Sind Sie Anbieter einer Online-Suchmaschine gemäß EU 2024/2690?

„Wir sind keine Suchmaschine. Unsere KI beantwortet bloß Fragen – und schaut dafür eben kurz im Internet nach.“

Das ist ein bisschen wie: „Wir sind kein Taxi. Wir fahren nur Menschen gegen Geld von A nach B.“

Ob Ihr Dienst eine Online-Suchmaschine ist, hängt nicht davon ab, ob auf der Startseite ein Suchschlitz prangt, ob die Ergebnisse aus zehn blauen Links bestehen oder ob Sie das Produkt lieber „AI Assistant“, „Research Copilot“ oder „Antwortmaschine“ nennen. Die EU-Definition ist technologieneutral. Und sie ist breit genug, um auch moderne KI-Dienste zu erfassen.

Allerdings wird nicht jedes Sprachmodell mit einem Internetknopf automatisch zur Online-Suchmaschine. Entscheidend ist, was der Dienst auf die Anfrage des Nutzers tatsächlich tut.

Die kurze Antwort

Artikel 6 Nummer 29 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 verweist für den Begriff der Online-Suchmaschine auf Artikel 2 Nummer 5 der Verordnung (EU) 2019/1150.

Danach ist eine Online-Suchmaschine ein digitaler Dienst, bei dem Nutzer eine Anfrage eingeben können, um prinzipiell alle Websites (oder alle Websites in einer bestimmten Sprache) zu einem beliebigen Thema zu durchsuchen. Die Ergebnisse können in einem beliebigen Format ausgegeben werden.

Die entscheidenden Elemente sind:

1. Es handelt sich um einen digitalen Dienst.
2. Ein Nutzer gibt eine Anfrage ein – etwa als Stichwort, Wortgruppe, Spracheingabe oder in anderer Form.
3. Der Dienst durchsucht prinzipiell alle Websites oder alle Websites einer bestimmten Sprache.
4. Die Suche kann ein beliebiges Thema betreffen.
5. Das Ergebnis führt den Nutzer zu Informationen über den angeforderten Inhalt – und darf in jedem Format erscheinen.

Der letzte Punkt ist für KI-Angebote wichtig. Die Legaldefinition verlangt keine klassische Trefferliste. Eine zusammengefasste Antwort mit Quellenangaben kann ebenfalls ein Suchergebnis sein.

Gehören KI-Modelle mit Internetrecherche dazu?

Sie können dazugehören. Und dafür gibt es ungewöhnlich deutlichen Rückenwind aus einer weiteren EU-Verordnung.

Erwägungsgrund 119 der KI-Verordnung – Verordnung (EU) 2024/1689 beschreibt ausdrücklich, dass KI-Systeme als Online-Suchmaschinen verwendet werden können. Als Beispiel nennt er einen Online-Chatbot, der grundsätzlich alle Websites durchsucht, die Ergebnisse in sein Wissen integriert und daraus eine einzige Ausgabe erzeugt, in der verschiedene Informationsquellen zusammengeführt werden.

Das ist ziemlich genau die Funktionsbeschreibung vieler sogenannter Answer Engines und KI-Recherchefunktionen.

Der Erwägungsgrund gehört zwar zum AI Act und entscheidet nicht automatisch die Einordnung nach NIS-2. Er zeigt aber sehr deutlich, dass das Unionsrecht eine Online-Suchmaschine nicht auf eine traditionelle Linkliste beschränkt. „Unsere KI gibt einen Fließtext aus“ ist daher kein sonderlich starkes Gegenargument.

Fall 1: Das Modell antwortet nur aus seinen trainierten Parametern

Der Nutzer stellt eine Frage, das Modell erzeugt seine Antwort aus dem, was während des Trainings in seinen Parametern gelandet ist. Für diese konkrete Anfrage wird das Internet nicht durchsucht.

Das spricht eher gegen eine Online-Suchmaschine. Das Modell mag mit öffentlich zugänglichen Webinhalten trainiert worden sein. Eine frühere Datensammlung ist aber nicht dasselbe wie eine Suche, die der Dienst aufgrund der aktuellen Nutzeranfrage ausführt.

Fall 2: Die KI durchsucht live das offene Web

Der Nutzer fragt nach einem Thema. Der Dienst startet daraufhin eine Websuche, wertet Fundstellen aus, fasst sie zusammen und liefert eine Antwort mit oder ohne sichtbare Quellenlinks.

Das spricht deutlich für die Eigenschaft als Online-Suchmaschine – besonders dann, wenn die Suche prinzipiell das gesamte Web oder alle Websites in einer bestimmten Sprache erfassen kann. Dass das Produkt anschließend nur eine elegante Antwort statt 47 Treffern ausgibt, ändert am Suchvorgang wenig.

