NIS-2 in Deutschland: Umsetzungsfrist verstrichen, Gesetz bleibt im Verfahren
Die EU-Frist zur nationalen Umsetzung ist am 17. Oktober 2024 abgelaufen. Das deutsche NIS2UmsuCG hat den Bundestag bis dahin nicht passiert. Was das für Durchsetzung und Vorbereitung heißt.
Was ist neu
Die EU-Frist zur nationalen Umsetzung der NIS-2-Richtlinie ist am 17. Oktober 2024 verstrichen. Das deutsche NIS2UmsuCG hat den Bundestag bis zum Stichtag nicht passiert; die Verabschiedung ist derzeit im ersten Halbjahr 2025 erwartet. Die EU-Kommission hat gegen Deutschland und 22 weitere Mitgliedstaaten ein Vertragsverletzungsverfahren eingeleitet.
Was sich praktisch aendert
Die Richtlinie selbst entfaltet in der Übergangszeit unmittelbare Wirkung gegenüber dem Staat, aber nicht zwischen Privaten. Bussgelder gegen Unternehmen sind national erst nach Inkrafttreten des NIS2UmsuCG durchsetzbar. Das BSI hat klargestellt, dass die Umsetzung beim Anwendungsbeginn erwartet wird; wer wartet, geht in Rückstand. Die inhaltlichen Pflichten aus Art. 21 (Risikomanagement, Meldewege, Governance) sind stabil und aendern sich durch die Verzögerung nicht.
Einordnung
Unser Hauptartikel NIS-2 kompakt hatte die 17.10.2024-Frist genannt; die Verzögerung verschiebt das Durchsetzungs-Fenster, nicht die Pflichten. Empfehlung: jetzt die technischen Massnahmen aus Art. 21 vorbereiten, damit der eigentliche Stichtag kein Überraschungsereignis wird. Wer für wesentliche Einrichtungen zuliefert, wird ohnehin vertraglich in die NIS-2-Pflichten seiner Kunden eingefangen, unabhängig davon, ob das nationale Gesetz in Kraft ist.