Digitale Omnibus

Von Ingo Unger, Experte für Information Security Management Systeme (ISMS), DQS

Mit dem “Digitalen Omnibus” harmonisiert die EU gleich mehrere Digitalgesetze gleichzeitig. Das ist dringend notwendig, um Doppelregulierungen zu reduzieren und mehr Konsistenz zwischen den mittlerweile sehr zahlreichen Rechtsakten zu schaffen. Der bürokratische Aufwand für Unternehmen dürfte sich dadurch reduzieren, die Anzahl der zu erfüllenden Pflichten bleibt hingegen mindestens gleich. Etablierte ISO-Standards bieten Unternehmen eine systematische Grundlage, um regulatorische Anforderungen strukturiert zu adressieren.

Das “Digital Rulebook” der EU hat ein beachtliches Ausmaß angenommen. Der wachsende Rechtsrahmen für alle digitalen Belange inklusive Datenschutz und IT-Sicherheit, mit dem die Digital Strategy der EU umgesetzt werden soll, ist zweifelsfrei sinnvoll – allerdings immer weniger überschaubar. Allgemeinere Rechtsverordnungen wie zum Beispiel die DSGVO, der AI Act, der Data Governance Act, der Data Act und der Cyber Resilience Act gehören ebenso dazu wie der Digital Service Act, NIS2 und DORA als ergänzende Sicherheitsgesetze. Allein herauszufinden, von welchem Gesetz das eigene Unternehmen betroffen ist, welche Anforderungen gestellt werden und welche Nachweispflichten zu erfüllen sind, ist eine Herausforderung. Zumal sich die Verordnungen auch ändern.

Der “Digitale Omnibus” wird hier zumindest etwas mehr Klarheit schaffen. Das Gesetzespaket, welches gerade finalisiert wird, soll die bisherige Digitalgesetzgebung überarbeiten. Dediziertes Ziel: die Anforderungen harmonisieren, Doppelregulierungen reduzieren und Prioritäten klarer setzen. Cybersecurity, KI‑Governance und Produktanforderungen sollen stärker verzahnt und ein konsistentes Rahmenwerk für digitale Resilienz geschaffen werden.

Ein wichtiger Teil dieser Initiative ist der Digitale Omnibus für KI, den die Europäische Kommission im November 2025 vorgeschlagen hat und der im Juli 2026 in Kraft getreten ist. Zentrale Pflichten für Hochrisiko-KI-Systeme gelten damit erst später – ab dem 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III und ab dem 2. August 2028 für KI als Sicherheitsbauteil regulierter Produkte nach Anhang I. Hintergrund der Verschiebung: Die harmonisierten Normen, gemeinsamen Spezifikationen und Leitlinien, auf die sich Anbieter beim Konformitätsnachweis stützen sollen, liegen noch nicht vor.

Die Kommission muss entsprechende Leitlinien nun bis spätestens 1. August 2027 bereitstellen. Der datenbezogene Teil des Omnibus mit Änderungen an DSGVO, Data Act, Data Governance Act sowie ePrivacy- und Open-Data-Richtlinie wird dagegen weiterhin verhandelt. 

Die wachsende Bedeutung von Digital Trust

Was aber bedeutet das alles für die Unternehmen? Die Anforderungen an Datenschutz und Cybersecurity werden keinesfalls weniger. Die gesetzlichen Vorgaben sind das eine, der Schutz aus eigenem Interesse das andere. Hinzu kommen die Erwartungen der Partnerunternehmen und Kundinnen sowie Kunden, die ihrerseits Bestimmungen erfüllen müssen und auf die Sicherheit digitaler Tools und Lieferketten vertrauen wollen. “Digital Trust” ist längst von einem Schlagwort zu einem konkreten Thema im Geschäftsalltag geworden.

Dabei geht es nicht mehr nur um Einzelmaßnahmen, wie etwa den Schutz vor Hackern durch Firewalls oder schlüssige Rollen- sowie Zugriffskonzepte, die es den Geschäftspartnern nachzuweisen gilt. Mit steigender Abhängigkeit von digitalen Lösungen und mindestens ebenso schnell wachsenden Cyberrisiken geht es um die großen Themen: Governance, Compliance, Resilienz, Datenschutz und Datensicherheit, nicht in erster Linie als Vorgabe von Gesetzgebern, sondern als Existenzsicherung und Optimierungswerkzeug für das eigene Unternehmen.

Was Zertifizierungen leisten und was nicht

In diesem Spannungsfeld zwischen einer wachsenden Zahl sich stetig verändernder Gesetzesvorgaben und dem Anspruch, das eigene Unternehmen abzusichern, bieten ISO-Managementsysteme eine wertvolle strukturelle Grundlage. So definiert ISO 9001 Anforderungen an ein Qualitätsmanagementsystem, ISO/IEC 27001 an ein zertifizierbares Informationssicherheits-Managementsystem (ISMS). Dessen Strukturen und Prozesse weisen zahlreiche Schnittmengen mit regulatorischen Anforderungen an die Informationssicherheit auf. Unternehmen mit einem ISMS nach ISO/IEC 27001 sind deshalb zwar nicht automatisch DSGVO-, NIS2- oder DORA-konform, können bei der Erfüllung entsprechender Anforderungen aber auf etablierte Strukturen und Prozesse aufbauen.

