Pexon Consulting | 8 Min. Lesezeit | 16.07.2026
TL;DR
NIS-2 macht die Lieferkette zur Chefsache. Cloud-LLMs verarbeiten Prompts, Anhänge und RAG-Kontext außerhalb Ihrer Kontrolle und werden so zum Datenabfluss-Kanal. On-Premise-Modelle schneiden diesen Kanal ab. Pexon (80 Mitarbeitende, Microsoft Partner) zeigt, wann Cloud reicht und wann souveränes Hosting die sauberere Compliance-Antwort ist.
Kurz gesagt: Cloud-LLM ist nicht verboten, aber für bestimmte Datenklassen erzeugt es einen Kanal, den Sie unter NIS-2 begründen, absichern und melden können müssen. On-Premise entfernt die Frage.
Das Problem: Wo der Datenabfluss bei Cloud-LLMs konkret entsteht
Der Reflex vieler IT-Leiter lautet: „Wir haben ja einen AVV mit dem Anbieter, damit ist die KI abgesichert.“ Das greift zu kurz. Der Datenabfluss bei einem Cloud-LLM passiert nicht in einem großen, sichtbaren Export. Er passiert in vier unscheinbaren Kanälen, die im Alltag zusammenlaufen.
Erstens der Prompt selbst. Sobald eine Sachbearbeiterin einen Vertragsentwurf, eine Störungsmeldung oder einen Kundennamen in das Eingabefeld tippt, verlässt dieser Text Ihren Perimeter. Zweitens die Anhänge: PDF-Verträge, Angebotskalkulationen, Netzpläne, die zur Zusammenfassung hochgeladen werden. Drittens der RAG-Kontext. Wer ein LLM mit internen Dokumenten koppelt, schickt bei jeder Anfrage relevante Passagen aus der Wissensdatenbank mit. Genau die Dokumente also, die Sie eigentlich schützen wollten. Viertens die Logs: Prompt-Historien, die beim Anbieter für Debugging oder Missbrauchserkennung zwischengespeichert werden, teils an Standorten und mit Aufbewahrungsfristen, die Sie nicht kontrollieren.
Das ist kein theoretisches Risiko. Aktuelle Erhebungen für 2025 und 2026 zeigen, dass rund 77 Prozent der Beschäftigten Daten in GenAI-Prompts einfügen und der Anteil sensibler Inhalte daran von 10,7 auf 34,8 Prozent gestiegen ist. Ein guter Teil davon läuft über private Accounts ohne jede Unternehmenskontrolle. Shadow AI ist damit kein Randphänomen, sondern der wahrscheinlichste Weg, auf dem regulierte Daten Ihr Haus verlassen.
Was NIS-2 konkret verlangt
Seit dem 6. Dezember 2025 ist das NIS2UmsuCG in Deutschland verkündet und in Kraft, ohne Übergangsfrist. Betroffen sind nach Schätzung des BSI rund 29.500 Unternehmen in 18 Sektoren. Die Registrierungsfrist beim BSI lief am 6. März 2026 ab. Wenn Sie noch nicht registriert sind, ist das der erste Punkt auf Ihrer Liste, nicht der letzte.
Vier Pflichten sind für die KI-Frage direkt relevant. Sie müssen ein Risikomanagement betreiben, das alle wesentlichen Verarbeitungswege abdeckt, KI-Tools eingeschlossen. Sie müssen die Sicherheit Ihrer Lieferkette bewerten und steuern, und ein Cloud-LLM-Anbieter ist Teil dieser Kette. Sie unterliegen gestaffelten Meldepflichten: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Und die Geschäftsleitung haftet persönlich. Nach dem Umsetzungsgesetz kann die Leitung für Verletzungen ihrer Aufsichtspflicht mit dem Privatvermögen einstehen, und diese Haftung lässt sich vertraglich nicht abwälzen.
Der Bußgeldrahmen unterstreicht den Ernst: Für besonders wichtige Einrichtungen sind bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vorgesehen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Grenze bei 7 Millionen Euro beziehungsweise 1,4 Prozent. Das ist kein Wert, den ein CISO an einem intransparenten KI-Kanal hängen lassen möchte.
Cloud-LLM als Glied der Lieferkette
Der entscheidende gedankliche Schritt: Ein Cloud-LLM ist unter NIS-2 kein Feature, sondern ein Dienstleister in Ihrer Lieferkette. Damit wandert es aus der Werkzeugkiste in den Bereich, für den Sie Nachweise erbringen. Sie müssen begründen, welche Datenklassen dort verarbeitet werden, wie der Anbieter abgesichert ist, welche Sub-Prozessoren dahinterstehen und wie ein Sicherheitsvorfall bei ihm in Ihre Meldekette gespeist wird.
Die folgende Tabelle übersetzt die abstrakte Anforderung in die konkrete Lücke und die On-Prem-Antwort.
Der Punkt ist nicht, dass Cloud-Anbieter unseriös wären. Der Punkt ist, dass Sie unter NIS-2 die Beweislast tragen und ein externer Kanal Ihre Nachweiskette immer komplizierter macht als ein interner.
Wann On-Premise die sauberere Antwort ist
Wir sagen bewusst nicht „immer“. On-Premise oder souverän gehostete Open-Weight-Modelle sind dann die klar bessere Wahl, wenn die verarbeiteten Daten in eine schützenswerte Klasse fallen und der Abflusskanal andernfalls dauerhaft offen bliebe.
