Sich im NIS2-Labyrinth zurechtfinden: Wie europäische Unternehmen mit fragmentierten Cybersicherheitsregeln umgehen

Die sich wandelnde Landschaft der europäischen Cybersicherheitsregulierung

Die digitale und operative Landschaft der Europäischen Union befindet sich inmitten eines tiefgreifenden Wandels – eine Phase, die von beispiellosen Chancen und gleichzeitig zunehmenden Cyberbedrohungen geprägt ist. Im Zentrum dieser Entwicklung steht die Richtlinie 2 über Netz- und Informationssysteme (NIS2), ein wegweisendes Rechtsinstrument zur Stärkung der Cybersicherheit kritischer Infrastrukturen und essenzieller Dienste in der gesamten EU. Die neue Richtlinie, die ihren Vorgänger NIS1 ablöst, zielt darauf ab, einen harmonisierteren und robusteren Rahmen für Cybersicherheit zu schaffen. Doch während sich Unternehmen in ganz Europa mit den Auswirkungen auseinandersetzen, zeichnet sich ein komplexes Bild ab: uneinheitliche Umsetzung über nationale Grenzen hinweg, ein deutlich erweiterter Kreis der betroffenen Unternehmen und dringende Forderungen nach klareren und einheitlicheren Leitlinien. Dieser Artikel beleuchtet die Verwirrung und Rechtsunsicherheit, die europäische Unternehmen plagen, untersucht die Folgen der rasanten Ausweitung von NIS2 und analysiert die dringende Notwendigkeit harmonisierter Ansätze, insbesondere in Bezug auf die Meldung von Sicherheitsvorfällen, die Sicherheit der Lieferkette und die grenzüberschreitende Einhaltung der Vorschriften. Für Organisationen, die in diesem sich wandelnden regulatorischen Umfeld ihre operative Widerstandsfähigkeit aufrechterhalten wollen, ist das Verständnis dieser Herausforderungen nicht nur von Vorteil, sondern eine strategische Notwendigkeit.

