Wie KI die Praxis des Risikomanagements verändert

Das Wichtigste in Kürze

• KI-gestütztes Risikomanagement verändert, was eine Sicherheitsfunktion sehen kann, nicht wer dafür verantwortlich ist. Die Kapitel 6.1.2 und 6.1.3 der ISO/IEC 27001:2022 verlangen weiterhin definierte Kriterien und eine benannte verantwortliche Person für jede Entscheidung zur Risikobehandlung.
• FIRST rechnet für 2026 mit rund 66.000 CVEs, dem ersten Jahr auf Kurs in Richtung 70.000. Der Katalog bekannter ausgenutzter Schwachstellen der CISA umfasste zum 1. Mai 2026 genau 1.587 Einträge. Der Engpass ist die Priorisierung, nicht die Erkennung.
• Die ENISA hat zwischen dem 1. Juli 2024 und dem 30. Juni 2025 insgesamt 4.875 Vorfälle in der EU erfasst. Phishing war in 60 Prozent der beobachteten Fälle der Zugangsweg, die Ausnutzung einer Schwachstelle in 21,3 Prozent.
• Bereits Anfang 2025 machten KI-gestützte Phishing-Kampagnen mehr als 80 Prozent der weltweit beobachteten Social-Engineering-Aktivitäten aus. Angreifer haben KI schneller übernommen als die meisten Risikofunktionen.
• Artikel 9 Absatz 2 der KI-Verordnung definiert ein Risikomanagementsystem als kontinuierlichen iterativen Prozess über den gesamten Lebenszyklus eines Hochrisiko-KI-Systems. Wer KI für das Risikomanagement einsetzt, hat dieses System selbst zu steuern.

Die Grenzen des traditionellen Risikomanagements

Traditionelles Risikomanagement ist eine Kalenderübung. Ein Team sammelt Informationen, bewertet sie nach Eintrittswahrscheinlichkeit und Auswirkung, dokumentiert das Ergebnis und kommt in sechs oder zwölf Monaten darauf zurück. Zwischen diesen beiden Terminen ändern sich Systeme, Berechtigungen wachsen unbemerkt, Dienstleister kommen hinzu, und die Bedrohungslage entwickelt sich weiter, ohne auf den nächsten Prüfzyklus zu warten.

Herkömmliches Risikomanagement besteht typischerweise aus jährlichen oder vierteljährlichen Bewertungen, manueller Datenerfassung, subjektiver Bewertung anhand weniger Faktoren, einem statischen Risikoregister und reaktiven Maßnahmen, sobald etwas schiefgegangen ist. Jeder dieser Punkte war vernünftig, solange sich Infrastruktur langsam veränderte. Keiner davon hält einer Umgebung stand, die sich wöchentlich ändert.

Wie groß die Lücke ist, zeigen die Zahlen. In ihrem Bedrohungslagebild für den Zeitraum Juli 2024 bis Juni 2025 hat die Agentur der Europäischen Union für Cybersicherheit 4.875 Vorfälle in der EU erfasst. Phishing war in 60 Prozent der beobachteten Fälle der Zugangsweg, die Ausnutzung einer Schwachstelle in 21,3 Prozent. 53,7 Prozent der Vorfälle betrafen Einrichtungen im Anwendungsbereich von NIS2.

Keiner dieser drei Werte lässt sich mit einem Jahreszyklus steuern. Eine Schwachstelle, die im März veröffentlicht und im April ausgenutzt wird, steht in einem Register, das zuletzt im Januar geprüft wurde, einfach nicht.

Ein verbreiteter Irrtum gehört an dieser Stelle korrigiert, weil er viele Budgetgespräche prägt: Die jährliche Risikobeurteilung ist keine Vorgabe der Norm. Kapitel 8.2 der ISO/IEC 27001:2022 verlangt Beurteilungen in geplanten Abständen und immer dann, wenn wesentliche Änderungen eintreten oder geplant sind. Die zweite Bedingung ist die anspruchsvollere, und sie ist das eigentliche Argument für kontinuierliche Risikoarbeit. Auditoren lesen beide Hälften dieses Kapitels, auch wenn Unternehmen nur die erste einplanen.

