KI im Energiesektor: kritische Infrastruktur und NIS2

Kurze Antwort: KI im Energiesektor berührt zwei Regime. Steuert das KI-System als Sicherheitsbauteil die Verwaltung oder den Betrieb kritischer Infrastruktur — man denke an Netzbalancierung, Smart Grids oder Versorgungssicherheit —, kann es nach Anhang III der KI-Verordnung Hochrisiko sein. Daneben fällt der Sektor als "wesentliche Einrichtung" unter NIS2. Beide stellen Anforderungen an Robustheit, Sicherheit und Aufsicht, die man am besten gemeinsam erfüllt.

Anhang III: kritische Infrastruktur

Anhang III der KI-Verordnung stuft KI-Systeme, die als Sicherheitsbauteil bei der Verwaltung und dem Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs und der Versorgung mit unter anderem Elektrizität bestimmt sind, als Hochrisiko ein. Die Prüfung ist funktional: Bestimmt das System (mit), ob die Versorgung sicher und zuverlässig bleibt? Eine KI, die die Last für die Planung prognostiziert, ist etwas anderes als eine KI, die in Echtzeit ins Netz eingreift — Letztere lehnt sich in Richtung Hochrisiko.

NIS2: Cybersicherheit

NIS2 (Richtlinie (EU) 2022/2555) stuft Energie als Sektor mit wesentlichen Einrichtungen ein. Das bringt Pflichten zu Risikomanagement, Vorfallmeldung, Sicherheit der Lieferkette und Verantwortlichkeit der Leitungsorgane mit sich. Für KI-Systeme, die auf kritischen Prozessen laufen, bedeutet NIS2, dass die Sicherheit des Systems selbst — gegen Manipulation, Datenvergiftung oder Ausfall — Teil der gesetzlichen Sorgfaltspflicht ist, nicht freiwillig.

Wo die Regime sich berühren

Die KI-Verordnung verlangt für Hochrisiko-Systeme Genauigkeit, Robustheit und Cybersicherheit (Art. 15). NIS2 verlangt angemessene technische und organisatorische Maßnahmen für die gesamte Einrichtung. Diese überlappen in der Praxis: Ein Angriff, der eine Netz-KI täuscht, ist zugleich eine Frage der Robustheit nach der KI-Verordnung und ein NIS2-Vorfall. Klug ist es, das KI-Risikomanagement in die breitere NIS2-Sicherheitspolitik einzubetten, sodass eine Governance-Struktur beides abdeckt.

Nicht alles ist Hochrisiko

Viel Energie-KI ist kein Sicherheitsbauteil: Verbrauchsprognose, Tarifoptimierung oder Kundenanalysen. Diese fallen außerhalb von Anhang III, können aber durchaus unter die DSGVO fallen (intelligente Zähler, Profiling) oder unter NIS2, wenn sie auf kritischen Systemen laufen. Das Muster des Zusammentreffens von Sicherheit und Sektorregeln ähnelt dem bei KI in der Industrie.

Was zu tun ist

• Klassifizieren Sie je System: Ist die KI ein Sicherheitsbauteil für die Versorgung oder unterstützend?
• Integrieren Sie Governance: bringen Sie die Robustheit nach der KI-Verordnung in Ihre NIS2-Sicherheitspolitik ein.
• Sichern Sie die Vorfallmeldung: sorgen Sie dafür, dass KI-Störungen in die NIS2-Meldekette passen.
• Schützen Sie Daten und Modell vor Manipulation und Vergiftung — das ist sowohl KI-Verordnung als auch NIS2.
• Verankern Sie die Verantwortung auf Leitungsebene; NIS2 macht das ausdrücklich.

Im Energiesektor ist KI selten ein eigenständiges IT-Projekt. Sie ist Teil kritischer Infrastruktur und wird von KI-Verordnung und NIS2 gemeinsam beurteilt.