„Haben wir alles dokumentiert?" ist nicht die Frage, die im Ernstfall zählt. Die Frage ist: „Sind wir bereit — und können wir es belegen?" Wir machen KI- und Cyber-Risiko kontrollierbar, auditierbar und nachweisfähig — für EU AI Act und NIS2.
"Did we document everything?" is not the question that counts when it matters. The question is: "Are we ready — and can we prove it?" We make AI and cyber risk controllable, auditable and demonstrable — for the EU AI Act and NIS2.
NIS2 ist in Deutschland seit dem 6. Dezember 2025 in Kraft (NIS2-Umsetzungsgesetz) und betrifft rund 29.500 Unternehmen in 18 Sektoren — mit Pflichten zu Risikomanagement, Registrierung beim BSI und Meldefristen (24-Stunden-Frühwarnung, 72-Stunden-Bericht).
NIS2 has been in force in Germany since 6 December 2025 and affects around 29,500 companies across 18 sectors — with duties for risk management, BSI registration and reporting deadlines (24-hour early warning, 72-hour report).
Beim EU AI Act gelten Verbote, die KI-Kompetenzpflicht und die GPAI-Regeln bereits. Die Hochrisiko-Pflichten nach Annex III wurden per „Digital Omnibus" auf den 2. Dezember 2027 verschoben — verschoben, nicht gestrichen. NIS2 ist jetzt akut; AI Act / Annex IV ist das planbare Folgegeschäft.
For the EU AI Act, prohibitions, the AI literacy duty and GPAI rules already apply. The high-risk obligations under Annex III were postponed to 2 December 2027 via the "Digital Omnibus" — postponed, not removed. NIS2 is acute now; the AI Act / Annex IV is the plannable follow-up.
KI-Governance ist kein weiteres Tool und kein Ersatz für SIEM, SOC oder eure Anwälte. Es ist die Ebene, die die eine Frage des Vorstands beantwortet — „Können wir es heute belegen?". Konkret bauen wir:
AI governance is not another tool and no replacement for SIEM, SOC or your lawyers. It is the layer that answers the board's one question — "Can we prove it today?". Concretely we build:
KI- und Cyber-Risiken mit benannten Verantwortlichen und Prüfzyklen — statt Tabellen, die niemand pflegt.
AI and cyber risks with named owners and review cycles — instead of spreadsheets nobody maintains.
Nachweise mit Gültigkeits-Lebenszyklus: abgelaufen = sichtbare Lücke, nicht stilles „grün".
Evidence with a validity lifecycle: expired = visible gap, not silent "green".
NIS2-Fristen (24h / 72h), die sich selbst belegen — inklusive Eskalation und Protokoll.
NIS2 deadlines (24h / 72h) that document themselves — including escalation and log.
Rollen, Freigaben, Fallbacks und ein vollständiges, nachvollziehbares Audit-Log für jede KI-Entscheidung.
Roles, approvals, fallbacks and a complete, traceable audit log for every AI decision.
Eine Zahl, die man verteidigen kann — bis zum einzelnen Nachweis nachvollziehbar, board-tauglich als Report.
A number you can defend — traceable down to the single piece of evidence, board-ready as a report.
Strukturierte Vorbereitung der technischen Dokumentation nach Annex IV — ein mehrmonatiges Projekt, planbar gemacht.
Structured preparation of the Annex IV technical documentation — a multi-month effort, made plannable.
GARION ist unser AI-Governance- und Readiness-System: lokal, deterministisch, audit-fähig. Es macht sichtbar, welche KI im Einsatz ist, welche Nachweise fehlen und ob ihr für EU AI Act und NIS2 führungsfähig seid.
GARION is our AI governance and readiness system: local, deterministic, auditable. It shows which AI is in use, which evidence is missing, and whether you are leadership-ready for the EU AI Act and NIS2.