Seit dem 12. August 2026 gilt die neue EU-Verpackungsverordnung, die Packaging and Packaging Waste Regulation, kurz PPWR, grundsätzlich in der gesamten Europäischen Union. Besonders sichtbar wird der Start durch eine konkrete Vorgabe: Lebensmittelkontaktverpackungen dürfen nicht mehr auf den EU-Markt gebracht werden, wenn sie bestimmte PFAS-Grenzwerte erreichen oder überschreiten. GRC Report beschreibt diese PFAS-Restriktionen als den ersten unmittelbar spürbaren Teil eines deutlich breiteren regulatorischen Umbaus im Verpackungsbereich.

Für viele Unternehmen klingt Verpackungsregulierung zunächst nach Umwelt-, Produkt- oder Procurement-Thema. Tatsächlich ist die PPWR aber ein klassisches GRC-Thema. Sie betrifft Produktdesign, Lieferantensteuerung, Materialdaten, technische Dokumentation, Konformitätsnachweise, ESG-Strategie, Auditfähigkeit und Marktzugang. Wer verpackte Produkte in der EU verkauft, muss künftig nicht nur wissen, welche Verpackung verwendet wird, sondern auch belegen können, ob sie den neuen Anforderungen entspricht.

Das Wichtigste in Kürze

Die PPWR trat am 11. Februar 2025 in Kraft und gilt grundsätzlich seit dem 12. August 2026. Sie erfasst Verpackungen und Verpackungsabfälle unabhängig von Material oder Herkunft und setzt Anforderungen an Herstellung, Zusammensetzung, Wiederverwendbarkeit, Verwertbarkeit und Abfallmanagement.

Besonders akut ist die PFAS-Restriktion für Verpackungen mit Lebensmittelkontakt. Seit dem 12. August 2026 dürfen solche Verpackungen nicht mehr auf den EU-Markt gebracht werden, wenn sie PFAS in Konzentrationen von 25 ppb für einzelne PFAS, 250 ppb für die Summe bestimmter PFAS oder 50 ppm für PFAS insgesamt erreichen oder überschreiten.

Die EU-Kommission stellt ausserdem klar, dass es für bereits produzierte PFAS-haltige Lebensmittelkontaktverpackungen keine allgemeine Übergangsfrist zur Lagererschöpfung gibt. Verpackungen, die vor dem 12. August 2026 auf den Markt gebracht wurden, dürfen im Markt bleiben. Verpackungen, die danach auf den Markt gebracht werden, müssen die Grenzwerte einhalten.

Für GRC-Verantwortliche bedeutet das: Packaging Compliance muss über Lieferanten, Materialien, Produkte, Dokumentation, Kontrollen und Nachweise hinweg steuerbar werden.

Warum die PPWR mehr ist als Umweltregulierung

Die PPWR soll Verpackungsabfälle reduzieren, Recycling stärken, Primärrohstoffe einsparen und den EU-Binnenmarkt durch einheitlichere Regeln vereinfachen. Die Kommission beschreibt die Verordnung als Rahmen für den gesamten Verpackungslebenszyklus, von Produktdesign bis Abfallbehandlung. Dazu gehören auch Einschränkungen für bestimmte Einwegkunststoffe, Vorgaben für Take-away-Behälter, Anforderungen an Recyclingfähigkeit sowie die Reduktion problematischer Stoffe wie PFAS in Lebensmittelkontaktverpackungen.

Der GRC-Impact liegt genau in dieser Breite. Verpackung ist nicht nur eine Hülle um ein Produkt. Sie ist Teil der Produktkonformität, der Lieferkette, der Nachhaltigkeitsstrategie und der Marktzugangslogik. Eine Änderung am Material kann Auswirkungen auf Lieferanten, Kosten, Haltbarkeit, Lebensmittelsicherheit, Transport, Markenauftritt, Recyclingfähigkeit und regulatorische Dokumentation haben.

Damit wird die PPWR zu einem Querschnittsthema. Legal muss die Anforderungen verstehen. Procurement muss Lieferanten einbinden. Produktmanagement muss Verpackungsdesign und Materialentscheidungen prüfen. ESG-Teams müssen Daten für Nachhaltigkeits- und Kreislaufwirtschaftsziele liefern. Compliance und interne Revision müssen sicherstellen, dass Nachweise vorhanden und belastbar sind.

PFAS: Der erste konkrete Compliance-Test

PFAS werden häufig als „Forever Chemicals“ bezeichnet, weil sie sehr persistent sind und sich in Umwelt und Organismen anreichern können. In Verpackungen wurden sie unter anderem wegen wasser-, fett- und schmutzabweisender Eigenschaften eingesetzt. Beispiele können beschichtete Fast-Food-Verpackungen, Take-away-Behälter, Backpapier, Lebensmittelwickel oder andere Verpackungen mit Fettbarriere sein.

Die PPWR setzt hier unmittelbar an. Artikel 5 Absatz 5 enthält konkrete Grenzwerte für Lebensmittelkontaktverpackungen. Die Kommissionsleitlinien bestätigen, dass Marktüberwachungsbehörden die Einhaltung dieser PFAS-Grenzen prüfen können und dass es aktuell keine vollständig harmonisierte EU-Testmethodik für PFAS in Lebensmittelkontaktverpackungen gibt. Stattdessen empfiehlt die Kommission einen stufenweisen Ansatz, unter anderem über Total-Fluorine-Messung und weitere Analysen, wenn Grenzwerte überschritten werden könnten.

Für Unternehmen ist das anspruchsvoll. Wenn die Testmethodik nicht vollständig harmonisiert ist, wird die Qualität der internen Nachweisführung umso wichtiger. Unternehmen müssen zeigen können, welche Materialien verwendet werden, welche Lieferantenerklärungen vorliegen, welche Tests durchgeführt wurden, welche Chargen betroffen sind und wie Entscheidungen dokumentiert wurden.

PFAS-Compliance ist daher kein einmaliger Materialcheck. Sie ist ein Prozess aus Lieferantenabfrage, Risikobewertung, Testing, Freigabe, Dokumentation und laufender Überwachung.

Warum Lieferantenrisiko jetzt Verpackungsrisiko wird

Viele Unternehmen stellen Verpackungen nicht selbst her. Sie beziehen Kartons, Folien, Etiketten, Beschichtungen, Trays, Becher, Tüten oder Verbundmaterialien von externen Lieferanten. Oft werden Verpackungen zusätzlich durch Converter, Druckereien, Logistikpartner oder Co-Packer angepasst.

Genau hier entsteht das GRC-Risiko. Ein Unternehmen kann nur dann sicher sein, dass seine Verpackung PPWR-konform ist, wenn es seine Lieferkette ausreichend versteht. Das betrifft nicht nur direkte Lieferanten, sondern auch Materialquellen, Beschichtungen, Additive, Recyclinganteile und gegebenenfalls Unterlieferanten.

In der Praxis wird es nicht reichen, eine allgemeine Nachhaltigkeitserklärung abzufragen. Unternehmen brauchen spezifische, aktuelle und produktbezogene Evidenz. Für Lebensmittelkontaktverpackungen bedeutet das besonders: Welche PFAS-Risiken bestehen? Welche Materialien und Beschichtungen werden eingesetzt? Welche Tests oder Zertifikate liegen vor? Welche Lieferantenverpflichtungen bestehen? Und wie wird sichergestellt, dass Materialänderungen gemeldet werden?

Vendor Risk Management wird damit auf eine neue Ebene gehoben. Es geht nicht nur um finanzielle Stabilität, Informationssicherheit oder Datenschutz des Lieferanten, sondern um Material- und Produktkonformität.

PPWR-Readiness braucht Daten-Governance

Die PPWR zeigt sehr deutlich, dass ESG- und Produktregulierung zunehmend datengetrieben werden. Unternehmen müssen nicht nur Ziele formulieren, sondern Materialdaten, Verpackungstypen, Lieferanteninformationen, technische Dokumente und Nachweise verwalten.

Das beginnt bei einfachen Fragen: Welche Produkte verwenden welche Verpackung? Welche Verpackung kommt mit Lebensmitteln in Kontakt? Welche Materialien enthalten Barrierebeschichtungen? Welche Lieferanten liefern welche Komponenten? Welche Version einer Verpackung ist aktuell im Markt? Welche Bestände wurden vor oder nach dem 12. August 2026 auf den Markt gebracht?

Die Kommissionsleitlinien sind hier besonders relevant, weil sie klarstellen, dass der Zeitpunkt des Inverkehrbringens entscheidend ist. Für importierte Verpackungen oder verpackte Produkte ist der relevante Zeitpunkt die Überlassung zum zollrechtlich freien Verkehr am Ende des Zollverfahrens.

Damit wird Verpackungscompliance auch zu einem Daten- und Prozessproblem. Ohne klare Stammdaten, Verantwortlichkeiten, Versionierung und Evidenz kann ein Unternehmen kaum nachweisen, welche Verpackungen wann und unter welchen Voraussetzungen auf den Markt gebracht wurden.