KI-gestütztes Risikomanagement: ein neues Paradigma

KI-gestütztes Risikomanagement verschiebt die Arbeit von der Datenbeschaffung zur Entscheidung. Fünf Fähigkeiten machen den größten Teil des Unterschieds aus, und sie verstärken sich gegenseitig: jede ist nützlicher, wenn die anderen vorhanden sind.

Automatisierte Auswertung von Bedrohungsinformationen

Bedrohungsinformationen kommen verteilt an: aus Schwachstellendatenbanken, Herstellerhinweisen, Logdaten und dem eigenen Konfigurationszustand. Ein Modell kann diese Quellen laufend zusammenführen und die operativ einzige relevante Frage beantworten: Betrifft dieser Hinweis ein System, das in unserem Asset-Register steht? An dieser Korrelation scheitern manuelle Verfahren, nicht an der Bewertung, die danach folgt.

Die Asymmetrie ist real und läuft derzeit gegen die Verteidiger. Die ENISA stellte fest, dass KI-gestützte Phishing-Kampagnen Anfang 2025 mehr als 80 Prozent der weltweit beobachteten Social-Engineering-Aktivitäten ausmachten. Angreifer haben KI industrialisiert, bevor die meisten Sicherheitsfunktionen ihre Evaluierung abgeschlossen hatten.

Vorausschauende Risikoerkennung

Vergangene Vorfälle, die aktuelle Wirksamkeit der Kontrollen und laufende Bedrohungsdaten erlauben gemeinsam eine belastbare Aussage darüber, wo der nächste Ausfall wahrscheinlich ist. Der Wert liegt nicht in der Prognose selbst, die im Einzelfall häufig falsch sein wird. Der Wert liegt in der Reihenfolge: zu wissen, welche der 93 Maßnahmen aus Anhang A Sie zuerst nachziehen, wenn Sie nur drei finanzieren können.

Behandeln Sie Prognosen als Hypothesen mit einer verantwortlichen Person und einem Prüftermin, nicht als Feststellungen. Ein prognostiziertes Risiko, das niemand bewertet hat, ist keine Risikoinformation, sondern eine Warteschlange.

Kontinuierliche Kontrollüberwachung

Statt regelmäßiger manueller Tests wird der Zustand der Kontrollen laufend gegen die beabsichtigte Konfiguration abgeglichen:

• Konfigurationen und Kontrolleinstellungen werden dauerhaft geprüft, nicht stichprobenartig
• eine abweichende Kontrolle fällt auf, sobald sie abweicht, nicht beim nächsten Review
• technische Kontrollen werden automatisiert getestet, soweit sich Tests automatisieren lassen
• der Zustand der Kontrollen ist jederzeit abrufbar, nicht erst zum Quartalsende

Das ist auch der Mechanismus, der Auditnachweise zum Nebenprodukt des Betriebs macht. Laufend entstandene Nachweise müssen in der Woche vor einer Prüfung nicht rekonstruiert werden, und genau dort ist bisher der größte Teil des Aufwands für die Vorbereitung eines externen Audits gelandet.

Quantitative Risikoanalyse

Die traditionelle Bewertung stützt sich auf qualitative Kategorien: hoch, mittel, niedrig. Diese Kategorien sind günstig zu erzeugen und kaum zu aggregieren, kaum über Teams hinweg vergleichbar und gegenüber einer Finanzfunktion schwer zu verteidigen. Eine breitere Datenbasis erlaubt Wahrscheinlichkeitsmodelle, Auswirkungsabschätzungen anhand der tatsächlichen Kritikalität von Systemen, eine Bewertung über mehrere gewichtete Faktoren und Szenarioanalysen entlang von Angriffswegen.

