit in einen der 18 Sektoren fällt, von Energie, Transport und Fertigung bis zu digitalen Diensten, Abfall, Lebensmitteln und Chemie⁵.
2. Größenschwellen anwenden - kombinieren Sie Mitarbeiterzahl und Umsatz mit den Stufendefinitionen aus Paragraph 28. Konzernstrukturen können eine kleine Tochter in den Geltungsbereich ziehen⁵.
3. Sonderfälle prüfen - manche Einrichtungen sind unabhängig von der Größe betroffen, etwa bestimmte digitale Infrastrukturen und Anbieter der öffentlichen Verwaltung³.
4. Im BSI-Portal registrieren - falls betroffen, registrieren Sie das Unternehmen. Die Frist war der 6. März 2026, eine verspätete Registrierung ist weiterhin möglich¹⁰.
5. Die Feststellung dokumentieren - selbst ein Unternehmen, das sich als nicht betroffen einstuft, sollte die Begründung datiert festhalten. Der Geltungsbereich kann sich mit der nächsten Übernahme oder dem nächsten Umsatzjahr ändern.

Warum KI-Agenten die Angriffsfläche vergrößern

Ein Agent verdient seinen Wert dadurch, dass er in Ihrem Namen handelt. Genau diese Eigenschaft macht ihn gefährlich, wenn er kompromittiert oder in die Irre geführt wird. Dies sind die Fehlerbilder, deren Steuerung NIS2 erwartet.

• Prompt Injection - eine bösartige Anweisung, versteckt in einer E-Mail, einem Dokument oder einer Webseite, entführt das Ziel des Agenten und macht aus einem Helfer ein Exfiltrationswerkzeug. OWASP führt Goal Hijacking als Top-Risiko für agentische Anwendungen 2026²¹.
• Übermäßige Berechtigungen - Agenten erhalten oft breiten, dauerhaften Zugriff, damit sie einfach funktionieren. Ein einziger kompromittierter Agent erreicht dann weit mehr als jeder einzelne Mitarbeiter²².
• Identitätswildwuchs - Agenten erzeugen Service-Konten, Tokens und Geheimnisse schneller, als IAM-Tools sie nachverfolgen. Gartner warnt, dass Agenten-Wildwuchs ohne Register unsteuerbar wird¹⁹.
• Der verwirrte Stellvertreter - ein Agent mit legitimem Zugriff wird dazu verleitet, ihn für die Zwecke eines Angreifers zu nutzen, und die Logs zeigen den Agenten, nicht den Angreifer.
• Datenabfluss über den Kontext - ein Agent, der sensible Datensätze in einen Prompt zieht, kann sie in ein nachgelagertes Tool, ein Log oder ein Drittanbietermodell weiterreichen.
• Lieferkettenkompromittierung - Modell, Tool-Integrationen und Datenkonnektoren sind allesamt Drittkomponenten, die vergiftet oder kompromittiert werden können²².
• Schatten-Agenten - Fachbereiche starten Agenten auf privaten Konten, außerhalb des Blicks der IT, ohne Protokollierung und ohne Verantwortlichen²¹.

Agenten in Ihr Risikomanagement nach Paragraph 30 bringen

Sie brauchen kein separates KI-ISMS. Sie erweitern das, das Sie bereits betreiben, sodass ein Agent wie jedes andere hochprivilegierte System behandelt wird - nur mit ein paar agentenspezifischen Kniffen. Wenn Sie ISO 27001 halten, beziffern Branchenschätzungen die Überschneidung mit Paragraph 30 auf rund 70 bis 80 Prozent, das meiste ist also Erweiterung, nicht Neuerfindung¹³.

