NIS2 im Ausland: Ist das Gesetz in jedem EU-Land gleich?
Nein, nicht ganz. NIS2 ist eine Europäische Richtlinie, und eine Richtlinie funktioniert anders als eine Verordnung. Eine Verordnung wie die DSGVO gilt unmittelbar und wörtlich in allen Mitgliedstaaten. Eine Richtlinie wie NIS2 gibt ein Ziel und einen Rahmen vor, aber jedes Land muss dies selbst in eigene nationale Rechtsvorschriften umsetzen. Dadurch können die genauen Regeln, die verwendeten Begriffe und die Art der Beaufsichtigung von Land zu Land unterschiedlich sein, auch wenn die Grundlage überall gleich ist.
Für einen Unternehmer, der an Kunden in mehreren Ländern liefert oder der selbst Niederlassungen im Ausland hat, bedeutet dies, dass ein Fragebogen aus Deutschland andere Wörter verwenden kann als ein Fragebogen aus Frankreich oder Belgien, obwohl beide auf derselben Europäischen Richtlinie beruhen. Das, was in einem Land eine obligatorische Maßnahme genannt wird, kann in einem anderen Land unter einer etwas anderen Bezeichnung fallen. Das ist kein Fehler Ihres Kunden und auch kein Fehler von Ihnen: es ist eine Folge dessen, wie eine Richtlinie rechtlich funktioniert.
Was bleibt gleich, was unterscheidet sich
Der Kern von NIS2 ist europäisch festgelegt: welche Sektoren unter die Richtlinie fallen können, welche Art von Maßnahmen im Bereich der Cybersicherheit erwartet wird, und dass es eine Form der Beaufsichtigung gibt. Diese Grundlage ist in allen Mitgliedstaaten der gleiche Ausgangspunkt.
Das Unterschiedliche liegt vor allem in der Umsetzung. Jedes Land bestimmt seine eigene Aufsichtsbehörde mit einem eigenen Namen und eigener Arbeitsweise. Auch die Art und Weise, wie ein Unternehmen sich anmelden muss, die genaue Formulierung von Verpflichtungen und die nationalen Bußgeldsysteme können von Land zu Land unterschiedlich sein. Einige Länder haben sich auch dafür entschieden, die Richtlinie breiter oder etwas strenger umzusetzen als das europäische Minimum, im Rahmen des Spielraums, den die Richtlinie dafür lässt.
Dies bedeutet in der Praxis, dass ein niederländischer Zulieferer, der an einen deutschen oder spanischen Abnehmer liefert, einen Fragebogen erhalten kann, der anders strukturiert ist als eine vergleichbare niederländische Liste. Die zugrunde liegende Frage — können Sie nachweisen, dass Sie etwas für die Cybersicherheit tun — ist meist vergleichbar. Die Form, in der diese Frage gestellt wird, ist das nicht immer.
Was dies für Ihre eigene Kettenakte bedeutet
Für den Unternehmer, der die gleiche Art von Fragen dutzende Male pro Jahr beantwortet, ist die Unterscheidung zwischen dem europäischen Kern und der nationalen Ausgestaltung vor allem praktisch relevant. Die Nachweise, die Sie erbringen — eine Richtlinie, eine Übersicht von Maßnahmen, eine Erklärung zur Zugriffskontrolle — können grundsätzlich gleich bleiben, auch wenn die Fragestellung von Land zu Land unterschiedlich ist. Es ist die Übertragung auf das Format des Abnehmers, das von Land zu Land unterschiedlich sein kann, nicht unbedingt der Inhalt dessen, was Sie bereits dokumentiert haben.
Das ist auch, wo eine zentrale Kettenakte ihren Wert zeigt: einmal die zugrunde liegende Information dokumentieren und diese für jeden Fragebogen erneut nutzen, unabhängig davon, in welchem Land sich der Abnehmer befindet oder welches nationale Gesetz genau hinter der Frage steckt. der Wissensdatenbank mit Erläuterungen zu jedem Thema gibt pro Thema an, welche Informationen normalerweise angefordert werden, damit Sie für jedes Land nicht erneut herausfinden müssen, was anders ist.
Ob NIS2 in der nationalen Form eines bestimmten Landes speziell auf Ihr Unternehmen anwendbar ist und welche genauen Verpflichtungen daraus folgen, steht in der Rechtsvorschrift dieses Landes selbst und bei der dort bestimmten Aufsichtsbehörde. Für die niederländische Situation können Sie dies bei der zuständigen Aufsichtsbehörde oder bei einem Rechtsanwalt, der mit grenzüberschreitenden NIS2-Fragen vertraut ist, überprüfen; wir bewerten diese Situation nicht und geben dazu keine Stellungnahme ab.
Erst einmal sehen, wo Sie ungefähr stehen
Falls Sie sich nicht sicher sind, ob die Fragen zur Cybersicherheit, die Sie erhalten, mit NIS2 zusammenhängen oder einfach aus der Politik Ihres eigenen Kunden stammen, hilft es, zunächst einen kurzen Überblick über das zu haben, was normalerweise gefragt wird und warum. in ein paar Fragen eine erste Orientierung erhalten zeigt, welche Themen für Ihre Situation relevant sein können, ohne dass dies ein Urteil über Ihre Einhaltung darstellt.
Für diejenigen, die genau wissen möchten, woher die Informationen auf supplia.eu stammen und wie diese gepflegt werden, ist dies erläutert auf der Seite über die Entstehung der Informationen. Falls Sie nach dem Lesen noch Zweifel an einem bestimmten Begriff oder einer bestimmten Situation haben, finden Sie weitere Erläuterungen in den häufig gestellten Fragen zu Fragebögen und Aufsicht.
Wenn Sie wissen möchten, wie solche Länderunterschiede in der Praxis bei Ihren eigenen Abnehmern auftauchen, führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Wissensdatenbank. So sehen Sie schnell, welche Themen für Ihr Unternehmen relevant sind, ohne dass Sie zunächst alle nationale Rechtsvorschriften selbst recherchieren müssen.