Der ehrliche Vorbehalt: Quantifizierung erbt die Qualität ihrer Eingangsdaten. Eine selbstbewusste Zahl aus einem veralteten Asset-Register ist gefährlicher als ein zugegebenes "mittel", weil sie eine Diskussion übersteht, die eine Einschränkung nicht überstünde.

Dynamische Risikopriorisierung

Ein statisches Register veraltet konstruktionsbedingt. Laufende Neupriorisierung berücksichtigt die sich ändernde Ausnutzbarkeit, den Geschäftskontext, der sich mit jedem Produktstart verschiebt, und eine Ressourcenverteilung, die der aktuellen Spitze der Liste folgt statt der des letzten Quartals. Verschiedene Rollen brauchen dabei verschiedene Sichten auf dieselben Daten: eine Geschäftsführung will den Verlauf der Gesamtexposition, eine Engineering-Leitung die Warteschlange dieses Sprints.

Praktische Anwendungen von KI im Risikomanagement

Diese Fähigkeiten münden in vier Anwendungen, bei denen der operative Gewinn messbar und nicht nur theoretisch ist.

Verbessertes Schwachstellenmanagement

Das ist der klarste Fall, weil die absoluten Zahlen die menschliche Triage längst überschritten haben. Die Halbjahresprognose von FIRST für 2026 rechnet mit rund 66.000 CVEs, nach oben korrigiert von einer Februar-Schätzung von 59.427, und damit im ersten Jahr auf Kurs in Richtung 70.000 Veröffentlichungen. Die tatsächliche Ausnutzbarkeit wächst längst nicht in diesem Tempo: Der Katalog bekannter ausgenutzter Schwachstellen der CISA umfasste zum 1. Mai 2026 genau 1.587 Einträge.

Diese Lücke zwischen rund 66.000 Veröffentlichungen und 1.587 bestätigt ausgenutzten Schwachstellen ist das gesamte Argument für intelligente Priorisierung. Drei öffentliche Signale leisten dabei den größten Teil der Arbeit, und sie beantworten unterschiedliche Fragen.

EPSS wird von FIRST gepflegt und ist ein maschinelles Lernmodell, das die Wahrscheinlichkeit schätzt, mit der eine veröffentlichte CVE innerhalb der nächsten 30 Tage aktiv ausgenutzt wird, täglich bewertet auf einer Skala von 0 bis 1. In Kombination mit dem KEV-Status und dem eigenen Register wird aus einem Zulauf von 66.000 Einträgen eine Liste, die ein Team wirklich abarbeiten kann. Der Fehler, den die meisten Teams machen, ist bei CVSS aufzuhören. CVSS beschreibt die Schwere im Vakuum und sagt nichts darüber, ob die Schwachstelle genutzt wird oder ob Sie die betroffene Software überhaupt betreiben.

Analyse des Benutzerverhaltens

Verhaltensanalyse adressiert die Risiken, die eine kontrollbasierte Bewertung schlecht erfasst: eine gültige Anmeldeinformation in den falschen Händen, ein über eine dieser Phishing-Kampagnen kompromittiertes Konto, Berechtigungen, die sich über Jahre von Rollenwechseln still ansammeln.

• Basismodellierung, um pro Benutzerkonto und Dienstkonto festzustellen, was normal ist
• Anomalieerkennung gegen diese Basislinie statt gegen allgemeine Regeln
• risikobasierte Authentifizierung, die Anforderungen bei ungewöhnlichem Verhalten erhöht
• engere Überwachung privilegierter Zugriffe, wo ein einzelner Missbrauch überproportionale Folgen hat

Ein Hinweis, der speziell für diese Anwendung gilt. Die Verhaltensüberwachung von Beschäftigten ist eine Verarbeitung personenbezogener Daten und bringt in der EU Mitbestimmungs- und DSGVO-Pflichten mit sich, die ein Sicherheitsteam nicht allein lösen kann. Holen Sie Ihre Datenschutzfunktion vor der Einführung dazu, nicht danach. Artikel 88 DSGVO und das nationale Arbeitsrecht bestimmen hier gemeinsam, was zulässig ist.

