Die Europäische Kommission hat Frankreich, Irland, die Niederlande und Spanien an den Gerichtshof der Europäischen Union verwiesen, nachdem die vier Länder die Cybersicherheitsrichtlinie NIS2 nicht innerhalb der erforderlichen Frist umgesetzt hatten. Die Richtlinie sollte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden, aber die vier Mitgliedstaaten haben den Prozess noch nicht abgeschlossen.
NIS2 ist der aktualisierte Cybersicherheitsrahmen der Europäischen Union, der darauf abzielt, den Schutz von Organisationen in kritischen Bereichen zu stärken. Die Regeln gelten für Branchen wie Gesundheitswesen, Energie, Finanzen, Transport, digitale Infrastruktur, öffentliche Verwaltung und Telekommunikation und erfordern von Organisationen, stärkere Cybersicherheitsmaßnahmen zu ergreifen und bedeutende Cybervorfälle zu melden.
Die Europäische Kommission erklärte, die Richtlinie sei unerlässlich, um die Widerstandsfähigkeit sowohl öffentlicher als auch privater Organisationen gegenüber Cyberbedrohungen zu verbessern. Es stellt außerdem eine engere Zusammenarbeit zwischen den EU-Mitgliedstaaten durch Informationsaustausch und koordinierte Reaktion auf Vorfälle ein und führt strengere Risikomanagement- und Berichtspflichten für betroffene Unternehmen ein.
Indem die Kommission die vier Länder an das höchste Gericht der EU verweist, versucht sie, die Einhaltung der Cybersicherheitsgesetze des Blocks durchzusetzen. Wenn der Gerichtshof gegen die Mitgliedstaaten entscheidet und sie weiterhin die Umsetzung verzögern, könnten sie mit finanziellen Sanktionen rechnen.
Die meisten anderen EU-Länder haben bereits nationale Gesetzgebung zur Umsetzung der Richtlinie verabschiedet. Die Niederlande haben jedoch kürzlich Fortschritte gemacht, nachdem beide Kammern des Parlaments das Cybersicherheitsgesetz des Landes verabschiedet hatten, das die NIS2-Anforderungen in das niederländische Recht integriert. Die Gesetzgebung soll am 15. August in Kraft treten und mehr als 8.000 niederländische Unternehmen unter das neue Cybersicherheitsrahmen bringen.
Nach der Umsetzung wird NIS2 von den betroffenen Organisationen verlangen, ihre Cybersicherheits-Governance zu stärken, die Sicherheit in der Lieferkette zu verbessern, Vorfallreaktionsverfahren einzurichten und bedeutende Cybervorfälle innerhalb vorgegebener Zeitrahmen zu melden. Unternehmensleiter könnten zudem einer erhöhten Rechenschaftspflicht für die Cybersicherheitsaufsicht gemäß den Governance-Anforderungen der Richtlinie gegenüberstehen.