NIS2UmsuCG – NIS2 Umsetzungs- und Cyberresilienzstärkungs-Gesetz

Das NIS2-Umsetzungs- und Cyberresilienzstärkungs-Gesetz (NIS2UmsuCG) ist die Umsetzung der NIS2-Richtlinie (RICHTLINIE (EU) 2022/2555) in deutsches Recht, da eine EU-Richtlinie – anders als eine Verordnung – eben nicht direkt anwendbares Recht in den Mitgliedsstaaten ist.

Im Gegensatz zur NIS2-Richtlinie ist das Gesetz ist aktuell (Stand 9/2024) noch im Entwurf – frühere Versionen und einen Vergleich der Versionen haben wir in den Links bereitgestellt.

Das NIS2UmsuCG ändert eine Vielzahl von anderen Gesetzen.
Hauptteil aber ist die vollständige Neufassung des BSI-Gesetzes (BSIG). Dieses enthält auch die eigentlichen Bestimmungen der NIS2-Richtlinie, insbesondere die Anforderungen an die Unternehmen. Daher haben wir die Neufassung des BSIG separat aufbereitet.

Zeitplan für die NIS2-Gesetzgebung in Deutschland
Die Umsetzung – d.h. das Inkrafttreten des NIS2UmsuCG –  soll bis zur Anwendbarkeit der NIS2-Richtlinie am 17. Oktober 2024 geschehen, so will es die NIS2-Richtlinie. Viele europäische Länder sind hier im Zeitplan der Umsetzung weiter, denn diesen Termin wird Deutschland vermutlich nicht einhalten können. So stammt der letzte Entwurf aus Juli 2024. Sofern das Gesetz als notifikationspflichtiges Gesetz der EU vorgelegt werden muss – was eine dreimonatige Wartezeit impliziert, wird eine Verabschiedung vor Ende Oktober unmöglich. Zudem gibt es noch einige Diskussionen um mögliche Nachbesserungen im parlamentarischen Verfahren. – Es ist daher eher mit einem Zeitpunkt im Frühjahr 2025 zu rechnen, sofern die Ampel-Koalition bis dahin hält und das Gesetz nicht aufgrund des Grundsatzes der Diskontinuität von der Nachfolgeregierung neu auf den Weg gebracht werden muss.

Direkte Anwendbarkeit der NIS2-Richtlinie ohne Umsetzungsgesetz?
Gelegentlich wird von einer direkten Anwendbarkeit der NIS2-Richtlinie gesprochen. Das wäre dann der Fall, wenn diese Richtlinie keiner weiteren Interpretation bedarf, so dass sie direkt angewendet werden kann. Das ist aber insbesondere in Bezug auf die Aufsichtsfunktion (Welche Behörde ist dafür zuständig?) wie auch der Bußgeldbemessung (Wer darf Bußgelder verhängen?) für Deutschland nicht geklärt.

• Es ist daher nicht damit zu rechnen, dass ab dem 17. Oktober irgendeine Behörde anklopft und NIS2-Nachweise sehen will oder Bußgelder verhängt. – Das ist Panikmache!

Dennoch könnte es vorkommen, dass etwa Auftraggeber aus anderen EU-Ländern, die sich an den Zeitplan gehalten haben, Nachweise im Rahmen der Lieferantensicherheit anfordern oder auch Versicherungen unter Hinweis auf die geltenden EU-Richtlinien Haftung bei Nicht-Umsetzung verweigern.

• Die Verzögerung bei der Umsetzung durch die Regierung sollte nicht als Grund vorgebracht werden, noch nicht mit der Umsetzung zu beginnen.