Risikoinformationen zur Lieferkette

NIS2 macht Drittparteienrisiken ausdrücklich verbindlich statt optional: Artikel 21 Absatz 2 Buchstabe d verlangt Maßnahmen zur Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern. Diese Pflicht lässt sich mit einem jährlichen Fragebogen schwer erfüllen, weil sich die Sicherheitslage eines Lieferanten zwischen zwei Fragebögen ändert.

Laufende Lieferantenüberwachung, die Abbildung von Abhängigkeiten zur Sichtbarmachung von Konzentrationsrisiken und Frühindikatoren für die Kompromittierung eines Lieferanten werden handhabbar, sobald die Bewertung datenbasiert statt fragebogenbasiert erfolgt. Den vollständigen Pflichtenkatalog haben wir in unserem Leitfaden zu den NIS2-Anforderungen aufgeschlüsselt.

Automatisiertes Compliance-Risikomanagement

Für Unternehmen mit mehreren Frameworks entsteht der laufende Aufwand nicht bei der Bewertung, sondern bei der Zuordnung. Anhang A der ISO/IEC 27001:2022 enthält 93 Maßnahmen in vier Themenbereichen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. NIS2 verlangt in Artikel 21 Absatz 2 Buchstabe a Konzepte für Risikoanalyse und die Sicherheit von Informationssystemen. Ein SOC-2-Bericht setzt im Wesentlichen auf denselben Maßnahmen auf.

Diese Kontrollsätze überschneiden sich erheblich. Wer sie getrennt pflegt, macht dieselbe Arbeit drei Mal, und genau darum geht es, wenn man ISO 27001, DSGVO und SOC 2 auf einem Kontrollsatz führt. Automatisierte Zuordnung erkennt, welche einzelne Maßnahme mehrere Anforderungen gleichzeitig erfüllt, und, nützlicher noch, wo nach Abzug aller Überschneidungen eine echte Lücke bleibt.

Implementierungsstrategie: Vom traditionellen zum KI-gestützten Risikomanagement

Der Übergang funktioniert in Etappen. Zwölf Monate sind ein realistischer Horizont, wenn eine Person das Ergebnis verantwortet und mindestens ein halbes Vollzeitäquivalent dafür einsetzen kann. Wer den Zeitraum darunter drückt, bekommt in der Regel Werkzeuge ohne Prozess.

Phase 1: Grundlage schaffen, Monat 1 bis 3

Dokumentieren Sie die bestehende Methodik, einschließlich der Bewertungskriterien und der Risikoakzeptanzschwellen, denn KI verstärkt jede Definition, die sie übernimmt. Erfassen Sie, wo die Risikodaten heute liegen. Legen Sie Ausgangswerte fest, an denen Sie sich später messen lassen können: wie viele Risiken offen sind, wie alt der jüngste Eintrag ist, wie lange ein vollständiger Zyklus dauert und wie viele Feststellungen das letzte Audit ergab.

Die Bewertung der Datenqualität gehört hierher und nicht später. Ein Asset-Register, das zu 70 Prozent vollständig ist, setzt allem darüber eine harte Obergrenze, und kein Modell korrigiert ein Register, das nicht existiert.

Phase 2: Erste Umsetzung, Monat 3 bis 6

Beginnen Sie mit einem Framework und den Systemen mit dem höchsten Schutzbedarf. Binden Sie die Quellen an, die die Nachweise ohnehin erzeugen: Identitäts- und Berechtigungsverwaltung, Endgeräteverwaltung, Cloud-Konfiguration und das Ticketsystem, in dem die Behebung tatsächlich stattfindet. Ein vollständig umgesetztes Framework ist mehr wert als drei halb umgesetzte, für das Vertrauen im Team wie für das Audit.