2028 und 2030: Die nächsten Pflichten kommen

Die PFAS-Restriktionen sind nur der Anfang. Ab 2028 sind harmonisierte Verpackungslabel vorgesehen, die Verbraucher beim Sortieren unterstützen sollen. Die Kommissionsleitlinien sehen vor, dass Verpackungen ab dem 12. August 2028 oder 24 Monate nach Inkrafttreten der entsprechenden Durchführungsakte mit einem harmonisierten Label zur Materialzusammensetzung gekennzeichnet werden müssen.

Ab 2030 wird die PPWR noch stärker in das Verpackungsdesign eingreifen. Die Verordnung sieht unter anderem Anforderungen an Verpackungsminimierung vor. Hersteller oder Importeure müssen sicherstellen, dass Gewicht und Volumen der Verpackung auf das funktional notwendige Minimum reduziert werden. Die Kommission arbeitet zudem an Standards und Methoden zur Bewertung dieser Anforderungen.

Für gruppierte Verpackungen, Transportverpackungen und E-Commerce-Verpackungen wird zudem ein maximaler Leerraumanteil von 50 Prozent vorgesehen, sobald die entsprechenden Vorgaben anwendbar sind.

Für Unternehmen bedeutet das: Wer PPWR erst dann angeht, wenn jede Detailpflicht unmittelbar gilt, wird zu spät sein. Verpackungsdesign, Lieferantenverträge, Materialumstellung, Testing, Labels, Produktfreigaben und Datenmodelle brauchen Vorlauf.

Warum Excel für Verpackungscompliance schnell an Grenzen kommt

Viele Unternehmen werden zunächst versuchen, PPWR-Anforderungen über Excel, Lieferantenfragebögen und E-Mail-Freigaben zu steuern. Das ist verständlich, aber langfristig riskant.

Die Herausforderung liegt in der Dynamik. Verpackungen ändern sich. Lieferanten wechseln Materialien. Neue Tests werden erforderlich. Behörden veröffentlichen Leitlinien. Labels werden harmonisiert. 2030 kommen weitere Anforderungen. Gleichzeitig müssen Unternehmen im Prüfungsfall erklären können, warum eine Verpackung als konform eingestuft wurde und auf welchen Nachweisen diese Entscheidung beruhte.

Wenn Verpackungsdaten, Lieferantenbestätigungen, Tests, Risikobewertungen, Produktfreigaben und Massnahmen in getrennten Dateien liegen, entsteht ein Nachweisproblem. Genau dieses Problem ist typisch für reifere GRC-Themen: Es geht nicht nur darum, Compliance zu erreichen, sondern sie wiederholbar, prüfbar und steuerbar zu machen.

Was Unternehmen jetzt tun sollten

Unternehmen sollten zunächst klären, ob sie Lebensmittelkontaktverpackungen auf den EU-Markt bringen oder solche Verpackungen in ihren Produkten verwenden. Danach sollte geprüft werden, ob PFAS-relevante Materialien, Beschichtungen oder Lieferantenrisiken bestehen. Entscheidend ist, diese Prüfung nicht nur als einmalige Abfrage zu behandeln, sondern in einen laufenden Kontrollprozess zu überführen.

Parallel sollten Unternehmen ihr Verpackungsinventar aufbauen oder aktualisieren. Ohne Übersicht über Verpackungstypen, Materialien, Lieferanten, Produkte und Märkte ist eine belastbare PPWR-Roadmap kaum möglich. Besonders wichtig ist die Dokumentation des Inverkehrbringens, weil die Kommission klar zwischen Verpackungen unterscheidet, die vor oder nach dem 12. August 2026 auf den Markt gebracht wurden.

Der nächste Schritt ist ein Gap Assessment für die kommenden Anforderungen. 2028 und 2030 wirken aus heutiger Sicht weit entfernt, sind es aber nicht. Verpackungsänderungen brauchen Designentscheidungen, Lieferantenqualifizierung, Testing, Budget, Kommunikation und operative Umsetzung.

Fazit: Die PPWR macht Verpackung zum GRC-Datenthema

Die neuen EU-Verpackungsregeln zeigen, wie stark Nachhaltigkeit, Produktsicherheit und Compliance zusammenwachsen. Die PFAS-Restriktionen für Lebensmittelkontaktverpackungen sind der erste sichtbare Umsetzungstest. Weitere Anforderungen an Labels, Recyclingfähigkeit, Rezyklatanteile, Wiederverwendung und Verpackungsminimierung folgen.

Für GRC-Leader ist die wichtigste Erkenntnis: Verpackungscompliance ist kein isoliertes Umweltprojekt. Sie braucht klare Verantwortlichkeiten, zuverlässige Lieferantendaten, dokumentierte Risikobewertungen, Kontrollen, technische Nachweise und auditfähige Entscheidungen.

Wer jetzt strukturiert beginnt, reduziert nicht nur regulatorische Risiken. Er schafft auch bessere Transparenz über Produkte, Lieferketten und ESG-Daten. Zazoon unterstützt Unternehmen dabei, PPWR-Readiness als integrierte GRC-Praxis aufzubauen: von Anforderungen und Risiken über Lieferanten und Kontrollen bis zu Evidenzen und Audit Trails.

FAQ

Was ist die PPWR?

Die PPWR ist die neue EU-Verpackungsverordnung. Sie ersetzt die bisherige Verpackungsrichtlinie in vielen Bereichen und schafft einen harmonisierten Rahmen für Verpackungen und Verpackungsabfälle in der EU.

Seit wann gilt die PPWR?

Die PPWR trat am 11. Februar 2025 in Kraft und gilt grundsätzlich seit dem 12. August 2026. Einige Anforderungen greifen jedoch zu späteren Zeitpunkten, etwa Label- und Designvorgaben.

Was ändert sich bei PFAS?

Seit dem 12. August 2026 dürfen Lebensmittelkontaktverpackungen nicht mehr auf den EU-Markt gebracht werden, wenn sie bestimmte PFAS-Grenzwerte erreichen oder überschreiten. Die Grenzwerte betreffen einzelne PFAS, die Summe bestimmter PFAS und PFAS insgesamt.

Gibt es eine Übergangsfrist für alte Lagerbestände?

Die Kommission stellt klar, dass es keine allgemeine Übergangsfrist zur Lagererschöpfung für PFAS-haltige Lebensmittelkontaktverpackungen gibt. Verpackungen, die vor dem 12. August 2026 auf den Markt gebracht wurden, dürfen im Markt bleiben. Verpackungen, die danach auf den Markt gebracht werden, müssen die Grenzwerte einhalten.

Welche Unternehmen sind betroffen?

Betroffen sind Unternehmen, die Verpackungen oder verpackte Produkte in der EU auf den Markt bringen. Dazu können Hersteller, Importeure, Händler, Markeninhaber, Lebensmittelunternehmen, E-Commerce-Anbieter und Schweizer Exporteure gehören.

Warum ist PPWR ein GRC-Thema?

Die PPWR verbindet Produktcompliance, ESG, Lieferantenmanagement, Daten-Governance, technische Dokumentation, interne Kontrollen und Auditfähigkeit. Unternehmen müssen nicht nur Anforderungen kennen, sondern deren Umsetzung belegen können.

Wie unterstützt Zazoon bei PPWR-Readiness?

Zazoon hilft Unternehmen, Anforderungen, Risiken, Lieferanten, Kontrollen, Massnahmen und Nachweise zentral zu steuern. Dadurch wird Verpackungscompliance nachvollziehbar, effizient und auditfähig.

Die EU-Kommission hat am 20. Juli 2026 Leitlinien zu den Transparenzpflichten nach Artikel 50 des AI Act veröffentlicht. Die Pflichten gelten ab dem 2. August 2026 und betreffen Anbieter und Betreiber bestimmter KI-Systeme. Dazu gehören unter anderem interaktive KI-Systeme wie Chatbots, Systeme zur Erzeugung oder Veränderung von Inhalten, Deepfakes sowie KI-generierte Texte von öffentlichem Interesse.

Für Unternehmen ist das ein wichtiger Wendepunkt: AI Governance wird operativ. Es reicht nicht mehr, KI-Nutzung allgemein zu erlauben oder zu verbieten. Unternehmen müssen konkret wissen, welche KI-Systeme im Einsatz sind, welche Rolle sie dabei einnehmen, welche Transparenzpflichten greifen und wie sie Kennzeichnung, Information, Freigabe und Nachweise zuverlässig steuern.

Das Wichtigste in Kürze

• Die EU-Kommission hat am 20. Juli 2026 Leitlinien zu Transparenzpflichten nach Artikel 50 AI Act veröffentlicht.

• Die Transparenzpflichten gelten ab dem 2. August 2026.

• Betroffen sind Anbieter und Betreiber bestimmter KI-Systeme, insbesondere interaktive KI-Systeme, KI-generierte Inhalte, Deepfakes, Emotionserkennung und biometrische Kategorisierung.

• Nutzer sollen erkennen können, wenn sie mit KI interagieren oder wenn Inhalte KI-generiert oder KI-manipuliert wurden.

• Die Leitlinien sollen Behörden, Anbietern und Betreibern helfen, die Regeln einheitlich, verhältnismässig und wirksam anzuwenden.

• Für GRC-Teams entsteht ein konkreter Handlungsbedarf: KI-Inventar, Rollenklärung, Risikobewertung, Kontrollprozesse, Kennzeichnung, Dokumentation und Audit Trails.

