Vergleich

Cyberresilienz-Verordnung und KI-Verordnung: Was gilt für Ihr Produkt?

Geprüft im August 2026 anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.

Kurz gesagt: Ein Hochrisiko-KI-System nach der KI-Verordnung ist von der Cyberresilienz-Verordnung nicht ausgenommen. Beide gelten, und die Maschine von Cybiq gibt für diese Kombination „Prüfung erforderlich“ zurück, weil die beiden Konformitätsbewertungen zusammenwirken und sich nicht doppeln sollen.

Was jede von beiden regelt

Die Cyberresilienz-Verordnung gilt für ein Produkt mit digitalen Elementen, das auf dem Markt bereitgestellt wird und eine Datenverbindung zu einem Gerät oder Netz einschließt, und sie nennt die Verordnung (EU) 2024/1689 unmittelbar, wenn sie das Zusammenspiel mit der KI-Verordnung bei Hochrisiko-KI-Systemen regelt.

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

„Verordnung (EU) 2024/1689“

Die Verordnung (EU) 2024/1689 (KI-Verordnung) stuft bestimmte KI-Systeme nach ihrem bestimmungsgemäßen Zweck als „hochriskant“ ein, etwa KI in der Personalauswahl, bei der Kreditwürdigkeitsprüfung oder als Sicherheitsbauteil eines geregelten Produkts, und legt den Anbietern dieser Systeme eigene Pflichten zu Risikomanagement, Daten-Governance, technischer Dokumentation und menschlicher Aufsicht auf, dazu eine eigene Cybersicherheitsanforderung in ihrem Artikel 15. Vollständiger Wortlaut: Verordnung (EU) 2024/1689, ABl. L vom 12.7.2024 (KI-Verordnung).

Überschneiden sie sich, und welche geht vor

Die Cyberresilienz-Verordnung nennt eine kurze, abschließende Liste anderer Rechtsakte der Union, die ihr für bestimmte Produktkategorien vorgehen: Medizinprodukte, In-vitro-Diagnostika, luftfahrtzertifizierte Ausrüstung, Schiffsausrüstung und die Typgenehmigung von Kraftfahrzeugen.

„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“

Ein Hochrisiko-KI-System steht nicht auf dieser Liste: Die Cyberresilienz-Verordnung nimmt es nicht so aus dem Anwendungsbereich heraus, wie sie Medizinprodukte, luftfahrtzertifizierte Ausrüstung oder Kraftfahrzeuge herausnimmt. Stattdessen sind die beiden Regelwerke auf ein Ineinandergreifen angelegt, und Artikel 12 Absatz 1 baut dieses Ineinandergreifen als dreiteilige Prüfung auf, unbeschadet der Anforderungen der KI-Verordnung an Genauigkeit und Robustheit, die die Cyberresilienz-Verordnung nicht berührt. Ein Hochrisiko-KI-System gilt nur dann als konform mit der Cybersicherheitsanforderung der KI-Verordnung (deren Artikel 15), wenn alle drei folgenden Punkte zutreffen:

• das Produkt erfüllt die grundlegenden Cybersicherheitsanforderungen nach Anhang I Teil I;
• die vom Hersteller festgelegten Verfahren entsprechen den grundlegenden Cybersicherheitsanforderungen nach Anhang I Teil II; und
• die nach der Cyberresilienz-Verordnung ausgestellte EU-Konformitätserklärung weist nach, dass das von der KI-Verordnung geforderte Cybersicherheitsniveau tatsächlich erreicht wurde.

„als mit den Cybersicherheitsanforderungen gemäß Artikel 15 der genannten Verordnung konform“

„Unbeschadet der Anforderungen in Bezug auf Genauigkeit und Robustheit gemäß Artikel 15 der Verordnung (EU) 2024/1689 gelten Produkte mit digitalen Elementen, die in den Anwendungsbereich der vorliegenden Verordnung fallen und die gemäß Artikel 6 der genannten Verordnung als Hochrisiko-KI-Systeme eingestuft werden, als mit den Cybersicherheitsanforderungen gemäß Artikel 15 der genannten Verordnung konform, wenn a) diese Produkte die grundlegenden Cybersicherheitsanforderungen gemäß Anhang I Teil I erfüllen; b) die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II entsprechen, und c) die Verwirklichung des gemäß Artikel 15 der Verordnung (EU) 2024/1689 erforderlichen Cybersicherheitsniveaus in der gemäß dieser Verordnung ausgestellten EU-Konformitätserklärung nachgewiesen wird.“

Bedingung a) allein genügt nicht: Alle drei Bedingungen müssen zutreffen, einschließlich der Konformitätserklärung, die das geforderte Schutzniveau tatsächlich nachweist, nicht nur die zugrunde liegende Erfüllung von Anhang I.

Geben Sie diese Kombination in den Fragebogen von Cybiq ein, erhalten Sie needs_review und kein abschließendes Ergebnis zum Anwendungsbereich: Die Verordnung stimmt die beiden Konformitätsbewertungen aufeinander ab, klärt aber nicht jede Einzelheit selbst, und diese Abstimmung für ein konkretes Produkt richtig hinzubekommen ist Sache einer Fachkraft, nicht einer automatisierten Prüfung. Das ist ein bewusster Unterschied zu den sieben Ausnahmefällen oben: Diese ergeben „Prüfung erforderlich“, weil ein anderes Regelwerk statt der Cyberresilienz-Verordnung das Produkt beherrscht, während die Regel zum Zusammenspiel mit der KI-Verordnung „Prüfung erforderlich“ ergibt, weil beide Regelwerke das Produkt gemeinsam beherrschen und die Abstimmung für Ihren Fall noch erarbeitet werden muss.

Was das in der Praxis bedeutet

• Ist Ihr Produkt mit digitalen Elementen zugleich ein Hochrisiko-KI-System, dürfen Sie die Cyberresilienz-Verordnung nicht überspringen; die beiden gelten gemeinsam.
• Die grundlegenden Cybersicherheitsanforderungen der Cyberresilienz-Verordnung zu erfüllen ist notwendig, für sich genommen aber nicht ausreichend: Ihre EU-Konformitätserklärung muss außerdem das Schutzniveau nachweisen, das Artikel 15 der KI-Verordnung verlangt, bevor der Weg über die vermutete Konformität nach Artikel 12 Absatz 1 greift. Planen Sie deshalb eine abgestimmte technische Dokumentation statt zweier getrennter.
• Bearbeiten Sie die Einstufungsfragen der Cyberresilienz-Verordnung und der KI-Verordnung früh nebeneinander: Sie prüfen Verschiedenes, nämlich die Cybersicherheit des Produkts gegenüber der KI-Risikoklasse, und können zu verschiedenen Konformitätsbewertungsverfahren und verschiedenen notifizierten Stellen führen.
• Planen Sie die Fristen beider Regelwerke ein; eine Frist einzuhalten entschuldigt die andere nicht.
• Die Prüfung von Cybiq ergibt für diese Kombination „Prüfung erforderlich“ und kein abschließendes Ergebnis; lassen Sie die abgestimmte Bewertung für Ihr konkretes Produkt von einer Fachkraft bestätigen.

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Ihr Produkt die KI-Verordnung oder ein anderes Regelwerk einhält, wird hier nicht bewertet. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine verbindliche Bewertung wenden Sie sich an eine qualifizierte Fachkraft.