Phase 3: Erweiterte Funktionen, Monat 6 bis 12

Domänenübergreifende Korrelation, Prognosemodelle und automatisierte Empfehlungen gehören hierher, sobald die Definitionen darunter stabil sind. Diese Phase zeigt, ob Phase 1 ehrlich gemacht wurde. Ohne vereinbarte Kriterien und benannte Verantwortliche erzeugt kontinuierliche Überwachung vor allem Meldungen, die niemand bewertet, und das Programm bekommt einen Rückstand statt einer Fähigkeit.

Eine Anmerkung zu den Kosten, weil die Frage meist zu früh kommt. Der Lizenzpreis einer Plattform ist selten der entscheidende Faktor. Was die Gesamtkosten treibt, sind die Zahl der anzubindenden Systeme, die Zahl der parallel betriebenen Frameworks und die interne Kapazität für die Bewertungsentscheidungen, die sich überhaupt nicht automatisieren lassen.

Ethische Überlegungen und menschliche Kontrolle

Wer KI für das Risikomanagement einsetzt, betreibt damit selbst ein System, das Governance braucht. Artikel 9 Absatz 2 der KI-Verordnung beschreibt das Risikomanagementsystem für Hochrisiko-KI als kontinuierlichen iterativen Prozess über den gesamten Lebenszyklus, mit regelmäßiger systematischer Überprüfung, der die Ermittlung und Analyse vorhersehbarer Risiken, die Abschätzung bei bestimmungsgemäßer Verwendung und vorhersehbarer Fehlanwendung, die Bewertung von Risiken aus der Beobachtung nach dem Inverkehrbringen und die Ergreifung geeigneter Maßnahmen umfasst. Unabhängig davon, ob Ihr konkreter Anwendungsfall als hochriskant eingestuft ist, beschreibt das treffend, wie verantwortungsvoller Betrieb aussieht. Welche Systeme unter die Einstufung fallen, behandeln wir in unserem Beitrag zu Hochrisiko-KI nach dem EU AI Act.

Minderung von Verzerrungen

Ein Risikomodell, das auf historischen Vorfallsdaten trainiert wurde, lernt Ihre historischen blinden Flecken mit. Wenn ein Geschäftsbereich nie genau beobachtet wurde, hat er wenige dokumentierte Vorfälle erzeugt, und das Modell wird daraus ableiten, dass er risikoarm ist. Prüfen Sie die Bewertungsergebnisse auf systematische Verzerrung über Geschäftsbereiche, Regionen und Systemarten hinweg, und dokumentieren Sie, wie die Schlüsse entstehen. Prüfen Sie erneut nach jedem Nachtrainieren, nicht nur zum Start.

Erklärbarkeit und Transparenz

Erklärbarkeit ist in diesem Zusammenhang keine philosophische Vorliebe, sondern eine Auditanforderung. Eine prüfende Person, die fragt, warum ein Risiko so bewertet wurde, akzeptiert das Modell nicht als Antwort. Halten Sie die Entscheidungsfaktoren, die Konfidenzangaben und die Eingangsdaten hinter jedem Ergebnis fest, und stellen Sie sicher, dass ein Mensch die Herleitung ohne Hilfe des Anbieters nachvollziehen kann.

Zusammenarbeit zwischen Mensch und KI

Legen Sie genau fest, wo das System berät und wo eine Person entscheidet. In der Praxis liegt die Grenze bei der Behandlungsentscheidung: Modelle können erkennen, korrelieren und ordnen, aber ein Risiko zu akzeptieren, zu mindern oder zu übertragen ist ein zurechenbarer Akt, den die ISO/IEC 27001:2022 in Kapitel 6.1.3 einer Risikoverantwortlichen zuweist. Definieren Sie den Umgang mit Ausnahmen für die Fälle, in denen das Modell falsch liegt, und führen Sie menschliche Korrekturen als Trainingssignal zurück, statt sie in einem Ticket zu verlieren.