Warum Artikel 50 AI Act so relevant ist

Viele Diskussionen zum AI Act konzentrieren sich auf Hochrisiko-KI. Artikel 50 zeigt jedoch, dass auch Unternehmen ohne klassische Hochrisiko-Systeme betroffen sein können. Wer einen Kundenservice-Chatbot einsetzt, KI-generierte Marketinginhalte veröffentlicht, synthetische Bilder nutzt oder interne KI-Tools in der Kommunikation verwendet, kann Transparenzpflichten auslösen.

Der Kern der Regelung ist einfach: Menschen sollen nicht darüber getäuscht werden, ob sie mit einem KI-System interagieren oder ob ein Inhalt künstlich erzeugt oder manipuliert wurde. In der Praxis ist die Umsetzung jedoch komplex. Denn Transparenz betrifft nicht nur ein Label auf einer Website. Sie betrifft Prozesse, Systeme, Inhalte, Verantwortlichkeiten und Nachweise.

Für GRC-Leader ist deshalb entscheidend: Transparenzpflichten sind kein reines Legal-, Marketing- oder IT-Thema. Sie müssen als Governance-Prozess umgesetzt werden.

Welche Transparenzpflichten im Fokus stehen

Die Leitlinien der Kommission konkretisieren die Anwendung von Artikel 50. Für Unternehmen sind vor allem vier Bereiche relevant.

1. Interaktive KI-Systeme und Chatbots

Wenn Menschen direkt mit einem KI-System interagieren, muss grundsätzlich klar sein, dass sie es mit KI zu tun haben. Das betrifft etwa Chatbots im Kundenservice, KI-Assistenten auf Websites, virtuelle Support-Agenten oder KI-basierte interne Helpdesks.

Die praktische Herausforderung liegt darin, dass solche Systeme oft schnell eingeführt werden. Fachbereiche testen Tools, Marketing integriert Chatbots, HR nutzt Assistenzsysteme, IT automatisiert Supportprozesse. Ohne zentrales KI-Inventar weiss das Unternehmen schnell nicht mehr, wo Transparenzpflichten bestehen.

GRC-Fragen für Unternehmen:

• Welche interaktiven KI-Systeme sind intern und extern im Einsatz?

• Wer ist Anbieter, Betreiber oder Nutzer des Systems?

• Werden betroffene Personen rechtzeitig und verständlich informiert?

• Gibt es Freigabeprozesse vor dem Go-live?

• Sind die Informationen konsistent mit Datenschutz, Nutzungsbedingungen und internen Policies?

2. KI-generierte oder KI-manipulierte Inhalte

Artikel 50 adressiert auch Inhalte, die durch KI erzeugt oder verändert wurden. Die Kommission betont, dass Menschen erkennen können sollen, wenn Inhalte künstlich generiert oder manipuliert wurden.

Das betrifft nicht nur spektakuläre Deepfakes. Auch alltägliche Unternehmenskommunikation kann relevant werden: Bilder, Audio, Video, Produktvisualisierungen, Social-Media-Beiträge, Präsentationen, Erklärvideos oder KI-generierte Texte.

Für Unternehmen entsteht damit ein neues Kontrollproblem. Inhalte werden dezentral erstellt, oft mit Tools, die leicht zugänglich sind. Ohne klare Vorgaben besteht das Risiko, dass KI-generierte Inhalte nicht gekennzeichnet, falsch eingeordnet oder ohne ausreichende Prüfung veröffentlicht werden.

GRC-Fragen für Unternehmen:

• Welche Teams erstellen KI-generierte Inhalte?

• Wann ist eine Kennzeichnung erforderlich?

• Wer prüft Inhalte vor Veröffentlichung?

• Gibt es klare Regeln für Marketing, Kommunikation, HR, Sales und Produktteams?

• Werden Nachweise zur Erstellung, Prüfung und Freigabe dokumentiert?

3. Deepfakes und synthetische Medien

Deepfakes sind ein besonderer Risikobereich, weil sie Vertrauen, Identität und Wahrnehmung direkt betreffen. Artikel 50 sieht vor, dass KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die Deepfakes darstellen, als künstlich erzeugt oder manipuliert offengelegt werden müssen.

Für Unternehmen kann das in mehreren Szenarien relevant sein: Werbevideos mit synthetischen Personen, KI-generierte Testimonials, manipulierte Schulungsvideos, synthetische Sprecherstimmen oder personalisierte Videokommunikation.

Neben regulatorischen Risiken entstehen auch Reputationsrisiken. Kunden, Mitarbeitende oder Partner reagieren sensibel, wenn sie sich durch KI-generierte Medien getäuscht fühlen. Transparenz ist deshalb nicht nur Compliance, sondern Vertrauensschutz.

GRC-Fragen für Unternehmen:

• Werden synthetische Personen, Stimmen oder Videos genutzt?

• Gibt es eine Richtlinie für Deepfakes und synthetische Medien?

• Wird geprüft, ob eine Offenlegung erforderlich ist?

• Sind Freigaben durch Legal, Compliance oder Kommunikation dokumentiert?

• Werden externe Dienstleister und Agenturen in die Governance einbezogen?

4. Emotionserkennung und biometrische Kategorisierung

Artikel 50 enthält zudem Informationspflichten für den Einsatz von Emotionserkennung oder biometrischer Kategorisierung. Betroffene Personen müssen über den Betrieb solcher Systeme informiert werden.

Für viele KMU wird dieser Bereich weniger alltäglich sein als Chatbots oder generative KI. Trotzdem ist er wichtig, weil solche Systeme besonders sensibel sind. Beispiele können HR-Tools, Sicherheitslösungen, Kundenerlebnis-Analysen oder biometrisch unterstützte Anwendungen sein.

Hier überschneiden sich AI Act, Datenschutz, Arbeitsrecht, Ethik und Reputationsrisiken. Unternehmen sollten solche Use Cases besonders sorgfältig prüfen.

GRC-Fragen für Unternehmen:

• Gibt es Systeme mit biometrischen oder emotionsbezogenen Funktionen?

• Wurde geprüft, ob der Use Case zulässig ist?

• Sind Datenschutz-Folgenabschätzung und AI-Risikobewertung verbunden?

• Werden betroffene Personen klar informiert?

• Gibt es Kontrollen gegen unzulässige oder zweckwidrige Nutzung?

Warum AI-Act-Transparenz mehr als ein Hinweistext ist

Ein häufiger Fehler besteht darin, Transparenzpflichten als reine Formulierungsaufgabe zu behandeln. Dann wird ein Hinweistext ergänzt, ein Label eingefügt oder eine Fussnote in die Kommunikation aufgenommen.

Das greift zu kurz. Transparenz muss aus dem Prozess heraus entstehen. Unternehmen müssen verstehen:

• welches KI-System genutzt wird,

• in welchem Kontext es eingesetzt wird,

• welche Personen betroffen sind,

• welche Inhalte erzeugt oder verändert werden,

• welche Rolle das Unternehmen regulatorisch einnimmt,

• welche Kennzeichnungs- oder Informationspflichten gelten,

• wer die Umsetzung kontrolliert,

• welche Evidenz im Prüfungsfall vorliegt.

Damit wird Transparenz zu einem klassischen GRC-Thema. Es geht um Governance, Risiko, Kontrolle und Nachweisführung.

Die Rolle des KI-Inventars

Der erste praktische Schritt ist ein KI-Inventar. Ohne Inventar kann kein Unternehmen zuverlässig beurteilen, welche Transparenzpflichten greifen. Das Inventar sollte nicht nur grosse KI-Systeme erfassen, sondern auch kleinere Tools und Fachbereichslösungen.

Ein wirksames KI-Inventar sollte mindestens enthalten:

• Name und Zweck des KI-Systems.

• Fachbereich und verantwortliche Person.

• Anbieter oder interne Entwicklung.

• Nutzergruppen und betroffene Personen.

• Art der KI-Nutzung, etwa Chatbot, Textgenerierung, Bildgenerierung, Analyse oder Entscheidungsvorbereitung.

• Datenarten und Datenschutzbezug.

• regulatorische Rolle des Unternehmens.

• potenzielle Transparenzpflichten.

• bestehende Kontrollen und Freigaben.

• Nachweise, Dokumentation und Review-Zyklen.

Gerade für KMU ist ein solches Inventar entscheidend. Es verhindert, dass KI-Nutzung unkontrolliert wächst und Compliance erst nachträglich versucht, die Übersicht wiederherzustellen.

Was Unternehmen jetzt prüfen sollten

Die Transparenzpflichten gelten ab dem 2. August 2026. Unternehmen sollten daher nicht auf eine vollständige AI-Act-Gesamtumsetzung warten, sondern mit den naheliegenden Use Cases beginnen.

Priorität haben typischerweise:

• externe Chatbots und virtuelle Assistenten,

• generative KI in Marketing und Kommunikation,

• KI-generierte Bilder, Videos oder Audiodateien,

• KI-generierte Texte mit öffentlichem Informationscharakter,

• HR- oder Kundenanalyse-Tools mit sensiblen Funktionen,

• externe Dienstleister, die KI-generierte Inhalte im Auftrag erstellen,

• interne Copilots, wenn Ergebnisse nach aussen übernommen werden.

