NIS2 im nationalen Recht: wo die Umsetzungen tatsächlich abweichen
Nicht die Richtlinie verpflichtet Ihre Kunden, sondern das nationale Gesetz. Und in Deutschland gibt es eine Frist, die fast überall falsch dargestellt wird.
Ich habe die letzten Wochen Transpositionen in den amtlichen Verkündungsblättern gelesen, nicht in Zusammenfassungen. Ich beginne mit Deutschland, weil der teuerste Fehler dort kein Unterschied ist, sondern ein Datum.
Die Registrierungsfrist ist kein festes Datum
§ 33 Abs. 1 BSIG gibt drei Monate ab dem Tag, an dem eine Einrichtung erstmals in den Anwendungsbereich fällt. Der 6. März 2026 gilt nur für diejenigen, die bei Inkrafttreten bereits erfasst waren. Wer im Juni wächst, hat bis September — und wer das Stichtagsdatum für alle anzeigt, sagt der Hälfte seiner Kunden etwas Falsches, in beide Richtungen.
Deutschland hat Art. 21 Abs. 3 nicht umgesetzt
Zur Lieferkette verlangen Italien und Portugal, zu dokumentieren, worauf ein Lieferant tatsächlich zugreift: "valutato e documentato" für den Zugriff auf Daten und geistiges Eigentum, gewichtet nach Kritikalität (Misure ACN GV.SC-07.R1), sowie "a exposição da sua informação" als Einstufungsmerkmal (QNRCS GR.CA-7). Deutschland und Polen verlangen nichts dergleichen. Ein Werkzeug, das dieses Feld überall erzwingt, irrt genauso wie eines, das es nirgends anbietet.
Schulung
Art. 20 Abs. 2 nennt die Mitglieder des Leitungsorgans. Jedes bislang gelesene Land hat den Kreis erweitert. Kroatien verlangt, dass die Leitung sich schult und den Beschäftigten Schulung ermöglicht (čl. 29 st. 3), und erstreckt den persönlichen Anwendungsbereich auf jeden mit Aufsichts-, Vertretungs- oder Entscheidungsbefugnis über die Maßnahmen (st. 4). Polen macht sie jährlich, einmal je Kalenderjahr, dokumentiert, und wendet sie auf diejenigen an, denen die Pflichten übertragen wurden (art. 8e). Frankreich erfasst das Leitungsorgan und "les personnes exposées aux risques" (art. 14, 1°). Drei von drei. Wenn Ihr Schulungsplan beim Vorstand endet, ist er vermutlich zu eng.
Polen hat eine Pflicht erfunden, die in der Richtlinie überhaupt nicht vorkommt
Die Artikel 67b–67c schaffen ein Hochrisiko-Lieferanten-Regime: eine im Monitor Polski veröffentlichte ministerielle Feststellung ist sofort vollziehbar und kennt keinen Widerspruch. Danach dürfen betroffene Produkte nicht mehr eingeführt werden, für den Rückbau des Bestands bleiben sieben Jahre, und öffentliche Auftraggeber dürfen sie nicht beschaffen.
Warum das für einen Werkzeuganbieter kein Detail ist
Eine auf der Richtlinie gebaute Plattform zeigt ein Stichtagsdatum, weil die Richtlinie eines nahelegt. Wir rechnen die drei Monate ab dem Eintritt in den Anwendungsbereich, weil § 33 Abs. 1 das so sagt. Ich gebe zu: wir selbst haben die Frist eine Zeit lang als festes Datum dargestellt. Korrigiert nach dem Lesen der Norm, nicht nach einer Kundenbeschwerde.
Welches nationale Recht verpflichtet Sie?
Die kostenlose Bewertung nennt das Gesetz, das Sie bindet, die Behörde, an die Sie melden, und die Fristen, die Ihr Land tatsächlich setzt. Die drei Monate nach § 33 Abs. 1 rechnen wir ab dem Eintritt in den Anwendungsbereich. Ohne Kreditkarte.