Die zehn Maßnahmen auf einen Agenten übertragen

1. Risikoanalyse - bewerten Sie jeden Agenten als eigenes Asset: was er lesen, schreiben und auslösen kann und was die schlimmste plausible Aktion ist. Nehmen Sie Agenten ins Risikoregister auf.
2. Vorfallbehandlung - definieren Sie eine Agenten-Vorfallklasse mit Erkennungssignalen, einem Kill-Switch und einem Verantwortlichen, der den Agenten binnen Minuten anhalten kann.
3. Business Continuity - planen Sie für den Fall, dass der Agent falsch liegt oder ausfällt. Halten Sie den manuellen Prozess lauffähig und sichern Sie Konfiguration und Gedächtnis des Agenten.
4. Lieferkettensicherheit - bewerten Sie Modellanbieter, Tool-Integrationen, Konnektoren und Host. Verankern Sie Sicherheitsklauseln und Datenstandort im Vertrag¹².
5. Sicherheit bei Beschaffung und Entwicklung - prüfen Sie Prompts, Tools und Konnektoren wie Code. Testen Sie vor dem Go-live gegen Prompt Injection.
6. Wirksamkeitsprüfung - führen Sie regelmäßig Red-Teaming gegen den Agenten durch. Spielen Sie feindliche Eingaben nach und bestätigen Sie, dass Leitplanken nach Modell- oder Prompt-Änderungen noch halten.
7. Cyberhygiene und Schulung - schulen Sie die Menschen, die Agenten beaufsichtigen, darin, abnormes Verhalten zu erkennen und zu eskalieren.
8. Kryptografie - verschlüsseln Sie die Daten des Agenten bei Übertragung und Speicherung und verwalten Sie seine Geheimnisse in einem Vault, nicht in einem Prompt oder einer Konfigurationsdatei.
9. Zugriffskontrolle und Asset-Management - geben Sie dem Agenten eine eigene Identität, Zugriff nach Least-Privilege und mit Zeitbegrenzung sowie einen Eintrag im Asset-Inventar.
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation - schützen Sie die menschlichen und maschinellen Konten rund um den Agenten und leiten Sie seine Aktionen über authentifizierte Kanäle⁴.

Wenn ein Agent einen Vorfall auslöst: Die 24/72/30-Uhr

Paragraph 32 BSIG setzt für erhebliche Vorfälle eine dreistufige Meldepflicht, und die Uhr beginnt in dem Moment zu laufen, in dem Sie Kenntnis erlangen⁸. Ein Agent, der Daten abfließen lässt oder eine schädliche Aktion ausführt, kann genau ein solcher Vorfall sein. Der Test schaut auf die Auswirkung auf Ihren Dienst, nicht darauf, ob ein Mensch oder eine Maschine die Ursache war.

Die drei Stufen

Ein Notfallplan für Agenten-Vorfälle

1. Erkennen - alarmieren Sie bei abnormem Agentenverhalten: Rechteausweitung, ungewöhnliche Datenmengen, Aktionen außerhalb des definierten Geltungsbereichs.
2. Eindämmen - drücken Sie den Kill-Switch. Halten Sie den Agenten an, widerrufen Sie seine Tokens und isolieren Sie die berührten Systeme.
3. Bewerten - rekonstruieren Sie mit dem Aktionslog genau, was der Agent tat und ob die Auswirkung auf den Dienst erheblich ist.
4. Melden - falls erheblich, reichen Sie die 24-Stunden-Frühwarnung beim BSI ein, dann die 72-Stunden-Meldung, dann den Abschlussbericht binnen eines Monats⁸.
5. Wiederherstellen - stellen Sie aus Backups wieder her, beheben Sie die Ursache (ein Prompt, ein Tool, eine Berechtigung) und testen Sie neu, bevor der Agent wieder online geht.
6. Lernen - führen Sie den Vorfall zurück ins Risikoregister und in die Wirksamkeitsprüfung, damit derselbe Fehler nicht still wiederkehren kann.

Lieferkette, Anbieter und Geschäftsleitungshaftung

Zwei der am meisten unterschätzten Teile von NIS2 treffen KI-Agenten-Projekte am härtesten: die Pflicht zur Absicherung der Lieferkette und die persönliche Pflicht der Geschäftsleitung. Ein Agent besteht aus Drittkomponenten und wird von benannten Geschäftsführern gebilligt, also gilt beides unmittelbar.

