Was als Schutzschild gegen KI-gestützte Cyberangriffe gedacht war, entpuppt sich für viele Betriebe als komplexes und absurdes Regelwerk: Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) trat im Januar 2023 in Kraft und sollte bis zum 17. Oktober 2024 in nationales Recht der Mitgliedstaaten umgesetzt werden.

Sie erweitert den Anwendungsbereich deutlich gegenüber der Vorgängerregelung und erfasst neben essenziellen Sektoren wie Energie, Verkehr und Gesundheit auch „wichtige Einrichtungen“ in Bereichen wie Lebensmittelproduktion, -verarbeitung und -vertrieb sowie bestimmte Fertigungszweige. Die Europäische Kommission betont, dass die Richtlinie mehrere Mechanismen enthalte, um Fairness zu gewährleisten: Kleine und Kleinstunternehmen seien grundsätzlich ausgenommen, und für weniger kritische Organisationen gelte ein abgestuftes Regime mit leichteren Pflichten.

Mehrere Mitgliedstaaten, darunter Frankreich, Spanien, Irland und die Niederlande, haben die Frist verfehlt. Die Kommission hat bereits Vertragsverletzungsverfahren eingeleitet und einige Länder vor den EU-Gerichtshof gebracht. In Deutschland verlief die Registrierung der betroffenen Unternehmen schleppend, und auch in anderen Staaten herrscht Unsicherheit darüber, wer genau meldepflichtig ist.

Da die Richtlinie die Produktion, Verarbeitung und den Vertrieb von Lebensmitteln erfasst, könnten ausreichend große Eishersteller von den EU-Regeln betroffen sein, berichtet aktuell das Magazin POLITICO. Die tschechische Europaabgeordnete Markéta Gregorová, die an einem Vereinfachungspaket für NIS2 arbeitet, kritisierte das deutlich: „Man würde sie in einer Krise wahrscheinlich nicht brauchen.“ Ähnlich verhält es sich mit Großhändlern von Kaugummi oder anderen Nischenprodukten, Großbäckereien fallen nach Einschätzung von Branchenverbänden aber nicht unter die EU-Vorgaben.

Cyberattacken auf Hersteller von Weihnachtsbaumbeleuchtung?

Auch die Herstellung von Weihnachtsbaumbeleuchtung fällt unter die Klassifikation der wirtschaftlichen Tätigkeiten, die laut EU von Cyberattacken gefährdet sein könnten. In den Niederlanden etwa wird sie als „wichtige“ Einrichtung eingestuft, erreicht aber nicht den Status „essenziell“, weil eine Störung kein systemisches Risiko für die öffentliche Sicherheit darstelle. Dennoch müssen betroffene Unternehmen Sicherheitsmaßnahmen ergreifen, Vorfälle melden und sich bei nationalen Behörden registrieren.

Auch große Schulen mit Solaranlagen können formell als Stromerzeuger gelten und damit in den Anwendungsbereich rutschen. Selbst Immobilienbesitzer, die in größerem Umfang Wohnungen vermieten und Internetanschlüsse über die Nebenkosten weiterreichen, könnten nach einer Rechtsprechung aus dem Jahr 2021 als Telekommunikationsanbieter eingestuft werden – mit möglichen Konsequenzen für die Cybersicherheitspflichten. Ob dies tatsächlich zu NIS2-Verpflichtungen führt, ist bislang weder gerichtlich noch durch behördliche Leitlinien geklärt.

Die Europäische Kommission hat auf die Kritik an den NIS2-Vorgaben reagiert und verweist auf laufende Vereinfachungsinitiativen, darunter sei auch das „Digital Omnibus“-Paket und die Überarbeitung des Cybersecurity Acts. Ziel sei es, Rechtsklarheit zu schaffen und unnötige Bürokratie abzubauen, ohne den Schutz vor Cyberangriffen zu schwächen. ENISA, die EU-Agentur für Cybersicherheit, hat bereits technische Leitfäden veröffentlicht, die Unternehmen bei der Umsetzung unterstützen sollen. Für die europäische Wirtschaft bedeutet die schleppende und unklare Umsetzung jedoch eine zusätzliche Belastung in einer Zeit, in der die EU eigentlich Bürokratieabbau verspricht. Unternehmen und ihre Berater müssen so immer wieder prüfen, ob sie unter die Größen- und Sektorenkriterien der NIS2 fallen.

Bevorzugte Quelle

Google News: So holen Leser Tichys Einblick wieder nach vorn

Anzeige