Cybersicherheit, Compliance & Governance
Aktuelle Einblicke aus unseren spezialisierten Tools für NIS2, ISO 27001, BSI IT-Grundschutz, AI Governance, DORA und GDPR.
Grundschutz++ ist da: Was der BSI-Standard 300-1 für jede Organisation mit ISMS ändert
Am 26. Oktober 2026 hat das BSI den BSI-Standard 300-1 veröffentlicht, die Methodik des Grundschutz++. Er beginnt bei den Geschäftsprozessen, kennt zwei Schutzbedarfskategorien, nimmt Organisationen mit normalem Schutzbedarf den Großteil der Risikoarbeit ab und macht jede Anforderung maschinenlesbar. Was sich ändert, was bleibt und was die Leitung zuerst entscheiden sollte.
Die 35 Mindestkriterien für die Risikobetrachtung im Grundschutz++, einzeln erklärt und mit Beispielen
Der BSI-Standard 300-1 lässt Organisationen ihr Risikoverfahren selbst wählen, sofern es 35 verbindliche Mindestkriterien aus Anhang 3 erfüllt. Was jedes Kriterium bedeutet, worauf ein Auditor achtet, und ein durchgerechnetes Beispiel zu jedem einzelnen.
Sicherheit von KI-Systemen: Was die neue ISO/IEC 27090 von Organisationen erwartet — Fallstudie Hugging Face
Im Juli 2026 überwanden KI-Agenten aus einer internen OpenAI-Evaluierung nach den Darstellungen beider Unternehmen die Isolation ihrer Testumgebung und gelangten in Systeme von Hugging Face. Drei Monate später erschien ISO/IEC 27090. Was der neue Leitfaden Organisationen zu bedenken gibt, gelesen am Fall, und sieben Lessons Learned.
Anonym für wen? Was die neuen EDSA-Leitlinien zur Anonymisierung für jede Führungskraft bedeuten, die Daten weitergibt
Ein Forschungsinstitut behält fünf Zeilen vergröberter Patientendaten. Keine Zeile ist einzigartig, und doch kann die Tabelle dem richtigen Leser eine Diagnose verraten. Die EDSA-Leitlinien 02/2026 erklären, warum Anonymität eine Frage nach Personen und ihren Mitteln ist, und wie man sie entscheidet.
Cyberangriff auf Berlin: Nicht zu zahlen war richtig. Was sich ändern muss.
Cyberangriff auf Berlin: belegter Ablauf, warum Nichtzahlen richtig war und fünf Empfehlungen für Prävention und Reaktion.
Hat die KI von Machiavelli gelernt?
Ein internes OpenAI-Modell umging bei einer Rechercheaufgabe die Zugriffsgrenzen eines realen australischen Regierungsportals. Warum agentische KI Grenzen braucht, die auch dann halten, wenn der legitime Weg zum Ziel versperrt ist, und was Entwickler, Betreiber und Regulierer tun sollten.
ISO 42001 Checkliste: 45 Prüfpunkte für KI-Governance, Daten, KI-Sicherheit und autonome Agenten
45 Prüfpunkte nach ISO/IEC 42001:2023 — mit Herkunft an jedem Punkt: Normkapitel, Anhang A, eigenständiges Recht oder Praxis. PDF, kostenlos, ohne Anmeldung.
Messen, was Sie ändern wollen: 48 ISMS-Messgrößen nach ISO/IEC 27004
36 Messbeispiele aus Annex B der ISO/IEC 27004:2016, plus 12 Konstrukte für die Maßnahmen von 2022 — je mit der Formel und dem, was die Zahl aussagt. PDF, kostenlos.
Wer digitale Produkte ausliefert, meldet ab dem 11. September 2026
Artikel 14 der Cyberresilienzverordnung gilt ab dem 11. September 2026 — auch für erfasste Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden.
Vierzig Fälle, die über die Kennzeichnungspflicht entscheiden
Artikel 50 KI-VO, gelesen anhand der eigenen Anwendungsbeispiele der Kommission — dreißig an den Leitlinien verankerte Szenarien, dazu zehn dokumentierte Vorfälle, durch den Test geführt.
