KI-Sicherheit für KRITIS-Betreiber: BSIG und AI Act

Wo KI in kritischen Infrastrukturen eingesetzt wird

KI hält in vielen Sektoren Einzug, oft zunächst in unterstützender Rolle:

• Energie: Last- und Erzeugungsprognosen für erneuerbare Energien, Netzzustandsschätzung, vorausschauende Wartung von Umspannwerken und Windenergieanlagen.
• Wasser und Abwasser: Leckageerkennung, Optimierung von Pumpen und Dosieranlagen, Auswertung von Sensordaten zur Wasserqualität.
• Verkehr: Verkehrssteuerung, Zustandsüberwachung von Gleisen und Brücken, Disposition.
• Gesundheit: Unterstützung bei Diagnostik und Bettenplanung in Krankenhäusern.
• Sicherheitsbetrieb: Anomalieerkennung im Netzwerk und in OT-Umgebungen, Auswertung von Sicherheitsereignissen im SOC.

Entscheidend für die Risikobewertung ist, ob die KI nur Informationen für Menschen aufbereitet oder direkt in die Steuerung physischer Prozesse eingreift. Mit jedem Schritt in Richtung automatisierter Steuerung steigen die Anforderungen an Robustheit, Nachvollziehbarkeit und Rückfallebenen.

Besondere Risiken

• Manipulierte Eingangsdaten: Gezielt verfälschte Sensorwerte oder präparierte Eingaben (Adversarial Examples) können ein Modell zu falschen Prognosen oder Steuerbefehlen verleiten.
• Vergiftete Trainingsdaten: Wer Zugriff auf historische Betriebsdaten oder Modelle eines Zulieferers hat, kann Hintertüren einbauen, die nur unter bestimmten Bedingungen auslösen.
• Unerwartete Betriebszustände: Modelle, die auf Normalbetrieb trainiert wurden, verhalten sich bei Extremwetter, Teilausfällen oder Krisenlagen unter Umständen unvorhersehbar, also genau dann, wenn Zuverlässigkeit am wichtigsten ist.
• Neue Verbindungen zwischen IT und OT: KI-Plattformen benötigen oft Daten aus der Leittechnik und Anbindung an Cloud-Dienste. Jede neue Schnittstelle kann die Segmentierung zwischen Büro-IT und Steuerungsnetz schwächen.
• Abhängigkeit von Anbietern: Modellaktualisierungen, Fernwartung und Lizenzmodelle beeinflussen die Verfügbarkeit direkt.

Rechtlicher Rahmen: BSIG und NIS2

Mit der Umsetzung der NIS2-Richtlinie (EU) 2022/2555 durch das NIS2UmsuCG gilt seit Dezember 2025 das neu gefasste BSI-Gesetz. Es unterscheidet wichtige Einrichtungen, besonders wichtige Einrichtungen und Betreiber kritischer Anlagen, für die die strengsten Anforderungen gelten. KI wird im BSIG nicht gesondert geregelt. KI-Systeme sind aber Teil der informationstechnischen Systeme, Komponenten und Prozesse, die im Risikomanagement nach § 30 BSIG zu berücksichtigen sind, etwa bei Risikoanalyse, Lieferkettensicherheit, Schwachstellenmanagement und Bewältigung von Sicherheitsvorfällen. Für Betreiber kritischer Anlagen kommen zusätzliche Anforderungen hinzu, darunter der Einsatz von Systemen zur Angriffserkennung und regelmäßige Nachweise gegenüber dem BSI. Erhebliche Sicherheitsvorfälle, auch solche, die von einem KI-System ausgehen oder es betreffen, unterliegen den Meldefristen von 24 Stunden (Frühwarnung), 72 Stunden (Meldung) und einem Monat (Abschlussbericht). Die Geschäftsleitung haftet für die Umsetzung und muss regelmäßig an Schulungen teilnehmen (§ 38 BSIG).

