Das Gesundheitsamt des Kreises Nordfriesland ist für die gesundheitliche Versorgung und den Schutz der Bevölkerung zuständig: vom Infektionsschutz über den Kinder- und Jugendgesundheitsdienst bis zur Hygiene- und Trinkwasserüberwachung. Digitalisierung, IT-Sicherheit, Datenschutz und KI verändern diese Arbeit spürbar. Es fehlte ein Format, das die digitale Transformation praxisnah vermittelt und die Mitarbeiter aktiv in den Wandel einbindet.
Ziel des Projekts war es, den digitalen Reifegrad im Gesundheitsamt zu steigern und eine tragfähige Grundlage für den weiteren Transformationsprozess zu schaffen. Die Mitarbeiter sollten digitale Kompetenzen für ihren Arbeitsalltag aufbauen und für IT-Sicherheit und Datenschutz sensibilisiert werden. Darüber hinaus wollte der Kreis Nordfriesland die Akzeptanz und Veränderungsbereitschaft in der Organisation stärken und die Mitarbeiter aktiv in den digitalen Wandel einbinden.
Um Digitalisierung erlebbar zu machen und Mitarbeiter aller Bereiche einzubinden, setzte man auf ein
interaktives Veranstaltungsformat anstatt klassischer Schulungen. Consileon begleitete das Projekt „DigiTag“ in vier Schritten: Analyse: Ermittlung der Bedarfe durch Interviews, Umfragen und Workshops.
Konzeption: Entwicklung eines maßgeschneiderten, praxisnahen Veranstaltungskonzepts. Umsetzung: Durchführung des DigiTags mit Vorträgen, interaktiven Formaten und Sessions zu digitalen Verwaltungslösungen. Aktivierung: Handouts, Poster und Giveaways zur Steigerung von Sichtbarkeit, Beteiligung und Austausch.
Der DigiTag führte zur nachhaltigen Stärkung der digitalen Kompetenzen von rund 170 Mitarbeitern aus allen Organisationseinheiten. Die Teilnehmer erhielten praxisnahe Einblicke in die KI-gestützte Dokumentenprüfung, Fachanwendungen und digitale Verwaltungsdienste. Gleichzeitig wurde das Bewusstsein für IT-Sicherheit und Datenschutz geschärft. Die vermittelten Inhalte lieferten konkrete Impulse, die sich direkt in den Arbeitsalltag übertragen lassen, z. B. die effiziente Nutzung von Videokonferenzen, Arbeit mit wiederkehrenden Textbausteinen oder die Sensibilisierung für Phishing und unsichere Datenverarbeitung. So stärkte der DigiTag die Akzeptanz für digitale Veränderungen im Gesundheitsamt.
Drei Faktoren waren für den Projekterfolg entscheidend: Der partizipative Ansatz band die Mitarbeiter frühzeitig ein und machte sie zu Mitgestaltern des digitalen Wandels. Die Praxisnähe sorgte dafür, dass die Inhalte greifbar waren und sich direkt auf den Arbeitsalltag übertragen ließen. Die methodische Kompetenz und Erfahrung im Change Management gaben dem Projekt Struktur, von der Analyse bis zur Aktivierung.
Die im Projekt entwickelten Inhalte und Formate bilden eine belastbare Grundlage, um begonnene Maßnahmen wie Schulungen zu digitalen Themen oder den Ausbau von Austauschformaten zwischen den Fachbereichen gezielt weiterzuführen und auszubauen. Die Impulse zu digitalen Kompetenzen, IT-Sicherheit und KI-Anwendungen will das Gesundheitsamt nun vertiefen und fest in den Arbeitsalltag integrieren. Ergänzende Workshop- und Austauschformate sollen die Digitalisierung Schritt für Schritt in der Organisation verankern.
Am 24. September 2026 bringt die TECHNO EXPO in Hamburg Entscheider aus Autohäusern und der Automobilbranche zusammen. Im Fokus stehen praxisnahe Lösungen, mit denen Autohäuser ihre Prozesse effizienter gestalten und ihre Wirtschaftlichkeit steigern können.
Der Automobilhandel steht unter wachsendem Ertragsdruck. Mit dem Agenturmodell verlagert sich die Preishoheit im Neuwagengeschäft zunehmend zum Hersteller. Dadurch gewinnen Service, After-Sales und der Gebrauchtwagenhandel an Bedeutung. Gleichzeitig binden manuelle Prozesse wertvolle Kapazitäten und mit ausscheidenden Mitarbeitern geht häufig wertvolles, nicht dokumentiertes Wissen verloren.
Auf der TECHNO EXPO zeigt Consileon praxisnahe KI-Lösungen für Autohäuser. Im Fokus stehen KI-gestütztes Wissensmanagement, Kundenservice, die professionelle Präsentation von Gebrauchtwagen sowie die Qualifizierung von Mitarbeitern im sicheren Umgang mit KI.
Wenn erfahrene Mitarbeiter das Autohaus verlassen, geht häufig wertvolles Fach- und Erfahrungswissen verloren. Besonders kritisch ist Wissen, das nicht dokumentiert ist, sondern ausschließlich in den Köpfen einzelner Mitarbeiter steckt.
Mit einem KI-gestützten Wissensmanagement lässt sich dieses Know-how strukturiert erfassen und langfristig nutzbar machen. Erfahrene Mitarbeiter werden interviewt und ihre Antworten in geordnete, durchsuchbare und wiederverwendbare Wissensbestände überführt. Eine ergänzende Analyse zeigt, an welchen Personen besonders kritisches Wissen hängt. So können Autohäuser frühzeitig gegensteuern, neue Mitarbeiter schneller einarbeiten und ihre Abhängigkeit von einzelnen Wissensträgern reduzieren.
Telefonische Terminvereinbarungen, Fragen zu Rechnungen oder zur Ersatzteilverfügbarkeit gehören zum täglichen Servicegeschäft und binden wertvolle Kapazitäten.
KI-Sprachassistenten können wiederkehrende Serviceanfragen automatisiert bearbeiten, Termine vergeben und häufige Fragen rund um die Uhr in mehreren Sprachen beantworten. Ergänzend automatisieren KI-Agenten wiederkehrende Aufgaben in Service, Verwaltung und Kundenkommunikation. Sie lassen sich in bestehende Systeme integrieren, entlasten die Mitarbeiter und verkürzen die Reaktionszeiten für Kunden.
Im Gebrauchtwagenhandel entscheidet der erste visuelle Eindruck über das Interesse potenzieller Käufer. Uneinheitliche Fahrzeugbilder wirken auf Verkaufsplattformen und der eigenen Website oft unprofessionell.
Mit KI lassen sich Fahrzeuge automatisch freistellen und vor einer einheitlichen, markengerechten Kulisse präsentieren. Licht und Farben werden optimiert, sodass mit wenigen Klicks hochwertige Fahrzeugbilder entstehen. Das beschleunigt die Online-Vermarktung und sorgt für einen professionellen Auftritt.
Der KI-Führerschein ist ein praxisorientiertes Training, das Mitarbeiter für den sicheren und produktiven Einsatz von KI im Arbeitsalltag qualifiziert. Die Teilnehmer lernen den Umgang mit aktuellen KI-Tools und erhalten einen Überblick über typische Einsatzmöglichkeiten in Service, Verwaltung und weiteren Unternehmensbereichen. Praxisnahe Übungen erleichtern den Einstieg und fördern die sichere Anwendung im Arbeitsalltag.
Consileon ist am 24. September 2026 als Partner und Aussteller auf der TECHNO EXPO in Hamburg vor Ort. Sprechen Sie mit uns und erfahren Sie, wie KI-Wissensmanagement, automatisierte Serviceprozesse und KI-gestützte Bildbearbeitung konkret in Ihrem Autohaus eingesetzt werden können. Vereinbaren Sie schon heute einen Termin am Messestand – Wir freuen uns auf den persönlichen Austausch mit Ihnen in Hamburg.
TECHNO ist Deutschlands größtes unabhängiges Netzwerk markengebundener Autohäuser. Die Kooperation verbindet rund 160 Gesellschafter mit mehr als 2.000 Standorten und unterstützt sie mit gemeinsamen Einkaufs-, Beratungs- und Servicelösungen.
Seit zwei Jahren steht der 2. August 2026 in den Compliance-Kalendern als der Tag, an dem der EU AI-Act in voller Breite scharf gestellt wird. Viele Unternehmen haben sich entsprechend vorbereitet, mit Blick auf Hochrisikoklassifizierung, Konformitätsbewertung und Dokumentationspflichten für Systeme in Personalwesen, Kreditvergabe oder Gesundheitsversorgung.
Diese Vorbereitung war richtig, sie beruhte auf einem Zwischenstand, der sich allerdings in diesem Jahr verändert hat. Mit dem sogenannten Digital Omnibus on AI hat die EU im Mai 2026 eine politische Einigung erzielt, die die Fristen für Hochrisiko-KI-Systeme deutlich nach hinten verschiebt. Dennoch bleibt der 2. August 2026 ein relevanter Stichtag.
Am 2. August 2026 werden die allgemeinen Transparenzpflichten nach Artikel 50 verbindlich, für jedes KI-System, das auf dem EU-Markt bereitgestellt wird, unabhängig von Branche oder Unternehmensgröße. Das betrifft drei Bereiche:
Wer sein KI-System bereits vor dem Stichtag auf dem Markt hatte, bekommt für die Nachrüstung Zeit bis zum 2. Dezember 2026. Für neu platzierte Systeme gilt die Pflicht ab sofort.
Ebenfalls branchenübergreifend gilt: Jedes Unternehmen muss seine KI-Systeme gegen Anhang III prüfen und das Ergebnis dokumentieren, auch wenn die Antwort „kein Hochrisiko“ lautet. Diese Begründungspflicht aus Artikel 6 Absatz 3 wird in der Praxis oft unterschätzt, dazu unten mehr.
