Eishersteller, Hersteller von Weihnachtsbeleuchtung und Kaugummis sowie bestimmte Vermieter in Deutschland könnten künftig unter eine EU-Richtlinie fallen, das sie als kritische Infrastruktur einstuft. Davor haben Technik- und Cybersicherheitsanwälte gegenüber dem Brüsseler Nachrichtenportal Politico gewarnt.

Der Grund liegt in der NIS2-Richtlinie – dem EU-Gesetz, das ein hohes Cybersicherheitsniveau schaffen und so vor allem hochsensible Ziele wie Kraftwerke, Wasserwerke und Stromnetze vor Cyberangriffen absichern soll.

Wer als Betreiber kritischer Infrastruktur gilt, unterliegt strengeren Pflichten und muss sich bei den nationalen Cyberbehörden registrieren. Bei der Umsetzung wächst nun aber offenbar die Verwirrung darüber, wer überhaupt darunterfällt.

Die NIS2-Richtlinie wurde bereits im Jahr 2022 beschlossen, wird aber immer noch von den EU-Staaten in nationales Recht überführt. Ziel ist ein einheitlich hohes Cybersicherheitsniveau für besonders kritische Sektoren.

Bis zum 18. Oktober 2024 hätten die Mitgliedstaaten die Vorgaben vollständig umsetzen sollen. Betreiber der wichtigsten Sektoren müssen sich bei ihren nationalen Cyberbehörden registrieren – und dafür muss klar sein, für wen das Gesetz überhaupt gilt.

Der Druck ist groß: Europa sehe sich einer beispiellosen Welle von Cyberangriffen gegenüber, verstärkt durch KI und hybride Formen der Aggression, berichtet Politico.

Die Richtlinie erfasst Produktion, Verarbeitung und Vertrieb von Lebensmitteln. Ein Angriff auf die Versorgungskette gilt als Bedrohung für die gesamte Bevölkerung.

Diese Einordnung hat unerwartete Folgen. Markéta Gregorová, tschechische EU-Abgeordnete, die an einem separaten Vereinfachungspaket zur NIS2-Richtlinie arbeitet, stellte die Anwendung öffentlich infrage.

Auf einer Konferenz sagte sie laut Politico, dass Eishersteller ab einer gewissen Größe unter das Gesetz fallen könnten. „Die braucht man in einer Krise wahrscheinlich nicht“, so Gregorová.

Auch Kaugummi-Großhändler ab einer bestimmten Größe fielen in den Anwendungsbereich, sagte Andreas Daum, Associated Partner der Kanzlei Noerr laut Politico.

Ein deutscher Branchenverband habe seinen Mitgliedern bereits versichert, dass handwerkliche Bäckereien nicht betroffen seien, was ihnen zusätzlichen bürokratischen Aufwand ersparen würde.

Auch der Hersteller von Weihnachtsbeleuchtung könnte ein NIS2-Sektor sein, in derselben Kategorie wie Postdienste und Chemieproduktion.

Die „Herstellung von Weihnachtsbaumbeleuchtung“ falle unter die maßgebliche Klassifikation der Wirtschaftszweige, sagte Jurriaan Jansen, Partner der Kanzlei Norton Rose in Amsterdam.

Im Wortlaut gelte Weihnachtsbeleuchtung zwar als „wichtig“, erreiche nach dem niederländischen NIS2-Gesetz aber nicht die Schwelle zu „wesentlich“. Eine Störung stelle kein Risiko für die öffentliche Sicherheit dar. „Das wäre ein ungewöhnliches Ergebnis für diese Branche“, so Jansen.

Manche Einrichtungen könnten dem Bericht zufolge zudem in Bereichen zu Betreibern kritischer Infrastruktur werden, die mit ihrer eigentlichen Tätigkeit nichts zu tun haben.

Ein belgischer EU-Abgeordneter erklärte so etwa im vergangenen Jahr, dass große Schulen mit Solaranlagen „formell als ‚Produzenten‘ von Strom eingestuft“ würden und so in den Anwendungsbereich fielen. Das bringe „erhebliche Kosten für Einrichtungen, denen es oft an eigenem Cybersicherheits-Know-how fehlt“.

Die EU-Kommission bestritt in ihrer Antwort gegenüber dem Abgeordneten nicht, dass Schulen betroffen sein können, verwies aber auf ihr Digital-Omnibus-Paket und die Überarbeitung des Cybersicherheitsgesetzes.

Wer in Deutschland viele Wohnungen vermietet und einen Kabel- oder Internetanschluss über die Nebenkosten weitergibt, könnte laut einem Urteil aus dem Jahr 2021 als Telekommunikationsanbieter gelten – je nach Ausgestaltung.

„Es ist möglich, aber es hängt davon ab, wie das Mietverhältnis gestaltet ist“, sagte Daum laut Politico. Ob daraus Pflichten nach den neuen Cyberregeln folgen, sei ungeklärt: „Dazu gibt es keine Rechtsprechung und keine Leitlinien von einer der zuständigen Aufsichtsbehörden.“

Eigentlich sollten die Regierungen ihre nationalen Gesetze bis Ende 2024 in Kraft haben. Durch Verzögerungen befassen sich viele Unternehmen erst jetzt ernsthaft mit den Details.

Frankreich und Spanien haben laut Politico bislang keine entsprechenden Gesetze verabschiedet. In Deutschland kommen die Registrierungen der Firmen nur langsam voran.