NIS-2 und EU AI Act: Was L&D 2027 leisten muss

Zwei Regelwerke landen gerade gleichzeitig auf den Schreibtischen von L&D-Teams. NIS-2 ist in Deutschland seit dem 6. Dezember 2025 in Kraft. Und Artikel 4 des EU AI Act, die Pflicht zur KI-Kompetenz, gilt bereits seit Februar 2025. Beide haben mit Schulung zu tun, beide werfen Fragen auf, die L&D allein nicht beantworten kann.

Vorweg eine Abgrenzung, die uns wichtig ist: Wer genau verpflichtet ist und wer wofür haftet, hängt vom einzelnen Unternehmen ab. Das ist eine Frage für Ihre Rechtsabteilung, nicht für einen Blogbeitrag. Was sich unabhängig davon sagen lässt, ist, was diese Regelwerke für die Arbeit von L&D praktisch bedeuten.

Das Symptom: Schulungen, die zu langsam sind

In vielen Unternehmen sieht die Ausgangslage so aus: Es gibt eine jährliche Unterweisung zur Informationssicherheit, entstanden vor einigen Jahren, seitdem leicht angepasst. Zu KI gibt es eine Richtlinie, vielleicht ein Webinar. Und irgendwo liegt eine Liste, wer was wann absolviert hat.

Das Problem ist weniger der Inhalt als das Tempo. Regelwerke, Bedrohungslagen und KI-Werkzeuge ändern sich schneller als der Produktionszyklus klassischer Schulungen. Die Studie von Masterplan und Amadeus Fire zeigt die Lücke deutlich: 55 Prozent der Unternehmen im DACH-Raum sehen KI als Top-Thema, aber nur 35 Prozent bieten Schulungen dazu an (2025).

Drei Ursachen

Die erste Ursache ist die Produktion. Wenn eine Änderung an einer Schulung Wochen dauert, wird sie aufgeschoben, bis die nächste große Überarbeitung ansteht.

Die zweite ist die Zielgruppe. Eine Unterweisung für alle ist einfach zu verwalten, aber sie passt für niemanden richtig. Wer täglich mit Kundendaten arbeitet, braucht andere Beispiele als die Produktion, und wer KI-Werkzeuge für Texte nutzt, andere Regeln als jemand, der Modelle in Prozesse einbaut.

Die dritte ist der Nachweis. Viele Unternehmen können sagen, dass eine Schulung existiert. Weniger können sagen, wer welche Fassung wann absolviert hat. Genau diese Frage wird aber gestellt, wenn etwas schiefgeht.

Das Instrument: eine Inventur in drei Spalten

Bevor Sie neue Schulungen produzieren, lohnt eine einfache Bestandsaufnahme. Sie braucht keine Software, eine Tabelle reicht.

• Thema: Welche Inhalte zu Informationssicherheit und KI-Nutzung gibt es heute, und von wann ist die aktuelle Fassung?
• Zielgruppe: Für wen ist jede Schulung gedacht, und gibt es Gruppen, für die gar nichts existiert?
• Nachweis: Können Sie für jede Person zeigen, welche Fassung sie wann abgeschlossen hat?

Die Tabelle ist in einem Nachmittag gefüllt. Was sie zeigt, ist meistens unangenehm, aber konkret: veraltete Fassungen, Gruppen ohne Schulung, Lücken im Nachweis. Diese Liste nehmen Sie mit ins Gespräch mit Ihrer Rechtsabteilung und Ihrem Informationssicherheitsbeauftragten, die dann entscheiden, was davon verpflichtend ist.

Was L&D bis 2027 können sollte

Aus der Inventur ergeben sich drei Fähigkeiten, die ein L&D-Team in den nächsten Monaten aufbauen sollte. Schulungen müssen sich in Tagen statt Wochen ändern lassen, damit eine neue Vorgabe nicht auf den nächsten Jahreszyklus wartet. Sie müssen in Varianten für verschiedene Zielgruppen und Sprachen entstehen können, ohne dass jede Variante ein eigenes Projekt wird. Und jeder Abschluss muss mit Fassung und Datum im LMS landen, was in der Regel über SCORM funktioniert, wie im Beitrag SCORM erklärt beschrieben.

Mit KI-gestützter Produktion sinkt der Aufwand je Trainingsstunde typischerweise um bis zu 80 Prozent, Vertonung und Untertitel gibt es in mehr als 140 Sprachen. Wie das technisch funktioniert, steht im Beitrag zu Lernvideos mit KI.

Eine offene Frage bleibt, und wir wollen sie nicht wegdefinieren: Was genau „ausreichende KI-Kompetenz“ im Sinne von Artikel 4 bedeutet, ist bislang nicht abschließend geklärt. Wer heute schult, schult auf ein Ziel, das sich noch schärfen wird. Umso wichtiger ist es, Inhalte schnell nachziehen zu können.