11.03.2025

Author: Ingolf Rauh

FAQ: NIS2-Einführung in der EU

Aufgeschoben ist nicht aufgehoben, und trotz aller Verzögerungen in einigen europäischen Ländern werden die nationalen NIS2-Gesetze früher oder später in Kraft treten - in den meisten Fällen wahrscheinlich im Jahr 2025. Daher sollten Unternehmen in regulierten Sektoren schnell handeln, wenn sie noch nicht vorbereitet sind.

Was ist NIS2?

Die NIS2-Richtlinie (Netzwerk- und Informationssicherheit 2) ist die aktualisierte Cybersicherheitsgesetzgebung der EU und ersetzt die ursprüngliche NIS-Richtlinie. „Richtlinie“ bedeutet, dass jedes EU-Mitgliedsland dafür verantwortlich ist, die EU-Gesetzgebung in nationales Recht umzusetzen, damit sie in Kraft treten kann. Daher kann die tatsächliche Umsetzung zwischen den europäischen Ländern variieren. Die NIS2 erweitert im Allgemeinen den Umfang der Cybersicherheitsanforderungen für Unternehmen und Organisationen in kritischen Sektoren, um ein höheres Maß an Widerstandsfähigkeit gegen Cyberbedrohungen in der gesamten EU zu gewährleisten. Parallel zur NIS2-Richtlinie hat die EU-Kommission die NIS2-Durchführungsverordnung erlassen, die das nationale Recht überstimmt und für alle Zielgruppen gilt. Sie legt insbesondere die Sicherheitsanforderungen fest.

Warum ist NIS2 für Unternehmen wichtig?

NIS2 führt strengere Sicherheitsmassnahmen, Meldepflichten für Vorfälle und Strafen bei Nichteinhaltung ein. Es gilt für mehr Branchen als zuvor, und Unternehmen sollten sich bei den offiziellen Regierungsstellen in ihrem Zuständigkeitsbereich erkundigen, ob sie unter die neuen Anforderungen fallen. Falls dies der Fall ist, müssen Unternehmen in Cybersicherheit investieren, um Geldstrafen, Reputationsschäden und betriebliche Risiken zu vermeiden.

Wie ist der aktuelle Stand der Umsetzung von NIS2 in der EU?

NIS2 muss bis zum 17. Oktober 2024 von allen EU-Mitgliedstaaten in nationales Recht umgesetzt werden. Die Umsetzung von NIS2 variiert jedoch je nach Land. Einige Nationen, wie Belgien, Kroatien und Italien, haben ihre Gesetze bereits zügig erlassen, während andere, darunter Deutschland, Frankreich und Spanien, noch an der Fertigstellung ihrer Gesetzgebung arbeiten. Einige Länder, wie Estland und Portugal, haben die Umsetzung auf Eis gelegt. Daher haben die meisten EU-Mitgliedstaaten die Frist für die Umsetzung von NIS2 verpasst. Vertrauensdienste müssen die NIS2-Richtlinie so weit wie möglich befolgen, da die Richtlinie bereits in die eIDAS-Verordnung aufgenommen wurde. Ungeachtet des nationalen Gesetzgebungsprozesses ist die NIS2-Durchführungsverordnung bezüglich der Sicherheitsanforderungen seit Oktober 2024 für jede Zielentität in Kraft.

Was sind die voraussichtlichen Fristen für die anstehende Umsetzung in den wichtigsten EU-Ländern?

9 Länder—Belgien, Kroatien, Griechenland, Ungarn, Italien, Litauen, Rumänien, die Slowakei und Lettland—haben nationale Gesetze zur Umsetzung der NIS2-Richtlinie verabschiedet.

Mehrere andere Länder befinden sich im Prozess der Finalisierung ihrer NIS2-Umsetzung:

Deutschland: Erwartet bis Mitte bis Ende 2025.
Dänemark: Erwartet bis Mitte 2025.
Portugal: Erwartet bis Mai 2025.
Frankreich: Voraussichtlich in der zweiten Hälfte des Jahres 2025 in Kraft.
Spanien: Der Zeitplan ist unklar, aber für 2025 erwartet.
Finnland: Der Gesetzentwurf soll im zweiten Quartal 2025 verabschiedet und in Kraft treten.
Österreich: Der erste Gesetzentwurf wurde 2024 dem Parlament vorgelegt, wird jedoch überarbeitet. Aufgrund des Regierungsbildungsprozesses ist der aktuelle Zeitplan nicht vollständig klar.

Andere Länder befinden sich noch in den frühen Stadien des Umsetzungsprozesses. Trotz des Umsetzungsprozesses ist die Durchführungsverordnung der EU-Kommission zu NIS2 seit Oktober 2024 bereits gültig und in Kraft.

