Zwei europäische Vorschriften treten zwischen 2026 und 2028 in Kraft und verändern die Verpflichtungen der Unternehmen, die digitale Produkte entwerfen, verkaufen oder verwenden. Das Cyber Resilience Act (CRA) und das AI Act legen spezifische technische und organisatorische Anforderungen fest. Die Messung ihres jeweiligen Umfangs ermöglicht es, zu verstehen, welche Haushaltspositionen und internen Prozesse in der IT-Welt vorrangig betroffen sein werden.
Cyber Resilience Act und AI Act: Zeitplan und vergleichbare Sanktionen
Die beiden Texte richten sich nicht an dieselben Akteure, treten nicht zu denselben Zeitpunkten in Kraft und sehen nicht dieselben Höchstgrenzen für Sanktionen vor. Die folgende Tabelle fasst die Unterschiede zusammen.
| Kriterium | Cyber Resilience Act (CRA) | AI Act |
|---|---|---|
| Erster verbindlicher Termin | 11. September 2026 | 2. August 2025 (Verbot), dann 2. August 2026 (Verpflichtungen zur KI-Kultur) |
| Vollständige Anwendung | 11. Dezember 2027 | 2. August 2027 (Hochrisikosysteme) |
| Umfang | Alle Produkte mit digitalen Elementen, die in der EU verkauft werden | KI-Systeme, die in der EU auf den Markt gebracht oder verwendet werden |
| Maximale Sanktion | 15 Mio. € oder 2,5 % des weltweiten Umsatzes | 35 Mio. € oder 7 % des weltweiten Umsatzes (verbotene Praktiken) |
| Wesentliche Dokumentationspflicht | SBOM (Software Bill of Materials) | Transparenzregister, Konformitätsbewertung |
Das CRA betrifft zunächst Softwarehersteller und Hersteller von vernetzten Geräten. Das AI Act hingegen betrifft jedes Unternehmen, das ein KI-System einführt, auch intern. Beide Texte teilen jedoch eine gemeinsame Logik: dokumentieren, nachverfolgen, aktualisieren.
Mehrere Branchenanalysen, die auf der IT-Sektion von The Web Brains veröffentlicht wurden, erläutern die konkreten Auswirkungen dieser Vorschriften auf die IT-Teams in Frankreich.
Ergänzende Lektüre : Entdecken Sie die neuesten Trends und Innovationen der High-Tech-Welt
SBOM und digitale CE-Kennzeichnung: Was das CRA für Entwickler ändert
Ab September 2026 muss jeder Hersteller eines digitalen Produkts, das in der EU verkauft wird, innerhalb von 24 Stunden jede aktiv ausgenutzte Schwachstelle oder jeden schwerwiegenden Sicherheitsvorfall melden. Diese Meldefrist, die an die des GDPR für Datenverletzungen angelehnt ist, erfordert eine Überarbeitung der Überwachungs- und Reaktionsprozesse.
Die strukturellste Anforderung bleibt das SBOM. Dieses umfassende Dokument listet alle Softwareabhängigkeiten eines Produkts auf, einschließlich Open-Source-Bibliotheken. Ein aktuelles SBOM zu führen, erfordert drei konkrete Änderungen in den Entwicklungspraktiken:
- Einbindung eines Software Composition Analysis (SCA)-Tools in die CI/CD-Pipeline, um automatisch veraltete oder verwundbare Abhängigkeiten zu erkennen
- Formalisierung einer Politik zur Verwaltung von kostenlosen Sicherheitsupdates über die gesamte Unterstützungslaufzeit des Produkts, ein Engagement, das der Hersteller vor der Markteinführung dokumentieren muss
- Vorbereitung der technischen Unterlagen, die für die CE-Kennzeichnung für Cybersicherheit erforderlich sind, die ab dem 11. Dezember 2027 für alle Produkte mit digitalen Elementen obligatorisch wird
Für kleine und mittlere Softwareunternehmen liegt der Kostenfaktor für die Einhaltung weniger bei den Werkzeugen (es gibt Open-Source-SCA-Lösungen), sondern bei der menschlichen Zeit: dokumentieren, Wiederherstellungen testen, Benachrichtigungsverfahren formalisieren.