Die wichtigste Frage lautet: Können wir nachweisen, wo KI eingesetzt wird, welche Transparenzpflichten gelten und wie wir sie umgesetzt haben?

Fazit: Transparenz ist der Einstieg in prüfbare AI Governance

Die Leitlinien der EU-Kommission zu Artikel 50 AI Act machen klar: Transparenzpflichten werden jetzt konkret. Unternehmen müssen wissen, wann Menschen über KI-Interaktion, KI-generierte Inhalte oder KI-manipulierte Medien informiert werden müssen.

Für GRC-Leader ist das eine Chance, AI Governance pragmatisch zu starten. Der erste Schritt ist nicht die perfekte AI-Act-Gesamtstrategie, sondern Transparenz über die eigene KI-Nutzung: Inventar, Rollen, Risiken, Kontrollen und Nachweise.

Wer jetzt strukturiert beginnt, reduziert regulatorische Risiken und schafft Vertrauen bei Kunden, Mitarbeitenden, Partnern und Aufsicht. Zazoon hilft Unternehmen, AI-Act-Transparenz von der Einzelfallprüfung in eine belastbare GRC-Praxis zu überführen.

FAQ

Was hat die EU-Kommission veröffentlicht?

Die EU-Kommission hat Leitlinien zu den Transparenzpflichten nach Artikel 50 des AI Act veröffentlicht. Sie sollen Behörden, Anbietern und Betreibern helfen, die Anforderungen einheitlich und praktisch umzusetzen.

Ab wann gelten die Transparenzpflichten?

Die Transparenzpflichten nach Artikel 50 AI Act gelten ab dem 2. August 2026.

Welche Unternehmen sind betroffen?

Betroffen sein können Unternehmen, die bestimmte KI-Systeme anbieten oder betreiben. Dazu gehören unter anderem Chatbots, generative KI-Systeme, Deepfake-Anwendungen, KI-generierte Inhalte sowie Systeme für Emotionserkennung oder biometrische Kategorisierung.

Was bedeutet Transparenz im AI Act?

Transparenz bedeutet, dass Personen in bestimmten Fällen erkennen können müssen, wenn sie mit KI interagieren oder wenn Inhalte künstlich erzeugt oder manipuliert wurden.

Warum ist das ein GRC-Thema?

Weil Transparenzpflichten Prozesse, Verantwortlichkeiten, Kontrollen, Datenschutz, Vendor Risk, Dokumentation und Nachweise betreffen. Es reicht nicht, nur einen Hinweistext zu ergänzen.

Was sollten Unternehmen jetzt tun?

Unternehmen sollten ein KI-Inventar erstellen, betroffene Use Cases identifizieren, regulatorische Rollen klären, Transparenzpflichten bewerten und Freigabe- sowie Kontrollprozesse dokumentieren.

Wie unterstützt Zazoon bei AI-Act-Transparenz?

Zazoon hilft, KI-Use-Cases, Risiken, Anforderungen, Kontrollen, Verantwortlichkeiten und Nachweise zentral zu steuern. Dadurch wird AI Governance nachvollziehbar, effizient und auditfähig.

Die Europäische Bankenaufsichtsbehörde EBA hat ihre Leitlinien zu Product Oversight and Governance für Retail-Banking-Produkte überarbeitet. Im Fokus stehen Produkte mit Umwelt-, Sozial- oder Governance-Merkmalen, also ESG-Produkte. Ziel ist es, Greenwashing-Risiken zu reduzieren und sicherzustellen, dass Verbraucher nicht durch unklare oder übertriebene Nachhaltigkeitsaussagen in die Irre geführt werden.

Für Banken, Finanzdienstleister und andere regulierte Unternehmen ist das ein wichtiges Signal: ESG-Compliance wird zunehmend operationalisiert. Es reicht nicht mehr, Nachhaltigkeitsmerkmale nur in Marketingunterlagen oder Produktinformationen zu nennen. Unternehmen müssen nachweisen können, wie ESG-Aussagen entstehen, wer sie prüft und wie sie über den gesamten Produktlebenszyklus überwacht werden.

Das Wichtigste in Kürze

Die EBA hat am 30. Juni 2026 überarbeitete Product Oversight and Governance Guidelines veröffentlicht. Sie adressieren ausdrücklich ESG-Merkmale und Greenwashing-Risiken und sollen ab dem 11. Januar 2027 gelten.

Für GRC-Verantwortliche bedeutet das, dass ESG-Produktgovernance stärker mit Risikomanagement, internen Kontrollen, Freigabeprozessen, Dokumentation und Monitoring verbunden werden muss.

Warum die EBA Greenwashing stärker adressiert

ESG-Produkte sind im Finanzsektor längst kein Nischenthema mehr. Banken und Finanzdienstleister bieten Kredite, Konten und andere Produkte zunehmend mit Nachhaltigkeitsbezug an. Gleichzeitig wächst das Risiko, dass ESG-Aussagen zu allgemein, missverständlich oder nicht ausreichend belegt sind.

Genau hier setzt die EBA an. Nachhaltigkeitsmerkmale sollen nicht nur kommunikativ attraktiv wirken, sondern nachvollziehbar definiert, geprüft und überwacht werden.

Greenwashing wird damit nicht nur zum Marketing- oder Reputationsrisiko, sondern zu einem Governance- und Kontrollthema.

ESG-Aussagen brauchen belastbare Governance

Wer ein Produkt als nachhaltig, grün oder ESG-orientiert beschreibt, muss intern nachvollziehbar erklären können, auf welchen Kriterien und Daten diese Aussage basiert und wer sie geprüft hat.

Ebenso wichtig ist die Frage, welche Risiken bestehen, dass Kunden eine Aussage falsch verstehen, und welche Kontrollen verhindern, dass Nachhaltigkeitsversprechen übertrieben oder nicht ausreichend belegt werden.

Diese Fragen gehören nicht nur in Marketingfreigaben, sondern in die Governance-Strukturen des Unternehmens.

Product Governance wird zum Nachweisthema

Die EBA-Leitlinien betreffen den gesamten Produktlebenszyklus von Entwicklung und Freigabe bis zu Vertrieb, Monitoring und Anpassung.

Bei ESG-Produkten müssen Nachhaltigkeitsmerkmale bereits in der Produktentwicklung klar definiert werden. Vertrieb und Kommunikation sollten dazu konsistent bleiben. Gleichzeitig müssen Beschwerden, Marktveränderungen und regulatorische Entwicklungen in das laufende Monitoring einfliessen.

Damit wird ESG-Produktgovernance zu einem Nachweisthema. Unternehmen müssen im Prüfungsfall zeigen können, dass Nachhaltigkeitsaussagen Teil eines kontrollierten und dokumentierten Prozesses waren.

Was GRC-Leader jetzt prüfen sollten

Unternehmen sollten zunächst identifizieren, welche Produkte mit ESG-Merkmalen oder Nachhaltigkeitsaussagen beworben werden. Danach sollte geprüft werden, wer für Definition, Prüfung und Freigabe verantwortlich ist und welche Greenwashing-, Compliance- oder Reputationsrisiken bestehen.

Ebenso wichtig sind Kontrollen für Datenqualität und Aussagegenauigkeit sowie eine nachvollziehbare Dokumentation von Entscheidungen und Freigaben.

Am Ende muss die Frage beantwortet werden können: Können wir belegen, warum eine ESG-Aussage korrekt war, wer sie geprüft hat und welche Kontrollen sie abgesichert haben?

Was das für Zazoon-Kunden bedeutet

Für Zazoon-Kunden mit Bezug zu Finanzdienstleistungen oder ESG-Kommunikation steigt der Bedarf an integrierter Governance.

Greenwashing-Risiken berühren dabei mehrere GRC-Bereiche gleichzeitig: Risikomanagement, internes Kontrollsystem, Compliance Management, Audit Management, Vendor Risk Management sowie Dokumenten- und Nachweismanagement.

Gerade wenn externe ESG-Daten, Ratings oder Dienstleister eingesetzt werden, müssen auch Abhängigkeiten und Verantwortlichkeiten transparent bleiben.

Warum Excel und E-Mail-Freigaben schnell an Grenzen kommen

Viele Unternehmen verwalten Produktfreigaben, Risiken und Nachweise noch über Excel, E-Mails oder getrennte Dokumentenablagen. Bei ESG-Aussagen entstehen jedoch schnell komplexe Abhängigkeiten zwischen Datenquellen, internen Kriterien, rechtlichen Bewertungen, Freigaben und Marketingmaterialien.

Sind diese Informationen nicht miteinander verbunden, wird es schwierig, Entscheidungen und Kontrollen später nachzuweisen.

ESG-Governance mit Zazoon strukturiert umsetzen

Zazoon unterstützt Unternehmen dabei, ESG- und Greenwashing-Risiken als Teil eines integrierten GRC-Systems zu steuern.

Risiken, Kontrollen, Verantwortlichkeiten, Aufgaben, Richtlinien und Nachweise können zentral miteinander verbunden werden. Dadurch lassen sich Produktfreigaben, Kommunikationskontrollen und Audit Trails nachvollziehbar steuern und auch Abhängigkeiten zu Drittparteien oder Datenquellen transparent abbilden.

