AI Act, CRA, CEMAC-Reform: aus einem Regulatorik-Stapel einen einzigen Maßnahmenplan machen

Der Regulierungskalender vom Juli 2026 liest sich wie eine Kurzfassung des ganzen Jahrzehnts. Am 2. August tritt eine neue Stufe der europäischen KI-Verordnung in Kraft: Transparenzpflichten nach Artikel 50 (Kennzeichnung generierter Inhalte, Chatbots, Deepfakes) und Sanktionsbefugnisse der Kommission bei Modellen mit allgemeinem Verwendungszweck, mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Drei Wochen zuvor, am 13. Juli, veröffentlichte die ENISA ein Selbstbewertungsmodell zur Cyber-Resilienz-Reife von KMU, abgestimmt auf den Cyber Resilience Act: fünf bewertete Bereiche, von der Governance bis zum Produktlebenszyklus, ein herunterladbares Tool, eine Einstufung in Basis-, Mittel- oder Fortgeschrittenenreife. Und in Libreville öffnete die COBAC die Angebote einer internationalen Ausschreibung zur Überarbeitung ihrer Grundlagentexte und zur Ausarbeitung eines einheitlichen Bankengesetzes für die sechs CEMAC-Staaten, das den aus den Konventionen von 1990 und 1992 hervorgegangenen Rahmen ablösen soll.

Drei Regulierungsbehörden, drei Regionen, drei Themen. Aus Sicht einer Geschäftsführung: drei neue Projekte, die zu den bereits bestehenden hinzukommen, je nach Branche NIS2, CSRD, EUDR. Genau das nennen Compliance-Abteilungen, mit wachsender Erschöpfung, den Stapel.

Bei jedem neuen Text ist der institutionelle Reflex immer derselbe: ein eigenes Projekt, ein eigener Verantwortlicher, eine eigene Beratung, eine eigene Tabelle. Dieser Reflex hat eine Logik, denn jeder Text hat seine eigene Aufsichtsbehörde und eigene Sanktionen. Vor allem aber hat er einen Preis, den nur wenige Organisationen messen.

Die erste Kostenstelle ist die Redundanz: dieselben Teams beantworten dreimal dieselben Fragen, nur leicht anders formuliert. Wer ist für dieses System verantwortlich? Wo ist das Inventar? Wie gehen Sie mit Vorfällen um? Ein CISO eines mittelständischen Industrieunternehmens kann einen erheblichen Teil seines Jahres damit verbringen, Fragebögen auszufüllen, die sich zu zwei Dritteln überschneiden.

Die zweite Kostenstelle ist die Inkohärenz: drei getrennte Projekte erzeugen drei getrennte Bestandsaufnahmen, die schnell auseinanderdriften. Die Geschäftsführung erhält drei Schweregrade, drei Budgets, drei Zeitpläne, ohne Möglichkeit, sie gegeneinander abzuwägen. Und die dritte Kostenstelle ist strategisch: Wer ständig jeder einzelnen Frist hinterherläuft, baut nie die Basis auf, die es ermöglichen würde, die nächste leichter zu bewältigen.

Betrachten wir die drei Julisignale nun mit dem Blick eines Praktikers. Der AI Act verlangt zunächst ein Inventar der KI-Systeme und ihrer Verwendungszwecke, eine klare Governance, eine nachweisbare Dokumentation. Der CRA, so wie ihn das ENISA-Modell herunterbricht, bewertet Governance, Risikomanagement, Umgang mit Schwachstellen, Produktlebenszyklus, Kompetenzen. Ein künftiger CEMAC-Aufsichtsrahmen wird, wie alle Basel-Rahmenwerke, eine Risiko-Governance, dokumentierte Verfahren und eine nachweisbare interne Kontrolle verlangen.

Mit anderen Worten: Hinter unterschiedlichem Vokabular überschneidet sich ein großer Teil der Anforderungen. Wissen, was man betreibt (Inventar der Systeme, Produkte, Prozesse). Wissen, wer entscheidet (Governance, Verantwortlichkeiten). Wissen, was schiefgehen kann (Risikomanagement). Reagieren können (Vorfälle, Schwachstellen, Kontinuität). Es belegen können (Dokumentation, Nachverfolgbarkeit). Fünf Basisfähigkeiten, die jeder Text anschließend in seinem eigenen Bereich weiter ausführt.