"Im Audit wird nie gefragt, wie ausgefeilt Ihre Werkzeuge sind. Gefragt wird, wer dieses Risiko akzeptiert hat, auf welcher Grundlage und wann. Automatisierung, die das nicht beantworten kann, hat Durchsatz geschaffen, aber keine Sicherheit, und Teams merken das spät, meistens im Raum mit dem Auditor."

Kutluhan Abut, Information Security and AI Governance Specialist bei Kertos

Erfolgsmessung: KPIs für KI-gestütztes Risikomanagement

Drei Kennzahlengruppen genügen. Alle drei brauchen den Ausgangswert aus Phase 1, um überhaupt etwas zu bedeuten, und genau deshalb ist die Basisarbeit nicht optional.

Eine Kennzahl verdient mehr Aufmerksamkeit, als sie meist bekommt: das Alter des ältesten offenen Risikos ohne Behandlungsentscheidung. Sie ist unangenehm, sie ist schwer zu manipulieren, und sie sagt Ihnen, ob das Programm Risiken schließt oder sie nur schneller findet.

Zur Größenordnung ein Rechenbeispiel statt eines Branchendurchschnitts. Ein Softwareunternehmen mit 300 Mitarbeitenden betreibt ISO 27001 und einen SOC-2-Bericht parallel, mit 640 Systemen und Anwendungen im Register. Bei einer halbjährlichen Prüfung und 15 Minuten pro Asset sind das 160 Stunden je Zyklus, also 320 Stunden im Jahr, bevor eine einzige Behandlungsentscheidung getroffen ist. Die Zahlen sind illustrativ, das Verhältnis ist es nicht: Der Aufwand skaliert mit dem Register, nicht mit der Mitarbeiterzahl.

Fazit: Was KI im Risikomanagement wirklich verändert

KI verschiebt die Grenze zwischen dem, was ein Team beschaffen muss, und dem, was es entscheiden muss. Die Beschaffung wird deutlich günstiger. Das Entscheiden nicht, und die Unternehmen, die sich mit diesem Übergang schwertun, sind meist die, die so geplant haben, als würde es günstiger.

Was sich in der Praxis ändert: Der Risikostand ist aktuell statt jährlich, die Priorisierung folgt der tatsächlichen Ausnutzbarkeit statt der abstrakten Schwere, die Zuordnung über Frameworks hinweg wird handhabbar, und Auditnachweise entstehen im Betrieb statt in der Panik vor der Prüfung.

Was sich nicht ändert: Eine verantwortliche Person muss weiterhin entscheiden, was mit jedem Risiko passiert, und diese Entscheidung ein Jahr später erklären können.

Risikomanagement mit der Kertos Plattform

Kertos setzt das in drei zusammenhängenden Bereichen der Plattform um. Den Kern bildet das Risikomanagement, in dem Risiken, Kontrollen und Behandlungsentscheidungen an einer Stelle liegen und ihre Bewertungshistorie mitführen. Genau diese Historie beantwortet im Audit die Frage nach der Zurechenbarkeit, ohne dass jemand hinterher Tabellen rekonstruiert.

Die Grundlage darunter liefert das Asset Management, das Risiken und Kontrollen den tatsächlich betroffenen Systemen zuordnet. Diese Zuordnung ist die Voraussetzung dafür, aus einem Schwachstellenzulauf eine Arbeitsliste statt eines Berichts zu machen, und sie ist der Teil, den die meisten Projekte unterschätzen.

Drittparteienrisiken laufen über das Vendor Management, wo die NIS2-Lieferkettenpflicht operativ wird statt einmal im Jahr abgefragt. Risiken, die aus dem Einsatz von KI-Systemen selbst entstehen, haben mit dem AI Risk Assessment einen eigenen Bewertungspfad, ausgerichtet auf ISO 42001 und die KI-Verordnung.