Was dagegen verschoben wurde: Eigenständige Hochrisiko-KI-Systeme nach Anhang III, etwa im Personalwesen, in der Bildung oder bei der Kreditvergabe, müssen jetzt erst bis zum 2. Dezember 2027 vollständig konform sein. Für Hochrisiko-Systeme, die in bereits regulierte Produkte eingebettet sind, also insbesondere Medizinprodukte und Maschinen nach Anhang I, gilt eine noch längere Frist bis zum 2. August 2028.
Rechtlich verbindlich ist das allerdings erst mit der Veröffentlichung im EU-Amtsblatt. Das Europäische Parlament hat der Reform am 16. Juni 2026 zugestimmt, der Rat der EU am 29. Juni 2026 endgültig, der finale Rechtsakt wurde am 8. Juli 2026 unterzeichnet. Damit die neuen Fristen rechtzeitig vor dem 2. August 2026 greifen, muss die Veröffentlichung im Amtsblatt noch in diesem Monat erfolgen. Bis dahin gilt formal weiterhin der ursprüngliche Zeitplan.
Die Grundpflichten sind für alle gleich, die konkreten Konsequenzen und Fristen unterscheiden sich aber deutlich nach Sektor. Die folgende Übersicht ordnet beispielhaft ein, was für unterschiedliche Branchen gilt.
| Branche | Beispiele, was automatisch als Hochrisiko gilt | Zuständige Aufsicht | Besonderheit |
| Finanzdienstleistungen und Versicherungen | Kreditscoring, Bonitätsbewertung, versicherungsmathematische Risikobewertung | BaFin | Aufsicht wird in bestehende Prüfpraxis integriert, Nähe zu MaRisk und DORA |
| Gesundheitswesen | KI als Medizinprodukt (SaMD, Klassen IIa bis III) automatisch über MDR/IVDR; zusätzlich Entscheidungen über Zugang zu Gesundheitsleistungen | Zwei-Ebenen-Modell: BfArM als fachlich-sektorale Behörde für die medizinprodukterechtliche Bewertung nach MDR/IVDR, BNetzA als übergeordnete KI-Aufsichts- und Koordinationsstelle nach KI-MIG | Aufbewahrungspflichten kollidieren: AI-Act verlangt 6 Monate Logging, § 630f BGB verlangt 10 Jahre Dokumentation |
| Öffentlicher Sektor | Entscheidungen über Sozialleistungen, Migration und Zugang zu öffentlichen Diensten | Bundesnetzagentur (koordinierend) | Frist bis 2. Dezember 2027 (Anhang III); für Bestandssysteme wird in einzelnen Quellen eine noch längere Übergangsfrist genannt, aktuell nicht einheitlich bestätigt |
| Industrie | Nur KI-Sicherheitsbauteile in Maschinen nach der Maschinenverordnung (EU) 2023/1230 | Marktüberwachungsbehörden der Länder | Frist bis 2. August 2028 (Anhang I); Großteil industrieller KI (Wartung, Qualitätskontrolle, Produktionsplanung) bleibt minimales Risiko, ohne Zusatzpflichten |
Zwei Punkte in der Tabelle sind bewusst vorsichtig formuliert: Für Hochrisiko-Systeme, die in Anhang-I-Produkte eingebettet sind, also insbesondere Medizinprodukte und Maschinen, kursieren in aktuellen Quellen zwei unterschiedliche Enddaten für die verlängerte Übergangsfrist, August 2027 und August 2028. Und die Frist für Bestandssysteme im öffentlichen Sektor wird nicht durchgängig gleich beschrieben. Beide Punkte sollten Unternehmen gemeinsam mit ihrem Rechtsberater final absichern, bevor sie daraus einen festen Fahrplan ableiten.
Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, hat der Bundestag im Juni 2026 die nationale Zuständigkeit geregelt. Zentrale koordinierende Aufsichtsbehörde wird die Bundesnetzagentur; für Finanzdienstleister und Versicherungen bleibt die BaFin sektoral zuständig.
Die Aufsichtsbehörden können von Unternehmen technische Dokumentation, Trainingsdaten und Konformitätsnachweise einfordern und bei Mängeln Abhilfemaßnahmen anordnen, bis hin zur Rücknahme eines Systems vom Markt. Die Bußgeldrahmen sind gestaffelt:
Der letzte Punkt ist der, den Unternehmen am häufigsten unterschätzen. Die Grundpflicht aus Artikel 6 Absatz 3 ist zunächst nur Papierkram: eine dokumentierte Begründung, warum ein System kein Hochrisiko-System ist.
Wenn ein Unternehmen diese Begründung bei einer Prüfung nicht vorlegen kann, wird daraus kein kleines Formfehler-Problem, sondern zweierlei zugleich: Erstens gilt die fehlende Mitwirkung gegenüber der Behörde als eigener Bußgeldtatbestand, unabhängig davon, ob das System inhaltlich überhaupt problematisch war. Zweitens kann die Behörde bis zum Nachweis der Konformität vorsorglich Abhilfemaßnahmen anordnen, im Extremfall die Rücknahme des Systems vom Markt. Aus einer im Kern harmlosen Lücke, einer fehlenden Randnotiz zur Risikoeinstufung, werden so im Ernstfall ein Bußgeld und ein Betriebsstopp für das KI-System. Genau das steckt hinter dem Satz, dass fehlende Dokumentation schlechter dasteht, als es die Grundpflicht selbst vermuten lässt.
Kontrollen erfolgen dabei nicht flächendeckend, sondern stichprobenartig oder anlassbezogen, etwa nach Beschwerden. Das senkt die gefühlte Dringlichkeit, ändert aber nichts am Risiko im Einzelfall.
1. Inventur und Risikoklassifizierung durchführen: KI-Systeme inventarisieren und nach Risikoklasse einordnen, branchenspezifisch entlang der eigenen Anhang-III- und gegebenenfalls Anhang-I-Kategorien, nicht nach Bauchgefühl.
2. Transparenzpflichten ernst nehmen: Die Transparenzpflichten aus Artikel 50 nicht unterschätzen, nur weil sie im Schatten der größeren Hochrisiko-Debatte stehen. Sie gelten für praktisch jedes Unternehmen, unabhängig von Branche oder Größe.
3. KI-Governance aufbauen: Die gewonnene Zeit bei den Hochrisiko-Pflichten aktiv nutzen, statt sie als Entwarnung misszuverstehen. Wer jetzt beginnt, Governance-Strukturen und die Dokumentation der eigenen Risikoeinstufung aufzubauen, kommt ohne Zeitdruck ans Ziel, und nicht erst, wenn die Aufsichtsbehörde das erste Mal nachfragt.
Der 2. August 2026 ist kein Tag, an dem der EU AI-Act plötzlich in voller Schärfe wirkt, aber auch kein Tag zum Zurücklehnen. Transparenzpflichten und die Dokumentationspflicht für Risikoeinstufungen werden real, die Aufsicht bekommt eine Adresse, und die Bußgeldrahmen stehen. Wie stark ein Unternehmen betroffen ist, hängt stark von der Branche ab, ein pauschaler Blick auf den Stichtag reicht nicht mehr aus.
Consileon begleitet Unternehmen aus Finanzdienstleistung, Versicherung, Healthcare und Public Sector dabei, ihre KI-Systeme branchenspezifisch regulatorisch einzuordnen und praxistaugliche Governance-Strukturen aufzubauen, die auch der nächsten Gesetzesanpassung standhalten. Sprechen Sie mit uns, wenn Sie wissen möchten, wo Ihr Unternehmen heute steht und was bis zum nächsten Stichtag wirklich zu tun ist.
SadM: Software as a Medical Device
MDR: Medical Device Regulation
IVDR: In-Vitro Device Regulation
BfArM: Bundesinstitut für Arzneimittel und Medizinprodukte
BNetzA: Bundesnetzagentur
KI-MIG: KI-Marktüberwachungs-und-Innovationsförderungsgesetz
Bislang war die Rollenverteilung klar. Ein Mensch entscheidet, was er kauft, wann er zahlt und mit welchem Mittel. Banken und Kartengesellschaften standen im Hintergrund und stellten die Infrastruktur bereit, die diese Entscheidung technisch umsetzt.
Diese Klarheit löst sich gerade auf. KI-Agenten suchen bereits heute Produkte, vergleichen Angebote und bereiten Kaufentscheidungen vor. Erste Systeme lösen die dazugehörige Zahlung eigenständig aus, innerhalb vorher festgelegter Grenzen. Google hat dafür im September 2025 mit über 60 Partnern, darunter Mastercard, American Express, PayPal und Coinbase, das Agent Payments Protocol vorgestellt. Mastercard hat parallel eigene Agentic Tokens eingeführt und rollt sein Agent Pay seit Ende 2025 in den USA aus, mit globaler Ausweitung im laufenden Jahr. Das ist kein Zukunftsszenario mehr, sondern gelebte Praxis bei den ersten Kartenanbietern.
Das eigentliche Problem liegt tiefer als in der reinen Technik. Klassische Kartennetzwerke sind auf menschliche Entscheidungsgeschwindigkeit und menschliche Streitkultur ausgelegt. Chargebacks setzen ein Zeitfenster voraus, in dem ein Mensch eine Abbuchung reklamiert. Interchange-Gebühren rechnen sich bei einem Einkaufswagen, nicht bei tausend Mikrotransaktionen pro Stunde, die ein Agent im Hintergrund auslöst.
