Definition: Benannte Stelle
Eine benannte Stelle ist eine unabhängige Konformitätsbewertungsstelle, die von der notifizierenden Behörde eines EU-Mitgliedstaats benannt und bei der Europäischen Kommission gelistet wird, um bestimmte Hochrisiko-KI-Systeme vor Markteintritt nach der EU-KI-Verordnung zu prüfen, zu auditieren und zu zertifizieren.
Kernmerkmale von Benannte Stelle
Eine benannte Stelle ist der prüfende Akteur, nicht der Prozess selbst: die Organisation, bei der ein Anbieter Unterlagen einreicht und von der er ein Zertifikat erhält.
- Von einer nationalen notifizierenden Behörde benannt und der Europäischen Kommission förmlich gemeldet
- Mit einer eindeutigen Kennnummer in der NANDO-Datenbank gelistet
- Auditiert das Qualitätsmanagementsystem und testet das KI-System, wo nötig
- Stellt ein Zertifikat aus, das rechtliche Voraussetzung für die CE-Kennzeichnung ist
Benannte Stelle vs. Konformitätsbewertung
Die Konformitätsbewertung ist das gesamte Verfahren, das ein Anbieter vor Marktbereitstellung durchläuft; eine benannte Stelle ist ein möglicher Akteur innerhalb dieses Verfahrens, nicht das Verfahren selbst. Die meisten Hochrisiko-Systeme durchlaufen die Bewertung über die interne Kontrolle, ganz ohne externe Stelle. Eine benannte Stelle kommt nur bei dem schmaleren Kreis von Systemen ins Spiel, die Anhang VII der Drittprüfung zuweist.
Bedeutung von Benannte Stelle im Enterprise-KI-Umfeld
Ob ein Anbieter eine benannte Stelle braucht, entscheidet über Zeitplan und externe Abhängigkeit auf dem Weg zum Markteintritt, denn die Terminplanung liegt außerhalb der laufenden KI-Compliance-Arbeit. Die Bitkom-KI-Studie 2026 zeigt, dass 85 Prozent der deutschen KMU kein dokumentiertes KI-Systeminventar führen, weshalb viele noch gar nicht wissen, ob dieser Weg für sie gilt.
Methoden und Verfahren für Benannte Stelle
Sowohl die Benennung als auch die eigentliche Bewertung folgen einer festgelegten rechtlichen Abfolge.
Benennung und Akkreditierung
Eine Konformitätsbewertungsstelle beantragt die Benennung bei ihrer notifizierenden Behörde, die prüft, ob die Unabhängigkeits- und Kompetenzanforderungen nach Artikel 31 erfüllt sind, meist über eine Akkreditierung.
- Stelle legt ein Akkreditierungszertifikat vor, oder Nachweise, wo keines existiert
- Notifizierende Behörde prüft die Konformität und meldet dies der Kommission
- Kommission vergibt eine Kennnummer und nimmt die Stelle in die NANDO-Liste auf
Umfang der Konformitätsbewertungstätigkeiten
Ein Zertifikat gilt nur für die KI-Systemtypen und Module, die in der eigenen Notifizierung genannt sind. Die Stelle prüft die technische Dokumentation, auditiert das Qualitätsmanagementsystem und testet das System direkt, wo das Risikoprofil dies verlangt.
Laufende Überwachung und Gültigkeit des Zertifikats
Die Zertifizierung ist kein einmaliger Akt. Eine benannte Stelle bewertet das System nach jeder wesentlichen Änderung neu und auditiert regelmäßig die Qualitätsmanagementpraxis des Anbieters, damit das Zertifikat gültig bleibt.
Wichtige Kennzahlen für Benannte Stelle
Anbieter, die auf eine benannte Stelle angewiesen sind, verfolgen andere Kennzahlen als Anbieter auf dem Weg der internen Kontrolle.
