Regeln NIS2 oder deutsches BSIG KI-generierten Code ausdrücklich?

Weder die zitierten NIS2-Vorschriften noch BSIG §§ 28, 30 und 38 nennen KI-Coding-Tools oder KI-generierten Code. Sie regeln Einrichtungs-Scope, Cybersicherheits-Risikomanagementmaßnahmen, Doku und Leitungspflichten. Diese Kategorien auf einen KI-gestützten Entwicklungsworkflow anzuwenden ist redaktionelles Risiko-Mapping, kein Gesetzeszitat.

Gilt das BSIG für unser Unternehmen?

Das kann dieser Artikel nicht entscheiden. BSIG § 28 arbeitet mit Einrichtungsarten, Sektoren, Schwellenwerten, besonderen Einbeziehungen, Ausnahmen und dem Zusammenspiel mit sektorspezifischen Regimen. Konzernstruktur und Tätigkeiten zählen. Nutzt das aktuelle Gesetz und qualifizierte Rechtsberatung für die Scope-Feststellung.

Was sagt BSIG § 38 zur Geschäftsleitung?

Für besonders wichtige und wichtige Einrichtungen verlangt § 38, dass die Geschäftsleitung die Maßnahmen nach § 30 umsetzt, deren Umsetzung überwacht und regelmäßig an Schulungen teilnimmt. Er behandelt außerdem die Haftung gegenüber der Einrichtung für schuldhaft verursachte Schäden über die anwendbaren gesellschaftsrechtlichen Regeln, mit gesetzlichem Auffangtatbestand. Das entscheidet keine Haftung für einen konkreten KI-Code-Vorfall.

Beweist ein Prüfbericht NIS2- oder BSIG-Compliance?

Nein. Er kann gewählte Checks und beobachtete Ergebnisse für einen Change dokumentieren. Die Organisation braucht weiterhin geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen sowie Doku im gesamten anwendbaren Scope. Behörden, Prüfer, Justiziariat und Gerichte treffen eigene Feststellungen im jeweiligen Verfahren.

Was ist ein begrenztes KI-Coding-Umsetzungsbeispiel?

Behandelt Assistent, Modellendpunkt, Repo-Kontext, generierten Change, Abhängigkeiten und Review-Weg als Inputs der bestehenden Risikobewertung. Legt Owner, erlaubte Setups, Checks, Ausnahmen, Nachweise und Review-Zyklus fest. Das ist ein Beispiel unter allgemeinen Risikokategorien, kein gesetzlicher Safe Harbour.

NIS2, deutsches BSIG und KI-Code

Zuletzt aktualisiert: 2026-07-17Lesezeit ca. 3 Min.

NIS2 und deutsches BSIG nennen KI-Coding nicht. Für erfasste Einrichtungen regeln sie den Umgang mit Cybersicherheitsrisiken und Pflichten der Leitung. Einen KI-gestützten Workflow als Entwicklungs- oder Lieferantenrisiko einzuordnen ist redaktionelles Mapping - keine Rechts-Scope-, Compliance-, Verstoß- oder Haftungsentscheidung.

Kurz: Prüft erst, ob die Regeln für eure Stelle und euren Fall gelten. Ordnet dann den KI-Code in den echten Prozess und seine Risiken ein. Haltet Rollen, Checks und Freigaben fest. Das hilft beim Nachweis, ist aber noch kein Rechtsurteil. Der echte Fall gibt den Maßstab vor. Ein Tool tut das nicht.

Beginnt nicht beim Tool, sondern bei der Stelle, dem Dienst und dem Risiko. Klärt mit den zuständigen Fachleuten, ob und wie die Regeln greifen. Ordnet dann den KI-Code dem echten Build-, Review- und Lieferweg zu. Schreibt auf, wer einen Check wählt, wer ihn ausführt und wer den Rest frei gibt.

Haltet Abweichungen und offene Punkte fest. Ein Log kann zeigen, dass ein Schritt lief; es sagt nicht, dass alle Pflichten erfüllt sind. Ein Gate kann einen Merge sperren; es klärt keine Haftung. Die Leitung braucht daher klare Rollen und echte Belege aus dem eigenen Betrieb.

Das muss klar sein.

Inhalt

Die aktuelle deutsche Rechtsgrundlage

Das konsolidierte BSI-Gesetz trat am 6. Dezember 2025 in Kraft und weist Änderungen bis 11. März 2026 aus. § 28 definiert besonders wichtige und wichtige Einrichtungen mit Sektoren, Einrichtungsarten, Schwellen, Einbeziehungen und Ausnahmen. Das ist detaillierter als eine allgemeine Mitarbeiter- oder Umsatzformel. Rechtsstand geprüft am 17. Juli 2026; diese Seite dient der Orientierung und ist keine Rechtsberatung.