Das Labyrinth uneinheitlicher Umsetzung: Verwirrung und Rechtsunsicherheit

Der Weg zu einer einheitlichen Cybersicherheitsstrategie im Rahmen von NIS2 verlief bisher alles andere als reibungslos. Ein Hauptgrund für die Besorgnis europäischer Unternehmen ist die uneinheitliche und oft verzögerte Umsetzung der Richtlinie in nationales Recht durch die EU-Mitgliedstaaten. Die ursprüngliche Frist für die Integration von NIS2 in die jeweiligen Rechtsrahmen durch die Mitgliedstaaten bis zum 17. Oktober 2024 wurde von einer beträchtlichen Anzahl von Staaten versäumt, was zu einer fragmentierten Regulierungslandschaft führte, die Verwirrung und Rechtsunsicherheit stiftet. Bereits Ende November 2024 hatte die Europäische Kommission Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten eingeleitet, weil diese ihren Umsetzungsverpflichtungen nicht nachgekommen waren, was das Ausmaß dieser Verzögerungen unterstreicht. Dieser Flickenteppich an Fortschritten – oder deren Ausbleiben – schafft ein schwieriges operatives Umfeld, insbesondere für paneuropäische Organisationen. Anstatt sich an ein einheitliches Regelwerk zu halten, sehen sich Unternehmen mit einem Mosaik nationaler Auslegungen, Zeitpläne und Durchsetzungsprioritäten konfrontiert. Während Länder wie Belgien, Kroatien, Ungarn und Italien ihre Verpflichtungen Berichten zufolge fristgerecht erfüllten, kündigten andere, darunter große Volkswirtschaften wie Frankreich und Deutschland, Verzögerungen an oder mussten diese hinnehmen, wodurch sich die vollständige Umsetzung bis 2025 verschob. Deutschland hat beispielsweise sogar signalisiert, den Anwendungsbereich seiner nationalen NIS2-Verordnung im Vergleich zur EU-Richtlinie einzuschränken, was die Einhaltung der Vorschriften für Unternehmen, die innerhalb seiner Grenzen und in der gesamten EU tätig sind, weiter erschwert. Die Unterschiede beschränken sich nicht nur auf die Zeitpläne. Die Auslegung zentraler NIS2-Bestimmungen kann von Mitgliedstaat zu Mitgliedstaat variieren. Ein von Branchenanalysten hervorgehobenes Beispiel ist Frankreichs Entscheidung, lokale Behörden explizit in den Anwendungsbereich seiner nationalen NIS2-Verordnung einzubeziehen – eine Bestimmung, die im deutschen Ansatz nicht berücksichtigt wurde. Solche Diskrepanzen zwingen multinationale Unternehmen, eine länderspezifische Compliance-Strategie zu verfolgen, was den Verwaltungsaufwand und die Rechtskosten erheblich erhöht. Diese Situation ist weit entfernt von dem harmonisierten Cybersicherheitsrahmen, den die Verfasser der Richtlinie anstrebten. Die Auswirkungen dieser regulatorischen Fragmentierung sind deutlich spürbar. Zwischen dem anfänglichen Vertrauen vieler Unternehmen in ihre Fähigkeit, die NIS2-Anforderungen zu erfüllen, und der komplexen Realität der aktuellen Lage hat sich eine deutliche Diskrepanz aufgetan. Erste Umfragen Mitte 2024 zeigten, dass die große Mehrheit der Unternehmen glaubte, die Vorgaben erfüllen zu können; die tatsächlichen Compliance-Raten lagen jedoch drastisch niedriger. Diese Diskrepanz lässt sich teilweise auf eine Unterschätzung der Komplexität der Richtlinie zurückführen, die durch die anhaltenden Verzögerungen und Inkonsistenzen in der nationalen Gesetzgebung noch verschärft wird. Viele Organisationen gaben an, sich hinsichtlich ihres Verständnisses der spezifischen NIS2-Anforderungen unsicher zu fühlen und nannten unzureichende Unterstützung durch die Führungsebene als Hindernis für eine effektive Vorbereitung. Die vorherrschende Unsicherheit erschwert es Unternehmen, Ressourcen effektiv einzusetzen, robuste Compliance-Strategien zu entwickeln und sicherzustellen, dass sie nicht unbeabsichtigt gegen unterschiedliche nationale Vorschriften verstoßen. Die übergeordnete Folge ist ein erhöhtes rechtliches Risiko und potenzielle Instabilität, wodurch die Resilienz, die NIS2 eigentlich fördern soll, untergraben wird.