In Europa verschiebt sich das Bild zusätzlich in Richtung Konto-zu-Konto-Zahlungen. Die Instant Payments Regulation macht Echtzeitüberweisungen innerhalb von SEPA inzwischen zur Pflicht, unabhängig von Kartensystemen, während PSD3 und die neue Zahlungsdiensteverordnung Open-Banking-basierte Modelle weiter stärken. Gleichzeitig verzahnen sich nationale Zahlverfahren wie Bizum, MB Way oder Wero zunehmend europaweit. Für Agenten ist das strukturell attraktiver als das Kartenmodell, weil Konto-zu-Konto-Zahlungen ohne Interchange-Logik auskommen und die Zehn-Sekunden-Regel eine Geschwindigkeit bietet, die Agenten ohnehin erwarten. Banken, die ihre agentische Zahlungsverkehrsstrategie nur auf Kartenprodukte stützen, übersehen damit eine Schiene, die in Europa aufsichtsrechtlich sogar Vorrang genießt.
Ein KI-Agent kennt weder Öffnungszeiten noch Wochenenden. Er handelt in Millisekunden und über Systemgrenzen hinweg. Genau das macht auch Betrug schwerer erkennbar. Wenn eine Transaktion über mehrere Zahlungssysteme verteilt abläuft, reicht der Blick auf ein einzelnes System nicht mehr aus, um ein auffälliges Muster zu erkennen. Finanzinstitute rechnen deshalb überwiegend mit einem spürbaren Anstieg der Betrugsfälle, sobald Agenten Zahlungen in größerem Umfang auslösen.
Hinzu kommt eine regulatorische Dimension. Betrugserkennung und AML-Transaktionsüberwachung gelten im Rahmen des EU AI-Acts als Hochrisiko-Anwendungen mit entsprechenden Pflichten hinsichtlich Nachvollziehbarkeit, Protokollierung und menschlicher Aufsicht. Diese Systeme laufen in agentischen Zahlungsflüssen ohnehin mit. Der ursprüngliche Stichtag 2. August 2026 wurde durch den im Juli 2026 final verabschiedeten Digital Omnibus auf den 2. Dezember 2027 verschoben, für in Produkten eingebettete Hochrisiko-KI sogar auf den 2. August 2028. Banken haben damit mehr Zeit als noch vor wenigen Monaten absehbar, sollten die zusätzliche Frist jedoch als Vorbereitungsfenster nutzen und nicht als Entwarnung verstehen.
Bemerkenswert ist zudem eine Debatte, die in der öffentlichen Diskussion oft untergeht. Aufsichtsbehörden diskutieren derzeit, wie viel menschliche Freigabe in einem agentischen Zahlungsprozess überhaupt sinnvoll ist. Ein Mensch, der jede Zahlung einzeln bestätigen muss, verlangsamt den Prozess und kann dadurch selbst neue Liquiditätsrisiken schaffen, etwa wenn eine verzögerte Freigabe eine Absicherungsstrategie ins Leere laufen lässt. Gleichzeitig braucht es klare Mechanismen, um einen Agenten im Zweifel sofort stoppen zu können. Diese sogenannten Kill-Switches gelten zunehmend als notwendiger Bestandteil jeder Risikoarchitektur, nicht als optionales Extra.
Für Banken und Kreditkartengesellschaften zeichnen sich derzeit drei mögliche Positionen ab. Und viele Institute haben sich noch nicht festgelegt.
Neben etablierten Kartennetzwerken und der europäischen A2A-Infrastruktur entstehen zudem eigene Zahlungsschienen außerhalb des klassischen Bankensystems, etwa auf Basis von Stablecoins. Diese Schienen richten sich gezielt an Maschinen als Zahlende und funktionieren unabhängig von Interchange-Modellen. Wer nur die Konkurrenz unter etablierten Instituten im Blick hat, unterschätzt, wie schnell Zahlungsvolumen komplett am Bankensystem vorbeifließen kann, sei es über Stablecoins oder neue kontenbasierte Schemata.
Wer als Bank oder Kartengesellschaft nicht in die zweite, unbequeme Rolle rutschen will, sollte an drei Stellen ansetzen.
Nicht jede Prognose zu Marktgrößen im Billionenbereich wird sich in dieser Form bestätigen. Aber die Verschiebung selbst ist real und lässt sich an konkreten Produkten ablesen, die bereits im Markt sind, bei Karten ebenso wie bei kontenbasierten Zahlverfahren. Banken und Kreditkartengesellschaften, die jetzt aktiv entscheiden, welche Rolle sie im agentischen Zahlungsverkehr einnehmen wollen, sichern sich einen Vorsprung. Wer abwartet, überlässt die Entscheidung anderen – möglicherweise sowohl den Kunden als auch den Wettbewerbern.
Der Flughafen Köln/Bonn ist einer der größten Verkehrsflughäfen Deutschlands und ein zentraler Knotenpunkt für Passagiere und Fracht. Anfang 2025 übernahm er die Steuerung der Passagier- und Gepäckkontrollen – eine strategisch wichtige Aufgabe, die zuvor bei der Bundespolizei lag. Damit begann eine neue Phase mit mehr Verantwortung und Steuerungskompetenz. Die zentrale Herausforderung bestand darin, die neue Steuerungsverantwortung strukturiert, transparent und wirksam vorzubereiten und umzusetzen.
Im Mittelpunkt stand der Aufbau einer leistungsfähigen Steuerungs- und Organisationsstruktur für die reibungslose Durchführung der Passagier- und Gepäckkontrollen. Dazu mussten klare Planungs-, Reporting- und Risikoprozesse etabliert, Verantwortlichkeiten neu definiert und die Zusammenarbeit zwischen Betrieb, Technik, Sicherheit, Verwaltung, Bundespolizei und Dienstleistern neu organisiert werden. Zudem galt es, den Change-Prozess aktiv zu gestalten und den Übergang in den operativen Regelbetrieb – bei laufendem Flugbetrieb und mit nur acht Monaten Vorlauf – erfolgreich zu begleiten.
Consileon stellte die Leitung des Projektmanagement Office (PMO) und unterstützte den Flughafen mit Struktur, Methodik und Kommunikationsstärke. In enger Abstimmung mit dem Kunden wurden Rollen, Entscheidungswege und Kommunikationsstrukturen festgelegt. Das PMO implementierte einheitliche Standards für Berichterstattung, Risiko- und Meilensteinmanagement. Dabei kam ein hybrides Projektvorgehen zum Einsatz, eine pragmatische Kombination aus klassischem Projektmanagement und agilen Werkzeugen. Ein besonderer Fokus lag auf den Menschen: Durch gezielte Workshops, Moderation und transparente Kommunikation gelang es, alle Stakeholder auf gemeinsame Ziele auszurichten und den Übergang in den neuen Regelbetrieb reibungslos zu gestalten.
Der Fokus liegt nun auf der Prozessoptimierung und der Verankerung bewährter Projektmanagement-Elemente in der Linienorganisation. Zudem werden Reporting und Kommunikation weiter digitalisiert und Kompetenzen im Projektund Change-Management gezielt ausgebaut. Die neue operative Souveränität bildet den Grundstein für mehr Effizienz, Servicequalität und Resilienz im laufenden Betrieb und stärkt die Wettbewerbsfähigkeit des Flughafens im nationalen und internationalen Vergleich.
Stellen Sie sich vor, Sie möchten ein Unternehmen kaufen. Die Zahlen stimmen, das Geschäftsmodell überzeugt, doch wie sieht es unter der Oberfläche aus? Funktioniert die IT wirklich so gut, wie sie auf den ersten Blick wirkt? Oder verbergen sich dort Risiken, die später teuer werden?
Die IT entscheidet heute maßgeblich über den Erfolg von Investitionen, Transformationen und Geschäftsmodellen. Trotzdem fehlt vielen Unternehmen und Investoren ein klarer Blick auf den tatsächlichen Zustand der IT. Im Interview erklärt Alexander Finke, warum Digital Due Diligence immer wichtiger wird, welche Risiken häufig unterschätzt werden und wie Unternehmen fundierte Entscheidungen treffen können.
Weil die IT heute ein zentraler Werttreiber ist, oder eben ein Risiko. Gerade bei technologiegetriebenen Geschäftsmodellen reicht es nicht mehr, sie nur betriebswirtschaftlich zu bewerten. Investoren wollen verstehen: Ist die IT skalierbar? Wie hoch ist der zukünftige Investitionsbedarf? Gibt es Sicherheitsrisiken oder technische Altlasten? Genau hier setzt die Digital Due Diligence an. In einem kompakten Zeitraum, analysieren wir strukturiert die IT-Landschaft und schaffen eine belastbare Grundlage für die Investitionsentscheidung.
Wir betrachten die IT entlang mehrerer Dimensionen. Dazu gehören unter anderem die digitale Strategie, die technologische Substanz, Governance und Organisation sowie die finanzielle Perspektive der IT. Das Ziel ist immer, ein Gesamtbild zu bekommen: Unterstützt die IT das Geschäftsmodell oder bremst sie es aus? Welche Risiken gibt es und wie lassen sie sich mitigieren? Am Ende können wir sehr klar sagen: Hier liegen die kritischen Punkte, hier besteht Handlungsbedarf und so kann man damit umgehen.
Ein klassisches Beispiel sind historisch gewachsene Systemlandschaften. Auf den ersten Blick funktionieren sie, aber im Detail zeigen sich technische Schulden, mangelnde Skalierbarkeit oder Sicherheitslücken. Oft fehlt auch die Verbindung zwischen IT und Business. Die entscheidende Frage ist: Passt die IT überhaupt zur zukünftigen Strategie? Ein weiterer Punkt ist die Datenlandschaft. Fragmentierte Daten, unklare Verantwortlichkeiten oder schlechte Datenqualität wirken sich direkt auf Effizienz und Innovationsfähigkeit aus.