Die Lieferkette des Agenten

• Jede Schicht bewerten - das Basismodell, das Orchestrierungs-Framework, die Tool- und Konnektor-Integrationen und die Hosting-Umgebung sind allesamt Anbieter nach Paragraph 30¹².
• Ein Anbieterzertifikat ist Nachweis, keine Entlastung - ein eigenes ISO 27001 des Anbieters hilft, erfüllt aber für sich genommen nicht Ihre Pflicht; Sie bewerten weiterhin das Risiko für Ihren Dienst¹⁴.
• Datenstandort und Verarbeitung klären - wissen Sie, wohin Prompts und Ausgaben gehen, welche Unterauftragsverarbeiter beteiligt sind und ob Daten die EU verlassen.
• Vertragliche Sicherheitsklauseln holen - Meldepflichten, Prüfrechte, Benachrichtigung bei Vorfällen und Zusagen zur sicheren Entwicklung gehören in den Vertrag, nicht auf eine Folie.
• Einen Ausstiegspfad halten - Sie müssen einen kompromittierten Anbieter abschalten oder ersetzen können, ohne Ihren Dienst zum Stillstand zu bringen.

Geschäftsleitungshaftung nach Paragraph 38

• Maßnahmen billigen - die Geschäftsleitung muss die Risikomanagementmaßnahmen nach Paragraph 30 förmlich und schriftlich billigen⁷.
• Umsetzung überwachen - Billigung genügt nicht; Geschäftsführer müssen überwachen, dass die Maßnahmen tatsächlich bestehen und wirken⁷.
• An Schulungen teilnehmen - die Geschäftsleitung muss regelmäßig an Cybersicherheitsschulungen teilnehmen, und das muss dokumentiert sein⁷.
• Nicht delegierbar - diese Pflichten lassen sich nicht an Dritte auslagern; sie liegen persönlich bei der Leitung⁷.
• Persönliche Haftung - Geschäftsführer können für Schäden aus einer Pflichtverletzung persönlich haften, und genau das hebt NIS2 auf die Führungsebene⁷.

Der 90-Tage-Fahrplan zum NIS2-fähigen Agenten

Ein NIS2-fähiges Deployment ist nicht langsamer als ein normales - es ist ein normales, richtig gemacht. Hier ist ein Weg Woche für Woche, der sowohl einen funktionierenden Agenten als auch den Nachweis erzeugt, den das BSI erwartet.

Phase 1: Geltungsbereich und Design (Wochen 1-4)

1. Woche 1: Regulatorischen Geltungsbereich klären - bestimmen Sie Ihre NIS2-Stufe und registrieren Sie sich beim BSI, falls noch nicht geschehen. Dokumentieren Sie die Feststellung in jedem Fall.
2. Woche 2: Anwendungsfall und Datenflüsse kartieren - definieren Sie genau, was der Agent lesen, schreiben und auslösen wird und welche Systeme und Daten er berührt.
3. Woche 3: Agentenidentität entwerfen - vergeben Sie eine eigene Identität, Least-Privilege-Scopes, Geheimnisspeicher und den Kill-Switch, bevor der Bau beginnt.
4. Woche 4: Bedrohungsmodell und Anbieterprüfung - erstellen Sie ein Bedrohungsmodell zu Prompt Injection und Missbrauch und schließen Sie die Lieferkettenbewertung für Modell, Tools und Host ab.

Phase 2: Bauen und testen (Wochen 5-8)

5. Woche 5-6: Mit Leitplanken bauen - setzen Sie den Agenten mit abgegrenzten Tools, Eingabevalidierung und vollständigem Aktionslog ab der ersten Zeile um, nicht als Nachgedanke.
6. Woche 7: Red-Teaming - greifen Sie Ihren eigenen Agenten mit Injection-, Confused-Deputy- und Exfiltrationsszenarien an. Beheben Sie, was bricht.
7. Woche 8: Notfallplan schreiben - finalisieren Sie die Agenten-Vorfallklasse, die Erkennungssignale und die 24/72/30-Meldeschritte. Proben Sie den Kill-Switch.

