NIST AI RMF und EU-KI-Verordnung: Compliance-Zuordnung im direkten Vergleich

Ordnen Sie NIST-AI-RMF-Kontrollen den Anforderungen der EU-KI-Verordnung zu. Erfahren Sie, welche NIST-Funktionen welche Artikel erfüllen und wo entlang der gestaffelten Geltungstermine Lücken bleiben.

Aktualisiert am 4. August 2026 — Fristen haben sich geändert. Die EU-KI-Verordnung gilt in Stufen, und der Digital Omnibus (angenommen am 16. und 29. Juni 2026) hat zwei davon verschoben. Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025; die Transparenz nach Artikel 50 seit dem 2. August 2026 (nicht aufgeschoben); die Hochrisiko-Pflichten des Anhangs III ab dem 2. Dezember 2027; Anhang I ab dem 2. August 2028. Dieser Artikel wurde entsprechend korrigiert.

Wer KI-Systeme für globale Märkte baut, steht vor zwei großen Rahmenwerken: dem NIST AI RMF (in den USA freiwillig, zunehmend in der Bundesbeschaffung referenziert) und der EU-KI-Verordnung (in der EU verbindlich, in Stufen bis 2028 anwendbar). Die gute Nachricht: Sie überschneiden sich erheblich. Die schlechte Nachricht: Überschneidung ist nicht Gleichwertigkeit. Sie können nicht davon ausgehen, dass NIST-Konformität automatisch die Pflichten der EU-KI-Verordnung erfüllt.

Dieser Leitfaden bietet eine Gegenüberstellung der NIST-AI-RMF-Funktionen und der Artikel der EU-KI-Verordnung, zeigt, wo NIST-Kontrollen EU-Anforderungen erfüllen, und markiert Lücken, die Sie vor jeder Anwendungsstufe schließen müssen. Die Bußgelder erreichen 35 Mio. € bzw. 7 % für die verbotenen Praktiken nach Artikel 5 und 15 Mio. € bzw. 3 % für die Betreiberpflichten, unter denen die meisten Unternehmen stehen — bei KMU gedeckelt auf den niedrigeren Betrag. Die Zuordnung richtig hinzubekommen, ist nicht optional.

Überblick über die Rahmenwerke: NIST AI RMF und EU-KI-Verordnung

Dimension	NIST AI RMF	EU-KI-Verordnung
Rechtsstatus	Freiwillig (USA); in der Bundesbeschaffung referenziert	Verbindlich (EU); rechtlich bindende Verordnung
Anwendungsbereich	Alle KI-Systeme (risikobasierte Leitlinien)	Hochrisiko-KI (Anhang III) + verbotene KI (Artikel 5) + KI-Modelle mit allgemeinem Verwendungszweck
Struktur	4 Funktionen (Govern, Map, Measure, Manage) + 23 Kategorien	85 Artikel + 13 Anhänge (technische Anforderungen, Konformität)
Durchsetzung	Keine (freiwillig); vertraglich in der Beschaffung	Behörden der EU-Mitgliedstaaten; 35 Mio. €/7 % (Verbote Art. 5), 15 Mio. €/3 % (Betreiberpflichten), 7,5 Mio. €/1 % (irreführende Angaben)
Schwerpunkt	Risikomanagementprozess	Rechtliche Compliance (Dokumentation, Konformität, Marktüberwachung)
Zeitplan	Veröffentlicht Januar 2023; laufende Aktualisierungen	Gestaffelt: Verbote Februar 2025; KI mit allgemeinem Verwendungszweck August 2025; Transparenz Art. 50 August 2026; Hochrisiko Anhang III Dezember 2027; Anhang I August 2028

Kerngedanke: Das NIST AI RMF ist ein Prozessrahmen (wie man KI-Risiken steuert). Die EU-KI-Verordnung ist ein Compliance-Rahmen (was Sie dokumentieren und nachweisen müssen). NIST hilft Ihnen, gute Praxis aufzubauen; die EU-KI-Verordnung sagt Ihnen, was rechtlich gefordert ist.