Eine Digital Due Diligence ist deutlich mehr als ein reines Audit. Es geht nicht nur darum, einzelne Schwachstellen zu identifizieren, sondern die IT ganzheitlich zu bewerten – technisch, organisatorisch und strategisch. Wir analysieren Strukturen, Prozesse und Zusammenhänge. Man kann sagen: Es ist ein methodisches, strukturiertes Verständnis der IT als Gesamtsystem, nicht nur eine punktuelle Prüfung.
Zum einen natürlich für Investoren oder Käufer im M&A-Kontext. Hier geht es darum, Risiken frühzeitig zu erkennen und den Unternehmenswert realistisch einzuschätzen. Zum anderen aber auch für Unternehmen selbst. Viele nutzen die Digital Due Diligence, um sich bewusst auf den Prüfstand zu stellen, etwa vor einer Transformation oder beim Einstieg in eine neue IT-Verantwortung. Im Kern geht es immer um Transparenz: Wo stehen wir wirklich?
Der zukünftige Investitionsbedarf wird sehr häufig unterschätzt. Systeme laufen zwar, aber nur mit hohem Wartungsaufwand oder begrenzter Erweiterbarkeit. Der Code ist dann meist fragmentiert und durch Altlasten schwer wartbar. Auch Themen wie IT-Security oder Compliance werden oft erst dann kritisch, wenn es bereits Probleme gibt. Und nicht zuletzt sehen wir häufig organisatorische Themen: fehlende Verantwortlichkeiten, ineffiziente Prozesse oder mangelnde Governance. Diese Faktoren sind oft genauso kritisch wie technische Defizite.
Eine zunehmend wichtige. Wir schauen uns zum Beispiel an, inwieweit KI bereits genutzt wird – sei es in Geschäftsprozessen oder in der Softwareentwicklung. Gleichzeitig bewerten wir, ob die Voraussetzungen dafür überhaupt gegeben sind, etwa hinsichtlich der Datenqualität oder der Architektur. Wenn hier noch wenig passiert ist, ist das nicht automatisch negativ. Im Gegenteil: Es kann auch ein Potenzial sein, das gezielt gehoben werden kann. In solchen Fällen unterstützen wir auch dabei, entsprechende Use Cases und Strategien zu entwickeln.
Vor allem Klarheit und Geschwindigkeit. Intern ist die Sicht oft fragmentiert: Jeder kennt seinen Bereich, aber das Gesamtbild fehlt. Eine externe Analyse bringt diese Perspektiven zusammen und schafft eine belastbare Entscheidungsgrundlage. Das hilft nicht nur bei Investitionsentscheidungen, sondern auch dabei, Prioritäten richtig zu setzen und Transformationen strukturiert anzugehen.
Nicht zu spät anfangen. Der größte Fehler ist, IT erst dann zu analysieren, wenn bereits Zeitdruck besteht – etwa kurz vor einem Deal. Wer früh Transparenz schafft, kann Risiken aktiv steuern und Chancen gezielt nutzen. Eine Digital Due Diligence ist kein reines Prüfwerkzeug, sondern ein strategisches Instrument für bessere Entscheidungen.
Ob im Rahmen von M&A, zur Standortbestimmung oder als Grundlage für Transformationen – Consileon unterstützt Unternehmen dabei, ihre digitale Substanz strukturiert zu bewerten und konkrete Maßnahmen abzuleiten.
Viele Unternehmen haben inzwischen erste Erfahrungen damit gemacht, Dokumente in ein KI-Tool hochzuladen und sich eine Einschätzung geben zu lassen. Das funktioniert erstaunlich gut und weckt deshalb eine naheliegende Frage: Brauche ich dann überhaupt noch eine spezialisierte Lösung für die Vertragsprüfung? Sebastian Wagmann hat den Consileon Compliance Manager als Product Owner von Anfang an mitentwickelt. Er kennt diese Frage aus unzähligen Gesprächen mit Compliance-Teams und erklärt, wo die entscheidenden Unterschiede liegen.
Gar nichts, ehrlich gesagt. Das sage ich bewusst so, weil ich verstehe, warum das verlockend ist. Für eine erste Orientierung oder ein schnelles Stimmungsbild ist das durchaus nützlich. Wer wissen will, ob ein Vertrag grundsätzlich vernünftig aufgebaut ist oder ob eine bestimmte Klausel auf den ersten Blick problematisch erscheint, bekommt da hilfreiche Hinweise. Das Problem beginnt, wenn man das mit einer belastbaren Compliance-Prüfung verwechselt. Und das passiert öfter, als man denkt.
Der fundamentale Unterschied ist: Ein generatives KI-Tool weiß, wie Verträge im Allgemeinen aussehen. Es kennt aber nicht die regulatorischen Anforderungen, die konkret für Ihr Unternehmen gelten, und es kennt schon gar nicht Ihre internen Vorgaben. Eine Vertragsprüfung im Compliance-Kontext ist keine allgemeine Qualitätskontrolle. Sie ist ein Abgleich gegen ein definiertes Soll. Dieses Soll muss irgendwo hinterlegt sein.
Selbst wenn man ein Large-Language-Modell mit einem konkreten regulatorischen Soll füttern würde, bleibt das Problem bestehen: Die Prüfung ist weder konsistent noch reproduzierbar. Unterschiedliche Dokumentversionen, mehrere Verträge, regelmäßige Wiederholungen, das lässt sich mit einem generischen Chat-Interface schlicht nicht zuverlässig und skalierbar abbilden. Was einmal gut klingt, ist noch lange kein Prozess.
Nehmen Sie als Beispiel die schriftlich fixierte Ordnung einer Bank. Das ist die Gesamtheit aller internen Regelwerke: Richtlinien, Arbeitsanweisungen, Prozessdokumentationen. Wenn ich prüfen will, ob ein IT-Dienstleistervertrag wirklich compliant ist, muss ich ihn nicht nur gegen die einschlägigen regulatorischen Anforderungen halten, sondern auch gegen das, was mein eigenes Haus dazu festgelegt hat. Ein generisches KI-Tool hat keinen Zugang zu dieser internen Welt. Es kann sie nicht kennen, weil sie nirgends öffentlich verfügbar ist. Das ist kein Vorwurf an die Technologie, das ist schlicht die Realität. Der Compliance Manager hingegen kann genau auf diese unternehmensspezifischen Anforderungen ausgerichtet werden und prüft dann beides parallel: externe Regulatorik und interne Vorgaben.
Es gibt mehrere. Ein häufig unterschätztes Thema ist die Vollständigkeit. Wenn ich in einem Chat-Interface einen Vertrag hochlade und frage: „Was fehlt hier?“, erhalte ich einen Hinweis darauf, was die KI als relevant einschätzt. Ob alle verpflichtenden Klauseln, die ein bestimmtes Regelwerk vorschreibt, etwa Auditrechte, Exit-Regelungen, Meldepflichten oder Eskalationsmechanismen, wirklich systematisch geprüft wurden, lässt sich im Nachhinein nicht rekonstruieren. Es gibt keine Prüfliste, kein Protokoll, keinen Nachweis. Für eine Aufsichtsbehörde ist das nicht ausreichend.
Jede Prüfung ist vollständig dokumentiert und nachvollziehbar: Welche regulatorischen Anforderungen wurden geprüft? Gegen welche Version des Regelwerks? Was war das Ergebnis für jede einzelne Anforderung? Wo genau im Dokument liegt eine Lücke? Und: Wann wurde diese Anforderung zuletzt geprüft? Der Compliance Manager historisiert Prüfergebnisse über Dokumentversionen hinweg, sodass Veränderungen zwischen älteren und neueren Versionen direkt sichtbar werden. Das alles ist revisionssicher hinterlegt. Ein Audit-Trail, der im Ernstfall vor der Aufsicht standhält. Das ist bei einem Chat-basierten Ansatz strukturell nicht möglich, nicht weil die KI schlechter wäre, sondern weil das Werkzeug für diesen Zweck schlicht nicht gebaut wurde.
Das ist ein ernstes Thema, das zu selten offen diskutiert wird. Wenn ich einen Vertrag mit sensiblen Geschäftsdaten, Namen von Dienstleistern, Konditionen oder internen Prozessinformationen in ein Consumer-KI-Tool hochlade, muss ich genau wissen, was mit diesen Daten passiert. Werden sie für das Training verwendet? Wo werden sie verarbeitet? Gibt es einen Auftragsverarbeitungsvertrag? Ich erlebe in Gesprächen immer wieder, dass diese Fragen erst gar nicht gestellt werden. Dabei sind sie nicht optional. Der Consileon Compliance Manager kann auf Wunsch vollständig on-premises betrieben werden. Die Daten verlassen die eigene Infrastruktur nicht. Für regulierte Unternehmen unter Aufsicht ist das oft keine Wahlmöglichkeit, sondern eine Pflicht.
Genau das ist ein Punkt, der in der Diskussion oft fehlt. Compliance ist kein einmaliges Ereignis. Verträge haben Laufzeiten, Regelwerke werden aktualisiert, neue Regulatorik kommt hinzu. Der Compliance Manager ist so konzipiert, dass er sich in bestehende Prozesse integriert: als Teil des Contract Lifecycle Managements, mit definierten Workflows, Benutzerrollen und Eskalationspfaden. Wenn sich regulatorische Anforderungen ändern, wird das entsprechende Modul aktualisiert, und alle betroffenen Verträge können systematisch neu bewertet werden. In einem Chat-basierten Szenario müsste jemand aktiv daran denken, das manuell zu wiederholen. Das passiert in der Realität nicht zuverlässig.
Für alle, die sich schnell einen ersten Eindruck verschaffen wollen und das Ergebnis entsprechend einordnen. Als Vorarbeit für eine strukturierte Prüfung, als Einstieg in ein Thema, als interne Diskussionsgrundlage, das alles ist vollkommen legitim. Was es nicht ersetzt, ist die systematische, nachweisbare, regulatorisch verankerte Prüfung. Wer Verträge prüft, weil er es muss, gegenüber Aufsehern, gegenüber Vorstand, gegenüber Vertragspartnern, braucht mehr als einen Chat. Er braucht ein System. Und er braucht den Nachweis, dass dieses System funktioniert hat.