Einbindung und Terminplanung
- Vorlaufzeit vom Antrag bis zum gebuchten Audit: Zielwert Wochen, nicht Monate
- Einbindungsquote: Anteil der Anhang-VII-Systeme mit bereits beauftragter Stelle
- Nacharbeitsanfragen zur Dokumentation je Bewertungszyklus
- Zeit von der eingereichten technischen Akte bis zum ausgestellten Zertifikat
Strategisches Kapazitätsrisiko
Weil nur wenige Stellen eine vollständige KI-Act-Benennung besitzen, ist die Verfügbarkeit selbst eine Kennzahl auf Vorstandsebene für Anbieter biometrischer oder produktintegrierter Hochrisiko-KI. Die Cloud Security Alliance stellte in ihrer Forschungsnotiz vom März 2026 fest, dass mehr als die Hälfte der Organisationen kein systematisches KI-Systeminventar führt, was die Bedarfsplanung überwiegend reaktiv macht.
Qualität von Zertifikat und Audit
Teams sollten erfassen, wie oft eine benannte Stelle Dokumentationslücken bemängelt, statt die Akte unverändert zu akzeptieren. Häufige Nacharbeit zeigt, dass Dokumentation für eine interne Checkliste geschrieben wurde statt für das, was die Stelle tatsächlich prüft.
Risikofaktoren und Kontrollen bei Benannte Stelle
Falsche Einschätzung, ob eine benannte Stelle nötig ist
Der häufigste Fehler ist die Annahme, interne Kontrolle greife, obwohl das System tatsächlich Sicherheitsbauteil eines regulierten Produkts ist.
- Prüfen, ob das System ein eigenständiger Anwendungsfall ist oder in ein reguliertes Produkt eingebettet
- Einordnung erneut prüfen, sobald sich die Zertifizierung des Trägerprodukts ändert
- Klassifizierung mit rechtlicher Freigabe dokumentieren, nicht als technische Annahme
Kapazitätsengpass und Vorlaufzeiten
Die Benennung von KI-Act-Stellen hinkt der Nachfrage hinterher und erinnert an den Rückstau nach dem Start der EU-Medizinprodukteverordnung. Anbieter mit echtem Bedarf an einer Anhang-VII-Prüfung sollten deutlich vor dem geplanten Start einen Termin anfragen.
Beauftragung einer Stelle außerhalb ihres Geltungsbereichs
Ein Zertifikat gilt nur für die Systemtypen, die im eigenen NANDO-Eintrag stehen. Eine Stelle außerhalb dieses Bereichs zu beauftragen ergibt ein Zertifikat, das einer Marktaufsichtsprüfung nicht standhält.
Praxisbeispiel
Ein 130 Mitarbeiter zählender Hersteller KI-gestützter Diagnosebildgebungssoftware bei Erlangen baut ein Modul, das auffällige Befunde in Röntgenaufnahmen markiert, als Sicherheitsbauteil eingebettet in Medizingeräte, die bereits nach der Medizinprodukteverordnung zertifiziert sind. Weil das Modul in einem regulierten Produkt steckt, braucht es eine Bewertung durch eine benannte Stelle statt interner Kontrolle. Das Team beauftragte über ein Jahr vor dem geplanten Start eine bereits unter der Medizinprodukteverordnung aktive benannte Stelle, um Terminengpässe vorwegzunehmen.
- Technische Dokumentation zu Trainingsdaten und Validierungstests, geteilt mit der benannten Stelle
- Audit des Qualitätsmanagementsystems Monate vor dem geplanten CE-Kennzeichnungstermin angesetzt
- Änderungskontrollprozess, der bewertungspflichtige Modifikationen kennzeichnet
- Gemeinsamer Zertifizierungszeitplan für beide Regelwerke bei einem Compliance-Verantwortlichen
Aktuelle Entwicklungen und Auswirkungen
Drei Entwicklungen prägen aktuell, wie Anbieter mit benannten Stellen planen.
Nationale Benennungsverfahren bleiben langsam
Mitgliedstaaten bauen ihre notifizierende Infrastruktur noch auf, und nur wenige Stellen besitzen Mitte 2026 eine vollständige KI-Act-Benennung.
- Deutschlands KI-MIG-Entwurf benennt die Bundesnetzagentur als notifizierende Behörde, die DAkkS unterstützt die Akkreditierung
- Etablierte Organisationen wie TÜV- und DEKRA-Gesellschaften dürften eine KI-Act-Benennung anstreben
- Die NANDO-Datenbank bleibt die einzige verbindliche Quelle für den aktuellen Status einer Stelle
Kapazitätsengpass erinnert an frühere EU-Produktrechtseinführungen
Branchenbeobachter warnen, dass der Mangel an akkreditierten KI-Act-Stellen dem Rückstau nach Einführung der Medizinprodukteverordnung und der In-vitro-Diagnostika-Verordnung ähnelt.
