NIS-2-Richtlinie: Europa tut sich schwer mit einheitlicher Umsetzung
Die EU-Richtlinie NIS-2, die ein einheitliches und hohes Cybersicherheitsniveau in der Europäischen Union etablieren soll, hätte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen. Doch Stand Juli 2025 haben lediglich sieben der 27 EU-Mitgliedstaaten diese Frist eingehalten.
Belgien, Italien, Kroatien und Litauen waren die ersten Länder, die NIS-2 pünktlich in nationales Recht überführten. Bis Mai 2025 folgten Griechenland, Rumänien und die Slowakei. Die übrigen 20 Mitgliedstaaten, darunter Deutschland, haben die Umsetzung entweder noch nicht abgeschlossen oder befinden sich in verschiedenen Stadien des Gesetzgebungsprozesses.
Aufgrund der Verzögerungen hat die Europäische Kommission Ende November 2024 Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten eingeleitet. Im Mai 2025 erhielten 19 Länder eine “mit GrĂĽnden versehene Stellungnahme” als zweite Mahnung. Diese Länder haben zwei Monate Zeit, die erforderlichen MaĂźnahmen zu ergreifen, andernfalls drohen Sanktionen.
Deutschland hat die Umsetzungsfrist nicht eingehalten. Ein Gesetzentwurf zur Umsetzung der NIS-2-Richtlinie liegt seit Juli 2024 vor, doch politische Verzögerungen, unter anderem durch Neuwahlen im Februar 2025, haben den Prozess ins Stocken gebracht. Ein Inkrafttreten des Gesetzes wird frühestens im zweiten Quartal 2025 erwartet.
Die unterschiedlichen Fortschritte und Herangehensweisen der Mitgliedstaaten bei der Umsetzung der NIS-2-Richtlinie führen zu einem Flickenteppich an Regelungen. Einige Länder kombinieren NIS-2 mit anderen Verordnungen, während andere sektorspezifische Regelungen erlassen. Dies erschwert es insbesondere europaweit tätigen Unternehmen, die Compliance-Anforderungen zu erfüllen, und könnte das Ziel eines einheitlichen Cybersicherheitsniveaus in der EU gefährden.