Die Automobilzulieferkette steht unter Druck. OEMs fordern ihre Zulieferer zunehmend aktiv zur Anbindung an standardisierte Datenräume auf. Mit Catena-X hat sich in der Branche ein Ökosystem etabliert, das genau diesen strukturierten, sicheren und standardisierten Datenaustausch ermöglicht. Acht der zehn größten Automobilzulieferer weltweit tauschen bereits Daten darüber aus.
Für viele kleine und mittelständische Zulieferer blieb Catena-X bislang ein Thema, das zwar bekannt war, jedoch nicht konsequent angegangen wurde. Manche Unternehmen haben bereits davon gehört, andere haben konkrete Anforderungen eines Automobilherstellers erhalten. In der Praxis wurden diese Signale häufig vertagt, nach dem Minimalprinzip beantwortet oder als reine Pflichtaufgabe behandelt. Genau hier entsteht das Problem: Catena-X wird vor allem als zusätzlicher Kostenblock wahrgenommen, nicht als Chance, Datenprozesse zu verbessern, manuelle Aufwände zu reduzieren und die eigene Position gegenüber OEMs zu stärken.
Der Data Space Accelerator hat diese Herausforderung zuletzt greifbarer gemacht. Das von IDSA, Catena-X und Cofinity-X initiierte Programm rückte die Frage in den Mittelpunkt, wie mittelständische Automobilzulieferer strukturiert in Catena-X eingeführt werden können. Die Förderung war dabei ein sichtbarer Impuls. Der eigentliche Handlungsdruck liegt jedoch tiefer: Unternehmen müssen entscheiden, ob sie Catena-X nur als kurzfristige Compliance-Anforderung behandeln oder als Anlass nutzen, Datenprozesse, Verantwortlichkeiten und interne Kompetenzen nachhaltig aufzubauen.
Gleichzeitig darf der Einstieg nicht unterschätzt werden. Die Implementierung von Catena-X ist kein reines Plug-and-play-Projekt, sondern erfordert Zeit, interne Kapazitäten und klare Verantwortlichkeiten. Unternehmen müssen prüfen, welche Daten benötigt werden, wo sie liegen, in welcher Qualität sie verfügbar sind und wie sie künftig automatisiert bereitgestellt werden können. Hinzu kommen technische Fragen zu Connectoren, Schnittstellen und geeigneten Business-Apps. Wer diesen Aufwand realistisch einordnet und frühzeitig Fachbereich, IT, Management und Compliance einbindet, schafft die Grundlage dafür, dass Catena-X nicht zusätzlichen manuellen Aufwand erzeugt, sondern langfristig Prozesse vereinfacht.
Leon Seelbach begleitet bei Consileon Unternehmen auf diesem Weg. Im Interview erklärt er, warum das Thema auch nach der ersten Bewerbungsfrist relevant bleibt, welche Nutzenpotenziale Zulieferer realistisch erwarten können und warum Catena-X nicht allein in der IT verankert werden darf.
Der Data Space Accelerator war für viele Unternehmen ein konkreter Anlass, sich erstmals ernsthaft mit Catena-X auseinanderzusetzen. Die Förderung von 15.000 bis 30.000 EUR ist dabei natürlich attraktiv, aber nicht der eigentliche Kern. Viel wichtiger ist die Frage, ob ein Unternehmen grundsätzlich bereit ist, den standardisierten Datenaustausch mit OEMs und Partnern professionell aufzusetzen.
In einem Gespräch mit einem IT-Leiter eines mittelständischen Zulieferers wurde das sehr deutlich. Er sagte sinngemäß: „Wir bekommen heute immer mehr Datenanfragen von Kundenseite, aber intern ist jedes Mal unklar, wer die Daten liefern kann, aus welchem System sie stammen und ob sie wirklich aktuell sind.“ Genau an diesem Punkt wird Catena-X relevant. Es geht nicht nur um die Erfüllung einer externen Vorgabe, sondern darum, aus wiederkehrenden Einzelabfragen einen belastbaren, skalierbaren Prozess zu entwickeln und vor allem Vertrauen in diesen souveränen Datenaustausch zu schaffen.
Wer jetzt nicht handelt, verliert daher nicht nur eine Fördermöglichkeit. Er schwächt auch seine eigene Argumentation gegenüber Kunden. Wenn ein geförderter Einstieg möglich war und ein Unternehmen dennoch nicht aktiv wurde, wird es künftig schwerer sein zu erklären, warum Catena-X intern noch nicht vorbereitet ist. OEMs erwarten zunehmend belastbare Antworten darauf, wie Daten bereitgestellt, gepflegt und sicher ausgetauscht werden können.
Für viele Zulieferer geht es zunächst um Vertrauen beim Datenaustausch. Heute werden Daten häufig manuell, uneinheitlich oder über individuelle Kundenprozesse bereitgestellt. Das verursacht Aufwand, Fehlerquellen und Abhängigkeiten von einzelnen Personen. Catena-X schafft die Möglichkeit, diesen Austausch standardisierter, nachvollziehbarer und skalierbarer aufzusetzen. Die Daten liegen trotzdem beim Zulieferer und können nur nach digitaler Vertragsverhandlung abgerufen werden, ähnlich wie die AGB-Akzeptierung bei einem Onlinekauf.
Der operative Nutzen entsteht genau dort, wo heute Reibung herrscht: bei manuellen Datenabfragen, Excel-Listen, E-Mail-Schleifen, wiederholten Rückfragen und uneinheitlichen Nachweisen. Wenn ein Use Case sauber eingerichtet ist, müssen Daten nicht bei jeder Anfrage neu zusammengesucht werden. Sie können strukturierter bereitgestellt, besser geprüft und schneller ausgetauscht werden. Das spart Zeit in den Fachbereichen, reduziert den Abstimmungsaufwand und schafft mehr Sicherheit gegenüber Kunden. Durch die kontinuierliche Nutzung von Catena-X wächst dann auch das Vertrauen gegenüber der Technologie und den Prozessen, denn ein Zulieferer macht sich nicht, wie so oft gedacht, dem OEM gegenüber gläsern.
Hinzu kommt ein strategischer Nutzen. Ein Catena-X-fähiger Zulieferer kann gegenüber OEMs und Tier-1-Kunden anders auftreten. Er zeigt, dass er Datenanforderungen nicht nur irgendwie erfüllt, sondern professionell, wiederholbar und anschlussfähig abbilden kann. Das kann bei Vergaben, Folgeaufträgen und strategischen Partnerschaften ein relevanter Vorteil sein.
Das Programm bleibt als Signal wichtig. Es hat sehr deutlich gezeigt, wohin sich der Markt bewegt, und eine Teilnahme ist nicht ausgeschlossen. Die Branche erwartet nicht mehr nur punktuelle Datenlieferungen, sondern anschlussfähige Datenprozesse. Die Förderung war ein Anstoß, aber keine langfristige Strategie.
Neulich wurde dieser Druck auch in einem Kundengespräch spürbar, als es um künftige OEM-Anforderungen ging. Die eigentliche Frage des Kunden war nicht: „Wie kommen wir möglichst günstig in ein Förderprogramm?“, sondern: „Wie verhindern wir, dass wir bei jeder neuen Datenanforderung wieder bei Null anfangen?“ Genau das ist der entscheidende Perspektivwechsel. Catena-X sollte nicht als einmaliges Projekt verstanden werden, sondern als der Aufbau einer Fähigkeit, die künftig immer wieder gebraucht wird. Der ROI bei der Skalierung von Prozessen und mehreren Use Cases in Catena-X kann in mittelständisch agierenden Unternehmen die Förderungssumme weit übersteigen.
Unternehmen sollten deshalb jetzt nicht sagen: Die erste Frist ist vorbei, also ist das Thema erledigt. Im Gegenteil. Jetzt beginnt die eigentliche Arbeit und das Programm läuft weiter. Es geht darum, die eigenen Voraussetzungen zu prüfen, Stakeholder zusammenzubringen und zu entscheiden, wie Catena-X sinnvoll in bestehende Prozesse, Systeme und Verantwortlichkeiten integriert werden kann.
Die erste Frage lautet: Welche Daten müssen wir künftig gegenüber Kunden, OEMs oder Partnern bereitstellen können? Danach folgt direkt die Frage, wo diese Daten heute liegen, wer dafür verantwortlich ist und in welcher Qualität sie verfügbar sind.
Viele Unternehmen stellen dann fest, dass das eigentliche Problem nicht der technische Anschluss an Catena-X ist. Die größere Herausforderung liegt häufig im Datenmanagement. Daten sind vorhanden, aber nicht ausreichend strukturiert, nicht eindeutig zugeordnet oder nur mit hohem manuellen Aufwand nutzbar. Genau hier entscheidet sich, ob Catena-X später entlastet oder zusätzlichen Aufwand verursacht.
Ein Geschäftsführer brachte es in einem Termin einmal sehr pragmatisch auf den Punkt: „Wir wollen nicht noch ein Tool, das am Ende nur Arbeit macht. Wir wollen weniger Rückfragen und mehr Klarheit darüber, welche Daten wir unseren Kunden bereitstellen können.“ Das ist aus meiner Sicht die richtige Haltung. Catena-X entfaltet seinen Wert erst dann, wenn es operative Prozesse vereinfacht und nicht nur eine zusätzliche Nachweispflicht erfüllt.
Catena-X darf nicht ausschließlich als IT-Projekt verstanden werden. Natürlich braucht es technische Ansprechpersonen, Application Management sowie eine passende Lösung. Aber genauso wichtig sind das Management, die Fachbereiche, die Compliance und die Datenverantwortlichen.