Zuordnung auf hoher Ebene: NIST-Funktionen und Titel der EU-KI-Verordnung

Funktion des NIST AI RMF	Wesentliche Zuordnung in der EU-KI-Verordnung	Abdeckung
Govern (steuern)	Titel III, Kapitel 2 (Artikel 8–15: Governance, Risikomanagement, Transparenz, Aufsicht)	ca. 70 % Überschneidung
Map (erfassen)	Artikel 9 (Risikomanagement), Artikel 10 (Daten-Governance), Anhang IV (technische Dokumentation)	ca. 60 % Überschneidung
Measure (messen)	Artikel 9 (Risikomanagement), Artikel 15 (Genauigkeit, Robustheit, Cybersicherheit), Artikel 10 (Datenqualität)	ca. 65 % Überschneidung
Manage (bewältigen)	Artikel 9 (Risikomanagement), Artikel 61 (Beobachtung nach dem Inverkehrbringen), Artikel 72 (Meldung von Vorfällen)	ca. 50 % Überschneidung

Kritische Lücke: Das NIST AI RMF behandelt weder die Konformitätsbewertung (Artikel 43) noch die CE-Kennzeichnung (Artikel 49), die Registrierung in der EU-Datenbank (Artikel 71) oder die Betriebsanleitung (Artikel 13). Das sind EU-spezifische Rechtspflichten ohne NIST-Entsprechung.

Detaillierte Zuordnung: NIST-Kategorien und Artikel der EU-KI-Verordnung

NIST-Funktion Govern → Governance-Anforderungen der EU-KI-Verordnung

NIST-Kategorie	Artikel der EU-KI-Verordnung	Überschneidung	Lücke
GOVERN 1.1: Richtlinie für KI-Risikomanagement	Artikel 9 (Risikomanagementsystem)	Hoch	NIST ist freiwillig; die EU verlangt ein dokumentiertes, prüfbares Risikomanagementsystem
GOVERN 1.2: Rollen und Verantwortlichkeiten	Artikel 16 (Pflichten der Anbieter), Artikel 26 (Bevollmächtigte)	Mittel	Die EU verlangt rechtliche Verantwortlichkeit (namentlich benannte natürliche/juristische Personen); NIST ist rollenbasiert
GOVERN 1.3: Risikotoleranz der Organisation	Artikel 9.2 (Risikomanagement über den gesamten Lebenszyklus)	Mittel	Die EU verlangt konkrete Risikoschwellen für Hochrisiko-KI; NIST bleibt allgemein
GOVERN 2.1: Verantwortungsstrukturen	Artikel 16 (Pflichten der Anbieter), Artikel 29 (Pflichten der Betreiber)	Mittel	Die EU weist rechtliche Haftung zu; NIST weist Prozessverantwortung zu
GOVERN 3.1: Rechts- und Regulierungskonformität	Artikel 8–51 (gesamter Titel III)	Gering	NIST verweist allgemein auf Compliance; die EU nennt die genauen Anforderungen
GOVERN 4.1: Organisationskultur	Keine direkte Entsprechung	Keine	Die EU reguliert keine Kultur; sie stellt auf dokumentierte Prozesse ab

Zum Mitnehmen: NIST Govern schafft Prozess-Governance. Die EU-KI-Verordnung verlangt rechtliche Verantwortlichkeit mit namentlich benannten Verantwortlichen, dokumentierten Richtlinien und Konformitätsnachweisen. Wenn Sie Govern umgesetzt haben, haben Sie ein Fundament — aber Sie müssen rechtliche Verantwortlichkeit, Dokumentation und Konformitätsverfahren ergänzen, um die EU-KI-Verordnung zu erfüllen.

NIST-Funktion Map → Risiko- und Datenanforderungen der EU-KI-Verordnung

NIST-Kategorie	Artikel der EU-KI-Verordnung	Überschneidung	Lücke
MAP 1.1: Nutzungskontext	Artikel 9.2(a) (Zweckbestimmung, vernünftigerweise vorhersehbare Fehlanwendung)	Hoch	Die EU verlangt die dokumentierte Zweckbestimmung in der technischen Dokumentation (Anhang IV)
MAP 1.2: KI-System einordnen	Anhang III (Liste der Hochrisiko-KI-Systeme)	Mittel	NIST nutzt Risikostufen; die EU arbeitet binär (Hochrisiko oder nicht) + verbotene KI (Artikel 5)
MAP 1.3: Folgenabschätzung	Artikel 27 (Grundrechte-Folgenabschätzung für Hochrisiko-KI)	Mittel	Die EU verlangt für bestimmte Betreiber ein festes FRIA-Format; NIST bleibt allgemein
MAP 2.1: Datenqualität	Artikel 10 (Daten-Governance: Relevanz, Repräsentativität, Verzerrung)	Hoch	Starke Überschneidung; die EU ergänzt Rechtspflichten (dokumentierte Verzerrungsprüfungen, Herkunft)
MAP 2.2: Datenquellen	Artikel 10.3 (Datenherkunft, Lizenzierung)	Hoch	Die EU verlangt dokumentierte Datenquellen in der technischen Dokumentation (Anhang IV.2(d))
MAP 3.1: Fähigkeiten und Grenzen	Artikel 13 (Transparenz: Fähigkeiten, Grenzen, Genauigkeit)	Hoch	Die EU verlangt die Offenlegung in der Betriebsanleitung; NIST ist interne Bewertung

