Viele Unternehmen haben inzwischen erste Erfahrungen damit gemacht, Dokumente in ein KI-Tool hochzuladen und sich eine Einschätzung geben zu lassen. Das funktioniert erstaunlich gut und weckt deshalb eine naheliegende Frage: Brauche ich dann überhaupt noch eine spezialisierte Lösung für die Vertragsprüfung? Sebastian Wagmann hat den Consileon Compliance Manager als Product Owner von Anfang an mitentwickelt. Er kennt diese Frage aus unzähligen Gesprächen mit Compliance-Teams und erklärt, wo die entscheidenden Unterschiede liegen.
Gar nichts, ehrlich gesagt. Das sage ich bewusst so, weil ich verstehe, warum das verlockend ist. Für eine erste Orientierung oder ein schnelles Stimmungsbild ist das durchaus nützlich. Wer wissen will, ob ein Vertrag grundsätzlich vernünftig aufgebaut ist oder ob eine bestimmte Klausel auf den ersten Blick problematisch erscheint, bekommt da hilfreiche Hinweise. Das Problem beginnt, wenn man das mit einer belastbaren Compliance-Prüfung verwechselt. Und das passiert öfter, als man denkt.
Der fundamentale Unterschied ist: Ein generatives KI-Tool weiß, wie Verträge im Allgemeinen aussehen. Es kennt aber nicht die regulatorischen Anforderungen, die konkret für Ihr Unternehmen gelten, und es kennt schon gar nicht Ihre internen Vorgaben. Eine Vertragsprüfung im Compliance-Kontext ist keine allgemeine Qualitätskontrolle. Sie ist ein Abgleich gegen ein definiertes Soll. Dieses Soll muss irgendwo hinterlegt sein.
Selbst wenn man ein Large-Language-Modell mit einem konkreten regulatorischen Soll füttern würde, bleibt das Problem bestehen: Die Prüfung ist weder konsistent noch reproduzierbar. Unterschiedliche Dokumentversionen, mehrere Verträge, regelmäßige Wiederholungen, das lässt sich mit einem generischen Chat-Interface schlicht nicht zuverlässig und skalierbar abbilden. Was einmal gut klingt, ist noch lange kein Prozess.
Nehmen Sie als Beispiel die schriftlich fixierte Ordnung einer Bank. Das ist die Gesamtheit aller internen Regelwerke: Richtlinien, Arbeitsanweisungen, Prozessdokumentationen. Wenn ich prüfen will, ob ein IT-Dienstleistervertrag wirklich compliant ist, muss ich ihn nicht nur gegen die einschlägigen regulatorischen Anforderungen halten, sondern auch gegen das, was mein eigenes Haus dazu festgelegt hat. Ein generisches KI-Tool hat keinen Zugang zu dieser internen Welt. Es kann sie nicht kennen, weil sie nirgends öffentlich verfügbar ist. Das ist kein Vorwurf an die Technologie, das ist schlicht die Realität. Der Compliance Manager hingegen kann genau auf diese unternehmensspezifischen Anforderungen ausgerichtet werden und prüft dann beides parallel: externe Regulatorik und interne Vorgaben.
Es gibt mehrere. Ein häufig unterschätztes Thema ist die Vollständigkeit. Wenn ich in einem Chat-Interface einen Vertrag hochlade und frage: „Was fehlt hier?“, erhalte ich einen Hinweis darauf, was die KI als relevant einschätzt. Ob alle verpflichtenden Klauseln, die ein bestimmtes Regelwerk vorschreibt, etwa Auditrechte, Exit-Regelungen, Meldepflichten oder Eskalationsmechanismen, wirklich systematisch geprüft wurden, lässt sich im Nachhinein nicht rekonstruieren. Es gibt keine Prüfliste, kein Protokoll, keinen Nachweis. Für eine Aufsichtsbehörde ist das nicht ausreichend.
Jede Prüfung ist vollständig dokumentiert und nachvollziehbar: Welche regulatorischen Anforderungen wurden geprüft? Gegen welche Version des Regelwerks? Was war das Ergebnis für jede einzelne Anforderung? Wo genau im Dokument liegt eine Lücke? Und: Wann wurde diese Anforderung zuletzt geprüft? Der Compliance Manager historisiert Prüfergebnisse über Dokumentversionen hinweg, sodass Veränderungen zwischen älteren und neueren Versionen direkt sichtbar werden. Das alles ist revisionssicher hinterlegt. Ein Audit-Trail, der im Ernstfall vor der Aufsicht standhält. Das ist bei einem Chat-basierten Ansatz strukturell nicht möglich, nicht weil die KI schlechter wäre, sondern weil das Werkzeug für diesen Zweck schlicht nicht gebaut wurde.
