von Am 7. Juli 2026 hat die Europäische Kommission einen Aktionsplan für Cybersicherheit und Künstliche Intelligenz vorgelegt — und ausnahmsweise kein neues Gesetz. Stattdessen geht es um die Umsetzung dessen, was längst gilt.
Genau das macht den Plan für den Mittelstand relevanter, als der harmlose Titel vermuten lässt. Denn ein KI-Sicherheitsplan, der bestehendes Recht in die Praxis übersetzt, kommt schneller im Maschinenraum mittelständischer Unternehmen an als jedes ferne Zukunftsgesetz.
Was der Plan konkret vorsieht
Der [EU Action Plan on Cybersecurity and Artificial Intelligence](https://digital-strategy.ec.europa.eu/en/library/eu-action-plan-cybersecurity-and-artificial-intelligence) verfolgt drei Ziele:
- die sichere und verantwortungsvolle Nutzung fortgeschrittener KI fördern
- die Cybersicherheit und Resilienz der EU stärken
- Europas KI-Fähigkeiten für Cybersicherheit skalieren
Dahinter stehen vier konkrete Bausteine.
Ein europäischer Blueprint für sicheren KI-Zugang
Gemeinsam mit der EU-Cybersicherheitsagentur ENISA entsteht ein „European Blueprint for secure access to advanced AI systems“. Laut Berichterstattung soll er im vierten Quartal 2026 fertig sein. Damit definiert die EU erstmals, wie sicherer Zugang zu leistungsfähigen KI-Modellen aussehen soll.
Eine sichere Testplattform
ENISA und das Joint Research Centre der Kommission bauen eine Plattform auf, um KI in der Cybersicherheit zu testen — inklusive simulierter Umgebungen. Adressiert werden die kritischen Sektoren Energie, Verkehr, Gesundheit, Finanzen und öffentliche Verwaltung. Zeitplan laut Berichterstattung: bis Ende 2026.
Eine europäische KI-Evaluationskapazität
Die Kommission schreibt eine Stelle aus, die KI-Modelle mit Cybersicherheitsbezug bewertet. Sie soll 2027 operativ sein. Das Ziel: Modelle prüfen, bevor sie auf den EU-Markt kommen.
Eine EU Grand Challenge on AI for cybersecurity
Ein Wettbewerbsformat, das Unternehmen, Forschende und weitere Akteure zusammenbringen soll. Parallel ermutigt die Kommission Organisationen ausdrücklich, KI — auch Open-Source-Modelle — zur Schwachstellenerkennung und schnelleren Behebung einzusetzen.
Was der Plan nicht enthält
Hier lohnt der nüchterne Blick, denn zwei Leerstellen sind für Mittelständler entscheidend.
Erstens: kein Budget. Weder das Volldokument noch das Factsheet nennen ein Finanzvolumen. Wer auf ein neues Förderprogramm gehofft hat, findet es hier nicht.
Zweitens: keine KMU-Maßnahmen. Der Plan spricht allgemein von „companies, researchers and other stakeholders“. Eigene Instrumente für kleine und mittlere Unternehmen — Zuschüsse, vereinfachte Verfahren, Beratungsangebote — sind nicht vorgesehen.
Der Mittelstand ist also nicht direkter Adressat. Betroffen ist er trotzdem — nur auf Umwegen.
Wen es tatsächlich trifft — und wie
Der Aktionsplan schafft kein neues Recht. Er stützt sich auf bestehende Rechtsakte: den AI Act, die NIS2-Richtlinie, den Cyber Resilience Act, DORA und den Cyber Solidarity Act. Sein Schwerpunkt liegt auf deren Umsetzung. Und genau das ist der Hebel, der beim Mittelstand ankommt.
Drei Betroffenheitspfade sind praktisch relevant.
Pfad 1: Sie liefern an kritische Sektoren
Wenn Ihr Unternehmen Energieversorger, Kliniken, Verkehrsbetriebe, Banken oder Behörden beliefert, wandern die Anforderungen dieser Kunden über die Lieferkette zu Ihnen. NIS2 verpflichtet betroffene Einrichtungen ausdrücklich, ihre Lieferantenrisiken zu managen.