Zum Mitnehmen: NIST Map hilft Ihnen, Ihr KI-System zu verstehen. Die EU-KI-Verordnung verlangt, dieses Verständnis in der technischen Dokumentation (Anhang IV) und der Betriebsanleitung (Artikel 13) zu dokumentieren und offenzulegen. Wenn Sie Map abgeschlossen haben, haben Sie den Inhalt — aber Sie müssen ihn für die EU-Compliance formatieren.

NIST-Funktion Measure → Prüfung und Validierung nach der EU-KI-Verordnung

NIST-Kategorie	Artikel der EU-KI-Verordnung	Überschneidung	Lücke
MEASURE 1.1: Validierungsmethodik	Artikel 9.4 (Prüfverfahren), Artikel 15 (Genauigkeit, Robustheit)	Hoch	Die EU verlangt dokumentierte Validierung in der technischen Dokumentation (Anhang IV.4)
MEASURE 1.2: Testdatensätze	Artikel 10.3 (Qualität der Validierungs-/Testdaten)	Hoch	Die EU verlangt statistische Unabhängigkeit der Testdaten von den Trainingsdaten
MEASURE 1.3: Metriken	Artikel 15 (angemessene Genauigkeitsmetriken), Artikel 13 (Offenlegung der Genauigkeit)	Hoch	Die EU verlangt die Offenlegung der Metriken in der Betriebsanleitung
MEASURE 2.1: Verzerrungsbewertung	Artikel 10.2(g) (Erkennung und Minderung von Verzerrungen)	Hoch	Die EU verlangt dokumentierte Verzerrungsprüfungen in der technischen Dokumentation
MEASURE 2.2: Fairness-Metriken	Artikel 10.2(g) (Verzerrung), Artikel 9.2(d) (diskriminierende Ergebnisse beseitigen/verringern)	Mittel	Die EU schreibt keine Fairness-Metriken vor; sie verlangt Nachweise zur Verzerrungsminderung
MEASURE 3.1: Leistungsüberwachung	Artikel 61 (Beobachtung nach dem Inverkehrbringen), Artikel 72 (Meldung schwerwiegender Vorfälle)	Mittel	Die EU verlangt einen laufenden Beobachtungsplan und die Meldung von Vorfällen an Behörden
MEASURE 4.1: Robustheitsprüfung	Artikel 15 (Robustheit, Cybersicherheit)	Hoch	Die EU verlangt dokumentierte Robustheitsprüfungen in der technischen Dokumentation

Zum Mitnehmen: NIST Measure liefert die Prüfmethodik. Die EU-KI-Verordnung verlangt dokumentierte Prüfergebnisse in der technischen Dokumentation (Anhang IV) und laufende Beobachtung (Artikel 61). Wenn Sie Measure umgesetzt haben, haben Sie die Prüfungen — aber Sie müssen die Ergebnisse dokumentieren und eine Beobachtung nach dem Inverkehrbringen einrichten.

