Zum Umsetzungsstand der NIS-2-Richtlinie nach dem Ampel-Aus: Aufgeschoben ist nicht aufgehoben

Richtlinien müssen von den Mitgliedstaaten in nationales Recht umgesetzt werden; das gilt auch für die NIS-2-RL. Die NIS-2-RL mag zahlreiche unangenehme Cybersicherheitspflichten für Unternehmen enthalten. Diese Pflichten gelten für Unternehmen aber (anders als bei einer Verordnung) nicht unmittelbar, sondern erst nach einer Umsetzung der Richtlinie durch den Mitgliedstaat in nationales Recht.

Auch wenn Unternehmen damit vorerst keine Sanktionen drohen, sollten die Hände gleichwohl nicht in den Schoß gelegt werden. Dadurch, dass Deutschland den Stichtag wohl erheblich verfehlen wird, darf nach Inkrafttreten des deutschen Umsetzungsgesetzes eher keine großzügige Umsetzungsfrist erwartet werden. Das Gesetz wird voraussichtlich in dem Moment scharfgestellt sein, an dem es in Kraft tritt. Für Unternehmen bedeutet das, dass sie die Umsetzung nicht auf Wiedervorlage legen sollten, sondern gut daran täten, das Gesetzgebungsverfahren schritthaltend nachzuvollziehen, um nicht an dessen Ende von bösen Überraschungen überrumpelt zu werden. Dies gilt umso mehr, als dass die NIS-2-RL so formuliert ist, dass sie dem nationalen Gesetzgeber nur bedingt Umsetzungsspielraum lässt und es auch schon weit gediehene Gesetzesentwürfe zum nationalen Umsetzungsgesetz gibt, nämlich das sog. NIS-2 Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Verpasster Stichtag hin – verpasster Stichtag her; Unternehmen können durchaus erkennen, was auf sie zu kommt und sich hierauf einstellen. Diese Chance sollte nicht vertan werden.

Zudem tun Unternehmen der Wasserwirtschaft gut daran, Cybersicherheit zur „Chefsache“ zu erklären. Auch wenn Detailfragen eines künftigen Umsetzungsgesetzes voraussichtlich erst in der künftigen Legislaturperiode geklärt werden sollten; eines ist bereits jetzt klar: Geschäftsleitungen werden besonders in den Fokus rücken und durch das Umsetzungsgesetz besonders adressiert. Ihnen wird eine persönliche Umsetzungs- und Überwachungsaufgabe zukommen deren Nichterfüllung empfindliche (persönliche) Haftungsszenarien der Geschäftsleitung nach sich ziehen können. Gerade die Leitungsebene sollte das Ampel-Aus daher als Zeitgewinn begreifen und sich rasch auf Ballhöhe bringen.