AI Act und Verpflichtung zur KI-Kultur im Unternehmen: Über die technische Konformität hinaus
Das AI Act beschränkt sich nicht darauf, KI-Systeme nach Risikostufen zu klassifizieren. Ab August 2025 sind als inakzeptabel geltende KI-Praktiken (soziale Bewertung, subliminale Manipulation) verboten. Der nächste Termin, August 2026, verpflichtet jede Organisation, die ein KI-System einführt oder entwickelt, zur „KI-Kultur“.
Diese Schulungsverpflichtung betrifft ein breites Spektrum. Sie richtet sich nicht nur an Data Scientists oder Machine Learning-Ingenieure. Auch die Fachabteilungen, die ein Scoring-Tool, eine automatische Bewerberauswahl oder eine Kundenempfehlung verwenden, sind betroffen.
Der Text fordert, dass die Personen, die an der Funktionsweise oder Überwachung eines KI-Systems beteiligt sind, über ein ausreichendes technisches Verständnis verfügen. Konkret bedeutet dies, Programme zur Schulung entsprechend den Profilen zu erstellen, die erworbenen Fähigkeiten zu dokumentieren und im Falle einer Kontrolle nachweisen zu können.
Im Gegensatz zum CRA, das sich an Hersteller richtet, macht das AI Act auch die professionellen Nutzer von Hochrisiko-KI-Systemen verantwortlich. Ein Unternehmen, das eine KI-gestützte Rekrutierungssoftware kauft, muss sicherstellen, dass diese Software konform ist, muss aber auch seine Recruiter in deren Funktionsweise und Grenzen schulen.
Cybersicherheit und Cloud: Budgetentscheidungen für französische Unternehmen
Die Ansammlung dieser regulatorischen Verpflichtungen belastet die IT-Budgets. Die am stärksten betroffenen Posten verteilen sich auf drei Kategorien:
- Anwendungssicherheit (Code-Audit, SCA, Penetrationstests), getrieben durch die Anforderungen des CRA und die allgemeine Verschärfung der Angriffe auf Software-Lieferketten
- Schulung und KI-Governance, getragen vom AI Act, die personelle Ressourcen erfordert, anstatt schwerwiegende technologische Investitionen
- Cloud-Infrastruktur und Datenmanagement, bei denen die Wahl des Anbieters (souveräne Cloud oder amerikanischer Hyperscaler) sowohl die GDPR-Konformität als auch die Fähigkeit zur Erfüllung der Rückverfolgbarkeitsanforderungen des CRA beeinflusst
Der französische Cloud-Markt erlebt eine Neupositionierung. Mehrere Anbieter bieten SecNumCloud-zertifizierte Angebote an, die von der ANSSI qualifiziert sind. Für Unternehmen, die mit sensiblen Daten umgehen, wird die Wahl einer qualifizierten Cloud zu einem Kriterium für die regulatorische Konformität und nicht nur zu einem Verkaufsargument.
Die Entscheidungen sind nicht nur finanzieller Natur. Es bleibt schwierig, ein Profil zu rekrutieren, das die Einhaltung des CRA und des AI Act gleichzeitig steuern kann. Die Kompetenzen in Cybersicherheit, Daten-Governance und digitaler Regulierung überschneiden sich, aber Schulungen, die diese drei Bereiche abdecken, sind auf dem französischen Markt rar.
Der Unterschied zwischen den beiden Vorschriften zeigt sich auch in Bezug auf die Reife der Unternehmen. Die meisten Organisationen verfügen bereits über eine IT-Sicherheitsrichtlinie, wenn auch eine minimale. Die KI-Governance hingegen beginnt oft bei null in KMUs und ETIs. In diesem Bereich wird der Anpassungsaufwand bis 2027 am sichtbarsten sein.