Die Fragen, die im Betrieb aufkommen, gehen an KAIA, den Compliance-Assistenten der Plattform, der eine Anforderung einer Maßnahme zuordnet und erklärt, welcher Nachweis erwartet wird. Zertifizierte Expert:innen treffen die Bewertungsentscheidungen mit Ihnen, statt Vorlagen zu übergeben. Nach eigenen Angaben erreicht Kertos eine Audit-Erfolgsquote von 100 Prozent bei 97 Prozent Kundenzufriedenheit in mehr als zehn Branchen.

Was Kundinnen und Kunden dabei am häufigsten beschreiben, ist die Zusammenführung, nicht die Automatisierung:

"Kertos hat unser zuvor komplexes und unübersichtliches Risikomanagement deutlich verbessert."

Daniela, Head of Sales & Marketing, Netstream AG

Häufig gestellte Fragen

Was ist KI-gestütztes Risikomanagement?

KI-gestütztes Risikomanagement bezeichnet den Einsatz maschinellen Lernens zur Automatisierung von Datenbeschaffung, Korrelation und Vorbewertung innerhalb eines Risikomanagementprozesses. Angebundene Systeme liefern Konfigurations-, Berechtigungs- und Schwachstellendaten, ein Modell verknüpft sie mit dem Asset-Register und dem Kontrollsatz. Die Bewertung nach definierten Kriterien und die Entscheidung über die Behandlung bleiben beim Unternehmen.

Ersetzt KI die von der ISO 27001 verlangte Risikobeurteilung?

Nein. Die ISO/IEC 27001:2022 verlangt in Kapitel 6.1.2 ein definiertes Verfahren mit festgelegten Kriterien und in Kapitel 6.1.3 eine dokumentierte Behandlungsentscheidung, die einer benannten verantwortlichen Person zuzuordnen ist. KI kann die Grundlage dieser Entscheidung liefern, nicht die Entscheidung selbst, und ein Audit prüft genau diese Zurechenbarkeit.

Wie oft muss eine Risikobeurteilung durchgeführt werden?

Kapitel 8.2 der ISO/IEC 27001:2022 nennt keinen festen Turnus. Es verlangt Beurteilungen in geplanten Abständen und zusätzlich immer dann, wenn wesentliche Änderungen eintreten oder geplant sind. In der Praxis führt die zweite Bedingung dazu, dass ein Jahreszyklus allein nicht ausreicht, sobald sich die Systemlandschaft regelmäßig ändert.

Wie priorisiert man Schwachstellen mit KI?

Kombinieren Sie vier Signale statt sich auf die Schwere allein zu verlassen: CVSS für die abstrakte Schwere, EPSS für die Wahrscheinlichkeit einer Ausnutzung innerhalb von 30 Tagen, den KEV-Katalog der CISA für bestätigte Ausnutzung und Ihr eigenes Asset-Register für die Frage, ob Sie die betroffene Komponente überhaupt betreiben. Bei rund 66.000 für 2026 prognostizierten CVEs und 1.587 KEV-Einträgen zum Mai 2026 nimmt schon der Registerabgleich den größten Teil der Menge heraus.

Gilt die KI-Verordnung für KI, die im Risikomanagement eingesetzt wird?

Das hängt von der Einstufung ab, und die Frage gehört zu Ihrer Compliance-Funktion statt zu einer allgemeinen Antwort. Artikel 9 der KI-Verordnung regelt die Pflichten zum Risikomanagementsystem für Hochrisiko-KI, und Anhang III legt fest, welche Anwendungsfälle in diese Kategorie fallen. Unabhängig von der Einstufung beschreibt Artikel 9 Absatz 2 einen kontinuierlichen Lebenszyklusprozess mit systematischer Überprüfung, der als Betriebsstandard für jede KI sinnvoll ist, auf die Sie sicherheitsrelevante Entscheidungen stützen.