Der europäische Kontext

Regulierung

NIS2 und RCE/CER regeln die Sicherheit von Betreibern in der EU mit ähnlicher Struktur und Methodik aber anderen Schwerpunkten – NIS 2 regelt Cybersecurity und RCE Resilienz. Die Regeln gehen deutlich weiter als die bisherige KRITIS-Regulierung. EU DORA reguliert als sektorspezifische Umsetzung Finanzunternehmen, die von NIS2 ausgenommen sind.

Schutzziele

RCE reguliert Resilienz, also Ausfallsicherheit von kritischen Betreibern in der EU, um die Auswirkungen disruptiver Störungen der Betreiber auf die Versorgung zu minimieren.

NIS2 reguliert die Informationssicherheit von kritischen Betreibern, um die Auswirkungen von Cyber Angriffen und Störungen auf IT-Systeme und Netzwerke zu minimieren.

DORA reguliert die digitale operationale Resilienz von Finanzunternehmen und kritischen IKT-Drittdienstleistern, um die Widerstandsfähigkeit des EU-Finanzmarktes zu stärken.

Maßnahmen

Alle drei Regelwerke verlangen von Unternehmen Maßnahmen und Vorfalls­meldungen:

RCE fordert Resilienz bei Betreibern durch Vorsorge, physische Sicherheit, Krisen-Management und BCM, personelle Sicherheit und Awareness.

NIS2 fordert Cybersecurity bei Betreibern durch Policies, Incident und BCM, IT-Sicherheit in der Supply Chain und Einkauf, Asset Management, Kryptographie und sichere Kommunikation.

DORA fordert Cybersecurity und Resilienz bei Finanzunternehmen durch Risikomanagement, Incident Management, Tests, Informationsaustausch und Management von IKT-Drittparteien. Kritische IKT-Drittdienstleistern müssen ebenfalls eigene umfangreiche Pflichten erfüllen.

Betreiber

NIS2 und RCE regulieren kritische Betreiber in teilweise deckungsgleichen EU-Sektoren mit deutlich einfacherer Methodik als die deutschen Schwellenwerte.

RCE fordert nationale Identifizierung der Betreiber durch die Staaten nach Risikoanalyse und disruptivem Effekt.

NIS2 legt betroffene Betreiber nach Unternehmensgröße (2003/361/EC) fest: ab 50 Mitarbeitern und 10 Mio EUR Umsatz.

DORA zählt die betroffenen Finanzunternehmen (z. B. Kreditinstitute, Zahlungsdienstleister, Ratingagenturen, Versicherungsunternehmen) mit Verweis auf EU-Richtlinien auf.

Aufsicht

RCE fordert in Mitglied­staaten eine Behörde für Resilienz, die Betreiber identifiziert, Aufsicht ausübt und Vorgaben zur Umsetzung macht.

NIS2 fordert in Mitglied­staaten eine Behörde für Cybersecurity, ein CSIRT und Krisen-Management. Es soll starke nationale Aufsicht, Vorgaben und Enforcement geben.

DORA nutzt zur Aufsicht von Finanzunternehmen bereits bestehende nationale Aufsichten. Für kritische IKT-Drittdienstleister wird eine eigene (neue) EU-Aufsicht etabliert.

Zusammenarbeit in der EU

RCE bindet die Kommission stark in die EU-weite Aufsicht für Resilienz ein und richtet zur Kooperation die CERG ein. Informationen werden auf EU-Ebene gesammelt.

NIS2 hat eine EU-Landschaft mit der ENISA, der Cooperation Group zur Kooperation, dem CSIRT-Netzwerk und EU-CyCLONe und der Kommission, mit viel Informations­austausch.

DORA strebt eine Kooperation zwischen nationalen Behörden und EU-Behörden wie ESA, EZB und ENISA vor, plus Kooperation zwischen DORA- und NIS2-Behörden.

EU-Staaten

Die EU NIS2-Richtlinie muss von EU-Mitglieds­staaten bis Oktober 2024 in nationales Recht umgesetzt werden. Der Umsetzungsstand variiert hierbei stark — einige Länder haben bereits Entwürfe verfasst haben und befinden sich im öffentlichen Diskurs.

Neben einer Übersicht über NIS2 in der EU gibt es einzelne Artikel zu bestimmten Ländern, wo genug Informationen verfügbar sind. Die Artikel sind auf Englisch.