Das ist ein ernstes Thema, das zu selten offen diskutiert wird. Wenn ich einen Vertrag mit sensiblen Geschäftsdaten, Namen von Dienstleistern, Konditionen oder internen Prozessinformationen in ein Consumer-KI-Tool hochlade, muss ich genau wissen, was mit diesen Daten passiert. Werden sie für das Training verwendet? Wo werden sie verarbeitet? Gibt es einen Auftragsverarbeitungsvertrag? Ich erlebe in Gesprächen immer wieder, dass diese Fragen erst gar nicht gestellt werden. Dabei sind sie nicht optional. Der Consileon Compliance Manager kann auf Wunsch vollständig on-premises betrieben werden. Die Daten verlassen die eigene Infrastruktur nicht. Für regulierte Unternehmen unter Aufsicht ist das oft keine Wahlmöglichkeit, sondern eine Pflicht.
Genau das ist ein Punkt, der in der Diskussion oft fehlt. Compliance ist kein einmaliges Ereignis. Verträge haben Laufzeiten, Regelwerke werden aktualisiert, neue Regulatorik kommt hinzu. Der Compliance Manager ist so konzipiert, dass er sich in bestehende Prozesse integriert: als Teil des Contract Lifecycle Managements, mit definierten Workflows, Benutzerrollen und Eskalationspfaden. Wenn sich regulatorische Anforderungen ändern, wird das entsprechende Modul aktualisiert, und alle betroffenen Verträge können systematisch neu bewertet werden. In einem Chat-basierten Szenario müsste jemand aktiv daran denken, das manuell zu wiederholen. Das passiert in der Realität nicht zuverlässig.
Für alle, die sich schnell einen ersten Eindruck verschaffen wollen und das Ergebnis entsprechend einordnen. Als Vorarbeit für eine strukturierte Prüfung, als Einstieg in ein Thema, als interne Diskussionsgrundlage, das alles ist vollkommen legitim. Was es nicht ersetzt, ist die systematische, nachweisbare, regulatorisch verankerte Prüfung. Wer Verträge prüft, weil er es muss, gegenüber Aufsehern, gegenüber Vorstand, gegenüber Vertragspartnern, braucht mehr als einen Chat. Er braucht ein System. Und er braucht den Nachweis, dass dieses System funktioniert hat.
Stadtwerke versorgen Millionen Bürgerinnen und Bürger mit Strom, Gas, Wasser, Wärme und zunehmend auch mit digitaler Infrastruktur. Gleichzeitig geraten sie zunehmend in den Fokus von Cyberkriminellen und daher auch von Regulierungsbehörden. Mit NIS-2 steigen die Anforderungen an Cybersicherheit, Governance und Risikomanagement deutlich. Im Interview erklären Gilles Schneider und Andreas Grau, warum nahezu alle Stadtwerke jetzt handeln müssen, welche Herausforderungen die Umsetzung mit sich bringt und wie sich Compliance wirtschaftlich und nachhaltig gestalten lässt.
Gilles Schneider: Stadtwerke nehmen eine besondere Rolle ein, da sie für mehrere kritische Versorgungsbereiche gleichzeitig verantwortlich sind. Strom, Gas, Trinkwasser, Fernwärme oder Telekommunikation sind essenzielle Leistungen für Bürgerinnen und Bürger. Kommt es auch nur zu einer partiellen Unterbrechung, sind die Folgen für die öffentliche Versorgung unmittelbar spürbar. Genau deshalb stehen Stadtwerke zunehmend im Fokus der Cyberkriminalität.
Andreas Grau: Gleichzeitig hat sich die regulatorische Perspektive verändert. Während bislang nur ein Teil der Versorgungsunternehmen unter KRITIS oder NIS-1 fiel, erweitert NIS-2 den Kreis der betroffenen Unternehmen deutlich. Für viele Stadtwerke bedeutet dies eine grundlegende Veränderung ihrer regulatorischen Anforderungen. Cybersicherheit wird von einer IT-Aufgabe zu einem strategischen Managementthema.
Andreas Grau: Die Anforderungen gehen deutlich weiter als bisher. NIS-2 betrachtet nicht nur technische Schutzmaßnahmen, sondern die gesamte Organisation. Dazu gehören Risikomanagement, Incident Handling, Notfallmanagement, Lieferketten, Schulungen und Governance-Strukturen.
Besonders relevant ist die Verantwortung der Geschäftsleitung. NIS-2 macht ausdrücklich klar, dass die Einhaltung der Anforderungen nicht delegiert werden kann. Geschäftsführungen müssen sich mit dem Thema aktiv auseinandersetzen, selbst schulen, Maßnahmen überwachen und deren Wirksamkeit nachvollziehen können.