NIST-Funktion Manage → Lebenszyklusmanagement nach der EU-KI-Verordnung

NIST-Kategorie	Artikel der EU-KI-Verordnung	Überschneidung	Lücke
MANAGE 1.1: Risikoreaktion	Artikel 9.2 (Risikomanagementmaßnahmen), Artikel 9.4 (Prüfung, Validierung)	Hoch	Die EU verlangt dokumentierte Risikominderung in der technischen Dokumentation (Anhang IV.3(c))
MANAGE 1.2: Risikoverfolgung	Artikel 9.5 (Aktualisierung des Risikomanagementsystems)	Mittel	Die EU verlangt versionierte Risikomanagement-Dokumentation
MANAGE 2.1: Vorfallreaktion	Artikel 73 (Korrekturmaßnahmen), Artikel 20 (automatische Korrektur, Rücknahme)	Mittel	Die EU verlangt die Meldung an Behörden innerhalb bestimmter Fristen
MANAGE 2.2: Änderungsmanagement	Artikel 43.4 (wesentliche Änderung löst neue Konformitätsbewertung aus)	Gering	Die EU definiert „wesentliche Änderung“ rechtlich; NIST ist prozessbasiert
MANAGE 3.1: Beobachtungsplan	Artikel 61 (Plan zur Beobachtung nach dem Inverkehrbringen)	Hoch	Die EU verlangt einen dokumentierten Plan, der zur technischen Dokumentation genommen wird
MANAGE 4.1: Kontinuierliche Verbesserung	Artikel 9.5 (Aktualisierung des Risikomanagementsystems über den Lebenszyklus)	Mittel	Die EU verlangt dokumentierte Aktualisierungsverfahren und Versionskontrolle

Zum Mitnehmen: NIST Manage schafft Prozesse der kontinuierlichen Verbesserung. Die EU-KI-Verordnung verlangt dokumentiertes Lebenszyklusmanagement mit rechtlichen Auslösern (wesentliche Änderung, Vorfallmeldung, Korrekturmaßnahmen). Wenn Sie Manage umgesetzt haben, haben Sie den Prozess — aber Sie müssen rechtliche Auslöser und Verfahren zur Behördenmeldung ergänzen.

Kritische Lücken: Was das NIST AI RMF NICHT abdeckt

Selbst bei vollständig umgesetztem NIST AI RMF bleiben Lücken gegenüber der EU-KI-Verordnung:

Anforderung der EU-KI-Verordnung	Abdeckung durch das NIST AI RMF	Was Sie ergänzen müssen
Artikel 11: Technische Dokumentation (Anhang IV)	Teilweise (Inhalt vorhanden, Format nicht)	NIST-Ergebnisse in das Anhang-IV-Format überführen (Dokument mit 16 Abschnitten)
Artikel 13: Betriebsanleitung	Keine	Benutzerhandbuch mit Genauigkeit, Grenzen und Aufsichtsverfahren verfassen
Artikel 14: Kontrollen zur menschlichen Aufsicht	Teilweise (GOVERN erwähnt Aufsicht)	Übersteuerungsfunktionen, Stopptasten und Audit-Protokollierung umsetzen
Artikel 43: Konformitätsbewertung	Keine	Notifizierte Stelle einschalten oder Selbstbewertung durchführen (je nach Anhang-III-Kategorie)
Artikel 49: CE-Kennzeichnung	Keine	CE-Kennzeichen nach der Konformitätsbewertung anbringen
Artikel 51: Registrierung in der EU-Datenbank	Keine	Hochrisiko-KI-System vor dem Inverkehrbringen in der EU-Datenbank registrieren
Artikel 61: Plan zur Beobachtung nach dem Inverkehrbringen	Teilweise (MEASURE/MANAGE decken Beobachtung ab)	Plan im Anhang-IV-Format dokumentieren; bei den Behörden einreichen
Artikel 72: Meldung schwerwiegender Vorfälle	Teilweise (MANAGE deckt Vorfälle ab)	Meldung binnen 15 Tagen an nationale Behörden umsetzen

Unterm Strich: Das NIST AI RMF liefert die Substanz der Compliance (Risikomanagement, Prüfung, Beobachtung). Die EU-KI-Verordnung ergänzt die rechtlichen Formalitäten (Dokumentationsformat, Konformitätsbewertung, Registrierung, CE-Kennzeichnung). Die Formalitäten lassen sich nicht überspringen.

Praxisbeispiel: NIST-Zuordnung zur EU-KI-Verordnung für eine Recruiting-KI

System: KI-gestütztes Werkzeug zur Lebenslauf-Vorauswahl (Hochrisiko nach Anhang III.4)

Bestehende NIST-AI-RMF-Umsetzung:

Govern: KI-Risikorichtlinie, Rollen (KI-Product-Owner, Data Scientist, HR-Leitung), definierte Risikotoleranz
Map: Zweckbestimmung dokumentiert, Hochrisiko-Einstufung bestätigt, Folgenabschätzung zu Verzerrungen abgeschlossen, Quellen der Trainingsdaten protokolliert
Measure: Validierung an 10 000 Lebensläufen, Genauigkeit 88 %, Verzerrungsprüfung zu Geschlecht/Alter, Fairness-Metriken (Unterschied in demografischer Parität unter 5 %)
Manage: monatliche Leistungsüberwachung, Vorfallreaktionsplan, vierteljährliches Nachtrainieren des Modells