Fall 3: Die KI schaltet die Websuche nur manchmal ein

Viele Dienste sind Mischmodelle. Einfache Fragen beantwortet das Modell aus seinen Parametern. Bei aktuellen oder unbekannten Themen startet es selbstständig eine Webrecherche. Manchmal kann der Nutzer die Suche auch ein- oder ausschalten.

Hier sollte die konkrete Suchfunktion separat geprüft werden. Ein Dienst kann mehrere regulatorisch relevante Funktionen enthalten. Die sporadische Nutzung macht die Websuche nicht unsichtbar. Gleichzeitig sollte man nicht vorschnell den gesamten KI-Dienst mit jeder einzelnen Funktion gleichsetzen.

Fall 4: RAG über eigene Dokumente

Eine KI durchsucht ausschließlich das interne Wiki, die hochgeladenen Vertragsunterlagen oder die Wissensdatenbank eines einzelnen Kunden. Das kann technisch eine Suche sein. Es ist aber keine Suche, die prinzipiell alle Websites oder alle Websites einer bestimmten Sprache umfasst.

Damit spricht viel dagegen, diese Funktion als Online-Suchmaschine im hier gemeinten Sinne einzuordnen. Gleiches gilt für einen Assistenten, der ausschließlich eine fest definierte Fachdatenbank durchsucht.

Fall 5: Die KI sucht nur auf einer einzigen Website

Auch eine intelligente Seitensuche bleibt zunächst eine Seitensuche. Wer ausschließlich die eigene Website, den eigenen Shop oder ein fest abgegrenztes Portal durchsucht, sucht gerade nicht prinzipiell auf allen Websites.

Die entscheidenden Prüffragen für KI-Dienste

Der Produktname hilft wenig. Schauen Sie stattdessen auf Architektur, Funktionsbeschreibung und tatsächliches Verhalten:

1. Löst eine Nutzerfrage eine aktuelle Recherche aus?
2. Greift der Dienst dabei auf das offene Web oder nur auf einen geschlossenen Datenbestand zu?
3. Kann grundsätzlich zu beliebigen Themen gesucht werden?
4. Ist die Suche auf alle Websites oder alle Websites einer Sprache ausgerichtet?
5. Werden Fundstellen ausgewählt, gerankt, verdichtet oder in eine Antwort eingebaut?
6. Bieten Sie diese Funktion Verbrauchern an?
7. Ist die Websuche Kernfunktion, zuschaltbare Funktion oder nur ein Hilfsmittel einer anderen Leistung?

Dokumentieren Sie die Antworten. „Da ist halt irgendwie KI drin“ ist weder eine technische Beschreibung noch eine rechtliche Einordnung.

Typische Dienste im Schnellcheck

Spielt die Unternehmensgröße eine Rolle?

Ja. Anbieter von Online-Suchmaschinen werden nicht allein wegen dieser Tätigkeit unabhängig von der Größe erfasst.

Nach Artikel 2 Absatz 1 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 greift der reguläre Anwendungsbereich bei Einrichtungen, die mindestens als mittlere Unternehmen gelten oder die Schwellen dafür überschreiten. Vereinfacht:

• Kleinstunternehmen: weniger als 10 Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall nicht allein wegen der Suchmaschine erfasst.
• Kleine Unternehmen: weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall ebenfalls nicht allein wegen der Suchmaschine erfasst.
• Mittlere Unternehmen: weniger als 250 Beschäftigte und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme; als Suchmaschinenanbieter grundsätzlich im Anwendungsbereich.

Anbieter von Online-Suchmaschinen stehen in Anhang II der NIS-2-Richtlinie. Im Regelfall werden erfasste Anbieter daher nach Artikel 3 Absatz 2 als wichtige Einrichtungen eingeordnet. Besondere Einstufungsgründe können zu einem anderen Ergebnis führen.

Unternehmensgruppen zählen grundsätzlich mit

Bei der KMU-Berechnung können Partner- und verbundene Unternehmen einzubeziehen sein. Eine kleine Gesellschaft wird also nicht zwangsläufig als kleines Unternehmen behandelt, wenn sie Teil einer erheblich größeren Unternehmensgruppe ist.

Sonderfälle bleiben möglich

Artikel 2 Absatz 2 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 enthält größenunabhängige Sonderfälle, beispielsweise bei besonderer Kritikalität, erheblichen Auswirkungen oder systemischen Risiken. Deshalb lautet die saubere Reihenfolge: erst die Dienstleistung bestimmen, dann Größe und Sonderfälle prüfen.