Gerade für KMU und mittelständische Finanzdienstleister hilft dieser Ansatz dabei, steigende regulatorische Erwartungen mit begrenzten Ressourcen effizient zu bewältigen.

Fazit: Greenwashing-Prävention beginnt in der Governance

Die überarbeiteten EBA-Leitlinien machen deutlich, dass ESG-Aussagen steuerbar, überprüfbar und belegbar sein müssen. Greenwashing-Prävention ist damit keine reine Kommunikationsaufgabe mehr, sondern ein zentraler Bestandteil moderner Governance, Risk und Compliance.

Unternehmen sollten deshalb frühzeitig prüfen, ob ESG-bezogene Produktprozesse ausreichend dokumentiert, kontrolliert und auditfähig sind.

Zazoon hilft dabei, ESG-Produktgovernance, Risiken, Kontrollen und Nachweise zentral zu steuern und aus manuellen Einzelprozessen eine belastbare GRC-Praxis zu machen.

FAQ

Was hat die EBA veröffentlicht?

Die EBA hat überarbeitete Leitlinien zu Product Oversight and Governance für Retail-Banking-Produkte veröffentlicht. Sie berücksichtigen ausdrücklich ESG-Merkmale und Greenwashing-Risiken.

Welche Unternehmen sind betroffen?

Die Leitlinien richten sich an Hersteller und Vertreiber von Produkten im EBA-Zuständigkeitsbereich, darunter unter anderem Hypotheken, Privatkredite, Einlagen, Zahlungskonten, Zahlungsdienste und E-Geld.

Warum ist das für GRC relevant?

Weil ESG-Aussagen organisatorisch abgesichert werden müssen. Unternehmen brauchen klare Verantwortlichkeiten, Risikobewertungen, Kontrollen, Freigaben und Nachweise.

Was ist Greenwashing bei Finanzprodukten?

Greenwashing liegt vor, wenn Nachhaltigkeitsaussagen irreführend, übertrieben, unklar oder nicht ausreichend belegt sind.

Wie unterstützt Zazoon bei ESG-Produktgovernance?

Zazoon verbindet Risiken, Kontrollen, Verantwortlichkeiten, Richtlinien und Nachweise in einem zentralen GRC-System und macht ESG-bezogene Produktprozesse dadurch transparenter und prüfbarer.

ENISA hat mit NIS360 2026 die dritte Ausgabe ihres Berichts zur Cybersicherheitsreife kritischer EU-Sektoren veröffentlicht. Der Bericht bewertet, wie reif einzelne Hochkritikalitätssektoren im Umgang mit Cyberrisiken sind und wie kritisch sie für Gesellschaft, Wirtschaft und öffentliche Sicherheit einzustufen sind.

Für Unternehmen ist das mehr als eine weitere Branchenanalyse. NIS360 zeigt, wohin sich die NIS2-Umsetzung entwickelt: weg von reiner Betroffenheitsprüfung und hin zu messbarer Cybersecurity Maturity. Entscheidend wird nicht mehr nur, ob ein Unternehmen unter NIS2 fällt. Entscheidend wird, wie nachvollziehbar Risiken, Kontrollen, Verantwortlichkeiten und Nachweise gesteuert werden.

Damit rückt NIS2 noch stärker in den Kern von Governance, Risk und Compliance. Wer seinen Reifegrad nicht kennt, kann Prioritäten schwer setzen, Schwächen nicht sauber erklären und Audit- oder Aufsichtsanforderungen nur mit hohem Aufwand erfüllen.

Das Wichtigste in Kürze

ENISA NIS360 2026 bewertet die Cybersicherheitsreife und Kritikalität der Hochkritikalitätssektoren unter NIS2.

Der Bericht zeigt: Die Cybersecurity Maturity in Europa verbessert sich, bleibt aber zwischen den Sektoren sehr unterschiedlich.

Besonders relevant ist der Vergleich zwischen Kritikalität und Reifegrad. Sektoren mit hoher Bedeutung, aber vergleichsweise niedriger Reife geraten stärker in den Fokus.

Für GRC-Verantwortliche bedeutet das: NIS2 wird zunehmend messbar. Reifegradmodelle, Kontrollnachweise, Risikoregister, Verantwortlichkeiten und Management-Reporting werden wichtiger.

Unternehmen sollten ihre NIS2-Umsetzung nicht nur als Compliance-Projekt betrachten, sondern als dauerhaftes Steuerungsmodell für Cyberresilienz.

Was ist ENISA NIS360 2026?

ENISA NIS360 ist ein Bericht der Europäischen Agentur für Cybersicherheit. Er bewertet die Cybersicherheitsreife von Sektoren, die unter die Hochkritikalitätsbereiche der NIS2-Richtlinie fallen.

Dabei geht es nicht nur um technische Sicherheit. ENISA betrachtet den gesamten sektoralen Kontext: zuständige Behörden, betroffene Einrichtungen, regulatorische Vorgaben, operative Fähigkeiten, Reifegrad, Abhängigkeiten und gesellschaftliche Bedeutung.

NIS360 liefert damit ein Lagebild darüber, wie gut einzelne Sektoren auf Cyberrisiken vorbereitet sind. Gleichzeitig zeigt der Bericht, welche Bereiche besonders kritisch sind, weil ihre Störung erhebliche Auswirkungen auf Gesellschaft und Wirtschaft haben kann.

Für Unternehmen ist das wichtig, weil sich daran ablesen lässt, welche Erwartungen Aufsicht, Kunden, Auditoren und Geschäftspartner künftig stärker stellen könnten.

Warum NIS360 für Unternehmen relevant ist

Auf den ersten Blick bewertet NIS360 ganze Sektoren und nicht einzelne Unternehmen. Trotzdem ist der Bericht für Organisationen hochrelevant.

Er zeigt, welche Branchen regulatorisch, politisch und operativ stärker unter Beobachtung stehen. Wenn ein Sektor als besonders kritisch gilt, steigt meist auch der Druck auf einzelne Unternehmen innerhalb dieses Sektors. Das betrifft nicht nur Betreiber kritischer Infrastrukturen, sondern auch Dienstleister, Lieferanten und digitale Partner.

Unternehmen müssen sich daher auf eine stärkere Nachfrage nach Nachweisen einstellen. Es reicht nicht mehr, einzelne Sicherheitsmassnahmen zu beschreiben. Erwartet wird zunehmend ein klares Bild davon, wie Cyberrisiken gesteuert werden, welche Kontrollen wirksam sind und wie sich der Reifegrad über die Zeit verbessert.

NIS360 macht damit deutlich: NIS2-Compliance ist kein einmaliger Status. Sie wird zu einem kontinuierlichen Reifegradprozess.

Von NIS2-Compliance zu Cybersecurity Maturity

Viele Unternehmen haben NIS2 zunächst über die Frage betrachtet: Sind wir betroffen oder nicht? Diese Frage bleibt wichtig, reicht aber nicht mehr aus.

Die nächste Phase der NIS2-Umsetzung dreht sich um Reifegrad und Wirksamkeit. Unternehmen müssen nicht nur Anforderungen kennen, sondern zeigen können, wie diese Anforderungen praktisch umgesetzt werden.

Dazu gehören klare Governance-Strukturen, dokumentierte Risiken, definierte Massnahmen, wirksame Kontrollen, überprüfbare Nachweise und regelmässige Management-Berichte. Genau diese Elemente entscheiden darüber, ob eine Organisation ihre Cybersecurity Maturity glaubwürdig darstellen kann.

Ein niedriger Reifegrad bedeutet nicht automatisch, dass ein Unternehmen nicht compliant ist. Er zeigt aber, wo Lücken bestehen, welche Prioritäten gesetzt werden müssen und wo Risiken möglicherweise nicht ausreichend gesteuert werden.

Warum Reifegradmessung für GRC-Verantwortliche entscheidend wird

GRC-Verantwortliche müssen zunehmend Brücken bauen: zwischen regulatorischen Anforderungen, technischen Sicherheitsmassnahmen, operativen Risiken und Managemententscheidungen.

NIS360 zeigt, dass Cybersecurity nicht isoliert betrachtet werden kann. Cyberrisiken betreffen Lieferketten, Geschäftsprozesse, Krisenmanagement, Verantwortlichkeiten, interne Kontrollen und strategische Investitionen.

Eine Reifegradmessung hilft dabei, diese Themen strukturiert zusammenzuführen. Sie beantwortet zentrale Fragen:

Wie gut ist das Unternehmen auf Cyberrisiken vorbereitet?

Welche Kontrollen sind vorhanden und wie wirksam sind sie?

Welche Risiken sind akzeptiert, reduziert oder noch offen?

Welche Massnahmen haben Priorität?

Welche Nachweise stehen im Auditfall zur Verfügung?

Wie entwickelt sich die Reife über die Zeit?

Damit wird Reifegradmessung zu einem Steuerungsinstrument. Sie macht Fortschritt sichtbar und hilft, Investitionen besser zu begründen.