§ 30 verlangt von erfassten Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen sowie Doku. Die Kategorien umfassen Lieferkettensicherheit und Sicherheit bei Erwerb, Entwicklung und Wartung. KI-Coding wird nicht genannt. Ob ein Workflow ein wesentliches Risiko schafft, welche Maßnahme geeignet und ob sie wirksam ist, hängt von Organisation und Fakten ab.

Rechtsquellen- und Anwendungsgrenze

Scope: Richtlinie (EU) 2022/2555 und das deutsche BSIG in konsolidierter Fassung mit Änderungen bis 11. März 2026, fokussiert auf §§ 28, 30 und 38.
Stand: 17. Juli 2026
Methode: Zuerst die Ebene des Rechtstexts nennen, KI-Code-Verbindungen als Beispiele markieren und Organisationsnachweise von Feststellungen durch Behörde, Prüfer, Justiziariat oder Gericht trennen.
Primärquellen: EU-Richtlinie: NIS2-Artikel 20 und 21 behandeln Leitungsaufsicht und Cybersicherheits-Risikomanagementmaßnahmen für wesentliche und wichtige Einrichtungen.Richtlinie (EU) 2022/2555 · 2026-07-17Eine Richtlinie ist mit nationaler Umsetzung und anwendbarem sektorspezifischem Unionsrecht zu lesen; dieser Artikel bestimmt keinen Scope.
Deutsche Risikomaßnahmen: BSIG § 30 fordert geeignete, verhältnismäßige und wirksame Maßnahmen plus Doku; die Liste umfasst Lieferkettensicherheit sowie Sicherheit bei Erwerb, Entwicklung und Wartung.BSIG § 30 · 2026-07-17Der Paragraph nennt KI-Coding nicht und schreibt die Beispiele dieser Seite nicht vor.
Deutsche Leitungspflicht: BSIG § 38 verlangt von Geschäftsleitungen erfasster Einrichtungen Umsetzung und Überwachung der §-30-Maßnahmen sowie regelmäßige Schulung.BSIG § 38 · 2026-07-17Die Haftungsregel betrifft schuldhaft verursachte Schäden gegenüber der Einrichtung und anwendbares Gesellschaftsrecht; konkrete Ergebnisse brauchen Rechtsanalyse.
Nicht festgestellt: Keine Feststellung, dass eine Organisation erfasst ist
Kein Compliance-, Verstoß-, Bußgeld-, Kausalitäts- oder Haftungsurteil
Keine Behauptung, ein KI-Tool oder Nachweisworkflow sei gesetzlich vorgeschrieben
Grenzen: Einrichtungsart, Sektor, Größe, Konzernstruktur, Ausnahmen und Sektorrecht können die Analyse ändern
Aufsichtsleitlinien, Verwaltungsentscheidungen und Rechtsprechung können sich entwickeln
Qualifizierte Rechtsberatung sollte Fakten und aktuellen Rechtstext prüfen

Primärrecht legt allgemeine Pflichten und Entscheider fest; KI-Coding-Beispiele dieses Artikels sind redaktionelle Zuordnungen, keine Rechtsfeststellungen.

Leitungspflicht ist kein automatisches KI-Haftungsergebnis

BSIG § 38 verlangt von Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen Umsetzung und Überwachung der §-30-Maßnahmen sowie regelmäßige Schulung. Der Haftungsabsatz betrifft schuldhaft verursachte Schäden gegenüber der Einrichtung über anwendbare gesellschaftsrechtliche Regeln, mit gesetzlichem Auffangtatbestand. Er sagt nicht, dass ein Leitungsmitglied automatisch haftet, sobald KI-Code zu einem Schaden beiträgt; dieser Artikel prognostiziert kein Ergebnis.

