Druck auf Unternehmen steigt durch Quantenkryptographie und KI-Regulierung
Die Europäische Kommission hat die neue Cybersicherheitserklärung der G7-Arbeitsgruppe unterstützt. Das Dokument wurde unter französischem Vorsitz und mit Beteiligung der nationalen Cybersicherheitsbehörde ANSSI erarbeitet und bildet einen abgestimmten Rahmen für den Umgang mit Risiken digitaler Infrastruktur.
Im Mittelpunkt steht die Einführung von Post-Quantum-Kryptographie. Anders als frühere sicherheitspolitische Strategiepapiere enthält die Erklärung konkrete Umsetzungslogiken: Die Umstellung wird als laufender Prozess beschrieben, der bereits in der aktuellen Infrastrukturplanung berücksichtigt werden muss. Die EU hatte 2025 einen verbindlichen Fahrplan veröffentlicht, der bestimmte Systeme in Finanzwesen, Verwaltung und kritischer Infrastruktur zeitlich priorisiert. Für Betreiber bedeutet das, dass neue Systeme zunehmend parallel zu bestehenden Verschlüsselungsstandards aufgebaut werden müssen.
In mehreren Mitgliedstaaten hat diese Entwicklung bereits operative Folgen. Banken und Cloud-Anbieter beginnen mit ersten Testmigrationen, während Telekommunikationsunternehmen prüfen, welche Teile ihrer Infrastruktur kurzfristig umgestellt werden können. Branchenvertreter verweisen darauf, dass nicht einzelne Anwendungen betroffen sind, sondern Schlüsselverwaltung, Zertifikatsinfrastruktur und langfristige Datenarchivierung.
Ein zweiter Schwerpunkt der G7-Erklärung betrifft künstliche Intelligenz. Erstmals wird KI nicht nur als Risikofaktor beschrieben, sondern als Bestandteil sicherheitsrelevanter Softwareentwicklung eingeordnet. Modelle können Sicherheitslücken identifizieren, gleichzeitig aber selbst Ziel von Angriffen werden. Genannt werden Datenmanipulationen in Trainingsprozessen sowie der unautorisierte Zugriff auf Modellgewichte und Entwicklungsdaten.
Deutschland und Italien arbeiten innerhalb der G7 an einem AI Software Bill of Materials. Das Konzept verpflichtet Unternehmen dazu, verwendete Modelle, Trainingsdatenquellen und Softwarekomponenten nachvollziehbar zu dokumentieren. Mehrere große europäische Technologieanbieter haben bereits begonnen, interne Inventare solcher KI-Systeme aufzubauen, um künftige regulatorische Anforderungen zu erfüllen.
Parallel dazu arbeitet die Europäische Kommission an einem Aktionsplan für KI und Cybersicherheit. Dieser soll noch 2026 konkrete Anforderungen für den Einsatz von KI in sicherheitskritischen Bereichen definieren. Betroffen wären unter anderem Behörden, Finanzdienstleister und Betreiber industrieller Systeme.
Im Bereich der Telekommunikation verweist die G7-Erklärung auf strukturelle Abhängigkeiten moderner Netze. Mobilfunk, Cloud-Infrastruktur und Unternehmensnetzwerke basieren zunehmend auf gemeinsamen Software- und Hardwarekomponenten. Dadurch entstehen Risiken, die nicht mehr auf einzelne Anbieter beschränkt bleiben. Die EU knüpft diese Entwicklung an bestehende Regulierungen wie die NIS2-Richtlinie sowie den geplanten Cybersecurity Act, der insbesondere Lieferketten im ICT-Sektor stärker kontrollieren soll.
In der Industrie führen diese Vorgaben bereits zu Anpassungen bei Beschaffungsprozessen. Anbieter von Netzwerktechnik werden häufiger zu Herkunftsnachweisen von Komponenten verpflichtet, insbesondere bei sicherheitskritischer Infrastruktur.
Auch kleine und mittlere Unternehmen werden in der Erklärung explizit adressiert. Sie gelten als Teil industrieller Lieferketten, insbesondere in Maschinenbau, Logistik und Softwaredienstleistungen. Der Ansatz „secure by design“ wird nicht nur als technisches Prinzip beschrieben, sondern als Voraussetzung für Marktzugang in bestimmten Segmenten. Der europäische Cyber Resilience Act sieht vor, dass Sicherheitsanforderungen künftig über den gesamten Produktlebenszyklus hinweg nachgewiesen werden müssen.
Die Europäische Kommission hat angekündigt, die Arbeiten der G7 im Herbst weiterzuführen und bestehende EU-Rahmenwerke stärker mit internationalen Standards zu verknüpfen. Mit dem geplanten Übergang der G7-Arbeitsgruppenpräsidentschaft an die Vereinigten Staaten im Jahr 2027 entsteht gleichzeitig ein Zeitfenster, in dem bestehende Regelwerke konsolidiert werden sollen.
Für Unternehmen ergibt sich daraus eine Situation, in der Cybersicherheit nicht mehr als nachgelagerte IT-Funktion behandelt wird. Verschlüsselung, KI-Entwicklung, Lieferketten und Produktdesign werden zunehmend in denselben regulatorischen Rahmen eingebunden.