Welche europäischen Gesetzesnormen sind vor kurzem in Kraft getreten?

In der Europäischen Union sind in den vergangenen Jahren zahlreiche Richtlinien und Verordnungen im Bereich der IT-Sicherheit in Kraft getreten. Damit sollen zukünftig konkrete Maßnahmen und Vorgaben, aber auch bestimmte Verbote innerhalb der EU durchgesetzt werden. Das betrifft auch Deutschland, beispielsweise durch die noch ausstehende Umsetzung von Richtlinien wie NIS 2 oder durch Verordnungen, die direkt anwendbar sind und teilweise gestaffelte Fristen vorsehen. Zu den bereits in Kraft getretenen Gesetzesnormen gehören unter anderem die folgenden:

Am längsten zurück liegt NIS 2, die bereits am 16. Januar 2023 in Kraft getreten ist. Die Richtlinie hätte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen. Aufgrund der aktuellen politischen Situation ist dies bisher jedoch noch nicht geschehen. Durch das NIS2UmsuCG soll die Umsetzung voraussichtlich bis Herbst 2025 erfolgen. Die Vorgaben würden dann einen Tag nach der Veröffentlichung im Bundesgesetzblatt gelten. NIS 2 soll ein einheitliches und hohes Cybersicherheitsniveau für Netz- und Informationssysteme schaffen. Gleichzeitig sollen kritische Infrastrukturen besser geschützt werden.

Gemeinsam mit NIS 2 trat die CER-Richtlinie in Kraft. Sie soll die Mitgliedstaaten dazu bringen, kritische Einrichtungen besser vor verschiedenen Bedrohungen zu schützen. Dazu gehört auch, die Cybersicherheit durch präventive Risikoanalysen zu erhöhen und anschließend entsprechende Maßnahmen umzusetzen. Insgesamt soll dadurch die Resilienz verbessert werden. Der Schwerpunkt auf der Resilienz physischer Infrastrukturen unterscheidet die CER-Richtlinie beispielsweise von NIS 2.

Einen Tag nach NIS 2 trat DORA in Kraft. Die Verordnung richtet sich an Finanzunternehmen und soll das gemeinsame Niveau der operativen Resilienz erhöhen. Dabei spielt insbesondere die Sicherheit von Netzwerk- und Informationssystemen eine wichtige Rolle. Erreicht werden soll dies unter anderem durch Tests und Dokumentationen sowie durch präventive Pflichten, beispielsweise Risikoanalysen, und nachgelagerte Pflichten, wie die Meldung von Vorfällen. DORA gilt seit dem 17. Januar 2025.

Der Data Act trat am 11. Januar 2024 in Kraft. Er soll die Nutzung und den Austausch von Daten sowie den Zugang zu Daten fördern. Dafür legt er Regeln für den B2C-, B2B- und B2G-Bereich fest. Gleichzeitig werden die Rechte der Endverbraucher gestärkt, wodurch die Wertschöpfungskette im Zusammenhang mit Daten verbessert werden soll. Sensible Strafen sollen dabei für eine lückenlose Umsetzung sorgen. Der Data Act gilt allerdings erst ab dem 12. September 2025 und muss nicht zusätzlich in nationales Recht umgesetzt werden.

Der AI Act sorgte für viel Aufmerksamkeit, als er am 1. August 2024 in Kraft trat. Als „erstes KI-Gesetz der Welt“ legt er Anforderungen an die Entwicklung, das Inverkehrbringen, die Inbetriebnahme und die Verwendung von Systemen künstlicher Intelligenz fest. Seine vollständige Geltung entfaltet der AI Act zwar erst 24 Monate nach seinem Inkrafttreten, einzelne Teile gelten jedoch bereits vorher. Die Strafen können mit bis zu 6 % des weltweiten Jahresumsatzes vergleichsweise hoch ausfallen. Der AI Act gilt unmittelbar in allen Mitgliedstaaten und muss daher nicht erst in nationales Recht umgesetzt werden.

Der CRA enthält Cybersicherheitsanforderungen, die sich auf den gesamten Lebenszyklus von Produkten mit digitalen Elementen beziehen. Der sogenannte „Security by Design“-Ansatz soll beispielsweise für Soft- und Hardwareprodukte gelten, die mit einem Gerät oder Netzwerk verbunden werden können. Dazu zählen etwa Smart-Geräte, Babyphones oder Apps. Der CRA trat am 20. November 2024 in Kraft und wird ab dem 11. Dezember 2027 vollständig gelten. Bestimmte Teile der Verordnung sind allerdings schon vorher anzuwenden und die entsprechenden Anforderungen müssen erfüllt werden.

Auch die Novellierung der ProdHaftRL sorgte für Aufmerksamkeit, als sie am 8. Dezember 2024 in Kraft trat und beispielsweise Software im Sinne des Gesetzes offiziell als Produkt anerkannte. Durch die Novellierung wurde der Anwendungsbereich erweitert und an die zunehmend digitalisierte Welt angepasst. Unter anderem wurden SaaS, Sprachassistenten und Softwarekomponenten sowie der Fehlerbegriff und die Verteilung der Beweislast neu geregelt. Da es sich um eine Richtlinie handelt, haben die Länder 24 Monate Zeit, die ProdHaftRL in nationales Recht umzusetzen.