Gilles Schneider: Genau diese Frage hören wir sehr häufig. Tatsächlich unterschätzen viele Stadtwerke ihre Betroffenheit. Durch die erweiterten Kriterien fallen heute deutlich mehr Unternehmen unter die Regulierung als früher. Relevant sind unter anderem Unternehmensgröße, Umsatz und die Zugehörigkeit zu kritischen Sektoren wie Energie, Wasser oder Telekommunikation. Für viele Stadtwerke lautet die Antwort deshalb: Ja, sie sind betroffen.
Deshalb empfehlen wir immer, zunächst eine strukturierte Betroffenheitsanalyse durchzuführen. Consileon führt diese stets in enger Kooperation mit spezialisierter Rechtsberatung durch, denn erst wenn klar ist, welche Einstufung vorliegt und welche Anforderungen konkret gelten, können die richtigen Prioritäten gesetzt werden.
Andreas Grau: Stellen wir uns ein mittelgroßes Stadtwerk vor. Die IT läuft stabil, es gab bislang keine größeren Sicherheitsvorfälle und man geht davon aus, grundsätzlich gut aufgestellt zu sein.
Bei einer näheren Analyse zeigt sich dann häufig ein anderes Bild: Es gibt zwar technische Sicherheitsmaßnahmen, aber keine dokumentierten Risikoanalysen. Lieferanten werden nicht systematisch bewertet und es bestehen ggf. riskante Abhängigkeiten zu einzelnen Dienstleistern. Interne Meldeprozesse für Sicherheitsvorfälle sind nicht definiert, was dazu führt, dass im Ernstfall die NIS-2-Meldepflicht nicht eingehalten werden kann. Die Geschäftsleitung erhält keine regelmäßigen Reports zum Sicherheitsstatus und kann die Wirksamkeit nicht, wie erwähnt, nachvollziehen.
Technisch funktioniert vieles, regulatorisch entstehen jedoch erhebliche Lücken. Genau diese Diskrepanz wird durch NIS-2 sichtbar.
Andreas Grau: OT-Landschaften wie Leitstellen sowie Steuerungs- und Netzsysteme sind häufig historisch gewachsen und wurden ursprünglich nicht für die heutigen Bedrohungsszenarien entwickelt. Gleichzeitig müssen sie hochverfügbar bleiben. Das macht Veränderungen deutlich anspruchsvoller als in klassischen Office-IT-Umgebungen.
Gilles Schneider: Das ist einer der Punkte, der aktuell die größte Aufmerksamkeit erzeugt. Viele Geschäftsführer stellen erstmals fest, dass sie persönlich Verantwortung tragen.
Wichtig ist dabei: NIS-2 verlangt nicht, dass die Geschäftsleitung selbst technische Sicherheitsmaßnahmen umsetzt. Sie muss jedoch sicherstellen können, dass Risiken bekannt sind, geeignete Maßnahmen beschlossen wurden und deren Umsetzung regelmäßig überwacht wird.
Cybersicherheit wird damit zu einem festen Bestandteil der Unternehmenssteuerung und der Corporate Governance.
Gilles Schneider: Genau hier stoßen klassische Ansätze häufig an ihre Grenzen. Die manuelle Prüfung von Richtlinien, Prozessen, Sicherheitskonzepten und Nachweisen verursacht erheblichen Aufwand.
Deshalb setzen wir zunehmend auf KI-gestützte Verfahren. Moderne Analysewerkzeuge können große Dokumentenmengen wie Richtlinien und Verträge systematisch prüfen, regulatorische Anforderungen mit vorhandenen Nachweisen abgleichen und potenzielle Lücken identifizieren. Dadurch lassen sich Ressourcen gezielter einsetzen und Compliance-Prozesse deutlich effizienter gestalten.
Andreas Grau: Viele Organisationen betrachten Compliance noch immer als einmaliges Projekt. Genau das funktioniert bei NIS-2 und der Cybersicherheit im Allgemeinen nicht.
Die Anforderungen verändern sich, Systeme entwickeln sich weiter, neue Risiken entstehen. Deshalb braucht es einen kontinuierlichen Prozess. Compliance muss dauerhaft überwacht, dokumentiert und regelmäßig bewertet werden. Nur so bleibt die Organisation langfristig handlungsfähig.
Gilles Schneider: Nicht auf die perfekte Lösung warten. Der wichtigste Schritt ist, Transparenz zu schaffen. Wo stehen wir heute? Welche Anforderungen gelten für uns? Wo bestehen Risiken und Handlungsbedarfe?
Andreas Grau: Wer früh beginnt, kann die Umsetzung strukturiert planen und in bestehende Prozesse integrieren. Wer wartet, riskiert Zeitdruck, höhere Kosten und unnötige Unsicherheit. Das BSI hat die Lage inzwischen verschärft: Die gesetzliche Registrierungsfrist ist bereits im März abgelaufen, und das BSI überwacht den Stand der Anmeldungen aktiv. Mit einer Nachfrist bis zum 31. Juli 2026 bietet die Behörde erneut die Gelegenheit, die Registrierung nachzuholen. Danach sind empfindliche Bußgelder realistisch. NIS-2 sollte nicht als regulatorische Pflichtübung verstanden werden, sondern als Chance, Cybersicherheit nachhaltig zu stärken und die eigene Resilienz zu erhöhen.
