EU-Aktionsplan für Cybersicherheit und KI: Kommission koordiniert Abwehr ohne neue Gesetze

Die Europäische Kommission hat heute, am 7. Juli 2026, den Aktionsplan für Cybersicherheit und Künstliche Intelligenz veröffentlicht — ein Dokument, das erstmals unter einem strategischen Dach die doppelte Rolle der KI in der digitalen Sicherheit adressiert: als Angriffsvektor und als Abwehrwerkzeug. Neben dem vollständigen Text des Aktionsplans wurde auch ein begleitendes Factsheet mit einem Überblick der wichtigsten Maßnahmen veröffentlicht.

Die doppelte Herausforderung: KI als Waffe und als Abwehrwerkzeug

Die zentrale Prämisse des Aktionsplans lautet, dass dieselben fortschrittlichen KI-Modelle, die die Cyberabwehr stärken können, gleichzeitig die Art der Bedrohungen verändern, mit denen sich diese Abwehr konfrontiert sieht.

Konkret adressiert der Plan drei Arten, wie KI als Angriffsmittel missbraucht werden kann:

Automatisiertes Auffinden von Schwachstellen — KI kann Software-Systeme und Netzinfrastrukturen viel schneller als manuelle Methoden scannen und ausnutzbare Schwächen in einem Ausmaß identifizieren, das ohne Automatisierung nicht möglich war.

Skalierung von Angriffen — Mit KI-Unterstützung können Angreifer mit denselben Ressourcen gleichzeitig eine viel größere Anzahl von Opfern angreifen, was die Ökonomie der Cyberkriminalität zugunsten der Angreifer verschiebt.

Beschleunigung der Angriffsreaktion — Das Zeitfenster zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung verkürzt sich, wodurch Abwehrteams weniger Zeit zur Reaktion bleibt.

Auf der anderen Seite eröffnet KI auch erhebliche Verteidigungsmöglichkeiten: automatische Netzwerkanomalierkennung, prädiktive Schwachstellenidentifikation vor der Ausnutzung und schnellere Orchestrierung von Vorfallreaktionen. Das Ziel des Aktionsplans ist es, das Abwehrpotenzial zu nutzen und gleichzeitig das Angriffspotenzial einzuschränken.

Warum ist dieser Plan gerade jetzt notwendig?

Exekutivvizepräsidentin der Europäischen Kommission Henna Virkkunen, zuständig für Tech Sovereignty, Security and Democracy, betonte die Dringlichkeit der Lage direkt: „KI verändert die Bedeutung von Cybersicherheit. Und wir müssen Schritt halten.”

Virkkunen hat in ihrer kurzen Amtszeit mehrere Initiativen gestartet, die auf die Reduzierung der technologischen Abhängigkeit der EU von nicht-europäischen Anbietern abzielen. Ihre direkte Beteiligung an diesem Plan ist ein Signal, dass die Kommission die Cybersicherheit der KI nicht nur als regulatorische, sondern auch als strategische Priorität der digitalen Souveränität Europas behandelt.

Der Kontext ist wichtig: In den Jahren 2025 und 2026 wurden mehrere Cyberangriffe auf europäische kritische Infrastrukturen verzeichnet, bei denen Angreifer KI-Tools zur Beschleunigung der Aufklärungsphase und zur Entwicklung maßgeschneiderter Exploits einsetzten. Der Plan ist daher keine Reaktion auf theoretische Szenarien, sondern auf konkrete Bedrohungen, die bereits eingetreten sind.

Koordinierung über den bestehenden EU-Rechtsrahmen

Die zentrale strategische Entscheidung des Plans ist, dass die Kommission keine neuen Gesetzgebungsmechanismen einführt, sondern auf der EU-Regulierung aufbaut, die sie in den vergangenen Jahren entwickelt hat:

AI Act — regelt Hochrisiko-KI-Systeme, einschließlich solcher, die in kritischer Infrastruktur eingesetzt werden; der Plan klärt die Anwendung bestehender Anforderungen auf Cyber-Szenarien.

NIS2-Richtlinie — erweitert die Cybersicherheitspflichten auf einen breiteren Kreis von Betreibern wesentlicher und wichtiger Dienste; der Plan koordiniert die Umsetzung mit KI-spezifischen Bedrohungen im Blick.

Cyber Solidarity Act — stärkt die Kapazitäten zur Erkennung und koordinierten Reaktion auf Cyberangriffe auf EU-Ebene; der Plan nutzt ihn als operative Grundlage für schnelle Reaktionen auf KI-gesteuerte Vorfälle.

Dieser Ansatz ist eine bewusste Entscheidung: Neue Gesetze erfordern Jahre des Gesetzgebungsverfahrens und nationaler Umsetzungen, während die Dringlichkeit von KI-Cyberbedrohungen ein schnelleres Handeln innerhalb bereits etablierter Mechanismen erfordert.

Drei Koordinationssäulen: Staaten, Industrie und EU-Agenturen

Der Plan identifiziert drei Gruppen von Akteuren, deren Koordinierung unter einem einheitlichen strategischen Rahmen erreicht werden muss:

Mitgliedstaaten — alle 27 EU-Länder entwickeln eigene Kapazitäten für Cybersicherheit, aber das Reifegrad- und Ressourcenniveau variiert erheblich. Der Plan sieht Mechanismen für den strukturierten Austausch von Informationen über KI-bezogene Bedrohungen und verifizierten Abwehrpraktiken zwischen nationalen Behörden vor.

Industrie — Technologieunternehmen, insbesondere KI-Modell-Entwickler und Betreiber kritischer Infrastrukturen, sind wichtige Partner, da sie den schnellsten Einblick in neue KI-Angriffstechniken haben und das direkteste Interesse an Abwehrlösungen.

EU-Agenturen — ENISA (EU-Agentur für Cybersicherheit) spielt eine zentrale Rolle bei der Bedrohungsanalyse und Reaktionskoordinierung; der Plan sieht eine verstärkte operative Rolle der ENISA für KI-spezifische Cyberrisiken vor.

Dokumente und nächste Schritte

Die Kommission hat neben der Pressemitteilung vom 7. Juli zwei Dokumente veröffentlicht: den vollständigen Text des Aktionsplans und ein Factsheet mit einer Übersicht der Maßnahmen für die breite Öffentlichkeit. Beide sind auf digital-strategy.ec.europa.eu verfügbar.

Im Gegensatz zu Richtlinien und Verordnungen, die ein komplexes Gesetzgebungsverfahren durchlaufen, ist ein Aktionsplan ein Politikinstrument, das die Kommission direkt umsetzen kann — durch Mittelverteilung, Koordinierungsmechanismen und operative Leitlinien für EU-Agenturen. Das macht ihn zu einem Instrument mit kurzer Zeit von der Verabschiedung bis zur Anwendung.

Die EU hat mit diesem Plan einen Schritt unternommen, den viele Regierungen weltweit noch erwägen: die explizite Einordnung von KI und Cybersicherheit unter dasselbe strategische Dach, mit klarem Eingeständnis, dass Bedrohung und Abwehr im KI-Zeitalter untrennbar miteinander verflochten sind und keine ohne gleichzeitige Behandlung der anderen adressiert werden kann.