Thought Leadership
Zwei Jahre nach Ablauf der EU-Frist haben Frankreich und Spanien die NIS2-Richtlinie noch immer nicht umgesetzt. Jetzt könnte es teuer werden.
Eigentlich war Oktober 2024 die Deadline: Bis dahin hätten alle EU-Staaten die NIS2-Richtlinie in eigenes Recht übernehmen müssen, jenes europäische Regelwerk zur Absicherung kritischer Infrastruktur gegen Cyberangriffe. Fast alle verpassten die Frist. Die Kommission mahnte, mahnte erneut, und steht jetzt vor einer ungewöhnlichen Eskalation: Klagen vor dem Europäischen Gerichtshof.
Frankreich und Spanien sollen als erste dran sein, wie Politico berichtet. Die Verfahren sollen noch in diesem Jahr eingereicht werden, möglicherweise schon rund um die Sommerpause, so zumindest der Stand laut Kommissionskreisen.
Nicht die erste Klage dieser Art
Das Besondere an der Situation: Beide Länder stehen bereits wegen einer anderen Richtlinie vor dem EuGH. Ende April wurde Frankreich zusammen mit sechs weiteren Staaten wegen ausstehender Umsetzung der CER-Richtlinie verklagt, die ebenfalls den Schutz kritischer Infrastruktur regelt. Paris hatte ursprünglich geplant, CER und NIS2 in einem einzigen Gesetzgebungspaket zu bündeln. Das Vorhaben ist jedoch mehrfach ins Stocken geraten und wird nun frühestens Ende September erwartet.
Die NIS2-Richtlinie wurde 2022 beschlossen und verpflichtet Betreiber aus Bereichen wie Energie, Verkehr, Wasser und digitaler Infrastruktur, ihre Systeme besser gegen Cyberangriffe zu schützen. Erst wenn ein EU-Staat die Vorgaben in nationales Recht übernimmt, können diese gegenüber einzelnen Unternehmen tatsächlich durchgesetzt werden.
Deutschland: spät, aber drin
Zum Vergleich lohnt ein Blick nach Deutschland. Auch hier wurde die EU-Frist gerissen, aber das Gesetz kam zumindest nach. Nach dem Scheitern des ursprünglichen Entwurfs unter der Ampelkoalition und einem Neustart nach der Bundestagswahl verabschiedete der Bundestag das NIS2-Umsetzungsgesetz am 13. November 2025, der Bundesrat stimmte eine Woche später zu. Seit dem 6. Dezember 2025 gilt es ohne Übergangsfristen. Statt bisher rund 4.500 sind nun über 29.500 Unternehmen in 18 Sektoren zur Einhaltung verpflichtet. Eine EuGH-Klage droht Deutschland damit nicht.
Was dem EuGH nun vorliegt
Der Gerichtshof kann säumigen Staaten mehr Zeit geben oder Geldbußen verhängen. Die Kommission hat die Möglichkeit, beim Einreichen der Klage bereits einen Strafvorschlag beizulegen, was sie in solchen Verfahren häufig tut. Ob das hier der Fall sein wird, ist noch offen.
Frankreich und Spanien dürften dabei nicht die einzigen Beklagten bleiben. Laut Kommission sollen weitere Mitgliedsstaaten mit ähnlichen Verfahren rechnen, ohne dass konkrete Namen genannt wurden. Von den 27 EU-Ländern hatten zum Ablauf der Frist nur vier NIS2 rechtzeitig umgesetzt. Mittlerweile sind es aber 22 von 27 EU-Staaten, die ein NIS2-Umsetzungsgesetz verabschiedet haben.
(red)