Gerade weil diese Basis gemeinsam ist, ist die Bearbeitung in Silos Verschwendung: Jedes getrennte Projekt baut auf eigene Kosten ein Inventar, eine Risikolandkarte und eine Governance auf, die das Nachbarprojekt gerade erst bezahlt hat.

Die Alternative besteht nicht darin, die Compliance-Anforderungen zu einer einzigen Akte zu verschmelzen, das würden die Regulierungsbehörden nicht zulassen. Sie besteht darin, zwei Dinge zu trennen, die der Silo-Reflex vermischt: die Basis, die einmal gemessen wird, und die regulatorischen Sichten, die je Text abgeleitet werden.

Konkret: Eine einzige Reifegrad-Analyse bewertet die Basisfähigkeiten, Inventar, Governance, Risiken, Vorfälle, Dokumentation. Jedes bewertete Kriterium wird den Texten zugeordnet, denen es dient: eine bestimmte Inventarkontrolle speist gleichzeitig den AI Act und den CRA; eine bestimmte Anforderung an die Risiko-Governance dient dem CRA und dem künftigen CEMAC-Rahmen. Die Messung offenbart dann, was Silos verbergen: die Kollisionen, jene einzelnen Maßnahmen, die zwei oder drei Compliance-Vorhaben auf einmal voranbringen.

Das ist das Prinzip der gekreuzten Audits: Statt Bewertungen übereinanderzustapeln, bringt man sie miteinander ins Gespräch. Eine Organisation, die sich anhand von drei Referenzrahmen mit gemeinsamer Basis misst, stellt fast immer fest, dass ihr eigentlicher Rückstand in einer Handvoll übergreifender Fähigkeiten liegt, nicht in dreihundert Einzelanforderungen.

Es bleibt, den Maßnahmenplan zu ordnen. Zwei Kriterien genügen, sofern man sie kombiniert. Zuerst die Frist: der 2. August 2026 ist, je nach Lesart, bereits vergangen oder unmittelbar bevorstehend, die Hauptpflichten des CRA kommen Ende 2027, der künftige CEMAC-Text durchläuft noch sein Verabschiedungsverfahren. Dann der Wirkungsgrad: eine Maßnahme, die drei Texten dient, ist bei gleichem Aufwand dreimal so viel wert wie eine Maßnahme, die nur einem dient.

Die Kombination ergibt eine natürliche Reihenfolge. An erster Stelle die Basisfähigkeiten mit hohem Wirkungsgrad: das Inventar der KI-Systeme und Softwareprodukte, die Risiko-Governance, das Vorfallmanagement. Danach die fristspezifischen Deltas: die Transparenzkennzeichnung nach Artikel 50 für KI, die Produktanforderungen des CRA, die aufsichtsrechtlichen Anpassungen, sobald der CEMAC-Text veröffentlicht ist. Am Ende, was gefahrlos warten kann, entsprechend dokumentiert.

Diese Reihenfolge hat einen ebenso politischen wie technischen Wert: Sie gibt der Geschäftsführung eine einzige Budgetentscheidung, eine einzige Trajektorie, statt dreier konkurrierender Anträge, von denen jeder für sich beansprucht, Priorität zu haben.

So gesteuert, ändert der Stapel seinen Charakter. Die Basisanalyse wird zu einem wiederverwendbaren Aktivposten: Wenn der nächste Text kommt, und er wird kommen, fängt die Organisation nicht bei null an, sondern misst nur das Delta. Die Auswertungen lassen sich aus derselben Datenbasis je Adressat ableiten: die AI-Act-Sicht für die zuständige Aufsichtsbehörde, die CRA-Sicht für Einkäufer, die sie anfordern werden, die aufsichtsrechtliche Sicht für die Bankenaufsicht, die konsolidierte Sicht für die Geschäftsleitung.

Und die wiederholte Messung über die Zeit verwandelt Compliance in eine Trajektorie: Man sagt nicht mehr „wir sind konform“, eine unüberprüfbare und vergängliche Behauptung, sondern „hier ist unser Reifegrad, seine Entwicklung und unser Plan“, ein datierter und belastbarer Nachweis.

Der Regulatorik-Stapel ist eine Realität, die nicht abnehmen wird; die Zersplitterung der Antworten darauf ist dagegen eine Entscheidung. Organisationen, die sich für das Gegenteil entscheiden, eine gemessene Basis, referenzrahmenspezifische Sichten, ein einziger priorisierter Plan, bekommen nicht weniger Texte vorgelegt als andere. Sie bewältigen sie nur besser, und günstiger.