Fünf Ebenen, vier Fragen

Richtlinie oder Nachweisartefakt beantworten nicht automatisch Rechts-Scope, Angemessenheit, Verstoß, Kausalität oder Haftung.
	Rechts-Scope	Organisationsrichtlinie	Technische oder organisatorische Maßnahme	Nachweisartefakt	Aufsichts- oder Haftungsergebnis
AutoritätWer definiert oder entscheidet diese Ebene?	Gesetzgeber, aktuelles Recht, zuständige Behörde und letztlich GerichteEntscheidungsebenen-Mapping · 2026-07-17Orientierung in Alltagssprache; aktuelles Recht und zuständige Entscheider sind maßgeblich.	Die verantwortliche OrganisationEntscheidungsebenen-Mapping · 2026-07-17Orientierung in Alltagssprache; aktuelles Recht und zuständige Entscheider sind maßgeblich.	Die Organisation innerhalb anwendbarer Rechts- und RisikoanforderungenEntscheidungsebenen-Mapping · 2026-07-17Orientierung in Alltagssprache; aktuelles Recht und zuständige Entscheider sind maßgeblich.	Der Prozess hält eine Beobachtung fest; Reviewer bewerten RelevanzEntscheidungsebenen-Mapping · 2026-07-17Orientierung in Alltagssprache; aktuelles Recht und zuständige Entscheider sind maßgeblich.	Behörde, Gericht oder vereinbartes StreitverfahrenEntscheidungsebenen-Mapping · 2026-07-17Orientierung in Alltagssprache; aktuelles Recht und zuständige Entscheider sind maßgeblich.
EntscheidungWas wird tatsächlich entschieden?	Ob Einrichtung und Tätigkeit unter das relevante Regime fallenEntscheidungsebenen-Mapping · 2026-07-17Die genaue Frage variiert mit Fakten und Verfahren.	Welche Tools, Daten, Identitäten, Checks, Ausnahmen und Owner freigegeben sindEntscheidungsebenen-Mapping · 2026-07-17Die genaue Frage variiert mit Fakten und Verfahren.	Wie ein gewähltes Risiko behandelt und Wirksamkeit bewertet wirdEntscheidungsebenen-Mapping · 2026-07-17Die genaue Frage variiert mit Fakten und Verfahren.	Was in einem Setup, einer Änderung, Prüfung, Freigabe oder Ausnahme geschahEntscheidungsebenen-Mapping · 2026-07-17Die genaue Frage variiert mit Fakten und Verfahren.	Verstoß, Durchsetzung, Schaden, Kausalität, Verschulden, Abhilfe oder HaftungEntscheidungsebenen-Mapping · 2026-07-17Die genaue Frage variiert mit Fakten und Verfahren.
KI-Code-VerbindungWie KI-Coding in die Analyse gelangt	Tool- und Code-Nutzung sind Fakten, keine Abkürzung zur Scope-BestimmungKI-Coding-BeispielKI-Coding wird in den zitierten Vorschriften nicht genannt.	KI-spezifische Regeln können einen Teil der Risikobehandlung umsetzenKI-Coding-BeispielKI-Coding wird in den zitierten Vorschriften nicht genannt.	Review-Gates, Zugriffsbeschränkung, Lieferantenprüfung und Tests sind BeispieleKI-Coding-BeispielKI-Coding wird in den zitierten Vorschriften nicht genannt.	Ein Prüfbericht kann Auftrag und gewählte Check-Resultate dokumentierenKI-Coding-BeispielKI-Coding wird in den zitierten Vorschriften nicht genannt.	KI-Code-Fakten können relevant seinKI-Coding-BeispielKI-Coding wird in den zitierten Vorschriften nicht genannt.
Offene GrenzeWas bleibt ungeklärt?	Sektor, Größe, Struktur, Ausnahmen und Fakten brauchen AnalyseRechtliche Aussagegrenze · 2026-07-17Keine Rechtsberatung oder Ergebnisprognose.	Eine Richtlinie beweist weder Betrieb noch Wirksamkeit oder ComplianceRechtliche Aussagegrenze · 2026-07-17Keine Rechtsberatung oder Ergebnisprognose.	Eignung, Verhältnismäßigkeit, Wirksamkeit und Vollständigkeit bleiben kontextabhängigRechtliche Aussagegrenze · 2026-07-17Keine Rechtsberatung oder Ergebnisprognose.	Er entscheidet weder rechtliche Angemessenheit noch Kausalität oder organisationsweiten BetriebRechtliche Aussagegrenze · 2026-07-17Keine Rechtsberatung oder Ergebnisprognose.	Kein Blog und kein Tool kann das Ergebnis vorwegnehmenRechtliche Aussagegrenze · 2026-07-17Keine Rechtsberatung oder Ergebnisprognose.

Richtlinie oder Nachweisartefakt beantworten nicht automatisch Rechts-Scope, Angemessenheit, Verstoß, Kausalität oder Haftung.

Ein begrenztes Umsetzungsbeispiel

Gebt einen KI-gestützten Entwicklungsweg in den bestehenden Risikoprozess: Assistent und Modellendpunkte, Repo-Kontext und Datenklasse, Lieferanten- und Zugriffsentscheidungen, geforderte Tests und Review-Gates, Ausnahmebefugnis, Nachweisaufbewahrung und Wirksamkeits-Review. Das macht Aufsicht prüfbarer. Es ist kein gesetzlicher Safe Harbour und ersetzt keine weiteren anwendbaren Maßnahmen.