Ergänzend regelt das KRITIS-Dachgesetz (in Kraft seit 17. März 2026) zur Umsetzung der CER-Richtlinie (EU) 2022/2557 die physische Resilienz kritischer Anlagen. Es ist nicht auf Cybersicherheit oder KI ausgerichtet; die Abgrenzung zu den Pflichten nach BSIG sollten Betreiber im Einzelfall prüfen.

Hochrisiko-KI nach dem EU AI Act

Nach Anhang III Nr. 2 der Verordnung (EU) 2024/1689 gelten KI-Systeme als hochriskant, die als Sicherheitsbauteile beim Management und Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder Stromversorgung eingesetzt werden sollen. Eine reine Prognose- oder Auswertungsfunktion ohne Sicherheitsrelevanz fällt nicht automatisch darunter; Art. 6 Abs. 3 enthält zudem Ausnahmen, deren Anwendung dokumentiert werden muss.

Für Hochrisiko-Systeme müssen Anbieter unter anderem ein Risikomanagementsystem, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit nachweisen (Art. 9 bis 15). Art. 15 nennt ausdrücklich den Schutz vor Datenvergiftung, Modellvergiftung und manipulierten Eingaben. Betreiber, also die KRITIS-Unternehmen selbst, müssen das System bestimmungsgemäß verwenden, fachkundige Personen mit der menschlichen Aufsicht betrauen, den Betrieb überwachen und automatisch erzeugte Protokolle aufbewahren (Art. 26). Durch den Digital Omnibus (in Kraft seit 27. Juli 2026) wurden die Fristen verschoben: Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten nach Anhang I ab dem 2. August 2028.

Schutzmaßnahmen in der Praxis

1. Einsatzzweck klassifizieren: Für jedes KI-System festhalten, ob es berät, empfiehlt oder steuert, und ob es als Sicherheitsbauteil im Sinne des AI Act gilt.
2. KI in das ISMS integrieren: Modelle, Trainingsdaten und KI-Plattformen im Asset-Verzeichnis und in der Risikoanalyse nach § 30 BSIG führen, einschließlich der Lieferanten.
3. Mensch in der Entscheidung halten: Steuerbefehle aus KI-Systemen mit Plausibilitätsgrenzen versehen und kritische Eingriffe nur nach Freigabe durch das Betriebspersonal ausführen.
4. Rückfallebene sicherstellen: Der Betrieb muss ohne KI in einem definierten, sicheren Modus weiterlaufen können; das gehört in Notfall- und Wiederanlaufpläne.
5. Segmentierung wahren: KI-Plattformen nicht direkt ins Steuerungsnetz einbinden, sondern über kontrollierte Übergabepunkte mit einseitigem Datenfluss, wo möglich.
6. Robustheit testen: Modelle vor Inbetriebnahme mit Extremwerten, fehlenden Sensordaten und gezielt manipulierten Eingaben prüfen; MITRE ATLAS liefert dafür Angriffsszenarien.
7. Überwachung und Meldewege: Modellverhalten und Datenqualität laufend überwachen und KI-bezogene Störungen in den Meldeprozess an das BSI einbeziehen.

Fazit

Für KRITIS-Betreiber ist KI kein Sonderthema, sondern Teil der bestehenden Pflichten aus BSIG und NIS2, die durch den AI Act für sicherheitsrelevante Anwendungen verschärft werden. SecTepe unterstützt Betreiber dabei, KI-Systeme in Risikoanalyse, Angriffserkennung und Notfallmanagement einzubinden.

Häufige Fragen

Ist jede KI bei einem KRITIS-Betreiber automatisch Hochrisiko-KI?

Nein. Maßgeblich ist, ob das System als Sicherheitsbauteil für den Betrieb der Infrastruktur dient. Ein Chatbot für Kundenanfragen eines Stadtwerks ist beispielsweise keine Hochrisiko-KI im Sinne von Anhang III Nr. 2.

Muss ein KI-Vorfall an das BSI gemeldet werden?

Wenn er die Kriterien eines erheblichen Sicherheitsvorfalls erfüllt, ja. Ob die Ursache ein KI-System oder eine klassische Komponente ist, spielt für die Meldepflicht keine Rolle.