Wo bleibt die Umsetzung der NIS-2-Richtlinie in Deutschland? Status Update – März / April 2025

Mit Erlass der Richtlinie (EU) 2022/2555 des europäischen Parlaments und des Rates vom 14.12.2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (nachstehend „NIS-2-Richtlinie“, „NIS-2-RL“ oder „NIS-2“) hat der europäische Gesetzgeber sich auf den Weg gemacht, das europaweite Schutzniveau im Bereich Cybersicherheit in spezifischen Bereichen maßgeblich zu erhöhen.

Die NIS-2-RL sieht einerseits eine Ausweitung der bestehenden regulatorischen Anforderungen im Bereich Cybersicherheit vor und erweitert außerdem den Adressatenkreis erheblich um Unternehmen aus Sektoren, die nicht bereits unter die KRITIS- und/oder die Vorgängerregelungen der NIS-1-Richtlinie (Richtlinie (EU) 2016/1148) gefallen sind.

NIS-2 ersetzt die ursprüngliche NIS-1-Richtlinie aus dem Jahr 2016 und hebt den Standard für Cybersicherheitsmaßnahmen auf ein neues Niveau:

• Erweiterung des Anwendungsbereichs: Neben Betreibern kritischer Infrastrukturen (z. B. Energie, Wasser, Verkehr) umfasst die NIS-2-Richtlinie auch andere essenzielle Einrichtungen wie die Gesundheitsversorgung, die Lebensmittelindustrie und digitale Dienste.
• Erhöhung der Sicherheitsanforderungen: Unternehmen müssen technische und organisatorische Maßnahmen ergreifen, um (Cybersicherheits-)Risiken zu minimieren. Dazu gehören unter anderem regelmäßige Sicherheitsbewertungen, Notfallpläne und Schulungen für Mitarbeitende.
• Verschärfung der Meldepflichten: Sicherheitsvorfälle, die erhebliche Auswirkungen auf den Betrieb haben könnten, müssen von bestimmten Adressaten innerhalb von 24 Stunden gemeldet werden. Dies stellt hohe Anforderungen an die interne Organisation und die Reaktionsfähigkeit von Unternehmen.
• Verbesserte Aufsicht und Durchsetzung: Nationale Behörden erhalten erweiterte Befugnisse zur Überwachung und Durchsetzung der Richtlinie, einschließlich empfindlicher Sanktionen bei Nichteinhaltung.

Deutschland hatte bereits am 07.05.2024 einen Referentenentwurf zur Umsetzung der NIS-2-Richtlinie veröffentlicht und zudem am 24.07.2024 einen Regierungsentwurf verabschiedet. Der Gesetzentwurf verbleibt jedoch in seiner letzten Fassung vom 02.10.2024 (BT-Drucksache 20/13184) und ist bislang weder verabschiedet worden noch in Kraft getreten.

Der Entwurf des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes wurde am 24.07.2024 vom Bundeskabinett beschlossen und beinhaltet insbesondere:

• Klarstellungen zum Anwendungsbereich: Es wird definiert, welche Unternehmen konkret betroffen sind und welche Anforderungen sie erfüllen müssen.
• Erweiterte Kompetenzen für die BSI: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll zusätzliche Befugnisse erhalten, um Unternehmen bei der Umsetzung der Vorgaben zu unterstützen und gleichzeitig stärker zu kontrollieren.
• Einführung von Bußgeldern: Verstöße gegen die NIS-2-Vorgaben können mit empfindlichen Bußgeldern (bis zu € 500.000.000) geahndet werden. Dies soll die Einhaltung der Vorgaben fördern.

Die NIS-2-Richtlinie hätte bis zum 17.10.2024 in nationales Recht umgesetzt werden müssen. Diese Umsetzung haben Deutschland, wie auch 22 weitere EU-Mitgliedstaaten, versäumt. Auch nach den kürzlichen Neuwahlen am 23.02.2025 ist bisher keine dezidierte Weichenstellung seitens der derzeitigen oder der zukünftigen Bundesregierung zur aktiven Umsetzung der NIS-2-Richtlinie zu erkennen. 

Deutschland ist eines von 23 EU-Mitgliedstaaten, gegen die die EU-Kommission am 28.11.2024 ein Vertragsverletzungsverfahren eingeleitet hat. Der Grund: Die Frist zur Umsetzung der NIS-2-Richtlinie in nationales Recht, die am 17.10.2024 endete, wurde nicht eingehalten. Die Kommission hat in ihrem Aufforderungsschreiben betont, dass die Nichteinhaltung die Cybersicherheitsziele der Union gefährden könnte. Deutschland hatte zwei Monate Zeit, um auf das Vertragsverletzungsverfahren zu reagieren. Sollte keine zufriedenstellende Antwort erfolgt sein, könnte die Kommission den Fall vor den Europäischen Gerichtshof bringen. Der Gerichtshof kann bei andauernden Verstößen Geldstrafen verhängen, entweder in Form eines Pauschalbetrages oder eines täglichen auflaufenden Zwangsgeldes bis zur Beseitigung des Verstoßes.

Aufgeschoben ist nicht aufgehoben – die NIS-2-Richtlinie bleibt weiterhin von den Adressaten der Richtlinie umzusetzen. Unabhängig von der finalen Gesetzesverabschiedung sollten Unternehmen insbesondere ihre Betroffenheit von NIS-2 klären bzw. Unternehmen, die NIS-2-pflichtig sind, die gewonnene Zeit für die nachhaltige Integration der NIS-2-Vorgaben in den Compliance- und IT-Strukturen nutzen.

• Betroffenheitsprüfung/Bestandsaufnahme: Überprüfen Sie, ob Ihr Unternehmen von der NIS-2-Richtlinie betroffen ist, und analysieren Sie bestehende Sicherheitsmaßnahmen.
• Erstellung eines Maßnahmenplans: Entwickeln Sie einen dezidierten Plan, um die technischen und organisatorischen Anforderungen zu erfüllen. Dies könnte die Einführung von SIEM-Systemen (Security Information and Event Management) oder die Durchführung von Penetrationstests beinhalten (u.v.m.).
• Schulungen und Sensibilisierung: Schulen Sie Ihre Mitarbeitenden regelmäßig in Bezug auf Cybersicherheitsrisiken und Notfallprozesse.
• Zusammenarbeit mit Experten: Die Umsetzung erfordert einen multidisziplinären Projekt-Approach. Beziehen Sie Prozess-, IT- und juristische Expertise frühzeitig in Ihr Umsetzungsprojekt ein, um sicherzustellen, dass Ihre Maßnahmen sowohl technisch als auch rechtlich konform sind.
• NIS-2 als Benchmark: NIS-2 adressiert in weiten Teilen state of the art Sicherheitsvorgaben, die gerade für nicht direkt von NIS-2 betroffene Unternehmen mit erhöhtem Sicherheitsbedürfnis als Benchmark für ihre IT- und Netzwerk-Sicherheit herangezogen werden können.
• Kunden-/Lieferbeziehungen klären: Beobachten Sie geänderte Anforderungen im Kunden- und Lieferantenkreis.
• Vertragliche Flankierung: Prüfen Sie, ob die Umsetzung von NIS-2 durch vertragliche Vorgaben an Kunden/Lieferanten erforderlich wird.

Für weitergehende Informationen zur NIS-2-Richtlinie sprechen Sie uns gerne jederzeit an.

Bildquelle: Unsplash, Milada Vigerova