Digital Omnibus verschiebt die Frist, hebt die Pflicht aber nicht auf
Der Digital Omnibus verschob die meisten Anhang-III-Pflichten auf Dezember 2027, doch Anhang-VII-Systeme, die in regulierte Produkte eingebettet sind, richten sich weiterhin nach den Fristen ihres Trägerprodukts, teils bereits ab August 2028.
Fazit
Eine benannte Stelle ist der akkreditierte, unabhängige Akteur, den die EU-KI-Verordnung nur in den engen Kreis von Bewertungen einschaltet, die tatsächlich externe Prüfung verdienen, nicht ein universeller Kontrollpunkt für jedes Hochrisiko-System. Ob ein System eine benannte Stelle wirklich braucht, entscheidet, ob ein mittelständischer Anbieter ein internes Dokumentationsprojekt oder eine externe Abhängigkeit mit eigenem Zeitplan managt. Die Benennungslandschaft reift noch, und Kapazitätsengpässe sind real, was frühzeitiges Engagement zu einem echten Vorteil macht. Anbieter, die ihre Betroffenheit jetzt klären, vermeiden es, die Pflicht erst zu entdecken, wenn ein Starttermin bereits gefährdet ist.
Häufig gestellte Fragen
Was prüft eine benannte Stelle bei einer Bewertung konkret?
Sie prüft die technische Dokumentation gegen Artikel 11, auditiert das Qualitätsmanagementsystem und testet das System, wo nötig. Erst wenn diese Prüfungen die Konformität bestätigen, stellt sie ein Zertifikat aus.
Braucht unser Unternehmen eine benannte Stelle, oder können wir selbst bewerten?
Die meisten Anhang-III-Systeme qualifizieren sich für die interne Kontrolle, bei der der Anbieter seine eigene Konformität bewertet. Nur Systeme zur biometrischen Fernidentifizierung und KI in einem bereits regulierten Produkt brauchen eine benannte Stelle.
Was kostet die Zusammenarbeit mit einer benannten Stelle und wie lange dauert sie für ein mittelständisches Unternehmen?
Die Kosten umfassen Audit- und Zertifizierungsgebühren sowie interne Zeit für die Dokumentation, wobei die Summe je nach Systemkomplexität stark schwankt. Die Zeitrahmen liegen aktuell bei mehreren Monaten wegen begrenzter Kapazität, daher sollte man deutlich vor dem geplanten Start anfragen.
Gibt es Förderung für die Kosten einer benannten Stelle im Mittelstand?
Manche deutsche Digitalisierungs- und Compliance-Förderprogramme, meist über die KfW oder Landesprogramme für den Mittelstand, können Beratungs- und Prüfkosten rund um die Zertifizierung abfedern, dedizierte Förderlinien für benannte Stellen bleiben 2026 aber noch begrenzt.
Brauchen wir dafür eigene IT-Ressourcen?
Nein. Die meisten mittelständischen Anbieter kombinieren eigenes Produkt- und Rechtspersonal mit einem externen Compliance-Partner. Unternehmen wie Superkind, die individuelle KI-Agenten mit Anbindung an bestehende Unternehmenssysteme bauen, dokumentieren Datenflüsse und Aufsichtspunkte bereits im Rahmen des Aufbaus, was einer Prüfung eine fertige Beweisgrundlage liefert.
Wie verhält sich eine benannte Stelle zu Marktaufsichtsbehörden wie der Bundesnetzagentur?
Eine benannte Stelle zertifiziert ein System vor Markteintritt; eine Marktaufsichtsbehörde überwacht die Konformität danach und kann jederzeit Dokumentation anfordern. Eine bestandene Bewertung befreit einen Anbieter nicht von späterer Prüfung, und wirksame KI-Governance zusammen mit solider Marktbeobachtung nach Inverkehrbringen hält ein System auch im laufenden Betrieb verteidigungsfähig.