Consileon unterstützt Stadtwerke entlang des gesamten NIS-2-Lebenszyklus. Von der Betroffenheitsanalyse über Audits, Registrierungsberatung und Geschäftsleitungsschulungen bis hin zur Umsetzungsbegleitung und zum Continuous Compliance Management entsteht ein ganzheitlicher Ansatz für regulatorische Sicherheit und nachhaltige Cyberresilienz.
Am 5. Mai 2026 trifft sich die Finanzbranche in Bonn zum VÖB KI-Camp 2026. Nach der erfolgreichen Erstauflage im Vorjahr verbindet das Format erneut klassische Konferenzbestandteile mit dem offenen Austausch eines Barcamps. Genau diese Kombination macht die Veranstaltung besonders wertvoll: Fachliche Impulse von Experten treffen auf interaktive Sessions, die von den Teilnehmern selbst gewählt und gestaltet werden.
Unter dem Motto „KI trifft Expertise – innovative Lösungen für die Finanzwelt von morgen“ steht 2026 die Verbindung von technologischer Innovation und menschlichem Know-how im Mittelpunkt. Gerade für Finanzinstitute wird immer deutlicher, dass KI nicht isoliert als Technologiethema betrachtet werden darf. Entscheidend ist, wie sie in bestehende Prozesse, regulatorische Anforderungen und fachliche Entscheidungsstrukturen eingebettet wird. Genau an dieser Schnittstelle zwischen Innovation, Governance und operativer Umsetzbarkeit setzt der Austausch auf dem KI-Camp an.
Consileon ist auch dieses Jahr wieder mit dabei: Dr. Thilo Gaul, Dr. Jörg Schlösser und Sebastian Wagmann stehen für den fachlichen Austausch rund um KI, Regulatorik und konkrete Anwendungsfälle in der Finanzbranche zur Verfügung:
Für viele Banken ist die Einhaltung der Mindestanforderungen an das Risikomanagement (MaRisk) mit erheblichem Aufwand verbunden. Die Pflege der schriftlich fixierten Ordnung, die Prüfung umfangreicher Dokumentationen und die Anpassung an neue regulatorische Anforderungen erfolgen in vielen Häusern noch immer manuell. Das bindet Ressourcen, erschwert die Nachweisführung und erhöht den Abstimmungsaufwand zwischen Fachbereichen, Compliance und Revision.
Genau hier setzt der Consileon Compliance Manager an. Die Lösung unterstützt Finanzinstitute dabei, MaRisk-relevante Dokumente KI-gestützt zu analysieren, Abweichungen transparent zu machen und Lücken systematisch zu identifizieren. So entsteht eine belastbare Grundlage für interne Prüfungen, externe Audits und die laufende Weiterentwicklung regulatorischer Dokumentationen.
In der Praxis bedeutet das: Richtlinien, Risikohandbücher und weitere relevante Unterlagen können automatisiert auf Konsistenz und MaRisk-Konformität geprüft werden. Die KI identifiziert fehlende Regelungen, Inkonsistenzen und kritische Passagen und liefert zugleich nachvollziehbare Hinweise zur Verbesserung. Die fachliche Validierung bleibt dabei bewusst beim Menschen. Auf diese Weise verbindet der Ansatz technologische Effizienz mit regulatorischer Sorgfalt und schafft eine revisionssichere, nachvollziehbare Prüfungsgrundlage.
Ein leistungsfähiger KI-Einsatz im regulatorischen Umfeld erfordert mehr als nur ein Sprachmodell. Entscheidend sind die Qualitätssicherung der Ergebnisse und die Einbettung in belastbare Prozesse. Der Consileon Compliance Manager basiert auf leistungsfähigen Large Language Models und ergänzt diese um ein Qualitätssicherungs-Framework, das die Stabilität und Kontexttreue der Ausgaben zusätzlich absichert.
Damit entsteht ein Ansatz, der nicht nur technische Automatisierung ermöglicht, sondern auch den Anforderungen an Governance, Transparenz und Verlässlichkeit gerecht wird. Gerade mit Blick auf die steigende regulatorische Relevanz von KI und die Anforderungen des EU AI-Acts wird deutlich, wie wichtig diese Kombination aus KI, Qualitätssicherung und fachlicher Kontrolle ist.
