Es gibt zwei typische Reaktionen, wenn der EU AI Act im Unternehmen „landet“: Entweder wird er als reines Rechtsprojekt verstanden („Jura klärt, IT liefert irgendwann nach“). Oder er wird als Technikthema gesehen („Wir machen ein KI-Register, dann passt das schon“). Beide Perspektiven greifen zu kurz. Der EU AI Act ist vor allem eine Steuerungsfrage: Wer entscheidet was, nach welchen Kriterien, mit welchem Nachweis – und wie bleibt das auch dann tragfähig, wenn aus 5 KI-Anwendungen plötzlich 50 werden?

In diesem Beitrag geht es nicht um Paragrafen-Exegese. Es geht um einen praktikablen Weg zu einer Governance-Struktur, die schnell startfähig ist und dabei nicht beim ersten Wachstumsschub auseinanderfällt. „Schnell“ heißt hier nicht oberflächlich, sondern: mit wenigen Bausteinen so viel Ordnung schaffen, dass Sie Risiken einordnen, Entscheidungen treffen und Nachweise liefern können – ohne Ihr Unternehmen mit Bürokratie zu blockieren.

NIS2 bringt viele Organisationen in eine vertraute Komfortzone: Anforderungen lesen, Maßnahmen ableiten, Dokumente erstellen, Checklisten abhaken. Das fühlt sich nach Fortschritt an – und ein Teil davon ist auch wirklich notwendig. Trotzdem gibt es ein Problem, das in der Praxis häufig erst dann sichtbar wird, wenn es ernst wird: „Compliant“ heißt nicht automatisch „resilient“.

Compliance beantwortet primär die Frage: „Haben wir Anforderungen umgesetzt?“ Resilienz beantwortet eine andere Frage: „Können wir Störungen aushalten, schnell reagieren und den Betrieb stabil wiederherstellen – und zwar unter Stress, mit echten Abhängigkeiten und begrenzten Ressourcen?“ Zwischen beiden liegt eine Lücke, die Sie nicht mit noch mehr Papier schließen, sondern nur mit funktionierenden Abläufen.

Die Schlagworte sind bekannt: niedrige Latenz, hohe Zuverlässigkeit, Millionen vernetzter Geräte. Doch erst dort, wo 5G den Maschinenraum eines Unternehmens erreicht – in Fertigung, Lager, Yard, Flotte, Feldservice –, zeigt sich, was hinter den Marketingfolien steckt: ein Netz, das sich wie ein Werkzeug verhält. Planbar. Zuschneidbar. Belastbar. Und genau dadurch wirtschaftlich. Wer 5G als „schnelleres LTE“ einordnet, denkt in Balkendiagrammen. Wer 5G als Steuerungsebene der eigenen Prozesse begreift, denkt in Durchlaufzeit, Stillstand, Ausschuss, OEE, Backhaul-Kosten, Auditfähigkeit. Dieser Beitrag führt praxisnah durch Industrie, IoT und Logistik: Wo 5G heute trägt, wie Architekturen aussehen, wie man sauber migriert – und welche Entscheidungen den ROI bestimmen.

Warum 5G jetzt reif ist – und was das konkret bedeutet

Die letzten Jahre brachten die Bausteine zusammen, die Unternehmen brauchen: Standalone-5G (SA) mit 5G-Core statt LTE-Anhängsel, Network Slicing mit QoS-Klassen, Multi-Access Edge Computing (MEC) für Nähe zur Maschine, reife Industrie-Endgeräte (Router, Modems, CPEs, Ruggedized Handhelds), erste Welle RedCap-Module für schlanke IoT-Profile, Campuslizenzen und Providerangebote mit dedizierten Business-Slices. Dazu kommt: Preis und Verfügbarkeit haben die Schwelle gesenkt – vom Einzelslice im öffentlichen Netz bis hin zum voll privaten Campus mit lokaler Funk- und Core-Infrastruktur.

In der Welt der Finanzaufsicht kennen viele die großen Namen: MaRisk, DORA, EBA-Guidelines. Doch eine Vorgabe steht oft im Schatten und wird dennoch für bestimmte Unternehmen immer wichtiger: MaGO – die Mindestanforderungen an die Geschäftsorganisation. Gerade Versicherungsunternehmen und Pensionskassen neigen dazu, MaGO als „weniger kritisch“ einzustufen, weil sie im Vergleich zu MaRisk oder DORA weniger öffentlich diskutiert wird. Das ist ein gefährlicher Trugschluss: MaGO greift tief in die Organisations-, Steuerungs- und Entscheidungsprozesse ein. Wer hier unvorbereitet ist, steht bei einer BaFin-Prüfung schnell im Erklärungsnotstand – selbst dann, wenn die operative Praxis „eigentlich funktioniert“.

Dieser Beitrag zeigt, warum MaGO oft unterschätzt wird, welche Pflichten und Nachweise sie konkret mit sich bringt, wie sie mit anderen Regelwerken zusammenspielt (MaRisk VA, VAIT, EIOPA-Leitlinien, DORA) und wie Sie MaGO effizient und prüfungssicher in Ihre Governance integrieren.

Die meisten Sicherheitsvorfälle wirken im Nachhinein wie plötzliche, unvorhersehbare Katastrophen – ein Hackerangriff, der Server lahmlegt, ein Brand im Rechenzentrum, ein Datenleck, das tausende Kundendatensätze betrifft. Doch wer genauer hinsieht, erkennt: Die Vorzeichen waren oft lange vorher da. Kleine Warnsignale, übersehene Schwachstellen, ignorierte Zwischenfälle. Die Kunst der Informationssicherheit besteht nicht nur darin, schnell auf Vorfälle zu reagieren, sondern Gefährdungen so früh zu erkennen, dass es gar nicht erst „knallt“. Prävention ist immer günstiger, einfacher und weniger riskant als Schadensbegrenzung im Nachhinein. Damit Prävention zuverlässig gelingt, braucht es ein systematisches Vorgehen, das Gefahrenquellen sichtbar macht, bewertet, priorisiert – und kontinuierlich nachschärft.

Was genau ist eine Gefährdung?

„Gefährdung“ klingt abstrakt, ist aber präzise definierbar: Eine Gefährdung ist jede Bedingung oder Handlung, die – in Kombination mit einer Schwachstelle – zu einem Schaden an Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen führen kann. Das Spektrum reicht von technischen Ursachen (verwundbare Software, Fehlkonfigurationen, ausfallende Hardware) über menschliche Faktoren (Fehlbedienung, Social Engineering, Innentäter) bis zu organisatorischen Lücken (unklare Prozesse, fehlende Vertretungen, mangelhafte Vertragsklauseln) und Naturereignissen (Feuer, Wasser, Sturm, Pandemien). In der Praxis sind es selten die Schlagzeilenbedrohungen allein, die schmerzen; viel häufiger kumulieren alltägliche Schwächen, bis ein Auslöser genügt.