Ein Unternehmen muss klären, wer Entscheidungen trifft, wer Daten bereitstellt, wer die Qualität sichert und wer langfristig Wissen im Unternehmen aufbaut. Wenn diese Rollen fehlen, entsteht schnell Abhängigkeit von externen Dienstleistern oder einzelnen internen Experten. Nachhaltig ist Catena-X nur dann, wenn internes Know-how entsteht und die Organisation versteht, wie der Datenaustausch funktioniert.
Aus der Praxis wissen wir: Sobald Fachbereiche, IT und Management gemeinsam auf die Datenprozesse schauen, verändert sich die Diskussion. Dann geht es nicht mehr nur darum, einen Connector (EDC) anzubinden. Dann geht es um Fragen wie: Welche Datenprodukte benötigen wir künftig? Welche Prozesse können automatisiert werden? Wo vermeiden wir manuelle Arbeit? Und wie stellen wir sicher, dass Wissen nicht bei einzelnen Personen hängen bleibt?
Ein häufiger Fehler ist, Catena-X als kurzfristiges Compliance-Projekt zu behandeln. Dann wird versucht, eine einzelne Anforderung möglichst schnell zu erfüllen, oft mithilfe manueller Workarounds. Das funktioniert vielleicht für den ersten Nachweis, skaliert aber nicht.
Ein zweiter Fehler ist, den Nutzen zu spät zu berücksichtigen. Viele Unternehmen fragen zuerst: Was kostet uns das? Sie sollten aber auch fragen: Welche Prozesskosten können wir reduzieren? Wie kann ich einen Business Case aufbauen, den ich berechnen und optimieren kann? Wo schaffen wir eine bessere Basis für Kundenbeziehungen und zukünftige Ausschreibungen?
Gerade bei wiederkehrenden Kundenabfragen kann der Nutzen sehr konkret werden. Wenn Zertifikate, CO₂-Daten oder Rückverfolgbarkeitsinformationen standardisiert und automatisiert verfügbar sind, müssen Mitarbeiter nicht jedes Mal Daten zusammensuchen, prüfen und manuell versenden. Das reduziert nicht nur den Aufwand, sondern erhöht auch die Reaktionsgeschwindigkeit gegenüber Kunden. In einem zunehmend datengetriebenen Lieferantennetzwerk kann genau diese Geschwindigkeit zum Geschäftsvorteil werden.
Und ein dritter Fehler ist, die interne Abstimmung zu spät zu beginnen und unter Druck vorschnell zu reagieren. Wenn Fachbereiche, IT und Management erst eingebunden werden, sobald eine konkrete Kundenanforderung auf dem Tisch liegt, ist der Zeitdruck meist schon hoch. Deshalb sollte verhindert werden, das gesamte Thema auf die Personaldienstleistungen abzuladen und unüberlegte Lösungen und Applikationen einzukaufen. Catena-X sollte unternehmensintern an ein leichtgewichtiges Governance-Modell geknüpft werden und Entscheidungswege zu Kommunikation, Prozessen und Applikationsauswahl sollten vorab skizziert werden.
Ein sinnvoller Einstieg ist häufig das Company Certificate Management. Der Use Case adressiert grundlegende Anforderungen an Identität, Nachweise und strukturierte Datenbereitstellung. In der Praxis hilft er dabei, Zertifikate und Unternehmensnachweise schneller, konsistenter und nachvollziehbarer bereitzustellen. Das reduziert manuelle Nachfragen, vermeidet Versionsunklarheiten und schafft eine gute Grundlage für weitere Catena-X-Anwendungsfälle.
Ein weiterer Fokus: Der CO₂-Fußabdruck wird durch regulatorische Anforderungen und steigende Kundenerwartungen immer wichtiger. Für Zulieferer kann ein sauber aufgesetzter Product Carbon Footprint zur Geschäftschance werden: Wer belastbare CO₂-Daten schneller und verlässlicher liefern kann als der Wettbewerb, verbessert seine Position in Kundengesprächen und bei nachhaltigkeitsbezogenen Vergaben.
Auch der Digital Product Passport gewinnt regulatorisch an Bedeutung. Besonders deutlich wird das beim Battery Pass: Ab Februar 2027 müssen bestimmte Batteriegruppen, darunter Elektrofahrzeugbatterien und Industriebatterien, über einen digitalen Batteriepass verfügen. Für betroffene Unternehmen bedeutet das, produkt- und lebenszyklusbezogene Daten frühzeitig strukturiert, aktuell und nachvollziehbar bereitstellen zu können.
Traceability sowie Demand and Capacity Management zeigen zusätzlich, dass Catena-X nicht nur Compliance ist. Wenn Qualitäts-, Kapazitäts- und Bedarfssignale standardisiert ausgetauscht werden, können Unternehmen früher auf Engpässe oder Mängel reagieren, Planungsprozesse verbessern und Abstimmungen mit Kunden verlässlicher gestalten. Das wirkt sich direkt auf Lieferfähigkeit, Produktionsplanung und Kundenbindung aus.
Die meisten Engpässe entstehen nicht beim ersten technischen Setup, sondern bei der Datenbereitstellung und der Prozessintegration. Unternehmen unterschätzen häufig, wie viel Abstimmung notwendig ist, bis Daten in der richtigen Qualität, Struktur und Aktualität vorliegen. Effizienzen können nur durch entsprechende Prozessautomatisierung gesteigert werden.
Ein weiterer Engpass ist die Auswahl der Lösung. Am Markt gibt es verschiedene Connectoren, Plattformen und Business-Apps. Für Unternehmen ist es nicht immer leicht zu beurteilen, welche Lösung zum eigenen Reifegrad, zur bestehenden Systemlandschaft und zu den erwarteten Kundenanforderungen passt. Hier ist unabhängige Beratung wichtig, damit nicht vorschnell eine Lösung gewählt wird, die später zusätzlichen Aufwand verursacht. Beispielsweise reicht ein EDC, also der Connector für Catena-X, nicht aus, um einen Use Case End-to-End umzusetzen.
In Kundengesprächen erleben wir häufig, dass die technische Frage zunächst sehr dominant ist. Nach den ersten Workshops zeigt sich aber oft: Die wichtigere Frage ist nicht „Welche App kaufen wir?“, sondern „Wie kommen unsere Daten verlässlich, automatisiert und ohne manuelle Umwege in diesen Prozess?“ Genau deshalb müssen technische Lösungen, Datenmanagement und operative Prozesse gemeinsam betrachtet werden.
Wir unterstützen Unternehmen dabei, Catena-X strukturiert, nutzenorientiert und nachhaltig umzusetzen, und übernehmen auf Wunsch auch die Verantwortung für die konkrete Anbindung und Umsetzung. Das beginnt neben strukturiertem Wissensaufbau und der Entwicklung eines Governance-Rahmens mit einer realistischen Bestandsaufnahme: Welche Daten sind vorhanden? Welche Systeme sind relevant? Welche Anforderungen kommen von OEMs oder Tier-1-Kunden? Welche internen Rollen und Kapazitäten werden benötigt?
Darauf aufbauend begleiten wir die Auswahl geeigneter Use Cases und technischer Lösungen. Wir bringen Fachbereich, IT und Management zusammen, unterstützen beim Aufbau von Data Management und helfen mit ETL-Prozessen, automatisierte Datenpipelines statt manueller Einzelprozesse aufzusetzen. Unser Ziel ist nicht nur, einen Anschluss herzustellen, sondern auch die Umsetzung so zu gestalten, dass Unternehmen dauerhaft handlungsfähig werden und internes Wissen aufbauen.
Zusätzlich bieten wir bewusst keine eigene Softwarelösung an, um Catena-X umzusetzen. Wir arbeiten mit verschiedenen Lösungsanbietern zusammen und finden gemeinsam mit dem Kunden die passgenaue Lösung für seine Anforderungen. Dies kann sowohl in einer Eigenentwicklung als auch in der Beschaffung einzelner Infrastrukturkomponenten oder beim Einkauf einer SaaS-Applikation münden.
Ein wichtiger Teil unserer Arbeit ist dabei die Übersetzung zwischen den Perspektiven. Das Management möchte wissen, welchen Beitrag Catena-X zu Kundenfähigkeit, Vergabechancen und Zukunftssicherheit leistet. Die Fachbereiche wollen weniger manuelle Arbeit und klarere Prozesse. Die IT braucht eine Lösung, die zur Systemlandschaft passt und nicht dauerhaft Sonderaufwand verursacht. Unsere Aufgabe ist es, diese Perspektiven zusammenzuführen und daraus eine belastbare Umsetzungsroadmap zu entwickeln – bis hin zur verantwortlichen Umsetzung der Anbindung, gemeinsam mit den relevanten Teams auf Kundenseite.
Der größte Nutzen liegt in der Kombination aus Compliance, Effizienz und Geschäftschance. Unternehmen erfüllen Kundenanforderungen nicht mehr reaktiv, sondern schaffen eine belastbare Grundlage für den wiederkehrenden Datenaustausch. Sie reduzieren manuellen Aufwand, verbessern die Datenqualität und stärken ihre Position gegenüber OEMs und Partnern.
Ein eingerichteter Use Case kann sehr konkrete Effekte haben: weniger E-Mail-basierte Datenabfragen, weniger manuelle Nachweiserstellung, schnellere Reaktionszeiten gegenüber Kunden, bessere Transparenz über verfügbare Daten und eine höhere Anschlussfähigkeit an künftige OEM-Anforderungen. Das ist nicht nur interne Effizienz. Es kann auch beeinflussen, wie professionell ein Zulieferer in Ausschreibungen, Audits und strategischen Kundengesprächen wahrgenommen wird.
