Umsetzung von NIS2 in Deutschland vorerst gescheitert – weshalb Unternehmen dennoch dringend handeln müssen

„Bereits im Dezember 2022 hat das EU-Parlament die NIS2-Richtlinie beschlossen. Der aktuelle deutsche Bundestag konnte das sogenannte NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) nicht mehr vor den Neuwahlen verabschieden. Auch das geplante KRITIS-Dachgesetz, welches weitere Regelungen für kritische Infrastrukturen enthalten sollte, verzögert sich.“

Während Länder wie Belgien, Dänemark und Italien die NIS2-Richtlinie bereits in nationales Recht überführt haben, wird sich die Umsetzung in Deutschland nun weiter hinziehen – erst nach der Bundestagswahl kann das Gesetz erneut in den politischen Prozess eingebracht werden.

„Trotz des politischen Stillstands sollten Unternehmen die Dringlichkeit des Themas nicht unterschätzen. Einerseits ist die Bedrohungslage für Unternehmen egal welcher Größe aktuell groß wie nie. Allein dadurch ergibt sich die Notwendigkeit, die eigene Cyberresilienz zu stärken, wofür die NIS2-Richtlinie eine gute Orientierung bietet.“

Andererseits ist bereits seit dem 7. November 2024 die Durchführungsverordnung (EU) 2024/2690 zur NIS2-Richtlinie in Kraft, welche spezifische Anforderungen an die Cybersicherheitsmaßnahmen von Unternehmen in digitalen Infrastrukturen festlegt.

„Diese ist in allen EU-Mitgliedstaaten unmittelbar gültig – unabhängig von einer nationalen Umsetzung. Anbieter digitaler Infrastrukturen und Dienste sind damit bereits an die Bestimmungen von NIS2 gebunden. Hinzu kommen etwaige Lieferketten-Abhängigkeiten. Große Unternehmen verlangen zunehmend, dass auch ihre Geschäftspartner Cybersicherheitsstandards einhalten. Wer hier nicht proaktiv handelt, riskiert den Verlust von Aufträgen.“

Auch wenn die genaue gesetzliche Ausgestaltung der NIS2-Richtlinie in Deutschland also aktuell noch offen ist, müssen Unternehmen handeln. 

„Wer glaubt, er müsse erst reagieren, wenn das Gesetz offiziell verabschiedet wird, begeht einen schweren Fehler. NIS2 wird im Laufe des Jahres, vorrausichtlich bis Herbst 2025 in nationales Recht umgesetzt. Das entsprechende Gesetz gilt dann mit hoher Wahrscheinlichkeit sofort – ohne Übergangsfrist. Unternehmen dürfen bis dahin nicht einfach abwarten. Sie müssen bereits jetzt in Cybersicherheitsmaßnahmen investieren, Risikomanagement-Prozesse etablieren und sich dabei an den bereits existierenden EU-Vorgaben orientieren.“