Was Unternehmen aus NIS360 2026 lernen können

Die wichtigste Botschaft aus NIS360 2026 lautet: Cybersicherheitsreife verbessert sich, aber nicht gleichmässig. Manche Sektoren sind bereits vergleichsweise weit, andere bleiben trotz hoher Kritikalität verwundbar.

Für Unternehmen bedeutet das: Der eigene Reifegrad sollte nicht nur intern bewertet werden. Er muss auch im Branchenkontext verstanden werden. Ein Unternehmen in einem besonders kritischen Sektor wird voraussichtlich strengere Erwartungen erfüllen müssen als ein Unternehmen in einem weniger sensiblen Umfeld.

Dabei geht es nicht nur um technische Sicherheitsmassnahmen. Entscheidend ist, ob Cybersecurity organisatorisch verankert ist. Gibt es klare Verantwortlichkeiten? Werden Risiken regelmässig bewertet? Sind Massnahmen nachverfolgbar? Werden Vorfälle strukturiert behandelt? Ist die Geschäftsleitung eingebunden? Sind Lieferantenrisiken berücksichtigt?

Unternehmen, die diese Fragen nicht sauber beantworten können, haben ein Governance-Problem, auch wenn einzelne technische Kontrollen vorhanden sind.

Die Rolle von Governance bei NIS2

NIS2 macht Cybersicherheit zur Führungsaufgabe. Das bedeutet: Cyberrisiken gehören nicht nur in die IT-Abteilung. Sie müssen Teil der Unternehmenssteuerung werden.

Governance ist dabei der Rahmen, der Verantwortlichkeiten, Entscheidungswege und Kontrollmechanismen festlegt. Ohne klare Governance entstehen typische Schwächen: unklare Zuständigkeiten, verstreute Dokumentation, unvollständige Massnahmenverfolgung und fehlende Transparenz für das Management.

Eine wirksame NIS2-Governance sollte definieren, wer für Cyberrisiken verantwortlich ist, wie Risiken bewertet werden, welche Kontrollen gelten, wie Massnahmen priorisiert werden und wie Fortschritte berichtet werden.

NIS360 verstärkt diese Perspektive. Wer Reifegrad nachweisen will, braucht mehr als einzelne Sicherheitsprojekte. Er braucht ein System zur Steuerung, Überwachung und Verbesserung.

Warum Nachweise zum Engpass werden

Viele Unternehmen verfügen bereits über Sicherheitsrichtlinien, Risikoanalysen, Schulungen, technische Kontrollen und Incident-Prozesse. Das Problem liegt häufig nicht darin, dass gar nichts existiert. Das Problem ist die Nachweisbarkeit.

Informationen liegen in verschiedenen Tools, Excel-Dateien, E-Mail-Verläufen, Ticketsystemen, Audit-Ordnern und Fachbereichen. Im Alltag funktioniert das oft irgendwie. Im Auditfall oder bei regulatorischen Anfragen wird es jedoch schnell schwierig.

NIS2 und die damit verbundene Reifegradlogik erhöhen den Druck auf zentrale Nachweisführung. Unternehmen müssen zeigen können, welche Risiken bewertet wurden, welche Massnahmen daraus entstanden sind, wer verantwortlich ist, welche Kontrollen umgesetzt wurden und wann diese überprüft wurden.

Nachweise werden damit zu einem entscheidenden Bestandteil der Cybersicherheitsreife. Ohne Evidenz bleibt Reifegrad eine Behauptung.

Welche Bereiche Unternehmen jetzt prüfen sollten

Unternehmen sollten NIS360 2026 zum Anlass nehmen, ihre NIS2-Readiness systematisch zu überprüfen. Dabei geht es nicht nur um eine rechtliche Betroffenheitsanalyse, sondern um die Frage, wie belastbar das eigene Steuerungsmodell ist.

Besonders wichtig sind fünf Bereiche:

Erstens: Governance und Verantwortlichkeiten. Unternehmen sollten klar definieren, wer Cyberrisiken überwacht, wer Massnahmen freigibt und wie die Geschäftsleitung eingebunden ist.

Zweitens: Risikomanagement. Cyberrisiken sollten regelmässig bewertet, priorisiert und mit konkreten Massnahmen verbunden werden.

Drittens: Kontrollmanagement. Sicherheitsmassnahmen müssen nicht nur existieren, sondern nachvollziehbar dokumentiert und überprüft werden.

Viertens: Incident Management und Krisenfähigkeit. Unternehmen sollten wissen, wie sie Vorfälle erkennen, bewerten, melden und nachbereiten.

Fünftens: Lieferanten- und Drittparteienrisiken. Viele Cyberrisiken entstehen ausserhalb der eigenen Organisation. Deshalb müssen kritische Dienstleister, Abhängigkeiten und Nachweise in die NIS2-Steuerung einbezogen werden.

Was ein guter NIS2-Reifegradprozess leisten muss

Ein guter Reifegradprozess beginnt mit Transparenz. Unternehmen müssen wissen, welche Anforderungen gelten, welche Risiken bestehen und welche Kontrollen bereits vorhanden sind.

Danach folgt die Bewertung. Nicht jede Lücke ist gleich kritisch. Ein Reifegradmodell hilft, Schwächen einzuordnen und Prioritäten zu setzen. Dabei sollte der Fokus nicht nur auf formaler Compliance liegen, sondern auf tatsächlicher Wirksamkeit.

Wichtig ist auch die Verknüpfung von Informationen. Risiken, Kontrollen, Massnahmen, Verantwortlichkeiten und Nachweise dürfen nicht isoliert verwaltet werden. Nur wenn diese Elemente zusammengeführt werden, entsteht ein realistisches Bild des Reifegrads.

Schliesslich braucht es regelmässige Aktualisierung. Cyberrisiken, Bedrohungen, Systeme, Lieferketten und regulatorische Erwartungen verändern sich. Ein Reifegradprozess ist daher kein einmaliger Check, sondern ein kontinuierlicher Verbesserungsprozess.

Typische Fehler bei der NIS2-Umsetzung

Ein häufiger Fehler ist der Fokus auf reine Anforderungskataloge. Unternehmen prüfen dann zwar, welche Vorgaben existieren, verlieren aber den Blick auf Wirksamkeit, Priorisierung und Nachweisbarkeit.

Ein weiterer Fehler ist die Trennung von Compliance und Cybersecurity. Wenn Compliance nur dokumentiert und IT nur umsetzt, fehlt oft die gemeinsame Steuerung. NIS2 verlangt jedoch ein Zusammenspiel aus Risiko, Kontrolle, Technik, Organisation und Management.

Problematisch ist auch eine dezentrale Dokumentation. Wenn Risiken, Massnahmen und Nachweise an vielen Stellen liegen, entsteht kein belastbares Reifegradbild.

Ein vierter Fehler ist das Unterschätzen von Lieferantenrisiken. Gerade kritische digitale Abhängigkeiten können den eigenen Reifegrad erheblich beeinflussen. Wer diese Abhängigkeiten nicht kennt, kann Cyberresilienz nicht glaubwürdig steuern.

Warum NIS2-Reifegradmessung auch für nicht direkt betroffene Unternehmen wichtig ist

Nicht jedes Unternehmen fällt unmittelbar unter NIS2. Trotzdem kann NIS360 2026 auch für indirekt betroffene Organisationen relevant sein.

Viele Unternehmen sind Teil von Lieferketten, Dienstleister für regulierte Kunden oder Anbieter digitaler Services. In solchen Fällen können Kunden zunehmend Nachweise verlangen, auch wenn keine direkte gesetzliche Pflicht besteht.

Das betrifft insbesondere IT-Dienstleister, Cloud-Anbieter, Softwareunternehmen, Beratungen, Managed-Service-Provider und spezialisierte Zulieferer. Wer kritische Kunden beliefert, wird häufiger erklären müssen, wie Cyberrisiken gesteuert werden.

NIS2 wirkt damit über den direkten gesetzlichen Anwendungsbereich hinaus. Die Anforderungen wandern in Verträge, Lieferantenbewertungen, Ausschreibungen und Kunden-Audits.

Fazit

ENISA NIS360 2026 zeigt deutlich: NIS2 entwickelt sich von einer regulatorischen Pflicht zu einem messbaren Reifegradmodell für Cybersecurity und GRC.

Für Unternehmen bedeutet das, dass Cybersecurity nicht mehr nur technisch oder projektbezogen betrachtet werden darf. Entscheidend wird, ob Risiken, Kontrollen, Verantwortlichkeiten und Nachweise zentral gesteuert werden können.

Der wichtigste Schritt ist Transparenz. Unternehmen müssen wissen, wo sie stehen, welche Lücken bestehen und welche Massnahmen den grössten Effekt haben. Reifegradmessung schafft dafür die Grundlage.

Wer NIS2 nur als Checkliste behandelt, wird langfristig unter Druck geraten. Wer NIS2 als Governance- und Reifegradprozess versteht, kann regulatorische Anforderungen, Cyberresilienz und Managementsteuerung sinnvoll verbinden.

FAQ zu ENISA NIS360 2026 und NIS2-Reifegrad

Was ist ENISA NIS360 2026?

ENISA NIS360 2026 ist ein Bericht der Europäischen Agentur für Cybersicherheit. Er bewertet die Cybersicherheitsreife und Kritikalität von Hochkritikalitätssektoren unter der NIS2-Richtlinie.