EU AI Act Artikel 50 Umsetzungsstrategie: Sieben Schritte für Organisationen
Ein praxisnaher Weg zur Umsetzung von Artikel 50 der KI-Verordnung in sieben Schritten: Einsatzfälle erfassen, Anbieter- oder Betreiberrolle bestimmen, Hinweise setzen, Veröffentlichungen prüfen und Wirksamkeit nachweisen — samt der Verbote des Artikels 5, die kein Hinweis heilt.
Die KI-Verordnung-Verschiebung ist keine Atempause: Was der Digital Omnibus für Hochrisiko-KI wirklich ändert
Der Digital Omnibus ist jetzt geltendes Recht. Er verschiebt die zentralen Hochrisiko-Pflichten aus Kapitel III auf Dezember 2027 und August 2028 — doch Verbote, GPAI-Regeln, die Transparenzpflichten aus Artikel 50 und die DSGVO bleiben in Kraft. Was ein CISO/DSB im DACH-Raum tun muss, bevor er die Verschiebung als Verschnaufpause behandelt.
Das Datum, das sich nicht bewegte: Die GPAI-Durchsetzung ist jetzt scharf
Während die zentralen Hochrisiko-Pflichten auf 2027 und 2028 rutschten, blieb ein Datum unverändert: Am 2. August 2026 wurden die Durchsetzungsbefugnisse der Kommission gegenüber GPAI-Modellanbietern anwendbar — Auskunftsverlangen, Modellzugang, Rückruf und Geldbußen bis zu 3 % des Umsatzes. Was diese Asymmetrie für einen CISO/Datenschutzbeauftragten im DACH-Raum bedeutet, der kein Modellanbieter, sondern nachgelagerter Nutzer ist.
Der zurückgenommene Fall: Wie die erste Vorlage zur KI-Verordnung den EuGH erreichte — und ohne Antwort wieder verließ
Ein bulgarischer Verbraucher wollte wissen, was ihm das Recht auf Erläuterung aus der KI-Verordnung tatsächlich gibt. Bevor der Gerichtshof antworten konnte, nahm das klagende Unternehmen seine eigene Klage zurück. Das vorlegende Gericht sprach von einem möglichen Rechtsmissbrauch; der Gerichtshof kam zur Sachfrage nicht. Was der Fall Yettel Bulgaria darüber verrät, wie Artikel 86 durchgesetzt wird — und wie nicht.
Ein neues Schrems III? Diesmal kommt es von der anderen Seite des Atlantiks
Das Urteil des US Supreme Court in Trump v. Slaughter hat der Kernannahme des EU-US Data Privacy Framework — unabhängige US-Aufsicht — das verfassungsrechtliche Fundament entzogen. Was das für CISOs und DSB im DACH-Raum bedeutet und was in diesem Quartal zu tun ist.
KI-Agenten unter DSGVO und AI Act: Wenn die Software entscheidet und handelt, wer ist verantwortlich?
Ein LLM beantwortet eine Frage. Ein Agent liest, plant, ruft Werkzeuge auf und handelt — über Systeme hinweg, die Sie nie in Ihrer DSFA aufgeführt haben. Der Agent ist kein rechtlicher Akteur; Sie sind es. Warum Zweckbindung, Art. 22 und Werkzeugzugriff nach dem Least-Privilege-Prinzip darüber entscheiden, ob ein autonomer Workflow rechtmäßig ist oder ein offener Befund.
Der AVV ist ein Versprechen, keine Kontrolle: Einen KI-Anbietervertrag darauf lesen, was er tatsächlich bindet
Ein unterzeichneter AVV nach Art. 28 ist für sich genommen keine operative Kontrolle — er weist die Verantwortung für den Datenschutz zu, entlang einer Unterauftragsverarbeiter-Kette, die bei einem KI-Anbieter mehrere Parteien tief in die US-Gerichtsbarkeit reichen kann. Warum der Verantwortliche für die gesamte Kette rechenschaftspflichtig bleibt, was der Vertrag benennen muss und wie man einen AVV auf die Lücken liest, über die er schweigt.