Ein größeres Netz: Die rasante Ausweitung der NIS2-Abdeckung

Zu den Herausforderungen, die durch die uneinheitliche Umsetzung entstehen, kommt die enorme Ausweitung des Anwendungsbereichs von NIS2 hinzu. Die Richtlinie erhöht die Anzahl der als kritisch oder wichtig eingestuften Einrichtungen und Sektoren drastisch und unterstellt damit eine Vielzahl neuer Organisationen ihrer Aufsicht. Während sich NIS1 hauptsächlich auf eine relativ begrenzte Anzahl von „Betreibern wesentlicher Dienstleistungen“ konzentrierte – schätzungsweise rund 500 Einrichtungen in einem Land wie Frankreich –, spannt NIS2 ein viel breiteres Netz. Prognosen zufolge könnte diese Zahl allein in Frankreich auf über 15.000 Einrichtungen ansteigen, eine Verdreißigfachung. Ähnliche Ausweitungen werden auch in anderen EU-Mitgliedstaaten erwartet. Dieses enorme Wachstum bedeutet, dass viele Unternehmen, die bisher nicht unter die Cybersicherheitsvorschriften der EU fielen, nun mit komplexen neuen Verpflichtungen konfrontiert sind. Die Richtlinie umfasst nun 18 Sektoren, die in „wesentliche Einrichtungen“ und „wichtige Einrichtungen“ unterteilt sind und jeweils unterschiedlichen Aufsichtsstufen unterliegen. Die Kategorie der „wesentlichen Einrichtungen“, für die die strengsten Anforderungen gelten, darunter mögliche Vor-Ort-Inspektionen und unabhängige Sicherheitsaudits, wurde erweitert. Die Kategorie umfasst nicht nur traditionelle Sektoren wie Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und digitale Infrastruktur, sondern erstreckt sich auch auf neue Bereiche wie die öffentliche Verwaltung, Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Abwasserwirtschaft, Hersteller bestimmter kritischer Produkte (z. B. Arzneimittel) und sogar Betreiber von Wasserstoffproduktions-, -speicherungs- und -transportunternehmen. Darüber hinaus werden Technologieanbieter wie Cloud-Computing- und Rechenzentrumsdienstleister, die teilweise unter NIS1 weniger strengen Regulierungen unterlagen, nun als systemrelevant eingestuft. Die Kategorie der „wichtigen Einrichtungen“ schließt auch neue Sektoren ein, darunter Post- und Kurierdienste, Abfallwirtschaft, die Herstellung kritischer Produkte wie Medizinprodukte und Computer, Lebensmittelproduktion und -verarbeitung, chemische Produktion und Vertrieb sowie Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Netzwerken. Diese Erweiterung bedeutet, dass eine Vielzahl mittelständischer und sogar kleinerer Unternehmen, sofern sie bestimmte Kriterien erfüllen oder in den neu definierten Sektoren tätig sind, sich nun mit den komplexen Anforderungen der NIS2-Richtlinie auseinandersetzen müssen. Die Frist für die EU-Länder, ihre Listen der identifizierten systemrelevanten und wichtigen Einrichtungen in ihrem Zuständigkeitsbereich zu erstellen und zu veröffentlichen, ist der 17. April 2025. Die schiere Anzahl der neu erfassten Einrichtungen stellt jedoch sowohl die Unternehmen selbst als auch die zuständigen nationalen Behörden, die für die Aufsicht und Durchsetzung zuständig sind, vor erhebliche Herausforderungen. Viele dieser neu betroffenen Organisationen, insbesondere kleine und mittlere Unternehmen (KMU), denen es möglicherweise an spezialisierten Cybersicherheitsteams oder umfangreichen Ressourcen mangelt, müssen sich intensiv mit den erforderlichen technischen, betrieblichen und organisatorischen Maßnahmen auseinandersetzen und diese umsetzen. Diese Maßnahmen sind umfassend und reichen von Richtlinien zur Risikoanalyse und Informationssystemsicherheit über die Bearbeitung von Sicherheitsvorfällen und die Geschäftskontinuität bis hin zu spezifischen Anforderungen an die Sicherheit der Lieferkette, den Umgang mit Schwachstellen und deren Offenlegung sowie die Verwendung von Kryptografie und Verschlüsselung. Die rasche Erweiterung erfordert eine deutliche Steigerung des Bewusstseins für Cybersicherheit, der Expertise und der Investitionen in einem wesentlich breiteren Spektrum der europäischen Wirtschaft. Für viele wird dies einen grundlegenden Wandel in der Wahrnehmung und im Umgang mit Cyberrisiken erfordern, wodurch diese von einer rein IT-Angelegenheit zu einer zentralen Verantwortung der Geschäftsleitung werden, insbesondere angesichts der Bestimmungen zur persönlichen Haftung von Leitungsorganen gemäß NIS2.

Der dringende Aufruf zur Harmonisierung: Berichterstattung, Lieferketten und grenzüberschreitende Compliance

