Die Durchführungsverordnung enthält detaillierte Maßnahmen für das Risikomanagement zur Cybersicherheit sowie für als „erheblich“ eingestufte Sicherheitsvorfälle. Unternehmen, die digitale Infrastrukturen und Dienste bereitstellen, müssen solche Fälle künftig den zuständigen nationalen Behörden melden. Die Durchführungsverordnung gilt für bestimmte Kategorien von Unternehmen, die digitale Dienste erbringen. Dazu gehören etwa Anbieter von Cloud‑Computing- oder Rechenzentrumsdiensten, Online‑Marktplätze, Online‑Suchmaschinen und Plattformen sozialer Netzwerke. Für jede Kategorie von Diensteanbietern legt der Durchführungsrechtsakt fest, wann ein Sicherheitsvorfall als erheblich erachtet wird, an wen er gemeldet werden muss und in welchem Zeitraum.
Die NIS-2-Richtlinie ist seit Januar 2023 in Kraft. Die Umsetzungsfrist für die Mitgliedstaaten endete am 17. Oktober 2024. Bislang haben lediglich Belgien und Kroatien ihre Umsetzung an die KOM gemeldet, Italien und Litauen zeigten eine teilweise Umsetzung an. In Deutschland müssen Bund und Länder in ihren jeweiligen Zuständigkeiten rechtliche Regelungen treffen. Rheinland-Pfalz hat bereits am 8. Oktober 2024 eine Verwaltungsvorschrift zur Umsetzung der NIS-2-Richtlinie in der Landesverwaltung beschlossen. Sie gilt für Einrichtungen der öffentlichen Verwaltung in Rheinland‑Pfalz, die nach einer risikobasierten Bewertung Dienste erbringen, deren Störung erhebliche Auswirkungen auf kritische gesellschaftliche oder wirtschaftliche Tätigkeiten haben könnte.
Der Durchführungsrechtsakt tritt 20 Tage nach der Veröffentlichung im Amtsblatt der EU in Kraft. Weitere Informationen sind der Pressemitteilung der deutschen Vertretung der KOM zu entnehmen. (VS)