Ein konkretes Beispiel aus dem Projektkontext zeigt den Mehrwert: Wenn Institute nach regulatorischen Änderungen eine Vielzahl bestehender Richtlinien prüfen und anpassen müssen, verkürzt die KI-gestützte Voranalyse den manuellen Sichtungsaufwand erheblich. Gleichzeitig lassen sich Prüfergebnisse strukturierter dokumentieren, was die Zusammenarbeit mit Revision, Wirtschaftsprüfung und Aufsicht spürbar erleichtert.
Besuchen Sie Consileon beim VÖB KI-Camp 2026 in Bonn und tauschen Sie sich mit unseren Experten über aktuelle KI-Trends, regulatorische Herausforderungen und konkrete Anwendungsfälle rund um die MaRisk-Compliance aus:
Mit dem Consileon Compliance Manager zeigen wir vor Ort in einer Live-Demo anhand des Beispiels MaRisk, wie sich KI sinnvoll in bestehende Compliance- und Prüfprozesse integrieren lässt. Unser Ansatz verbindet regulatorisches Fachwissen, technologische Kompetenz und Erfahrung aus Umsetzungsprojekten in der Finanzbranche. So entstehen Lösungen, die nicht nur innovativ wirken, sondern auch im Tagesgeschäft tragfähig sind.
Außerdem gehen unsere Experten mit der Session „Effiziente Compliance mit KI: Wie KI Compliance-Prozesse wirklich automatisiert – am Beispiel MaRisk“ ins Rennen. Wir sind gespannt darauf, welche Sessions die Teilnehmer gemeinsam auf die Agenda setzen und freuen uns auf neue Impulse!
Die PEH Wertpapier AG zählt zu den führenden banken- und versicherungsunabhängigen Finanzdienstleistern im deutschsprachigen Raum. Das Unternehmen wurde 1989 gegründet und ist von Anbeginn an inhabergeführt. Die PEH Gruppe bietet als Multi-Manager-Finanzhaus eine vielfach ausgezeichnete Vermögensverwaltung für Private Kunden sowie spezielle Produkte und Anlagelösungen für Institutionelle Investoren.
Die PEH verfolgt ein ambitioniertes Wachstum, das mit steigenden Anforderungen an Compliance und Regulatorik einhergeht. Bereits heute entstehen rund 30 % der regulatorischen Kosten durch externe Anwaltsleistungen. Derzeit beschäftigt die PEH-Gruppe 14 Mitarbeiter im Bereich Regulatorik; bei dem geplanten Wachstum würde dies eine lineare Personalaufstockung erfordern. Ziel war daher, Prozesse zu automatisieren, externe Kosten zu senken und Fachkräfte von repetitiven Aufgaben zu entlasten, um den Fokus stärker auf wertschöpfende Tätigkeiten zu lenken.
Mit dem Consileon Compliance Manager bietet Consileon eine KI-gestützte Lösung zur intelligenten Automatisierung regulatorischer Prozesse. Die Software analysiert Verträge und Dokumente, erkennt Lücken, Risiken und Optimierungspotenziale und schlägt gezielte Maßnahmen vor. Durch die nahtlose Integration in bestehende Systeme werden Prüfprozesse standardisiert, dokumentiert und revisionssicher gestaltet. Das gemeinsame Projekt wurde in enger Abstimmung mit den Fachabteilungen umgesetzt. Dank des flexiblen, iterativen Vorgehens konnte die Lösung schnell auf die spezifischen Bedürfnisse der PEH zugeschnitten werden – von der ersten Pilotierung bis zum produktiven Einsatz.
Bereits kurze Zeit nach der Einführung des Consileon Compliance Managers zeigten sich spürbare Fortschritte. Die PEH konnte ihre internen Abläufe im Bereich Compliance und Regulatorik deutlich verschlanken und externe Unterstützungsleistungen erheblich reduzieren. Prüfprozesse mit Wirtschaftsprüfern verlaufen heute wesentlich effizienter und standardisierter, wiederkehrende Tätigkeiten wurden automatisiert und zentral dokumentiert. Dadurch stiegen Transparenz und Nachvollziehbarkeit der regulatorischen Arbeit deutlich. Zugleich verbesserte sich die Qualität der Prüfergebnisse, da die Lösung keine relevanten Punkte übersieht und menschliche Fehlerquellen minimiert. Insgesamt profitiert die PEH von spürbarer Entlastung, höherer Prozesssicherheit und einer nachhaltig verbesserten Effizienz in der regulatorischen Steuerung.
Das laufende Projekt ist geprägt von einer engen, pragmatischen und vertrauensvollen Zusammenarbeit zwischen Consileon und der PEH. Erfolgstreibend war die Kombination aus Branchenexpertise, Regulatorik-Know-how und technologischem KI-Verständnis, ergänzt durch ein gemeinsames, agiles Lernverständnis. Diese enge Verzahnung von Use-Case-Design, Fachwissen und Technologie führte zu praxisnahen Ergebnissen und messbarem Mehrwert in kurzer Zeit.