Angesichts der doppelten Herausforderungen durch uneinheitliche nationale Umsetzungen und ein stark erweitertes regulatorisches Netz werden die Forderungen europäischer Unternehmen und Branchenverbände nach einer stärkeren Harmonisierung der NIS2-Leitlinien immer lauter und dringlicher. NIS2 selbst zielt zwar auf ein höheres gemeinsames Niveau der Cybersicherheit in der gesamten EU ab, doch seine Wirksamkeit hängt von einer einheitlichen Auslegung und Anwendung ab. Die derzeitige Fragmentierung birgt die Gefahr, dieses Kernziel zu untergraben, ungleiche Wettbewerbsbedingungen zu schaffen und potenziell kritische Schwachstellen ungelöst zu lassen. Eine Harmonisierung ist insbesondere in drei Schlüsselbereichen unerlässlich: Meldung von Sicherheitsvorfällen, Sicherheit der Lieferkette und die umfassenderen Herausforderungen der grenzüberschreitenden Compliance. Meldung von Sicherheitsvorfällen: NIS2 führt strengere und detailliertere Meldepflichten für Sicherheitsvorfälle ein. Betroffene Unternehmen müssen ihre nationalen IT-Sicherheitsvorfall-Reaktionsteams (CSIRTs) oder die zuständigen Behörden über jeden Vorfall informieren, der erhebliche Auswirkungen auf ihre Dienste hat. Die Richtlinie sieht ein mehrstufiges Meldeverfahren vor: eine erste Meldung oder „Frühwarnung“ innerhalb von 24 Stunden nach Bekanntwerden eines schwerwiegenden Vorfalls, eine detailliertere Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Was jedoch als „erhebliche Auswirkung“ gilt, ist auslegungsbedürftig. Ohne klare, harmonisierte EU-weite Leitlinien zu Schwellenwerten, Auslösern und Meldeformaten herrscht bei Unternehmen Unsicherheit. Unterschiedliche nationale Auslegungen könnten in einigen Ländern zu Über- und in anderen zu Unterberichterstattung führen und die Fähigkeit der Behörden beeinträchtigen, sich ein genaues EU-weites Bild der Cyberbedrohungen zu verschaffen. Unternehmen fordern daher standardisierte Vorlagen, klarere Definitionen der Erheblichkeit und optimierte Meldewege, um den Verwaltungsaufwand zu reduzieren und die Einheitlichkeit zu gewährleisten. Lieferkettensicherheit: NIS2 legt großen Wert auf das Management von Cybersicherheitsrisiken in Lieferketten, einem kritischen Einfallstor für Cyberangriffe. Unternehmen sind verpflichtet, Maßnahmen zum Schutz ihrer Netzwerk- und Informationssysteme zu ergreifen. Dazu gehört die Behebung von Schwachstellen, die spezifisch für jeden direkten Lieferanten und Dienstleister sind. Sie müssen außerdem die Gesamtqualität der Produkte und die Cybersicherheitspraktiken ihrer Lieferanten, einschließlich ihrer sicheren Entwicklungsverfahren, bewerten. Dies ist eine komplexe Aufgabe, insbesondere für Organisationen mit umfangreichen und globalen Lieferketten. Das Fehlen harmonisierter Leitlinien für die Durchführung dieser Bewertungen, für angemessene Cybersicherheitspraktiken von Lieferanten und für das Risikomanagement im Zusammenhang mit Lieferanten aus Drittländern stellt Unternehmen vor erhebliche operative Herausforderungen. Unternehmen fordern gemeinsame Rahmenwerke, Leitfäden für bewährte Verfahren und gegebenenfalls Zertifizierungssysteme, die ihnen helfen, Lieferkettenrisiken EU-weit effektiver und einheitlicher zu bewerten und zu managen. Grenzüberschreitende Compliance: Für die vielen Organisationen, die in mehreren EU-Mitgliedstaaten tätig sind, stellt die fehlende Harmonisierung der nationalen NIS2-Umsetzungen eine große Hürde dar. Die unterschiedlichen nationalen Anforderungen an Risikomanagementmaßnahmen, Sicherheitsaudits, Aufsichtsmechanismen und sogar Sanktionsstrukturen zu erfüllen, kann äußerst ressourcenintensiv sein. Die Richtlinie sieht zwar vor, dass Unternehmen, die nicht in der EU ansässig sind, aber Dienstleistungen innerhalb der EU anbieten, einen Vertreter benennen müssen. Für in der EU ansässige Unternehmen mit multinationaler Präsenz wäre es jedoch ideal, wenn die Einhaltung der NIS2-Anforderungen in einem Mitgliedstaat weitgehend auch die Anforderungen in anderen Mitgliedstaaten erfüllt, um Doppelarbeit zu vermeiden. Harmonisierte Leitlinien für die Zusammenarbeit nationaler Behörden bei der Aufsicht über Unternehmen mit grenzüberschreitenden Aktivitäten und für die Koordinierung von Durchsetzungsmaßnahmen sind unerlässlich, um Rechtssicherheit zu gewährleisten und den Aufwand für die Einhaltung der Vorschriften zu reduzieren. Ohne konzertierte Bemühungen um eine stärkere Harmonisierung droht das Versprechen von NIS2, einen wirklich widerstandsfähigen und sicheren digitalen Binnenmarkt zu schaffen, verwässert zu werden. Klare, praxisnahe und konsequent angewandte Leitlinien sind nicht nur wünschenswert, sondern grundlegend, damit Unternehmen ihren Verpflichtungen effektiv nachkommen und zur kollektiven Cybersicherheit der EU beitragen können.

