NIS2 in Zeiten von KI – warum reaktive Cyberabwehr ausgedient hat

Podcast mit Dr. Bernhard Schiemann, Senior Manager für AI und Cyber Security bei der BTC AG Seit dem 6. Dezember 2025 gilt in Deutschland mit dem NIS2-Umsetzungsgesetz ein neues Cybersicherheitsregime – ohne Übergangsfrist. Rund 29.500 Unternehmen stehen unter BSI-Aufsicht, es drohen Bußgelder bis zu 10 Millionen Euro, und Geschäftsführer haften künftig persönlich. Trotzdem hatten sich bis März 2026 erst rund 11.500 Unternehmen tatsächlich registriert – Anspruch und Wirklichkeit klaffen also auseinander. Gleichzeitig verschärft sich die Bedrohungslage rasant: KI-Systeme planen heute eigenständig ganze Angriffszyklen, von der Aufklärung bis zur Bewegung im Netzwerk. Forscher der University of Toronto stellten kürzlich einen selbstreplizierenden KI-Wurm vor, der binnen sieben Tagen 62 Prozent eines Testnetzwerks infizierte – ohne zentrale Steuerung. Active-Directory-Umgebungen lassen sich mittlerweile in unter vier Stunden kompromittieren. Die Kernfrage der heutigen Folge: Ein Gesetz, das auf Meldefristen und nachträglicher Rechenschaft aufbaut, trifft auf eine Bedrohungslage, die sich in Stunden statt Wochen bewegt. Reicht „Reaktion“ da noch aus – oder muss Cyberabwehr neu gedacht werden: proaktiv, automatisiert, KI-gestützt? Darüber spreche ich mit Dr. Bernhard Schiemann, Diplom-Informatiker mit Promotion in Künstlicher Intelligenz. Seit rund 2014 in der Informationssicherheit aktiv – lange bevor „Resilienz“ zum Modewort wurde –, treibt er das Thema seither auch im KRITIS-Umfeld voran. Aktuell ist er Senior Manager für AI und Cyber Security bei der BTC AG. Ihr bietet sowohl NIS2-Schulungen und Readiness-Checks als auch operative Security-Services wie SOC, SIEM und Threat- & Vulnerability-Management an. Wo siehst du die BTC AG in der Kette zwischen „Compliance beraten“ und „tatsächlich verteidigen“ – eher am Anfang, in der Mitte oder über die gesamte Kette hinweg? Wenn ein Unternehmen aus dem Mittelstand oder der Energiewirtschaft mit der BTC AG zusammenarbeiten möchte, um NIS2-Anforderungen und KI-Bedrohungen gemeinsam anzugehen – wie sieht der typische erste Schritt aus? Warum „reaktiv“ nicht mehr reicht Wenn Angreifer in Stunden kompromittieren, NIS2 aber in Tagen und Wochen meldet und dokumentiert – entsteht da nicht ein strukturelles Missverhältnis zwischen Regulierung und Realität? Ist „compliant“ nach NIS2 automatisch gleichbedeutend mit „sicher“ – oder kann ein Unternehmen formal alle Pflichten erfüllen und trotzdem verwundbar bleiben? Proaktive und autonome Verteidigung – was funktioniert wirklich? Was bedeutet „autonome Verteidigung“ konkret – wo hört sinnvolle Automatisierung auf und wo fängt gefährliche Kontrollabgabe an? Was sind aus deiner Sicht die drei wichtigsten technischen Hebel, mit denen ein mittelständisches Unternehmen – nicht nur ein Konzern – heute realistisch proaktiver werden kann? Praxis – konkrete Handlungsempfehlungen Wenn ein IT-Verantwortlicher heute bei null anfängt: Was ist der erste konkrete Schritt – Betroffenheitsprüfung, Registrierung oder Risikoanalyse? Gibt es typische „Quick Wins“, mit denen Unternehmen mit begrenztem Security-Budget innerhalb weniger Wochen spürbar resilienter werden? Welche Rolle spielt die Lieferkette dabei – NIS2 verlangt ja explizit auch Absicherung von Zulieferern und Dienstleistern. Wo brechen Unternehmen hier typischerweise ein?