Phase 3: Ausrollen und nachweisen (Wochen 9-12)

9. Woche 9: Kontrollierter Rollout - deployen Sie in begrenztem Umfang mit einem Human-in-the-Loop bei Aktionen mit hoher Auswirkung. Überwachen Sie eng.
10. Woche 10-11: Ausweiten und überwachen - weiten Sie den Umfang mit wachsendem Vertrauen aus und halten Sie Logging und Alarmierung aktiv. Schulen Sie das aufsichtführende Team.
11. Woche 12: Den Nachweis erzeugen - die Geschäftsleitung billigt die Maßnahmen nach Paragraph 38, dokumentiert die Schulung und legt die Unterlagen ab, die einen späteren Nachweis nach Paragraph 39 stützen.

Wie Superkind passt

Superkind baut maßgeschneiderte KI-Agenten für KMU und Konzerne - und baut sie von Anfang an so, dass sie in ein reguliertes Umfeld passen. Der Ansatz ist prozess- und kontrollzuerst: Ihre Workflows und Ihr ISMS formen den Agenten, nicht umgekehrt.

• Eigene Agentenidentität - jeder Agent erhält eine eigene Identität, abgegrenzte Zugangsdaten und Geheimnisspeicher, sodass Zugriffskontrolle und Asset-Management sauber auf Paragraph 30 abbilden.
• Least-Privilege by Design - Agenten erhalten den engsten Zugriff, mit dem der Anwendungsfall funktioniert, und der Zugriff wird überprüft, nicht einmal vergeben und vergessen.
• Vollständiges Aktionslog - jeder Lese-, Schreib- und Auslösevorgang wird in einem abfragbaren, manipulationssicheren Speicher festgehalten, sodass ein Vorfall rekonstruiert und belegt werden kann.
• Kill-Switch und Human-in-the-Loop - Aktionen mit hoher Auswirkung pausieren zur menschlichen Freigabe, und jeder Agent lässt sich binnen Minuten anhalten.
• Härtung gegen Prompt Injection - Agenten werden vor dem Go-live gegen Goal Hijacking und Confused-Deputy-Angriffe gebaut und im Red-Teaming geprüft.
• Läuft auf EU-Infrastruktur - Daten bleiben in Ihrer Infrastruktur oder in EU-gehosteten Umgebungen, mit klarem Datenstandort und verschlüsselten Verbindungen.
• Transparente Lieferkette - klare Dokumentation von Modell, Tools und Konnektoren, damit der Agent in Ihre Lieferkettenbewertung passt.
• Auditfähige Dokumentation - das Deployment erzeugt die Unterlagen, die die Leitung braucht, um Maßnahmen zu billigen und einen Nachweis nach Paragraph 39 zu stützen.

Entscheidungsrahmen: einsetzen, härten oder warten

NIS2 ist kein Grund, Agenten nicht mehr einzusetzen. Es ist ein Grund, sie gut einzusetzen. Dieser Rahmen hilft Ihnen zu entscheiden, was Sie mit jeder Agentenidee auf Ihrer Liste tun.

Häufig gestellte Fragen

Verwandte Artikel

• KI-Agenten-Sicherheit: Prompt Injection, Datenabfluss und die OWASP LLM Top 10 für den Mittelstand
• Agenten-Identität: Wie IT-Teams im Mittelstand Authentifizierung und Zugriff für KI-Agenten steuern
• DSFA für KI-Agenten: Wie der deutsche Mittelstand Artikel 35 DSGVO für Agenten-Rollouts umsetzt
• KI als Compliance-Assistent: Wie der Mittelstand Audit-Trails, Richtlinien und Reporting automatisiert
• Souveränes Unternehmensgehirn: Ihre Wissensschicht auf EU-Boden betreiben, ohne sie in die USA zu senden

Henri Jung

Mitgründer von Superkind, wo er KMU und Konzernen hilft, maßgeschneiderte KI-Agenten einzusetzen, die wirklich zur Arbeitsweise ihrer Teams passen. Henri treibt an, die Lücke zwischen dem, was KI kann, und dem Wert, den sie in echten Unternehmen schafft, zu schließen. Er ist überzeugt, dass der Mittelstand alles hat, um bei KI voranzugehen - er braucht nur den richtigen Ansatz, und dieser muss heute sicher und konform gedacht sein.