Wie wirkt sich die NIS2 auf Unternehmen aus, die in mehreren EU-Ländern tätig sind?

Unternehmen müssen die spezifische Umsetzung von NIS2 in jedem Land sowie alle EU-Durchführungsakte einhalten, was zu unterschiedlichen Anforderungen aufgrund nationaler Gesetze führen kann. Firmen sollten nationale Entwicklungen beobachten, um die Einhaltung mehrerer Rechtsordnungen sicherzustellen.

Welche Strafen sind bei Nichteinhaltung der NIS2 zu erwarten?

Die Strafen variieren je nach Land, sollen jedoch erhebliche Geldbussen und mögliche betriebliche Einschränkungen für nicht konforme Unternehmen umfassen. Behörden können Strafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes verhängen, je nachdem, welcher Betrag höher ist. Ferner können Führungskräfte persönlich für Versäumnisse im Bereich der Cybersicherheit haftbar gemacht werden.

Wie interagiert NIS2 mit bestehenden Cybersicherheitsvorschriften?

NIS2 baut auf der ursprünglichen NIS-Richtlinie auf, verstärkt die Cybersicherheitsmaßnahmen und erweitert den Kreis der betroffenen Unternehmen. Unternehmen, die den NIS-Vorschriften unterliegen, werden voraussichtlich strengeren Sicherheits- und Meldepflichten ausgesetzt sein.

Welche Rolle spielen die nationalen Cybersicherheitsbehörden im Rahmen von NIS2?

Im Rahmen von NIS2 spielen nationale Cybersicherheitsbehörden eine entscheidende Rolle bei der Überwachung, Durchsetzung und Unterstützung von Cybersicherheitsvorschriften.

Ihre Hauptaufgaben umfassen:

Überwachung & Einhaltung – Sicherstellen, dass wesentliche Einrichtungen die Cybersicherheitsanforderungen erfüllen.
Vorfallberichterstattung & Reaktion – Empfangen, Analysieren und Koordinieren von Reaktionen auf Cybervorfälle.
Regulatorische Durchsetzung – Verhängen von Geldstrafen, Sanktionen und Korrekturmassnahmen bei Nichteinhaltung.
Bedrohungsintelligenz & Risikoanalyse – Bewertung von Cybersicherheitsrisiken und Austausch von Informationen.
Zusammenarbeit & Koordination – Zusammenarbeit mit EU-Institutionen, nationalen Agenturen und Branchenakteuren zur Stärkung der Cybersicherheitsresilienz.

Wie kann Swisscom Trust Services Unternehmen dabei helfen, die Vorschriften einzuhalten?

Swisscom Trust Services bietet einen NIS2-konformen Vertrauensdienst an, der im Rahmen des Wiederholungsaudits gemäss NIS2 geprüft wird. Als Teil der Lieferkette vereinfacht ein NIS2-konformer Vertrauensdienst die Einhaltung von Vorschriften für Kunden und verbessert gleichzeitig die betriebliche Widerstandsfähigkeit und das Geschäftspotenzial.

Als Anbieter von Vertrauensdiensten sind wir einzigartig positioniert, um Unternehmen bei der Einhaltung von NIS2 und anderen regulatorischen Anforderungen zu unterstützen. Wir unterziehen uns strengen Audits nach ETSI-Standards, die zwar in vielen europäischen Ländern nicht obligatorisch sind, aber in der Schweiz seit Jahren fest etabliert sind. Dies verschafft uns einen erheblichen Vorteil gegenüber Anbietern, die sich nicht an die gleichen hohen Standards halten. Mit unseren Trust Services stellen Sie sicher, dass Ihre digitalen Prozesse robust, konform und zukunftssicher sind.

Haben Sie Fragen? Kontaktieren Sie uns

Erfolgsgeschichten

Erfolgsgeschichten

FAQ: NIS2-Einführung in der EU

Was ist NIS2?

Warum ist NIS2 für Unternehmen wichtig?

Wie ist der aktuelle Stand der Umsetzung von NIS2 in der EU?

Was sind die voraussichtlichen Fristen für die anstehende Umsetzung in den wichtigsten EU-Ländern?

Wie wirkt sich die NIS2 auf Unternehmen aus, die in mehreren EU-Ländern tätig sind?

Welche Strafen sind bei Nichteinhaltung der NIS2 zu erwarten?

Wie interagiert NIS2 mit bestehenden Cybersicherheitsvorschriften?

Welche Rolle spielen die nationalen Cybersicherheitsbehörden im Rahmen von NIS2?

Wie kann Swisscom Trust Services Unternehmen dabei helfen, die Vorschriften einzuhalten?

Neueste Blogartikel

FAQ: NIS2-Einführung in der EU

Digitale Prosumenten brauchen...

Watt könnte schiefgehen? 3...

FAQ: KI und digitales Vertrauen