Festgestellte Lücken gegenüber der EU-KI-Verordnung:

Artikel 11 (technische Dokumentation): NIST-Ergebnisse liegen vor, aber nicht im Anhang-IV-Format.
Maßnahme: In ein Anhang-IV-Dokument mit 16 Abschnitten überführen (32 Seiten). Aufwand: 24 Stunden.
Artikel 13 (Betriebsanleitung): Kein Benutzerhandbuch.
Maßnahme: 20-seitiges Benutzerhandbuch zu Genauigkeit, Grenzen, Aufsichtsverfahren und Eingabeanforderungen verfassen. Aufwand: 16 Stunden.
Artikel 14 (menschliche Aufsicht): Informeller Prüfprozess vorhanden; keine dokumentierten Kontrollen.
Maßnahme: Übersteuerungsschaltflächen in der Oberfläche umsetzen, Audit-Protokollierung ergänzen, Aufsichtsprotokoll verfassen. Aufwand: 40 Stunden (Entwicklung + Dokumentation).
Artikel 43 (Konformitätsbewertung): Nicht begonnen.
Maßnahme: Selbstbewertung (Checkliste Anhang VI), Entwurf der EU-Konformitätserklärung. Aufwand: 12 Stunden.
Artikel 49 (CE-Kennzeichnung): Nicht anwendbar, bis die Konformitätsbewertung abgeschlossen ist.
Maßnahme: CE-Kennzeichen nach der Konformität auf Produktseite und Dokumentation anbringen. Aufwand: 2 Stunden.
Artikel 51 (Registrierung in der EU-Datenbank): Nicht begonnen.
Maßnahme: System in der EU-Datenbank registrieren (Onlineformular, Zusammenfassung der technischen Dokumentation beifügen). Aufwand: 4 Stunden.
Artikel 61 (Plan zur Beobachtung nach dem Inverkehrbringen): Beobachtung besteht; der Plan ist nicht im EU-Format dokumentiert.
Maßnahme: Plan zur Beobachtung nach dem Inverkehrbringen (6 Seiten) verfassen und zur technischen Dokumentation nehmen. Aufwand: 8 Stunden.
Artikel 72 (Vorfallmeldung): Vorfallreaktionsplan besteht; kein Verfahren zur Behördenmeldung.
Maßnahme: Meldeverfahren binnen 15 Tagen in den Vorfallreaktionsplan aufnehmen, Ansprechstelle der nationalen Behörde bestimmen. Aufwand: 4 Stunden.

Gesamtaufwand zum Schließen der Lücken: 110 Stunden (3 Wochen für ein kleines Team).
Kosten: Nur interne Arbeitszeit.
Alternative: Ein klassisches Audit zur EU-KI-Verordnung würde 15 000–30 000 € kosten und 10–14 Wochen dauern.

Wie Vigilia die NIST-zu-EU-Zuordnung automatisiert

Das Audit von Vigilia zur EU-KI-Verordnung enthält eine Lückenanalyse zum NIST AI RMF:

Automatisierter Fragebogen, der NIST-AI-RMF-Ergebnisse erkennt und den Artikeln der EU-KI-Verordnung zuordnet
Lückenerkennung für EU-spezifische Anforderungen (Format der technischen Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Registrierung)
Fahrplan zur Behebung mit Aufwandsschätzungen je Lücke
Erklärbare Bewertung — zeigt, welche NIST-Kontrollen welche EU-Artikel erfüllen und wo Lücken bleiben

Das Audit dauert 20 Minuten und kostet 499 € — gegenüber 5 000–40 000 € für eine klassische Compliance-Prüfung.

Wenn Sie das NIST AI RMF umgesetzt haben, sind Sie zu 60–70 % auf dem Weg zur Konformität mit der EU-KI-Verordnung. Vigilia sagt Ihnen genau, was noch fehlt und wie Sie die Lücken vor jeder Anwendungsstufe schließen — die Transparenz nach Artikel 50 gilt bereits, und Hochrisiko nach Anhang III kommt am 2. Dezember 2027.

Erstellen Sie jetzt Ihre NIST-zu-EU-Lückenanalyse: www.aivigilia.com

Dieser Artikel dient nur der Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu Ihrem konkreten System wenden Sie sich an eine auf die EU-KI-Verordnung spezialisierte Anwältin oder einen entsprechenden Anwalt.