Das gilt typischerweise für vertragliche und personenbezogene Kernbestände, für technische Betriebsdaten kritischer Infrastruktur, für Quellcode mit Geschäftsgeheimnis-Charakter und für alles, was Sie im Ernstfall einem Auditor als „hat unser Netz nie verlassen“ belegen möchten. Ein moderat großes Open-Weight-Modell auf eigener oder gemieteter GPU-Infrastruktur in Deutschland leistet für Zusammenfassung, Extraktion, Klassifikation und internen RAG heute mehr als genug. Die Qualitätslücke zu den größten Cloud-Modellen ist für diese Aufgaben schmal geworden, das Compliance-Delta bleibt groß.
Wie eine solche souveräne Architektur im regulierten Umfeld konkret aussieht, haben wir am Beispiel einer BaFin- und BSI-nahen Umgebung im Beitrag Sovereign RAG: Architektur-Pattern für BaFin und BSI beschrieben. Der Kerngedanke: Retrieval, Inferenz und Logging bleiben in einem Perimeter, den Sie technisch und organisatorisch selbst kontrollieren.
Was Cloud-LLM absichert (und was nicht)
Ehrlichkeit gehört zur Beratung: Cloud-LLM ist nicht per se ein Compliance-Bruch. Mit einer EU-Data-Boundary, einem sauberen Auftragsverarbeitungsvertrag, garantiertem Verarbeitungsstandort in einer EU-Region und einem vertraglich ausgeschlossenen Trainings-Zugriff lässt sich ein erheblicher Teil des Risikos absichern. Für viele Anwendungsfälle mit geringer Datensensibilität ist das der pragmatische und richtige Weg.
Was diese Maßnahmen nicht leisten: Sie machen den Kanal nicht zu Ihrem eigenen. Sie bleiben von der Transparenz, den Log-Praktiken und der Meldegeschwindigkeit eines Dritten abhängig, und Sie müssen diese Abhängigkeit laufend dokumentieren und überwachen. Die regulatorische Einordnung dieser Restrisiken, gerade im Zusammenspiel mit dem EU AI Act, gehört auf denselben Tisch wie die NIS-2-Bewertung. Wie beide Regelwerke ineinandergreifen, ordnen wir im EU AI Act Compliance Framework ein.
Die Entscheidung ist also keine Glaubensfrage, sondern eine Klassifizierungsfrage. Sie sortieren Ihre Datenklassen, ordnen jeder Klasse einen Verarbeitungsweg zu und begründen die Zuordnung. Für die unteren Klassen reicht die abgesicherte Cloud. Für die oberen gewinnt On-Premise, weil es die Nachweiskette verkürzt statt verlängert.
Häufig gestellte Fragen
Ist die Nutzung von Cloud-LLMs unter NIS-2 verboten?
Nein. NIS-2 verbietet kein konkretes Werkzeug. Es verlangt, dass Sie das Risiko jedes Verarbeitungswegs bewerten, absichern und im Vorfall melden können. Für sensible Datenklassen ist dieser Nachweis mit einem externen Cloud-Kanal aufwendiger als mit einer internen Lösung.
Was kostet der Umstieg auf ein On-Premise-LLM?
Das hängt an Modellgröße und Last. Für interne Zusammenfassung, Extraktion und RAG reicht oft eine einzelne oder gemietete GPU-Instanz in Deutschland, die im niedrigen bis mittleren vierstelligen Bereich pro Monat liegt. Der größere Aufwand steckt meist nicht in der Hardware, sondern in Datenklassifizierung, Anbindung und Logging. Genau das bewerten wir im Readiness-Assessment vorab.
Haftet die Geschäftsleitung wirklich persönlich?
Ja. Das deutsche Umsetzungsgesetz sieht eine persönliche Haftung der Leitung für Verletzungen der Aufsichtspflicht vor, die sich vertraglich nicht ausschließen lässt. Deshalb ist ein sauber dokumentierter Nachweis, wie KI-Datenflüsse kontrolliert werden, kein IT-Detail, sondern Vorstandsthema.
Reicht ein AVV mit dem Cloud-Anbieter aus?
Ein Auftragsverarbeitungsvertrag ist notwendig, aber allein nicht ausreichend. Er regelt die Rollen, nicht die technische Kontrolle über Log-Praktiken, Sub-Prozessoren und Meldegeschwindigkeit. Unter der Lieferketten-Sorgfalt von NIS-2 müssen Sie diese Punkte aktiv bewerten und überwachen.
Wie schnell lässt sich eine souveräne Variante produktiv setzen?
Ein Prototyp für einen abgegrenzten Anwendungsfall steht in wenigen Wochen. Der Sprung zum NIS-2-konformen Produktivbetrieb braucht länger, weil Datenklassifizierung, Audit-Logging und Meldeketten dazugehören. Wir empfehlen, klein und mit einer klar umrissenen Datenklasse zu starten.
Nächster Schritt
Verwandte Themen
Wenn Sie die Datenschutz-Perspektive vertiefen wollen, vergleicht unser Beitrag DSGVO-Architektur: ChatGPT, Azure OpenAI und Self-Hosted im Vergleich die drei Betriebsmodelle entlang der konkreten Datenflüsse und zeigt, welches Modell für welche Datenklasse trägt.