Im nächsten Schritt plant die PEH, den Compliance Manager um weitere Module zu erweitern und sukzessive zusätzliche regulatorische Anwendungsfälle zu integrieren. Parallel werden die Mitarbeiter befähigt, KI-gestützte Prozesse aktiv zu nutzen und weiterzuentwickeln. Damit legt die PEH den Grundstein für eine zukunftsfähige, skalierbare und effiziente Compliance-Organisation und festigt ihre Position als innovatives Finanzdienstleistungsinstitut mit höchsten Standards in Qualität und Governance.
In der neuen Folge des syracom-Podcasts „Security first – Kaffee zweitens“ dreht sich alles um ein Thema, das derzeit tausende Unternehmen vor große Herausforderungen stellt: NIS-2. Die EU-Richtlinie zur Erhöhung der Cybersicherheit löst nicht nur die bisherige NIS-1-Regulierung ab, sondern verschärft die Anforderungen in nahezu allen Bereichen. Genau das nehmen Marius Dreixler und Tino Müller von syracom gemeinsam mit ihrem Gast Andreas Grau von Consileon kritisch unter die Lupe.
Unter dem Titel „NIS-2: Pflicht, Panik, Paragraphen – Was die EU-Richtlinie wirklich bedeutet“ bietet die Folge einen praxisnahen Überblick: Was ändert sich konkret? Wen betrifft die neue Regulierung? Und welche organisatorischen, technischen und rechtlichen Schritte müssen Unternehmen jetzt einleiten, um rechtzeitig compliant zu sein?
Während NIS-1 vor allem klassische KRITIS-Betreiber adressierte, erweitert NIS-2 den Anwendungsbereich erheblich. Neu im Fokus stehen sogenannte „wichtige“ und „besonders wichtige“ Einrichtungen – darunter Unternehmen, die keine kritischen Anlagen betreiben, aber dennoch essenziell für Wirtschaft und Gesellschaft sind. In Deutschland betrifft dies bis zu 30.000 Organisationen, die sich erstmals systematisch mit Cybersicherheits- und Compliance-Auflagen auseinandersetzen müssen.
Für Compliance-Verantwortliche, Risk Manager und CISOs steigt damit der Druck: Risikomanagement, Governance, Dokumentationspflichten und Meldewege müssen neu bewertet und teilweise komplett neu aufgebaut werden. Zudem werden die Geschäftsleitungen stärker in die Verantwortung genommen, und die Sanktionen bei Verstößen fallen deutlich härter aus als bisher.
• Was regelt NIS-2 konkret und worin unterscheidet sich die Richtlinie von NIS-1?
• Welche Unternehmen fallen unter den neuen Anwendungsbereich?
• Welche Pflichten resultieren daraus für Geschäftsleitung, IT, Risk Management und Compliance?
• Was sind die wichtigsten ersten Schritte auf dem Weg zur Umsetzung?
• Welche Chancen ergeben sich aus den strengeren Standards für Cyberresilienz, Geschäftskontinuität und Sicherheitskultur?
Die Podcastfolge eignet sich sowohl für Einsteiger als auch für Fachverantwortliche, die tiefer in Governance, Risk und Compliance eintauchen wollen.
Die Integration der NIS-2-Vorgaben in gewachsene IT- und Prozesslandschaften ist komplex. Alte Systeme, fehlende Dokumentation und organisatorische Silos erschweren die Umsetzung erheblich. NIS-2 verlangt zudem deutlich mehr als nur technische Maßnahmen. Prozesse müssen nachvollziehbar beschrieben, Kontrollen sauber dokumentiert und regelmäßige Aktualisierungen sichergestellt werden – eine Herausforderung, die nur mit enger Zusammenarbeit zwischen IT, Compliance, Risiko und Fachbereichen zu bewältigen ist.
Genau an dieser Stelle setzt Consileon an: Mit strukturierten Roadmaps, KI-gestützter Dokumentenanalyse und Best Practices aus zahlreichen Projekten unterstützen wir Unternehmen dabei, NIS-2 nicht nur formal, sondern strategisch sinnvoll umzusetzen.
Wir unterstützen Sie dabei, Ihre Betroffenheit korrekt einzuordnen, notwendige Maßnahmen zu priorisieren und eine effiziente, nachhaltige Sicherheitsstrategie aufzubauen. Sprechen Sie uns gerne an und klären Sie mit unseren Expertinnen und Experten, welche konkreten Schritte für Ihre Organisation jetzt relevant sind.
Qualitätsmanagement-Beauftragte in der Pharmaindustrie stehen unter hohem Druck: Die lückenlose Einhaltung von GDP- und GMP-Vorgaben ist Pflicht. Gleichzeitig erschweren eine enorme Dokumentenfülle, Sprachvarianten und komplexe Lieferketten die effiziente Durchführung von Audits. Die Vorbereitung ist zeitaufwendig, fehleranfällig und bindet wertvolle Ressourcen.