Was verlangt die EU 2024/2690 von Suchmaschinenanbietern?

Die Durchführungsverordnung (EU) 2024/2690 konkretisiert die technischen und methodischen Anforderungen an das Cybersicherheits-Risikomanagement. Dazu gehören unter anderem Governance, Risikoanalyse, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitskontrollen, Kryptografie, Personal, Zugriffe, Assets und physische Sicherheit.

Bei einer Suchmaschine oder KI-Websuche geht es nicht nur um Verfügbarkeit. Manipulierte Rankings, vergiftete Quellen, übernommene Administrationskonten, verfälschte Indizes oder eingeschleuste Anweisungen können beeinflussen, was Nutzer sehen und für wahr halten. Bei generativer Suche kommt hinzu, dass Quellen ausgewählt, verarbeitet und zu einer neuen Antwort zusammengesetzt werden.

Praktisch braucht es unter anderem:

• ein belastbares Risikomanagement;
• vollständiges Asset Management, einschließlich Index, Crawler, Modelle, Datenquellen und Schnittstellen;
• sichere Entwicklung und kontrollierte Änderungen;
• Logging und Monitoring für Suche, Administration und technische Auffälligkeiten;
• belastbare Lieferantensteuerung für Hosting, Modelle, Datenquellen und APIs;
• Business Continuity Management sowie
• ein funktionierendes Informationssicherheitsvorfall-Management.

Wann ist ein Suchmaschinen-Vorfall erheblich?

Artikel 12 der Durchführungsverordnung (EU) 2024/2690 nennt vier spezielle Kriterien. Ein Vorfall gilt als erheblich, wenn mindestens eines davon erfüllt ist:

1. Die Online-Suchmaschine ist für mehr als 5 Prozent der Nutzer in der Union oder mehr als eine Million Nutzer vollständig nicht verfügbar – die niedrigere Zahl zählt.
2. Mehr als 5 Prozent oder eine Million Nutzer sind von eingeschränkter Verfügbarkeit betroffen.
3. Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Betrieb gespeicherten, übermittelten oder verarbeiteten Daten sind infolge einer mutmaßlich böswilligen Handlung beeinträchtigt.
4. Diese Datenmerkmale sind beeinträchtigt und mehr als 5 Prozent oder eine Million Nutzer sind betroffen.

Die besonderen Kriterien für Online-Suchmaschinen nennen bei vollständiger oder eingeschränkter Nichtverfügbarkeit keine Mindestdauer. Außerdem können nach Artikel 3 Absatz 3 der Durchführungsverordnung (EU) 2024/2690 gegebenenfalls auch Nutzer mitzuzählen sein, die mit den Geschäftskunden der Einrichtung verbunden sind.

Hilft ISO 27001 bei der Umsetzung?

Ein wirksames ISO 27001-Managementsystem ist eine starke Grundlage. Risikomanagement, sichere Entwicklung, Lieferanten, Zugriffe, Logging, BCM, Assets und Vorfallmanagement passen gut zu den Vorgaben. Erwägungsgrund 3 der Durchführungsverordnung (EU) 2024/2690 nennt ISO/IEC 27001 und ISO/IEC 27002 ausdrücklich als fachliche Grundlage.

Das Zertifikat beantwortet aber nicht die Rechtsfrage, ob Ihr KI-Dienst eine Online-Suchmaschine ist. Es ersetzt auch keine gesetzlichen Meldepflichten und Schwellenwerte. Die Suchfunktion, ihre Infrastruktur und die beteiligten Betriebs- und Entwicklungsprozesse müssen tatsächlich im Scope des ISMS liegen.

So prüfen Sie Ihre Suchmaschinen-Eigenschaft

1. Beschreiben Sie die Funktion aus Sicht des Nutzers.
2. Prüfen Sie technisch, ob und wann eine Live-Websuche startet.
3. Trennen Sie Modellwissen, Websuche und geschlossene Wissensdatenbanken.
4. Stellen Sie fest, welche Websites und Themen prinzipiell durchsucht werden können.
5. Prüfen Sie, ob die Funktion Verbrauchern bereitgestellt wird.
6. Dokumentieren Sie Mischfunktionen und auswählbare Betriebsarten.
7. Berechnen Sie die Unternehmensgröße einschließlich verbundener Unternehmen.
8. Prüfen Sie Sonderfälle, Zuständigkeit und Registrierung.

Interesse geweckt?

Dieser Artikel gehört zu unserer Serie über die Durchführungsverordnung (EU) 2024/2690. Den Überblick über alle elf Anbietergruppen finden Sie im Hub zur EU-Durchführungsverordnung 2024/2690.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.