Fine-Tuning mit den eigenen Daten: Warum „Wir hosten es selbst“ die falsche Hälfte des DSGVO-Problems löst
Selbst-Hosting kann die Drittlandübermittlungs-Exposition verringern, lässt aber das schwierigere Problem unberührt: Sobald personenbezogene Daten die Gewichte beeinflusst haben, ist die Löschung auf Anfrage derzeit schwer zu verifizieren und kann Neutraining, Unlearning oder Ausgabekontrollen von ungewisser Zuverlässigkeit erfordern. Berechtigtes Interesse ist keine Voreinstellung — es ist ein dreistufiger Test, für den der EDSA eine hohe Hürde setzt. Warum die Rechtsgrundlage vor dem Training feststehen muss, nicht danach.
ChatGPT, Copilot oder Gemini: Was geschieht mit personenbezogenen Daten in dem Moment, in dem Sie sie in eine KI eingeben?
Jeder Prompt ist eine Verarbeitung — und oft eine Drittlandübermittlung. Der AVV lässt sie nicht verschwinden, und auf Verbraucher- oder kostenlosen Diensten kann der Name Ihrer Kollegin zur Dienst- oder Modellverbesserung verwendet werden, sofern Einstellungen, temporärer Modus oder Business-/Enterprise-Bedingungen dies nicht ausschließen. Warum die Frage nicht lautet, welche KI Sie nutzen, sondern wer liest, was Sie eingegeben haben — und was sie behalten dürfen.
AWS, GCP oder Azure: Reichen Pseudonymisierung und ein Customer-Managed Key für die DSGVO-Compliance aus?
Nicht gegen den CLOUD Act und FISA 702 — jedenfalls nicht, solange eine Frage offen bleibt: Wo liegt der Schlüssel? Warum kundenseitige Schlüsselhoheit, nicht die Geografie und nicht der Name des Anbieters, die Trennlinie ist.
Die Tochtergesellschafts-Falle: Warum Ihr Unternehmen unbemerkt in den NIS2-Anwendungsbereich fallen kann
Der NIS2-Anwendungsbereich von Grund auf erklärt: die zwei Filter Sektor und Größe, die EU-KMU-Definition, die Konsolidierungsmethode nach Artikel 6 für verbundene (> 50 %) und Partnerunternehmen (25–50 %), sieben durchgerechnete Szenarien und die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen — wie Sie korrekt ermitteln, ob die Richtlinie für Ihre Organisation gilt.
Microsoft 365 Dilemma: Ist Microsoft 365 wirklich DSGVO-konform?
Eine aktuelle Bestandsaufnahme zur DSGVO-Konformität von Microsoft 365: DSK-Festlegung 2022, EDPS-Verfahren gegen die EU-Kommission und der HBDI-Bericht 2025 — was sich rechtlich geändert hat und was Verantwortliche heute prüfen müssen.
Ein CISO wäre fast ins Gefängnis gekommen, weil er einen Sicherheitsvorfall vertuschte
Der Joe-Sullivan-Fall von Uber zeigt, was die NIS2-Richtlinie und § 38 BSIG für die persönliche Haftung der Geschäftsleitung tatsächlich bedeuten — und warum diese amerikanische Geschichte nun Europas Vorlage ist.
NIS2 ist keine weitere Vorschrift. Sie entscheidet, wer nach einem Sicherheitsvorfall den Posten verliert.
Wie NIS2 die Verantwortung für Cybersicherheits-Governance von der organisationalen zur persönlichen Haftung verschiebt — und was Artikel 20, §38 BSIG und das deutsche NIS2UmsuCG für die Geschäftsleitung wesentlicher und wichtiger Einrichtungen bedeuten.
Was ist ein KI-System im regulatorischen Kontext?
Definition, Geltungsbereich und operative Governance-Konsequenzen nach EU AI Act und ISO/IEC-Standards. Warum die Klassifizierung Ausgangspunkt aller regulatorischen Pflichten ist.
DPIA vs. FRIA: Das doppelte Tor der EU für Hochrisiko-KI-Compliance
Wie das DSGVO-Datenschutz-Audit und die Grundrechtsprüfung des AI Act tatsächlich zusammenwirken — und warum die populären LinkedIn-Infografiken gefährlich falsch liegen.