Anhand einer praxisnahen Prüfung mehrsprachiger Pharma-Dokumente zeigen wir Ihnen Schritt für Schritt:
Das Consileon Regulatorik-Radar unterstützt Auditoren und Qualitätsverantwortliche im Tagesgeschäft durch:
Wir freuen uns, Dr. Torsten Schmidt-Bader, GDP/GMP Corporate Lead Auditor, als Referenten im Webinar begrüßen zu dürfen.
Seit Anfang 2023 ist die EU-Richtlinie NIS-2 in Kraft und soll noch 2025 in deutsches Recht umgesetzt werden. Damit löst sie die bisherige NIS-Richtlinie ab und erweitert den Kreis der betroffenen Unternehmen maßgeblich. Während bislang vorwiegend klassische Betreiber kritischer Infrastrukturen betroffen waren, sind mit NIS-2 plötzlich tausende weitere Unternehmen verpflichtet, ihre Informationssicherheit aufzurüsten. Auch die Sicherheitsanforderungen, Strafen und Meldepflichten wurden verschärft und die Geschäftsleitung wurde stärker in die Verantwortung gezogen.
Die Richtlinie geht nicht mit einer festen Liste an Maßnahmen einher, sondern definiert Schutzziele, die einzuhalten sind. Unternehmen müssen eine angemessene Risikobewertung durchführen und die relevanten Bereiche mit geeigneten Maßnahmen adressieren. Dazu gehören in der Regel:
Die Umsetzung mag komplex wirken, ist aber mit einer strukturierten Vorgehensweise und einer angemessenen Definition des Projektumfangs durchaus zu bewältigen. Wesentliche Fragen auf diesem Weg sind:
Consileon begleitet Sie auf diesem Weg und unterstützt Sie bei der Umsetzung der NIS-2-Anforderungen in praxisnahe Maßnahmen. Wichtig ist es, früh anzufangen, denn die Einführung erfordert Zeit, Ressourcen und die Absprache mit internen und externen Akteuren. Dann gelingt nicht nur die Compliance, sondern Ihr Unternehmen gewinnt auch nachhaltig an Widerstandsfähigkeit und kann sich als zuverlässiger und zukunftsorientierter Partner positionieren.
Regulatorische Prüfungen gehören in Banken zum Alltag, doch mit wachsender Komplexität, steigenden Datenmengen und neuen EU-Verordnungen geraten klassische Prüfprozesse zunehmend an ihre Grenzen. Gerade bei der Prüfung umfangreicher Dokumente wie Verträgen, Arbeitsanweisungen oder Organisationshandbüchern ist der Aufwand hoch, ebenso die Fehleranfälligkeit.
Genau hier setzt die KI-Lösung, das Consileon Regulatorik-Radar, an. Sie unterstützt Banken dabei, Dokumente automatisiert und unabhängig von Format oder Sprache auf regulatorische Anforderungen zu prüfen.
Neben klassischen Banken profitieren auch Autobanken vom Einsatz des Regulatorik-Radars, beispielsweise bei der Prüfung von IT-Dienstleisterverträgen im Rahmen von DORA. Die KI-gestützte Lösung unterstützt bei der strukturierten Prüfung und Dokumentation – effizient und revisionssicher.
Anhand einer Vertragsprüfung auf DORA-Konformität zeigen wir Ihnen:
Das Consileon Regulatorik Radar entlastet Ihre Compliance-Teams gezielt:
Ihre Referenten im Webinar sind:
Regulatorische Prüfungen sind für Versicherungen Alltag, doch die Anforderungen steigen rasant. Mehr Daten, komplexere Vorgaben und neue EU-Verordnungen wie DORA bringen klassische Prüfprozesse schnell an ihre Grenzen. In unserem Webinar zeigen wir, wie Künstliche Intelligenz zum entscheidenden Hebel für effiziente Risiko- und Compliance-Arbeit wird.
Mit dem Consileon Regulatorik-Radar, entwickelt auf Basis von Large Language Models (LLMs), lassen sich umfangreiche Dokumente automatisiert auf regulatorische Anforderungen prüfen – von Verträgen über Arbeitsanweisungen bis hin zu Organisationsrichtlinien. Und das unabhängig von Sprache oder Format.
Chief Risk Manager, Compliance Officer und Regulatorik-Spezialisten in Versicherungen
Am 25. Juni 2025 fand unser Webinar zum Thema „KI-gestützte Audits und Prüfungen für Versicherer“ statt, mit großem Interesse und reger Beteiligung. Über 60 Minuten diskutierten Expertinnen und Experten aus dem Versicherungsumfeld mit uns darüber, wie KI-basierte Lösungen die täglichen Herausforderungen in der regulatorischen Prüfungspraxis wirkungsvoll unterstützen können.
