Sechs Rahmenwerke, die für Galvanikbetriebe relevant sind

Die EU teilt KI-Systeme in vier Risikoklassen ein. Die Anomalieerkennung ist als Advisory-System ausgelegt: Auffälligkeiten werden markiert, die Reaktion entscheidet immer eine geschulte Fachkraft. Nach eigener Einstufung liegt kein Hochrisiko-Anwendungsfall nach Anhang III vor; die Einstufung ist im Einzelfall mit Ihrer Compliance zu bestätigen. Für jede markierte Anomalie ist nachvollziehbar, welche Sensoren und welche Datenmuster sie verursacht haben (Explainable AI). Keine automatischen Eingriffe in die Anlage.

NIS2 verpflichtet größere Industriebetriebe zu Cybersecurity-Risikoanalyse, Incident-Reporting und Lieferkettensicherheit. Kleinere Betriebe sind nicht direkt erfasst — aber NIS2-pflichtige Hauptkunden reichen die Anforderung an ihre Lieferanten weiter. Die Diagnose-Methodik ist so dokumentiert, dass sie als Nachweis gegenüber auditierenden Kunden taugt: Patch-Prozesse, Logging, Vorgehen bei Sicherheitsvorfällen.

Der Cybersecurity Act fokussiert auf sichere Entwicklungsprozesse und Lieferketten-Security. Jede Code-Änderung läuft durch sieben automatisierte Prüfungen (unter anderem statische Codeanalyse, Abhängigkeitsprüfung und Lizenz-Check), Commits werden kryptografisch mit einem Hardware-Token (Yubikey) signiert, Änderungen sind über die gesamte Historie nachvollziehbar. Für kritische Sicherheitsupdates wird die Reaktionsfrist im Wartungsvertrag vereinbart.

Verarbeitet werden ausschließlich Maschinendaten — Sensorwerte, Prozessparameter, Reklamationsstatistiken. Personenbezogene Daten kommen weder in die Auswertung noch in das Modell. Die Sicherheitsanforderungen aus Artikel 32 sind trotzdem umgesetzt: Verschlüsselung bei der Übertragung, Zugriffskontrolle, dokumentierte Löschung nach Projektende auf Anforderung. Sollten Datenexporte versehentlich personenbezogene Daten enthalten (z.B. Bediener-Namen in Schichtprotokollen), werden diese vor der Analyse entfernt und das Vorgehen schriftlich festgehalten.

IEC 62443 ist der zentrale Standard für Cybersecurity in industriellen Steuerungssystemen. Ein wichtiges Prinzip ist der einseitige Datenfluss: Daten dürfen von der Anlage zur Auswertung fließen, niemals zurück. So kann ein kompromittiertes Auswertungssystem über diesen Weg nicht in den Produktionsprozess eingreifen. Diese Trennung ist in der Architektur fest verankert — die Auswertung läuft auf einem abgeschotteten lokalen System mit ausschließlich lesendem Zugriff. Keine Schreibrechte auf SPS, Bad-Steuerung oder Anlagentechnik. Das ist nicht nur eine technische Maßnahme, sondern auch eine vertragliche Zusage.

TÜV AUSTRIA bietet eine freiwillige Modellprüfung für KI-Systeme im industriellen Einsatz an. Geprüft werden unter anderem statistische Validierung, Reproduzierbarkeit, Vorgehen bei Modell-Drift und die Trennung von Trainings- und Validierungsdaten. Die Inspektion erfolgte von Ende April bis Ende Mai 2026 auf Basis der eingereichten Dokumentation sowie eines Auditgesprächs mit Live-Demonstration des Modells und wurde im Juni 2026 abgeschlossen. Der Inspektionsbericht bestätigt, dass das System die erwarteten Anforderungen für seine Risikoklasse erfüllt und einen fortgeschrittenen Reifegrad in Entwicklung und Dokumentation aufweist. Ein Auszug aus dem Management Summary ist unter den Nachweisen einsehbar.