Damit rückt auch der Nutzen von ISO-Zertifizierungen in ein breiteres Licht. Ein Zertifikat dient als unabhängiger Nachweis, dass ein Managementsystem die Anforderungen der jeweiligen Norm erfüllt. Gleichzeitig kann das zugrunde liegende Managementsystem weit mehr als eine Nachweisfunktion erfüllen: Es schafft Strukturen für den systematischen Umgang mit Risiken und die kontinuierliche Verbesserung. Entscheidend dafür sind die konsequente Unterstützung durch das Management und die wirksame Verankerung der Prozesse im Unternehmen.

Regulatorische Anforderungen systematisch adressieren

Gerade das Beispiel der ISO/IEC 27001 zeigt anschaulich, wie nützlich das ISMS sein kann. Die Norm beschreibt, wie ein Unternehmen (oder jede andere Organisation) systematisch für Informationssicherheit sorgen, diese überwachen und kontinuierlich verbessern kann. Dabei geht es nicht nur um klassische IT-Sicherheit, sondern insbesondere um den risikobasierten Schutz von Informationen (Vertraulichkeit, Integrität, Verfügbarkeit), ganz egal, wie sie erfasst und verarbeitet werden. Dieser Ansatz passt gut zu dem, was die DSGVO fordert, zum Beispiel in Artikel 32. Darin werden Unternehmen aufgefordert, ein dem Risiko angemessenes Schutzniveau zu schaffen.

Viele typische ISO-27001-Maßnahmen können zugleich zur Erfüllung von Anforderungen der DSGVO beitragen: Berechtigungs- und Rollenkonzepte schützen vor unbefugten Zugriffen, mehrstufige Authentifizierungsmechanismen (MFA) sichern Benutzerkonten ab, Verschlüsselung schützt Daten bei Übertragung und Speicherung, Backups stellen die Verfügbarkeit sicher, Incident Management schafft Strukturen, um mit Datenschutzverletzungen systematisch umzugehen – um nur einige Beispiele zu nennen. Für die Umsetzung von NIS2 verweist die EU-Kommission sogar ausdrücklich auf ISO/IEC 27001, 27002 und weitere Normen. Sie bieten insbesondere Anknüpfungspunkte für Risiko- und Notfallmanagement, Incident Response und Lieferantenkontrolle.

Was die ISO/IEC-27000er-Reihe für die DSGVO ist, ist ISO/IEC 42001 für den EU AI Act. Zwar ist ISO/IEC 42001 keine harmonisierte Norm im Sinne der KI-Verordnung, begründet also keine Konformitätsvermutung, und Ziele wie Definitionen stimmen – besonders mit Blick auf Hochrisiko-KI-Systeme – nicht durchgängig überein. Dennoch hilft ein KI-Managementsystem (AIMS) beispielsweise durch die systematische Vergabe von Zuständigkeiten, Freigaben und Entscheidungsprozessen dabei, die Rollen zu definieren, mit denen der AI Act arbeitet. Denn je nachdem, ob ein Unternehmen Anbieter eines KI-Systems, Betreiber, Importeur oder etwas anderes ist, hat es verschiedene Pflichten zu erfüllen. Durch ein zentrales KI-Inventar, welches im AIMS erfasst wird, fällt zudem die Klassifizierung des jeweiligen KI-Systems leichter und macht diese überprüfbar. Für das vom AI Act verlangte Risikomanagementsystem stellt das ISO-AIMS Prozesse, Kriterien, Verantwortlichkeiten und Überprüfungsszenarien bereit.

Jetzt starten und kontinuierlichen Prozess etablieren 

In der Praxis erweist sich der hemmende Respekt vor ISO-Managementsystemen oft als unbegründet. Denn viele Unternehmen setzen bereits aus ureigenen Interesse viele der Vorgaben um: So gehören zum Beispiel grundlegende technische Maßnahmen für die IT-Sicherheit längst zum Standard, ebenso wie Rollen- und Zugriffskonzepte, die sicherstellen, dass nur Berechtigte sensible Daten einsehen können. Hier kann der Druck, der durch immer mehr Gesetze entsteht, auch als positives Signal verstanden werden, die eigenen Prozesse weiter zu verbessern. Zahlreiche ISO-Rahmenwerke unterstützen dabei als Leitfäden. Wichtig bleibt jedoch: Jedes Unternehmen muss den eigenen Bedarf individuell einschätzen und herausfinden, welchen gesetzlichen Anforderungen es genügen muss. Ein klarer Scope und die konsequente Unterstützung durch das Management sind mindestens genauso entscheidend wie gute Werkzeuge.