Im ersten Teil des Webinars gaben Dr. Michael Reich und Sebastian Wagmann einen Überblick über aktuelle Entwicklungen im regulatorischen Umfeld, insbesondere über die Auswirkungen der DORA-Verordnung und weiterer Regulierungen auf die Prüfprozesse in Versicherungen und Finanzunternehmen.
Mit dem Consileon Regulatorik-Radar, einer Lösung auf Basis von Large Language Models (LLMs), zeigten wir praxisnah, wie umfangreiche Dokumente wie Verträge, Arbeitsanweisungen oder Organisationsrichtlinien automatisiert und regelbasiert geprüft werden können, unabhängig von Format und Sprache.
Ein Höhepunkt des Webinars war die Live-Demonstration des Regulatorik-Radars anhand einer Vertragsprüfung auf DORA-Konformität. Daran schloss sich eine angeregte Fragerunde an, in der zahlreiche Teilnehmende gezielte Fragen zur Weiterentwicklung, zum Einsatzmodell und zur Qualitätssicherung der Lösung stellten.
1. Wie kommen neue regulatorische Anforderungen in das Regulatorik-Radar?
Die regulatorischen Anforderungen können über ein Content Management System durch unsere Admins verwaltet werden. Die Ermittlung der Anforderungen bei der Integration neuer Regulatorik wird initial durch ein KI-Analyse-Tool bewerkstelligt, welches ebenfalls von Consileon entwickelt wurde. Im Zweiten Schritt führt ein Regulatorik-Fachexperte eine Qualitätssicherung der Ergebnisse durch. Anschließend werden die Anforderungen in die Software geladen. Gemeinsam mit dem Kunden können abschließend noch Änderungen, wie Wortwahl-Anpassungen oder die Integration von Sonderfragen, durchgeführt werden.
2. Welche Regelwerke sind aktuell verfügbar und welche werden bald integriert?
Bereits verfügbar sind DORA (mehrere Teilbereiche wie Vertragsprüfung, Informationsregister, Richtlinienprüfung), NIS2 (für kritische Institutionen außerhalb des Finanzsektors) und GDP (Good Distribution Practice im Pharmabereich). Die Integration der Regelwerke EU AI-Act, SfO-Geldwäsche-Prüfung (AMLD, GWG etc.), ISO 27001, MaRisk mit Fokus auf IKS (Interne Kontrollsysteme) und CSRD ist in Vorbereitung. Zusätzlich sind kundenspezifische Entwicklungen jederzeit möglich.
3. Kann der Funktionsumfang individuell erweitert werden?
Ja, es besteht stets die Möglichkeit, bei Bedarf auch individuell gewünschte Features zu entwickeln oder neue Regularien in unsere Software einzubinden. Unsere Software wird stetig mit einem agilen Team aus Entwicklern, KI-Spezialisten und Fachexperten weiterentwickelt.
4. Wie werden die Daten verarbeitet und gespeichert?
Alle Daten die das Regulatorik Radar verarbeitet, werden in Europa (standardmäßig MS Azure) gehostet. Höchste Datensicherheitsstandards sind für Consileon hierbei eine Selbstverständlichkeit. Das Hosting sowie die Verarbeitung der Daten werden immer zuvor mit dem Kunden hands-on abgestimmt und im Rahmen einer AVV vertraglich festgehalten. Eine Bereitstellung der Software als On-Premise-Lösung ist möglich.
5. Sind die KI-Modelle flexibel anpassbar?
Ja, es besteht die Option, die KI-Modelle der Software zu tauschen. Unser Entwicklerteam prüft regelmäßig neue KI-Modelle mithilfe unserer Qualitätsprüfungs-Software Lighthouz AI. Somit ist unser KI-Agenten-Modell stets auf dem neuesten Stand der Technik und optimal abgestimmt. Es besteht jedoch auch die Möglichkeit, eine Modellkonfiguration nach Kundenwunsch vorzunehmen. Bitte beachten Sie jedoch, dass hierzu zunächst eine Qualitätsevaluierung durchgeführt werden muss, um bestmögliche Ergebnisse garantieren zu können.
Das durchweg positive und konstruktive Feedback der Teilnehmenden hat gezeigt, dass der fachliche Tiefgang des Webinars genau die Bedürfnisse der Zielgruppe getroffen hat. In der Diskussion wurden nicht nur Fragen geklärt, sondern auch wertvolle Impulse zur Weiterentwicklung des Tools gegeben, etwa zur Weiterentwicklung des Informationsregisters oder zur Integration zusätzlicher regulatorischer Anforderungen wie dem EU AI Act, CSRD oder ISO 27001.
Sprechen Sie mit uns. Wir zeigen Ihnen gerne, wie KI Ihre regulatorischen Prüfprozesse effizienter, sicherer und zukunftsfähig macht.