Warum ist NIS360 für Unternehmen wichtig?

Der Bericht zeigt, wie sich die Erwartungen an Cybersecurity und NIS2-Umsetzung entwickeln. Für Unternehmen wird sichtbar, dass Reifegrad, Nachweise und Governance-Strukturen zunehmend wichtiger werden.

Was bedeutet Cybersecurity Maturity?

Cybersecurity Maturity beschreibt, wie ausgereift ein Unternehmen oder Sektor im Umgang mit Cyberrisiken ist. Dazu gehören Risikomanagement, Kontrollen, Prozesse, Verantwortlichkeiten, Incident Management und kontinuierliche Verbesserung.

Was hat NIS360 mit NIS2 zu tun?

NIS360 betrachtet Sektoren, die unter die Hochkritikalitätsbereiche der NIS2-Richtlinie fallen. Der Bericht hilft dabei, Reifegrad und Kritikalität dieser Sektoren besser einzuordnen.

Warum reicht eine NIS2-Gap-Analyse nicht aus?

Eine Gap-Analyse zeigt, welche Anforderungen noch nicht erfüllt sind. Sie sagt aber oft wenig darüber aus, wie wirksam Kontrollen sind, wie gut Risiken gesteuert werden und ob Nachweise auditfähig vorliegen.

Welche Rolle spielt Governance bei NIS2?

Governance sorgt dafür, dass Verantwortlichkeiten, Entscheidungswege, Kontrollen und Reporting klar geregelt sind. Ohne Governance bleibt NIS2 häufig ein technisches Einzelprojekt statt ein steuerbarer Unternehmensprozess.

Warum sind Nachweise so wichtig?

Nachweise zeigen, dass Risiken bewertet, Massnahmen umgesetzt und Kontrollen überprüft wurden. Ohne Nachweise ist es schwierig, Reifegrad gegenüber Management, Auditoren, Kunden oder Behörden glaubwürdig darzustellen.

Betrifft NIS2 auch Lieferanten?

Ja, Lieferanten und Dienstleister spielen eine wichtige Rolle. Auch wenn ein Unternehmen nicht direkt unter NIS2 fällt, kann es über Kundenanforderungen, Verträge oder Audits indirekt betroffen sein.

Was sollten Unternehmen jetzt tun?

Unternehmen sollten ihren NIS2-Reifegrad bewerten, zentrale Risiken erfassen, Verantwortlichkeiten klären, Kontrollen dokumentieren, Nachweise strukturieren und Lieferantenrisiken einbeziehen.

Ist NIS2-Compliance ein einmaliges Projekt?

Nein. NIS2-Compliance ist ein kontinuierlicher Prozess. Bedrohungen, Systeme, Lieferketten und regulatorische Erwartungen verändern sich laufend. Deshalb muss der Reifegrad regelmässig überprüft und verbessert werden.

Die BaFin hat Mitte Mai deutlich gemacht, dass Cyberrisiken für Finanzunternehmen weiter zunehmen. Besonders relevant ist dabei ein Punkt: Angreifer nutzen immer häufiger Künstliche Intelligenz, um Schwachstellen schneller zu finden, Angriffe besser vorzubereiten und IT-Systeme gezielter anzugreifen.

Für Banken, Versicherer und andere regulierte Unternehmen ist das mehr als eine technische Warnung. Wenn KI Angriffe schneller und skalierbarer macht, steigen auch die Anforderungen an Risikomanagement, Business Continuity, Drittparteiensteuerung und Nachweisdokumentation. Kurz gesagt: AI Risk wird zum Aufsichtsthema.

Das betrifft nicht nur Unternehmen, die selbst KI einsetzen. Es betrifft auch Unternehmen, deren IT, Lieferanten, Cloud-Dienste oder Softwareprodukte durch KI-gestützte Angriffe verwundbarer werden. Genau hier kommen DORA, BCM und Vendor Risk Management ins Spiel.

Das Wichtigste in Kürze

KI verändert die Cyberbedrohungslage. Angreifer können Schwachstellen schneller finden, Phishing realistischer gestalten und Angriffe stärker automatisieren. Dadurch steigt der Druck auf Unternehmen, Sicherheitslücken schneller zu erkennen und zu schliessen.

Für Finanzunternehmen ist das besonders relevant, weil DORA digitale operationelle Resilienz verbindlich macht. Unternehmen müssen Risiken, IKT-Systeme, Dienstleister, Incidents und Wiederherstellungsprozesse besser steuern und nachweisen können.

Auch Business Continuity Management und Vendor Risk Management werden wichtiger. Denn ein KI-gestützter Angriff betrifft selten nur ein einzelnes System. Er kann Dienstleister, kritische Prozesse, Daten, Kundenkommunikation und den laufenden Betrieb gleichzeitig treffen.

Warum KI Cyberrisiken verschärft

Cyberangriffe sind nicht neu. Neu ist aber die Geschwindigkeit und Qualität, mit der Angreifer KI nutzen können.

Früher mussten viele Schritte manuell erfolgen: Systeme analysieren, Schwachstellen suchen, Angriffe vorbereiten, Phishing-Texte formulieren oder technische Angriffsmuster anpassen. Mit KI lassen sich viele dieser Schritte beschleunigen oder teilweise automatisieren.

Das bedeutet nicht, dass jeder Angriff automatisch erfolgreich ist. Aber es bedeutet, dass Unternehmen mit mehr Versuchen, besser vorbereiteten Angriffen und kürzeren Reaktionszeiten rechnen müssen.

Typische Risiken sind:

• schnellere Suche nach Schwachstellen in IT-Systemen
• realistischere Phishing-Mails und Social-Engineering-Angriffe
• automatisierte Auswertung öffentlich verfügbarer Informationen
• gezieltere Angriffe auf Mitarbeitende, Dienstleister oder Führungskräfte
• schnellere Anpassung von Angriffsmethoden
• höhere Belastung für Security-, IT- und Incident-Teams

Für GRC-Verantwortliche ist deshalb entscheidend: KI-gestützte Cyberangriffe sind nicht nur ein IT-Security-Thema. Sie betreffen Governance, Risiko, Compliance, Lieferanten, Notfallplanung und Management-Reporting.

Was das mit DORA zu tun hat

DORA verpflichtet Finanzunternehmen, ihre digitale operationelle Resilienz systematisch zu steuern. Im Kern geht es darum, dass ein Unternehmen auch bei IT-Störungen, Cyberangriffen oder Problemen bei Dienstleistern handlungsfähig bleibt.

KI-gestützte Angriffe erhöhen genau dort den Druck.

Unternehmen müssen wissen, welche IKT-Systeme kritisch sind, welche Risiken bestehen, welche Kontrollen greifen, welche Dienstleister beteiligt sind und welche Massnahmen bei einem Vorfall ausgelöst werden. Gleichzeitig müssen sie nachweisen können, dass diese Informationen aktuell und steuerbar sind.

DORA verlangt also nicht nur technische Sicherheit. DORA verlangt ein belastbares Managementsystem für digitale Risiken.

Das bedeutet praktisch:

• IKT-Risiken müssen regelmässig bewertet werden
• kritische Systeme und Prozesse müssen bekannt sein
• Sicherheitsmassnahmen müssen dokumentiert und überprüft werden
• Incidents müssen erkannt, bewertet und gemeldet werden können
• Dienstleister müssen nach Risiko und Kritikalität gesteuert werden
• Wiederherstellungs- und Notfallprozesse müssen funktionieren

Wenn KI Angriffe schneller macht, wird die Qualität dieser Prozesse wichtiger. Unternehmen können sich nicht darauf verlassen, im Ernstfall erst Informationen zusammenzusuchen.

Warum BCM jetzt stärker in den Fokus rückt

Business Continuity Management wird oft erst dann sichtbar, wenn etwas ausfällt. Genau das ist das Problem.

Ein KI-gestützter Cyberangriff kann nicht nur einzelne IT-Systeme treffen. Er kann auch kritische Geschäftsprozesse unterbrechen, Kundenkommunikation beeinträchtigen, Datenzugriff blockieren oder Dienstleister lahmlegen.

Dann reicht es nicht, einen Notfallplan im Ordner zu haben. Unternehmen müssen wissen:

• Welche Prozesse sind wirklich kritisch?
• Welche Systeme unterstützen diese Prozesse?
• Welche Dienstleister sind beteiligt?
• Welche Alternativen gibt es bei Ausfall?
• Wer entscheidet im Krisenfall?
• Wie schnell müssen Systeme wiederhergestellt werden?
• Welche Kommunikation ist intern und extern notwendig?

BCM muss deshalb enger mit Cyber Risk, Incident Management und Vendor Risk Management verbunden werden. Nur so entsteht ein realistisches Bild der tatsächlichen Widerstandsfähigkeit.

Warum Vendor Risk Management entscheidend ist

Viele Unternehmen betreiben ihre wichtigsten Systeme nicht mehr vollständig selbst. Sie nutzen Cloud-Anbieter, Softwarelösungen, Outsourcing-Partner, Managed Services und spezialisierte IT-Dienstleister.

Das ist normal und oft sinnvoll. Aber es verändert das Risikoprofil.