Einen Kurs hin zu einheitlicher Cyberresilienz festlegen

Die NIS2-Richtlinie markiert einen Wendepunkt für die Cybersicherheit in der Europäischen Union und signalisiert die klare Absicht, die Resilienz in einer Vielzahl kritischer Sektoren zu stärken. Ihre ambitionierte Erweiterung des Anwendungsbereichs und die verschärften Sicherheitsverpflichtungen sind grundsätzlich unerlässliche Schritte im Kampf gegen eine zunehmend komplexe Bedrohungslandschaft. Der Weg zur Erreichung dieser Ziele ist jedoch derzeit mit zahlreichen Herausforderungen verbunden. Die Verwirrung und Rechtsunsicherheit aufgrund uneinheitlicher und verzögerter nationaler Umsetzungen sowie die schiere Anzahl der neu erfassten Unternehmen belasten europäische Unternehmen erheblich. Die dringenden Forderungen nach harmonisierten Leitlinien – insbesondere in Bezug auf die Meldung von Sicherheitsvorfällen, die Sicherheit der Lieferkette und die grenzüberschreitende Einhaltung der Vorschriften – unterstreichen die Notwendigkeit größerer Klarheit und Kohärenz. Für Organisationen, die sich in diesem komplexen Umfeld bewegen, ist ein proaktiver und fundierter Ansatz von größter Bedeutung. Auf absolute regulatorische Klarheit zu warten, ist keine tragfähige Strategie. Stattdessen müssen Unternehmen die verfügbaren Informationen nutzen, sich mit Branchenkollegen austauschen und auf Expertenrat zurückgreifen, um robuste Cybersicherheitsrahmen zu entwickeln, die den Kernprinzipien der NIS2-Richtlinie entsprechen. Dies umfasst die Förderung einer starken Cybersicherheitskultur von der Führungsebene bis hinunter zu den Mitarbeitern, Investitionen in umfassende Risikoanalysen, die Stärkung der Sorgfaltspflichten in der Lieferkette und die Vorbereitung auf strengere Meldeverfahren für Sicherheitsvorfälle. Auch wenn der Weg zu einem vollständig harmonisierten und nahtlos implementierten NIS2-Rahmenwerk noch nicht abgeschlossen ist, ist die zentrale Botschaft der Richtlinie eindeutig: Cybersicherheitsresilienz ist kein Nischenthema mehr, sondern eine grundlegende Säule für Geschäftskontinuität und strategisches Überleben im digitalen Zeitalter. Während die Mitgliedstaaten an der Angleichung ihrer nationalen Gesetze arbeiten und die EU-Institutionen weitere Klarstellungen anstreben, liegt es weiterhin in der Verantwortung der Unternehmen, entschlossen zu handeln und die Compliance-Verpflichtungen in Chancen für eine sicherere und widerstandsfähigere Zukunft zu verwandeln