NIS-2 und kein Ende: Umsetzung in Deutschland verzögert sich weiter

Bild: eine digitale Darstellung Europas mit leuchtenden Datenpunkten und überlagerten EU-Sternen bei Nacht

18.03.2025
Lesezeit 2 Minuten

Entgegen allen Hoffnungen auf rasche Klarheit kommt es bei der Umsetzung der NIS-2-Richtlinie zu weiteren Verzögerungen.

Die Umsetzung, die ursprünglich bereits bis Oktober 2024 hätte erfolgen müssen, steht infolge des Bruchs der Koalition und der Bildung einer neuen Regierung weiter aus. Mit der Umsetzung ist derzeit nicht vor Herbst 2025 zu rechnen.

Worum geht es bei NIS-2?

Bei NIS-2 („Network Information Security-2“) handelt es sich um eine EU-Richtlinie zur Stärkung und Erhöhung der Cybersecurity sowie Absicherung von digitalen Faktoren kritischer Infrastrukturen in der EU. Die Richtlinie baut auf NIS-1 aus dem Jahr 2016 auf und nimmt nun deutlich mehr Unternehmen als bisher in die Pflicht – in Deutschland ca. 30.000 Unternehmen.

Nachdem die Richtlinie am 16. Januar 2023 EU-weit in Kraft trat, hatten die Mitgliedsstaaten 20 Monate Zeit, diese in nationales Recht umzusetzen. Erfolgreich und zeitgerecht ist eine Umsetzung unter anderem in Italien, Belgien und Kroatien erfolgt. Die NIS-2-Richtlinie geht Hand in Hand mit der CER-Richtlinie („Critical Entities Resilience“-Richtlinie), welche durch das KRITIS-Dachgesetz umgesetzt wird und in der Umsetzung gleichermaßen verspätet ist.

Was bedeutet die Verzögerung für betroffene Unternehmen?

Nach zuvor geltendem Zeitplan hätte durch die betroffenen Unternehmen bis Mitte Januar 2025 eine Registrierung beim BSI erfolgen müssen. Da die Verabschiedung auf nationaler Ebene noch aussteht, ergeben sich bis zu diesem Zeitpunkt vorerst keine Pflichten für die zukünftig betroffenen Unternehmen.

Ob es jedoch nach der Verabschiedung des Gesetzes eine weitere Umsetzungsfrist für Unternehmen gibt und wie lang diese gilt, ist derzeit noch nicht absehbar. Aufgrund der großen Unsicherheiten und der bereits bekannten Anforderungen ist es ratsam, sich bereits so gut wie möglich vorzubereiten, um eine kurzfristige Umsetzung gewährleisten und Bußgelder abzuwenden zu können.

Das Cybersecurity Team von Baker Tilly unterstützt und berät Sie bei Ihrer Umsetzung: Nach einer Analyse der Betroffenheit, ermitteln wir den Reifegrad und leiten erforderliche NIS-2-Maßnahmen ab.

Erfahren Sie, welche Unternehmen von der europäischen NIS-2-Richtlinie betroffen sind und prüfen Sie mit unserem Quick Check die Folgen für Ihr Unternehmen:

NIS-2