Wo Reality Graph ansetzt

Reality Graph kann schriftlichen Auftrag, gewählte Checks, geänderte Dateien, beobachtete Resultate und Operator-Entscheidung eines gesteuerten Runs festhalten. Der letzte Punkt ist ein Gate und keine Logzeile: Das Produkt ist darauf ausgelegt, dass ein Run vor einer benannten Person stehen bleibt, statt selbst zu schreiben oder zu committen. Dieser Nachweis kann für internen Control Owner, Prüfer, Behörde, Justiziariat oder Gericht relevant sein; alle bewerten ihn in anderem Scope. Reality Graph bestimmt keinen Einrichtungsstatus, schreibt kein vollständiges Risikoprogramm vor, zertifiziert keine Compliance und entscheidet keine Haftung. Mehr dazu: Inhalt eines Prüfberichts.

Ein begrenzter Nachweis kann zeigen

Auftrag, freigegebene Regel, Owner und gewählte Checks eines Runs
Beobachtete Resultate, geänderte Dateien, Ausnahmen und Operator-Entscheidung
Zeitpunkt und Quellenstand der Nachweiserfassung

Er kann nicht entscheiden

Ob die Organisation besonders wichtige oder wichtige Einrichtung ist
Ob alle geeigneten, verhältnismäßigen und wirksamen Maßnahmen bestehen und funktionieren
Verstoß, Kausalität, Verschulden, Bußgeld, Abhilfe oder Leitungshaftung im Einzelfall

Ein gesteuerter Entwicklungsnachweis kann Aufsicht unterstützen; er bestimmt weder NIS2-/BSIG-Scope noch Compliance, Verstoß oder Haftung.

FAQ

Regeln NIS2 oder deutsches BSIG KI-generierten Code ausdrücklich?: Weder die zitierten NIS2-Vorschriften noch BSIG §§ 28, 30 und 38 nennen KI-Coding-Tools oder KI-generierten Code. Sie regeln Einrichtungs-Scope, Cybersicherheits-Risikomanagementmaßnahmen, Doku und Leitungspflichten. Diese Kategorien auf einen KI-gestützten Entwicklungsworkflow anzuwenden ist redaktionelles Risiko-Mapping, kein Gesetzeszitat.
Gilt das BSIG für unser Unternehmen?: Das kann dieser Artikel nicht entscheiden. BSIG § 28 arbeitet mit Einrichtungsarten, Sektoren, Schwellenwerten, besonderen Einbeziehungen, Ausnahmen und dem Zusammenspiel mit sektorspezifischen Regimen. Konzernstruktur und Tätigkeiten zählen. Nutzt das aktuelle Gesetz und qualifizierte Rechtsberatung für die Scope-Feststellung.
Was sagt BSIG § 38 zur Geschäftsleitung?: Für besonders wichtige und wichtige Einrichtungen verlangt § 38, dass die Geschäftsleitung die Maßnahmen nach § 30 umsetzt, deren Umsetzung überwacht und regelmäßig an Schulungen teilnimmt. Er behandelt außerdem die Haftung gegenüber der Einrichtung für schuldhaft verursachte Schäden über die anwendbaren gesellschaftsrechtlichen Regeln, mit gesetzlichem Auffangtatbestand. Das entscheidet keine Haftung für einen konkreten KI-Code-Vorfall.
Beweist ein Prüfbericht NIS2- oder BSIG-Compliance?: Nein. Er kann gewählte Checks und beobachtete Ergebnisse für einen Change dokumentieren. Die Organisation braucht weiterhin geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen sowie Doku im gesamten anwendbaren Scope. Behörden, Prüfer, Justiziariat und Gerichte treffen eigene Feststellungen im jeweiligen Verfahren.
Was ist ein begrenztes KI-Coding-Umsetzungsbeispiel?: Behandelt Assistent, Modellendpunkt, Repo-Kontext, generierten Change, Abhängigkeiten und Review-Weg als Inputs der bestehenden Risikobewertung. Legt Owner, erlaubte Setups, Checks, Ausnahmen, Nachweise und Review-Zyklus fest. Das ist ein Beispiel unter allgemeinen Risikokategorien, kein gesetzlicher Safe Harbour.

Weiterlesen

ComplianceKI-Coding in regulierten BranchenDORA, IEC 62304/MDR, ISO 26262/ASPICE regulieren Prozess und Nachweis, nicht die Autorschaft. Was jede Branche verlangt, wenn KI Code schreibt - und das eine Basis-Setup, das zu allen drei passt.GovernanceKI-Coding-GovernanceKontrollen, Workflows, Freigaben und Belege, mit denen ein Team KI-Coding-Tools einführt, ohne Engineering-Verantwortung zu verlieren - samt der Grenzen jedes Bausteins.Alle ArtikelDie ganze Sammlung - 58 belegte, datierte Guides zur Prüfung von KI-generiertem Code.

Quellen

Wollt ihr sehen, wie euer letzter Agenten-Run ausgesehen hätte?

Zugang anfragen