• EU NIS2 in Germany

Die Informationslage (Januar 2025) ist eher uneinheitlich — bei vielen Ländern haben wir keine oder nur sehr wenige öffentlichen Informationen gefunden. Hier waren noch keine Fortschritte erkennbar: Bulgarien, Dänemark, Estland, Griechenland, Irland, Lettland, Litauen, Luxemburg, Malta, Portugal, Rumänien, Slowakei, Slowenien, Spanien und Zypern.

Kritische Sektoren in der EU

Die betroffenen EU-Sektoren sind zwischen den Direktiven harmonisiert — NIS2 reguliert zwei Gruppen, RCE eine Gruppe, die deutschen KRITIS-Sektoren sind teils ähnlich.

eigene Zusammenstellung EU NIS2 und RCE Sektoren Stand August 2024
* - in NIS 2 teils unabhängig der Größe
** - deutsche Sonderfälle
^ - von einigen RCE-Pflichten und Aufsicht ausgenommen

NIS2 EU	RCE EU	NIS2 Deutschland
Identifikation durch Unternehmens­größe	Bestimmung Betreiber durch den Staat	Identifikation durch Unternehmens­größe + tw. Schwellenwerte
Annex I	Critical Entities	Anlage 1
Energie	Energie	Energie
Transport	Transport	Transport/Verkehr
Bankwesen	Bankwesen^	Finanzwesen
Finanzmärkte	Finanzmärkte^	Finanzwesen
Gesundheit	Gesundheit	Gesundheit
Trinkwasser	Trinkwasser	Wasser
Abwasser	Abwasser	Wasser
Digitale Infrastruktur*	Digitale Infrastruktur^	Digitale Infrastruktur
ICT Service Management	-	Digitale Infrastruktur
Öffentliche Verwaltung*	Öffentliche Verwaltung	Bundesverwaltung**
Weltraum	Weltraum	Weltraum
		Kritische Anlagen**
Annex II		Anlage 2
Post und Kurier		Post und Kurier
Abfallwirtschaft		Entsorgung
Chemikalien		Chemie
Lebensmittel	Ernährung	Lebensmittel
Industrie		Verarbeitendes Gewerbe
Digitale Dienste		Digitale Dienste
Forschung		Forschung

Zeitleiste

NIS2 und RCE wurde Ende 2022 in der EU verabschiedet und müssen bis Oktober 2024 national umgesetzt werden, was sich in den meisten EU-Mitgliedsstaaten, wie in Deutschland, bis 2025 verzögert.

Ablauf EU-Direktiven, Stand Januar 2025

Version	Status	Datum	Akteur
NIS 2	Entwurfsversion (Proposal)	Dez 2020	Kommission
RCE/CER	Entwurfsversion (Proposal)	Dez 2020	Kommission
NIS 2	Kompromiss­vorschlag NIS 2	Okt 2021	EU Parlament
NIS 2	Einigkeit NIS 2	Mai 2022	EU Parlament + Kommission
NIS 2	Zustimmung NIS 2	Nov 2022	EU Parlament
RCE/CER	Zustimmung RCE	Nov 2022	EU Parlament
NIS 2	Annahme NIS 2	Nov 2022	Rat der EU
NIS 2	EU 2022/2555	Dez 2022	Amtsblatt
RCE/CER	EU 2022/2557	Dez 2022	Amtsblatt
NIS 2	Umsetzung in der EU	bis Okt 24	EU-Mitglied­staaten
RCE	Umsetzung in der EU	bis Okt 24	EU-Mitglied­staaten
NIS 2	NIS2-Umsetzungsgesetz	2025 H2?	Deutschland
RCE	KRITIS-Dachgesetz	2025 H2?	Deutschland

Literatur

1. Neue Cybersicherheits­strategie der EU und neue Vorschriften zur Erhöhung der Widerstands­fähigkeit kritischer physischer und digitaler Einrichtungen, Website der Europäischen Kommission, 16.12.2020
2. Proposal for directive on measures for high common level of cybersecurity across the Union, European Commission website, 8.3.2021

Quellen

1. EU decides to strengthen cybersecurity and resilience across the Union: Council adopts new legislation , Council of the EU, Press release ,28 November 2022
2. European Parliament legislative resolution of 10 November 2022 on the proposal for a directive of the European Parliament and of the Council on measures for a high common level of cybersecurity across the Union repealing Directive (EU) 2016/1148 (COM(2020)0823 – C9-0422/2020 – 2020/0359(COD)), 10.11.2022 EU-Parlament
3. European Parliament legislative resolution of 22 November 2022 on the proposal for a directive of the European Parliament and of the Council on the resilience of critical entities, COM(2020)0829 – C9-0421/2020 – 2020/0365(COD), 22.11.2022