In der Praxis heißt das: Fragebögen, Vertragsklauseln, Nachweispflichten. Ein Maschinenbauer mit 80 Mitarbeitern, der eine Klinik beliefert, ist selbst vielleicht nicht NIS2-pflichtig — er bekommt die Pflichten aber als Kundenanforderung auf den Tisch. Wie Sie sich darauf vorbereiten, lesen Sie in unserem Beitrag [NIS2 im Mittelstand: Was jetzt zu tun ist](/ki-strategie/nis2-mittelstand/).
Pfad 2: Sie bringen Produkte mit digitalen Elementen in Verkehr
Der Cyber Resilience Act adressiert Hersteller, nicht nur Konzerne. Wer Software oder vernetzte Hardware verkauft, ist im Anwendungsbereich.
Pfad 3: Sie sind selbst NIS2-pflichtig
Viele Mittelständler unterschätzen das. Die Richtlinie erfasst deutlich mehr Sektoren als ihre Vorgängerin — und Unternehmensgrößen, die im Mittelstand liegen.
Wer Modelle in den EU-Markt bringt, sollte die geplante Evaluationskapazität ab 2027 im Blick behalten. Für den typischen Mittelständler, der KI einsetzt statt sie zu bauen, ist das jedoch kein unmittelbares Thema.
Die produktive Lesart: KI als Verteidigungswerkzeug
Der Plan ist nicht nur Regulierungsvollzug. Die Kommission ermutigt Organisationen ausdrücklich, KI zur Schwachstellenerkennung und schnelleren Behebung einzusetzen — inklusive Open-Source-Modellen.
Das ist für Mittelständler die interessanteste Passage. Denn der klassische Engpass in mittelständischen IT-Abteilungen ist nicht fehlendes Wissen, sondern fehlende Kapazität. Wer zwei IT-Mitarbeiter für 150 Kollegen hat, kommt mit manueller Schwachstellenanalyse nicht hinterher.
KI-gestützte Werkzeuge verschieben genau hier die Grenze — und der ausdrückliche Verweis auf Open-Source senkt die Einstiegshürde, weil keine teuren Lizenzen nötig sind, um erste Erfahrungen zu sammeln. Konkret lohnen sich drei Ansatzpunkte:
- Automatisierte Schwachstellen-Scans, die bekannte Lücken in Systemen und Abhängigkeiten kontinuierlich prüfen, statt nur beim Quartals-Audit.
- KI-gestützte Priorisierung, die aus hunderten Meldungen die wenigen wirklich kritischen herausfiltert — das schont knappe Personalzeit.
- Schnellere Reaktion, weil Vorschläge zur Behebung mitgeliefert werden und nicht erst recherchiert werden müssen.
Wie sich solche Werkzeuge ohne großes IT-Team einführen lassen, zeigen wir in [KI-Tools für schlanke IT-Abteilungen](/ki-praxis/ki-tools-schlanke-it/).
Was der Mittelstand jetzt tun sollte
Der Aktionsplan selbst verlangt von Ihnen nichts. Die Rechtsakte dahinter aber schon — und der Plan macht sichtbar, dass die EU auf Umsetzung drückt. Drei Schritte sind sinnvoll:
Das Fazit fällt unaufgeregt aus: Kein neues Geld, kein neues Gesetz, keine KMU-Sonderregeln. Aber ein deutliches Signal, dass bestehende Pflichten ernster genommen werden — und ein Fingerzeig, dass KI im Sicherheitskontext künftig nicht nur Risiko, sondern Werkzeug ist. Wer beides früh einordnet, verwandelt Regulierungsdruck in einen Vorsprung.
Quelle: [EU Action Plan on Cybersecurity and Artificial Intelligence](https://digital-strategy.ec.europa.eu/en/library/eu-action-plan-cybersecurity-and-artificial-intelligence), Europäische Kommission, 7. Juli 2026.
