Einleitung
Bei der am 6. Juli 2016 angenommenen Richtlinie (EU) 2016/1148 über die Sicherheit von
Netz- und Informationssystemen in der Union1 (im Folgenden die „NIS-Richtlinie“ oder die
„Richtlinie“) handelt es sich um die ersten horizontalen Rechtsvorschriften zur Bewältigung
von Herausforderungen der Cybersicherheit. Für die Abwehrfähigkeit gegenüber
Cyberangriffen und die Zusammenarbeit in Europa stellt sie einen entscheidenden
Wendepunkt dar.
Mit der Richtlinie werden drei Hauptziele verfolgt:
Stärkung der Kapazitäten der Mitgliedstaaten im Bereich der Cybersicherheit;
Ausbau der Zusammenarbeit auf EU-Ebene und
Förderung einer Kultur des Risikomanagements und der Meldung von
Sicherheitsvorfällen bei zentralen Wirtschaftsakteuren, insbesondere bei Betreibern
wesentlicher Dienste für die Aufrechterhaltung gesellschaftlicher oder wirtschaftlicher
Tätigkeiten und bei Anbietern digitaler Dienste.
Die NIS-Richtlinie ist ein Eckstein der Antwort der EU auf die zunehmenden
Cyberbedrohungen und -herausforderungen, die mit der Digitalisierung unseres
wirtschaftlichen und gesellschaftlichen Lebens einhergehen, und ihre Umsetzung ist somit ein
wesentlicher Teil des am 13. September 2017 vorgelegten Cybersicherheitspakets. Solange
die NIS-Richtlinie noch nicht in allen Mitgliedstaaten vollständig umgesetzt ist, geht dies zu
Lasten der Wirksamkeit der Antwort der Europäischen Union. Auch in der Mitteilung der
Kommission „Stärkung der Abwehrfähigkeit Europas im Bereich der Cybersicherheit“2 aus
dem Jahr 2016 wurde dies als entscheidendes Problem identifiziert.
Angesichts der Neuartigkeit der NIS-Richtlinie und der Dringlichkeit, mit der die sich rasch
wandelnden
Cyberbedrohungen
angegangen
werden
müssen,
verdienen
die
Herausforderungen, mit denen alle Akteure bei der fristgerechten und erfolgreichen
Umsetzung der Richtlinie konfrontiert sind, besondere Aufmerksamkeit. So hat die
Kommission mit Blick auf die Frist für die Umsetzung bis zum 9. Mai 2018 bzw. bis zum
9. November 2018 für die Ermittlung der Betreiber wesentlicher Dienste den
Umsetzungsprozess in den Mitgliedstaaten sowie deren Arbeiten in der Kooperationsgruppe
fortlaufend unterstützt.
Die vorliegende Mitteilung und ihr Anhang basieren auf den Vorarbeiten und der Analyse der
Kommission im Zusammenhang mit der bisherigen Umsetzung der NIS-Richtlinie, auf den
Beiträgen der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) und auf
den Erörterungen mit den Mitgliedstaaten in der Umsetzungsphase der Richtlinie, vor allem
1
2
Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen
zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in
der Union. Die Richtlinie trat am 8. August 2016 in Kraft.
COM(2016) 410 final.
2