Catena-X kann damit vom Pflichtprogramm zum Wettbewerbsvorteil werden. Voraussetzung ist aber, dass Unternehmen das Thema ernsthaft angehen und nicht nur auf kurzfristige Förderung oder einzelne Nachweise schauen.
Starten Sie mit einer ehrlichen Bestandsaufnahme. Prüfen Sie, welche Kundenanforderungen bereits bestehen oder in naher Zukunft eintreten. Klären Sie, welche Daten dafür benötigt werden und wie diese heute erzeugt, gepflegt und ausgetauscht werden. Bringen Sie die relevanten Stakeholder an den Tisch und entwickeln Sie Vertrauen für das so sensible Thema Datenaustausch on demand über eine Technologie, wie Catena-X sie offeriert.
Danach sollten Unternehmen entscheiden, welche Use Cases fachlich und strategisch sinnvoll sind. Nicht jeder Anwendungsfall ist für jedes Unternehmen gleich relevant: Unternehmen, die mit energieintensiven Prozessen und Produkten arbeiten, können sich mit dem PCF-Use-Case auseinandersetzen; Batterieproduzenten sollten sich eher mit der kommenden EU-Regulierung und dem Batterie- bzw. Digitalen Produktpass beschäftigen. Die Grundlage für den Einstieg bildet jedoch stets der Zertifikatemanagement-Use-Case. Wichtig ist, mit einem klaren Zielbild zu starten und Catena-X nicht isoliert, sondern als Teil der eigenen Datenstrategie zu betrachten.
Wer jetzt strukturiert vorgeht, kann den Druck durch OEM-Anforderungen in einen echten Entwicklungsschritt verwandeln: weniger manuelle Prozesse, mehr interne Kompetenz, bessere Kundenfähigkeit und eine stärkere Position im automobilen Datenökosystem.
Consileon begleitet mittelständische Automobilzulieferer bei der strukturierten Umsetzung von Catena-X. Von der Reifegradanalyse über die Use-Case-Auswahl und unabhängige Lösungsberatung bis zum Aufbau belastbarer Datenprozesse unterstützt Consileon Unternehmen dabei, Compliance-Anforderungen zu erfüllen, internes Know-how aufzubauen und Datenaustausch dauerhaft effizient zu gestalten.
Im Mittelpunkt steht dabei nicht die kurzfristige Erfüllung einer Einzelanforderung, sondern der nachhaltige Aufbau von Datenfähigkeit: mit klaren Verantwortlichkeiten, automatisierten Pipelines, passenden Lösungen und einer Organisation, die Catena-X als Geschäftschance versteht.
Stellen Sie sich einen Kunden vor, nennen wir ihn Markus, 38, verheiratet, zwei Kinder, neue Stelle als Abteilungsleiter verbunden mit einem Wohnungswechsel. Markus hat einen KI-Assistenten, der seine Finanzen und Absicherungen im Blick behält. Markus muss nichts aktiv tun. Sein Assistent erkennt, dass der Jobwechsel Konsequenzen hat: Alle Versicherer benötigen die neue Adresse, für die neue Wohnung muss die Hausratversicherung umgestellt werden. Die Haftpflicht wurde zuletzt vor acht Jahren abgeschlossen, die Deckungssumme liegt weit unter dem heute marktüblichen Schutzniveau. Ob der bestehende Rechtsschutz eine berufliche Komponente enthält und für die neue Führungsposition ausreicht, hat Markus nie geprüft. Und seine BU-Versicherung läuft weiter, das versicherte Monatsgehalt spiegelt aber noch das alte Einkommensniveau. Mit der neuen Stelle und dem höheren Gehalt ist die Absicherungslücke größer geworden.
Der Agent handelt. Er fragt Konditionen an, vergleicht, priorisiert. Und er landet dabei irgendwo. Die Frage, wo er landet, ist die wichtigste Frage, die die Versicherungsbranche gerade nicht stellt. Stattdessen diskutiert sie über KI im Schadenmanagement, über Chatbots im Kundenservice, über automatisierte Underwriting-Prozesse. Das sind sinnvolle Themen. Aber sie alle setzen voraus, dass der Kunde noch selbst initiiert. Was passiert, wenn er das nicht mehr tut?
Vergleichsportale sind für das KI-Agenten-Zeitalter strukturell besser aufgestellt als jeder andere Marktteilnehmer. Ihre gesamte Architektur basiert darauf, maschinenlesbare Daten bereitzustellen und algorithmisch zu vergleichen. Ein Kundenagent, der Konditionen abrufen will, findet dort sofort Antworten. Keine Wartezeit, keine menschliche Schleife, keine unstrukturierten PDFs. Das ist ein echter Vorteil. Und wer ihn unterschätzt, unterschätzt, wie schnell sich Marktanteile verschieben können, wenn die Reibung auf einer Seite gegen null geht.
Das Grundproblem von Vergleichsportalen ist aber kein technisches. Es ist ein strukturelles: Sie können vergleichen, aber sie kennen den Kunden nicht. Sie wissen nicht, dass Markus vor drei Jahren eine Rückenoperation hatte und seine BU-Versicherung deshalb mit einem Risikoausschluss versehen wurde und dass die neue, höher versicherte BU deshalb einer ärztlichen Prüfung bedarf, die kein Portal automatisch anstoßen würde. Sie wissen nicht, dass seine Frau selbstständig ist und die gemeinsame private Haftpflicht ihre berufliche Tätigkeit nicht abdeckt – ein klassischer blinder Fleck, der in der Beratungspraxis häufig übersehen wird. Sie optimieren auf Preis und Standardmerkmale. Für einfache, standardisierbare Produkte funktioniert das. Für komplexe Absicherungsfragen ist es gefährlich.
Ein Kundenagent, der wirklich im Interesse seines Nutzers handelt, wird das merken. Und er wird lernen, dass billiger nicht dasselbe ist wie richtig.
Direktversicherer mit eingeschränktem Produktportfolio haben in den letzten Jahren in digitale Infrastruktur investiert. Viele sind grundsätzlich in der Lage, maschinenlesbare Schnittstellen zu schaffen, über die Agenten Produkte anfragen können. Das ist kein unlösbares Problem.
Ihr strukturelles Limit liegt woanders: Ein Direktversicherer kann Kfz versichern oder Haftpflicht oder Hausrat. Selten alles gleichzeitig, fast nie mit der Tiefe, die komplexe Kundenbiografien erfordern. Ein Agent, der für Markus BU, Kfz, Haftpflicht, Hausrat und Rechtsschutz optimieren soll, braucht bei einem reinen Direktversicherer immer noch mehrere Anbieter. Das bedeutet mehrere Schnittstellen, mehrere Authentifizierungsprozesse, mehrere Datenquellen. Für einen Agenten, der auf Verlässlichkeit und Effizienz optimiert, ist das keine attraktive Lösung.
Direktversicherer können im KI-Agenten-Zeitalter eine Rolle spielen. Aber wahrscheinlich nur in klar definierten Produktsegmenten, wo Standardisierung und Preis dominieren.
Ein unabhängiger Makler oder ein Allfinanzanbieter hat strukturell genau das, was ein KI-Agent für seinen Kunden braucht: einen einzigen Ansprechpartner, der den vollständigen Versicherungs- und Vorsorgebedarf kennt, der produktunabhängig beraten kann und der die Kundenbiografie über Jahre begleitet. Der Kontext, den ein guter Makler über seinen Kunden hat, ist für einen Agenten Gold wert. Er macht den Unterschied zwischen einem Ergebnis, das stimmt, und einem, das nur günstig aussieht.
Dazu kommt: Ein Kundenagent, der für Markus alles über eine einzige verlässliche Verbindung lösen kann, wird diese Verbindung bevorzugen. Nicht aus Loyalität, sondern aus Logik. Fünf Schnittstellen zu fünf Spezialanbietern bedeuten fünf Fehlerquellen. Das ist kein gutes Ergebnis für jemanden, der im Interesse seines Nutzers handelt.
Die kritische Lücke ist: Die meisten Makler und Allfinanzanbieter sind digital unsichtbar. Sie sind persönlich präsent, empfehlenswert, vertrauenswürdig. Aber für einen KI-Agenten, der im Auftrag eines Kunden fragt, existieren sie schlicht nicht. Keine standardisierte Schnittstelle, über die Konditionen abgerufen werden können. Kein API-Gateway. Keine maschinenlesbare Antwort auf eine Agenten-Anfrage. Das ist die Lücke, die über Marktanteile entscheiden wird.
Der Markt wird sich aufteilen, und zwar nicht entlang der alten Linien von Online und Offline, sondern entlang einer neuen: agentenkompatibel und nicht agentenkompatibel.
Standardisierbare Produkte, Kfz, einfache Haftpflicht, Reiseversicherung, wandern zu Vergleichsportalen. Nicht weil die Portale besser beraten, sondern weil sie erreichbar sind, wenn ein Agent fragt. Der Preiswettbewerb dort wird noch härter als heute.
Komplexe Bedarfe, BU, Altersvorsorge, gewerbliche Absicherung, biometrische Risiken, könnten zum Makler gehen. Aber nur, wenn der Makler eine Antwort hat, wenn der Agent anklopft. Wenn nicht, landet auch diese Anfrage beim Vergleichsportal, mit allen Konsequenzen für die Beratungsqualität des Ergebnisses.
Der Direktversicherer verliert in beiden Szenarien: zu teuer für den Preiswettbewerb, zu schmal aufgestellt für komplexe Bedarfe.
Wir verwenden den Begriff Agent Relationship Management für das, was Unternehmen jetzt aufbauen müssen: die Fähigkeit, nicht nur mit menschlichen Kunden zu kommunizieren, sondern auch mit deren digitalen Stellvertretern.
Das beginnt mit Erreichbarkeit: standardisierte Protokolle, über die ein Kundenagent Anfragen stellen und Antworten erhalten kann. Ohne das ist alles andere Theorie.
