EU verklagt vier Länder wegen verspäteter Umsetzung der NIS2-Richtlinie

Die Europäische Kommission hat Frankreich, Irland, die Niederlande und Spanien vor den Gerichtshof der Europäischen Union gebracht. Die vier Länder haben die NIS2-Richtlinie nicht bis zur Frist im Oktober 2024 in nationales Recht umgesetzt.

Nach Angaben der Kommission ist die vollständige Umsetzung der NIS2-Richtlinie entscheidend, um die Cybersicherheit in der Europäischen Union zu stärken. Gleichzeitig soll sie die Fähigkeit kritischer Sektoren verbessern, auf Cyberbedrohungen zu reagieren.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (Network and Information Security Directive) ersetzt den ursprünglichen NIS-Rechtsrahmen der EU durch strengere Cybersicherheitsanforderungen.

Ihr Ziel ist es, die digitale Widerstandsfähigkeit von Organisationen in ganz Europa zu erhöhen und einen einheitlicheren Schutz von Netzwerk- und Informationssystemen zu schaffen.

Die Richtlinie konzentriert sich auf den Schutz vor Bedrohungen wie:

• Cyberangriffen
• Ransomware
• Zero-Day-Exploits
• Anderen Angriffen auf kritische digitale Infrastrukturen

Neue Cybersicherheitsvorgaben für kritische Sektoren

Nach der NIS2-Richtlinie müssen sowohl öffentliche als auch private Organisationen, die wesentliche Dienste erbringen, strengere Cybersicherheitsanforderungen erfüllen.

Die Vorgaben gelten unter anderem für:

• Gesundheitswesen
• Energieversorgung
• Finanzwesen
• Digitale Infrastruktur
• Öffentliche Verwaltung

Betroffene Organisationen müssen stärkere Sicherheitsmaßnahmen einführen, schwerwiegende Cybervorfälle melden und ihre allgemeine Cyberresilienz verbessern.

Darüber hinaus schafft die Richtlinie einen Rahmen für den Austausch von Bedrohungsinformationen zwischen den EU-Mitgliedstaaten. Außerdem wird eine europäische Schwachstellendatenbank eingerichtet, um die gemeinsame Cyberabwehr zu stärken.

Vier Länder haben die Frist versäumt

Die EU-Mitgliedstaaten hatten bis Oktober 2024 Zeit, die NIS2-Richtlinie in nationales Recht umzusetzen.

Während die meisten Länder die Frist einhielten, schlossen Frankreich, Irland, die Niederlande und Spanien den Gesetzgebungsprozess nicht rechtzeitig ab.

Aus diesem Grund hat die Europäische Kommission alle vier Staaten vor den Gerichtshof der Europäischen Union gebracht.

In einer Erklärung betonte die Kommission, dass die vollständige Umsetzung weiterhin entscheidend sei. Sie werde die Reaktionsfähigkeit öffentlicher und privater Einrichtungen verbessern, die wesentliche Dienste bereitstellen.

Die Niederlande verabschieden neues Cybersicherheitsgesetz

Obwohl die Niederlande die ursprüngliche Frist verpassten, haben sie das Gesetzgebungsverfahren inzwischen abgeschlossen.

Das niederländische Repräsentantenhaus verabschiedete das Cybersicherheitsgesetz im April 2026. Der Senat stimmte dem Gesetz Anfang dieser Woche zu.

Mit dem neuen Gesetz wird die NIS2-Richtlinie in niederländisches Recht übernommen. Es tritt am 15. August 2026 offiziell in Kraft.

Mehr als 8.000 Organisationen müssen die neuen Vorgaben erfüllen

Mit Inkrafttreten des Gesetzes müssen mehr als 8.000 niederländische Organisationen die neuen Cybersicherheitsanforderungen erfüllen.

Die betroffenen Organisationen müssen ihre Sicherheitskontrollen verstärken, ihre Verfahren zur Meldung von Sicherheitsvorfällen verbessern und die weiteren Vorgaben der NIS2-Richtlinie erfüllen.

Die Kommission ist überzeugt, dass eine einheitliche Umsetzung in allen Mitgliedstaaten Europas gemeinsame Cyberabwehr stärkt. Gleichzeitig verbessert sie den Informationsaustausch und ermöglicht eine besser koordinierte Reaktion auf zunehmend komplexe Cyberbedrohungen.