Wenn ein kritischer Dienstleister angegriffen wird, kann das eigene Unternehmen trotzdem betroffen sein. Wenn ein Softwareanbieter eine Schwachstelle hat, kann daraus ein Risiko für viele Kunden entstehen. Wenn ein Cloud-Service ausfällt, stehen möglicherweise zentrale Geschäftsprozesse still.

KI-gestützte Angriffe verschärfen dieses Problem, weil Angreifer Lieferketten gezielter analysieren und schwache Punkte schneller identifizieren können.

Deshalb reicht ein einfaches Lieferantenverzeichnis nicht mehr aus. Unternehmen brauchen ein strukturiertes Vendor Risk Management. Sie müssen wissen, welche Dienstleister kritisch sind, welche Leistungen sie erbringen, welche Daten betroffen sind, welche Sicherheitsanforderungen gelten und welche Nachweise vorliegen.

Besonders wichtig sind:

• Kritikalitätsbewertung von Dienstleistern
• Dokumentation von IKT-Abhängigkeiten
• Sicherheitsanforderungen in Verträgen
• regelmässige Lieferantenbewertungen
• Nachweise zu Kontrollen und Zertifizierungen
• Exit-Strategien für kritische Dienstleister
• Verknüpfung mit BCM und Incident Management

Vendor Risk ist damit kein Einkaufsthema allein. Es ist ein zentraler Bestandteil von Cyberresilienz.

Das eigentliche Problem: Informationen liegen oft verteilt

Viele Unternehmen haben bereits viele der nötigen Informationen. Sie liegen nur nicht dort, wo sie im Ernstfall gebraucht werden.

Risiken stehen in Excel. Lieferanteninformationen liegen im Einkauf. Notfallpläne werden separat gepflegt. Incidents laufen im Ticketsystem. Kontrollen stehen in Audit-Dokumenten. Nachweise liegen in Ordnern. Management-Reports werden manuell erstellt.

Solange nichts passiert, wirkt das vielleicht handhabbar. Bei einem Cybervorfall wird es zum Problem.

Dann muss schnell klar sein, welche Systeme betroffen sind, welche Prozesse kritisch sind, welche Dienstleister beteiligt sind, welche Meldepflichten bestehen und welche Massnahmen bereits geplant oder umgesetzt wurden.

Wenn diese Informationen verteilt sind, verlieren Unternehmen Zeit. Und bei Cyberangriffen ist Zeit einer der wichtigsten Faktoren.

Was Unternehmen jetzt tun sollten

Unternehmen müssen nicht sofort ein riesiges neues Programm starten. Aber sie sollten ihre bestehenden Prozesse gezielt überprüfen.

Der erste Schritt ist Transparenz. Welche kritischen Systeme, Prozesse und Dienstleister gibt es? Welche Risiken sind bekannt? Welche Massnahmen laufen bereits? Wo fehlen Nachweise?

Der zweite Schritt ist Verbindung. Risiken, Kontrollen, Lieferanten, Incidents und BCM-Pläne sollten nicht isoliert gepflegt werden. Sie müssen miteinander verknüpft sein.

Der dritte Schritt ist Nachweisbarkeit. Aufsicht, Audit und Management brauchen klare Antworten. Nicht irgendwann, sondern schnell und belastbar.

Für viele Unternehmen sind vor allem diese Fragen wichtig:

• Sind KI-bezogene Cyberrisiken im Risikomanagement berücksichtigt?
• Sind kritische IKT-Systeme und Dienstleister vollständig erfasst?
• Sind BCM-Pläne mit realen System- und Lieferantenabhängigkeiten verbunden?
• Gibt es klare Prozesse für Cyber Incidents und Meldepflichten?
• Können Kontrollen, Massnahmen und Nachweise schnell gefunden werden?
• Gibt es ein aktuelles Reporting für Management und Aufsicht?

Diese Fragen sind simpel. Aber sie zeigen schnell, ob ein Unternehmen wirklich steuerungsfähig ist.

Die Rolle von Zazoon GRC

Zazoon GRC hilft Unternehmen dabei, Cyberrisiken, DORA-Anforderungen, BCM, Vendor Risk und Nachweise zentral zu steuern.

Statt Risiken, Kontrollen, Dienstleister, Incidents und Massnahmen in verschiedenen Tools zu pflegen, können Unternehmen diese Informationen in einer gemeinsamen GRC-Struktur verbinden. Dadurch entsteht ein klareres Bild: Welche Risiken betreffen welche Systeme? Welche Dienstleister sind kritisch? Welche Massnahmen sind offen? Welche Nachweise liegen vor? Welche Anforderungen werden erfüllt?

Gerade bei KI-gestützten Cyberrisiken ist diese Transparenz wichtig. Denn je schneller sich die Bedrohungslage verändert, desto wichtiger werden aktuelle Daten, klare Verantwortlichkeiten und nachvollziehbare Prozesse.

Zazoon unterstützt Unternehmen dabei, Compliance nicht als isolierte Pflicht zu betrachten, sondern als Grundlage für bessere Resilienz und bessere Entscheidungen.

Fazit: KI macht Cyber Risk schneller, GRC muss strukturierter werden

Die BaFin-Warnung zeigt deutlich: KI verändert die Cyberbedrohungslage. Angriffe können schneller, gezielter und skalierbarer werden. Für regulierte Unternehmen bedeutet das mehr Druck auf DORA, BCM, Vendor Risk und Incident Management.

Die Antwort darauf ist nicht noch mehr manuelle Dokumentation. Die Antwort ist bessere Struktur.

Unternehmen müssen wissen, welche Risiken bestehen, welche Systeme kritisch sind, welche Dienstleister beteiligt sind, welche Massnahmen wirken und welche Nachweise verfügbar sind. Genau das ist der Kern moderner GRC-Prozesse.

AI Risk ist damit kein Zukunftsthema mehr. Es ist ein aktuelles Aufsichtsthema und ein klarer Anlass, digitale Resilienz, Drittparteiensteuerung und Business Continuity enger zusammenzuführen.

FAQ

Was bedeutet AI Risk im Zusammenhang mit Cybersecurity?

AI Risk beschreibt Risiken, die durch den Einsatz von Künstlicher Intelligenz entstehen oder verstärkt werden. Im Cybersecurity-Kontext geht es vor allem darum, dass Angreifer KI nutzen können, um Schwachstellen schneller zu finden, Phishing realistischer zu gestalten oder Angriffe stärker zu automatisieren.

Warum ist die BaFin-Warnung für Unternehmen wichtig?

Die BaFin macht deutlich, dass KI-gestützte Cyberangriffe nicht nur ein technisches Problem sind. Sie können die Stabilität von Unternehmen, die Verfügbarkeit von Services und die digitale Resilienz gefährden. Für regulierte Unternehmen steigt dadurch der Druck, Cyberrisiken besser zu steuern und nachweisen zu können.

Was hat AI Risk mit DORA zu tun?

DORA verlangt von Finanzunternehmen ein strukturiertes Management digitaler Risiken. Wenn KI Cyberangriffe schneller und komplexer macht, müssen Unternehmen ihre IKT-Risiken, Kontrollen, Incidents, Dienstleister und Wiederherstellungsprozesse noch besser im Griff haben.

Warum ist BCM bei KI-gestützten Cyberangriffen wichtig?

Business Continuity Management stellt sicher, dass kritische Geschäftsprozesse auch bei Störungen weiterlaufen oder schnell wiederhergestellt werden können. Bei KI-gestützten Cyberangriffen kann ein Vorfall mehrere Systeme, Dienstleister und Prozesse gleichzeitig betreffen. Deshalb muss BCM eng mit Cyber Risk und Incident Management verbunden sein.

Welche Rolle spielt Vendor Risk Management?

Viele Cyberrisiken entstehen nicht nur im eigenen Unternehmen, sondern auch bei Dienstleistern, Cloud-Anbietern oder Softwarelieferanten. Vendor Risk Management hilft dabei, kritische Dienstleister zu erkennen, Risiken zu bewerten und Sicherheitsanforderungen nachvollziehbar zu dokumentieren.

Müssen Unternehmen jetzt eigene KI-Risikoprogramme aufbauen?

Nicht unbedingt. Wichtig ist zunächst, KI-bezogene Cyberrisiken in bestehende GRC-, DORA-, BCM- und Vendor-Risk-Prozesse zu integrieren. Entscheidend ist, dass Risiken, Kontrollen, Massnahmen und Nachweise zentral steuerbar sind.

Reicht eine technische Security-Lösung aus?

Nein. Technische Sicherheitslösungen sind wichtig, aber sie reichen allein nicht aus. Unternehmen brauchen auch klare Verantwortlichkeiten, dokumentierte Prozesse, Lieferantensteuerung, Notfallpläne, Incident Management und belastbare Nachweise.

Wie unterstützt Zazoon GRC bei AI Risk?

Zazoon GRC hilft Unternehmen, Risiken, Kontrollen, Massnahmen, Lieferanten, Incidents und Nachweise zentral zu verwalten und miteinander zu verbinden. Dadurch können Unternehmen besser nachvollziehen, wo Risiken entstehen, welche Massnahmen wirken und welche regulatorischen Anforderungen erfüllt werden.