Es geht weiter mit Kontext: der Fähigkeit, einem Agenten nicht nur Tarife zu liefern, sondern die Informationen, die eine sinnvolle Empfehlung erst möglich machen. Ein Makler, der seinen Kunden kennt, hat diesen Kontext. Er muss ihn nur digital verfügbar machen.
Und es endet mit Governance: der Entscheidung, was ein Agent im Namen des Unternehmens automatisch zusagen darf und was ein Mensch freigeben muss. Das ist keine IT-Frage. Das ist eine Führungsentscheidung.
Markus braucht keinen Berater, der ihm erklärt, was eine BU-Versicherung ist. Das weiß sein Agent. Markus braucht jemanden, der erkennt, dass die Erhöhung der BU-Rente wegen der Rückenoperation eine ärztliche Risikoprüfung erfordert, und der weiß, wie man das richtig angeht. Der ihm erklärt, was ein Rechtsschutz für Führungskräfte wirklich abdecken muss und was die meisten Standardverträge eben nicht tun.
Der Makler, der das leisten kann und gleichzeitig agentenfähig ist, gewinnt. Er bekommt die Routinen von seinem eigenen digitalen Assistenten abgenommen, der im Hintergrund Statusabfragen erledigt, Kündigungsfristen überwacht und Anpassungsbedarfe erkennt. Und er hat Zeit für das, was kein Agent kann: das Gespräch, das zählt.
Der Makler, der wartet, bis sein Kundenstamm von Agenten übernommen wird, die ihn nicht kennen, verliert zuerst die einfachen Fälle. Und dann die anderen auch. Die Frage ist nicht, ob KI-Agenten den Versicherungsvertrieb verändern. Die Frage ist, wer dabei sitzt, wenn sie es tun.
Stadtwerke versorgen Millionen Bürgerinnen und Bürger mit Strom, Gas, Wasser, Wärme und zunehmend auch mit digitaler Infrastruktur. Gleichzeitig geraten sie zunehmend in den Fokus von Cyberkriminellen und daher auch von Regulierungsbehörden. Mit NIS-2 steigen die Anforderungen an Cybersicherheit, Governance und Risikomanagement deutlich. Im Interview erklären Gilles Schneider und Andreas Grau, warum nahezu alle Stadtwerke jetzt handeln müssen, welche Herausforderungen die Umsetzung mit sich bringt und wie sich Compliance wirtschaftlich und nachhaltig gestalten lässt.
Gilles Schneider: Stadtwerke nehmen eine besondere Rolle ein, da sie für mehrere kritische Versorgungsbereiche gleichzeitig verantwortlich sind. Strom, Gas, Trinkwasser, Fernwärme oder Telekommunikation sind essenzielle Leistungen für Bürgerinnen und Bürger. Kommt es auch nur zu einer partiellen Unterbrechung, sind die Folgen für die öffentliche Versorgung unmittelbar spürbar. Genau deshalb stehen Stadtwerke zunehmend im Fokus der Cyberkriminalität.
Andreas Grau: Gleichzeitig hat sich die regulatorische Perspektive verändert. Während bislang nur ein Teil der Versorgungsunternehmen unter KRITIS oder NIS-1 fiel, erweitert NIS-2 den Kreis der betroffenen Unternehmen deutlich. Für viele Stadtwerke bedeutet dies eine grundlegende Veränderung ihrer regulatorischen Anforderungen. Cybersicherheit wird von einer IT-Aufgabe zu einem strategischen Managementthema.
Andreas Grau: Die Anforderungen gehen deutlich weiter als bisher. NIS-2 betrachtet nicht nur technische Schutzmaßnahmen, sondern die gesamte Organisation. Dazu gehören Risikomanagement, Incident Handling, Notfallmanagement, Lieferketten, Schulungen und Governance-Strukturen.
Besonders relevant ist die Verantwortung der Geschäftsleitung. NIS-2 macht ausdrücklich klar, dass die Einhaltung der Anforderungen nicht delegiert werden kann. Geschäftsführungen müssen sich mit dem Thema aktiv auseinandersetzen, selbst schulen, Maßnahmen überwachen und deren Wirksamkeit nachvollziehen können.
Gilles Schneider: Genau diese Frage hören wir sehr häufig. Tatsächlich unterschätzen viele Stadtwerke ihre Betroffenheit. Durch die erweiterten Kriterien fallen heute deutlich mehr Unternehmen unter die Regulierung als früher. Relevant sind unter anderem Unternehmensgröße, Umsatz und die Zugehörigkeit zu kritischen Sektoren wie Energie, Wasser oder Telekommunikation. Für viele Stadtwerke lautet die Antwort deshalb: Ja, sie sind betroffen.
Deshalb empfehlen wir immer, zunächst eine strukturierte Betroffenheitsanalyse durchzuführen. Consileon führt diese stets in enger Kooperation mit spezialisierter Rechtsberatung durch, denn erst wenn klar ist, welche Einstufung vorliegt und welche Anforderungen konkret gelten, können die richtigen Prioritäten gesetzt werden.
Andreas Grau: Stellen wir uns ein mittelgroßes Stadtwerk vor. Die IT läuft stabil, es gab bislang keine größeren Sicherheitsvorfälle und man geht davon aus, grundsätzlich gut aufgestellt zu sein.
Bei einer näheren Analyse zeigt sich dann häufig ein anderes Bild: Es gibt zwar technische Sicherheitsmaßnahmen, aber keine dokumentierten Risikoanalysen. Lieferanten werden nicht systematisch bewertet und es bestehen ggf. riskante Abhängigkeiten zu einzelnen Dienstleistern. Interne Meldeprozesse für Sicherheitsvorfälle sind nicht definiert, was dazu führt, dass im Ernstfall die NIS-2-Meldepflicht nicht eingehalten werden kann. Die Geschäftsleitung erhält keine regelmäßigen Reports zum Sicherheitsstatus und kann die Wirksamkeit nicht, wie erwähnt, nachvollziehen.
Technisch funktioniert vieles, regulatorisch entstehen jedoch erhebliche Lücken. Genau diese Diskrepanz wird durch NIS-2 sichtbar.
Andreas Grau: OT-Landschaften wie Leitstellen sowie Steuerungs- und Netzsysteme sind häufig historisch gewachsen und wurden ursprünglich nicht für die heutigen Bedrohungsszenarien entwickelt. Gleichzeitig müssen sie hochverfügbar bleiben. Das macht Veränderungen deutlich anspruchsvoller als in klassischen Office-IT-Umgebungen.
Gilles Schneider: Das ist einer der Punkte, der aktuell die größte Aufmerksamkeit erzeugt. Viele Geschäftsführer stellen erstmals fest, dass sie persönlich Verantwortung tragen.
Wichtig ist dabei: NIS-2 verlangt nicht, dass die Geschäftsleitung selbst technische Sicherheitsmaßnahmen umsetzt. Sie muss jedoch sicherstellen können, dass Risiken bekannt sind, geeignete Maßnahmen beschlossen wurden und deren Umsetzung regelmäßig überwacht wird.
Cybersicherheit wird damit zu einem festen Bestandteil der Unternehmenssteuerung und der Corporate Governance.
Gilles Schneider: Genau hier stoßen klassische Ansätze häufig an ihre Grenzen. Die manuelle Prüfung von Richtlinien, Prozessen, Sicherheitskonzepten und Nachweisen verursacht erheblichen Aufwand.
Deshalb setzen wir zunehmend auf KI-gestützte Verfahren. Moderne Analysewerkzeuge können große Dokumentenmengen wie Richtlinien und Verträge systematisch prüfen, regulatorische Anforderungen mit vorhandenen Nachweisen abgleichen und potenzielle Lücken identifizieren. Dadurch lassen sich Ressourcen gezielter einsetzen und Compliance-Prozesse deutlich effizienter gestalten.
Andreas Grau: Viele Organisationen betrachten Compliance noch immer als einmaliges Projekt. Genau das funktioniert bei NIS-2 und der Cybersicherheit im Allgemeinen nicht.
Die Anforderungen verändern sich, Systeme entwickeln sich weiter, neue Risiken entstehen. Deshalb braucht es einen kontinuierlichen Prozess. Compliance muss dauerhaft überwacht, dokumentiert und regelmäßig bewertet werden. Nur so bleibt die Organisation langfristig handlungsfähig.
Gilles Schneider: Nicht auf die perfekte Lösung warten. Der wichtigste Schritt ist, Transparenz zu schaffen. Wo stehen wir heute? Welche Anforderungen gelten für uns? Wo bestehen Risiken und Handlungsbedarfe?
Andreas Grau: Wer früh beginnt, kann die Umsetzung strukturiert planen und in bestehende Prozesse integrieren. Wer wartet, riskiert Zeitdruck, höhere Kosten und unnötige Unsicherheit. Das BSI hat die Lage inzwischen verschärft: Die gesetzliche Registrierungsfrist ist bereits im März abgelaufen, und das BSI überwacht den Stand der Anmeldungen aktiv. Mit einer Nachfrist bis zum 31. Juli 2026 bietet die Behörde erneut die Gelegenheit, die Registrierung nachzuholen. Danach sind empfindliche Bußgelder realistisch. NIS-2 sollte nicht als regulatorische Pflichtübung verstanden werden, sondern als Chance, Cybersicherheit nachhaltig zu stärken und die eigene Resilienz zu erhöhen.
Consileon unterstützt Stadtwerke entlang des gesamten NIS-2-Lebenszyklus. Von der Betroffenheitsanalyse über Audits, Registrierungsberatung und Geschäftsleitungsschulungen bis hin zur Umsetzungsbegleitung und zum Continuous Compliance Management entsteht ein ganzheitlicher Ansatz für regulatorische Sicherheit und nachhaltige Cyberresilienz.