Kritische Infrastruktur oder NIS2?

Proč jde o dva zákony, a ne o dvě varianty jednoho režimu

Das Gesetz über Cybersicherheit regelt die Rechte und Pflichten von Personen bei der Gewährleistung der Cybersicherheit sowie die Befugnisse des Nationalen Amtes für Cyber- und Informationssicherheit und gilt für in der Tschechischen Republik ansässige Personen (§ 1 des Gesetzes über Cybersicherheit). Es konzentriert sich auf die Sicherheit von Informationen, Netzwerken und Systemen, d. h. darauf, dass die Technologie im Unternehmen funktioniert.

Das Gesetz über kritische Infrastrukturen zielt auf etwas anderes ab: auf die Resilienz des gesamten Basisdienstes. Es legt Maßnahmen zur Erhöhung und Gewährleistung der Resilienz von Betreibern kritischer Infrastrukturen sowie Rechte und Pflichten bei der Sicherstellung der Erbringung von Basisdiensten fest, wobei die Erhöhung der Resilienz Teil des Krisenmanagements nach dem Krisengesetz ist. Cybersicherheit ist hier nur eine von vielen Bedrohungen, neben Bränden, Stromausfällen oder physischen Angriffen.

Daraus ergibt sich ein praktischer Unterschied. Das erste Gesetz fragt danach, wie Sie Ihre Systeme und Informationen schützen, das zweite danach, ob Sie in der Lage sind, einen Dienst aufrechtzuerhalten, von dem Staat und Gesellschaft abhängen, egal was passiert. Ein Unternehmen kann daher nicht zwischen ihnen wie zwischen zwei Optionen wählen, sondern muss für jedes Gesetz separat prüfen, ob es darunter fällt, und eine Prüfung ersetzt nicht die andere.

Der Unterschied zeigt sich auch darin, wer der Adressat der Pflichten ist. Das Gesetz über Cybersicherheit richtet sich an Anbieter regulierter Dienste und arbeitet mit Vermögenswerten, Risiken und Vorfällen im Cyberspace. Das Gesetz über kritische Infrastrukturen richtet sich an Anbieter von Basisdiensten und arbeitet mit einem Resilienzplan, einer Risikobewertung und der Meldung von Vorfällen, die die Erbringung des Basisdienstes als Ganzes beeinträchtigen, unabhängig davon, ob die Ursache ein Angriff, eine Störung oder ein Naturereignis ist.

Beide Gesetze haben auch unterschiedliche Behörden. Nach dem Gesetz über Cybersicherheit ist das Nationale Amt für Cyber- und Informationssicherheit zuständig. Bei kritischen Infrastrukturen ist das Innenministerium tätig, dessen Zuständigkeit von der Generaldirektion der Feuerwehr wahrgenommen wird, sowie je nach Sektor auch die fachlich zuständigen Ministerien, andere Zentralbehörden oder die Tschechische Nationalbank. Ein Unternehmen, das sich an die falsche Behörde wendet, verliert Zeit, weshalb die Unterscheidung bereits ab dem ersten Schritt wichtig ist. Einen allgemeinen Überblick darüber, wie sich beide Bereiche überschneiden, bietet der Text über Cybersicherheit und kritische Infrastrukturen.

Erster Test: Ist Ihr Dienst ein regulierter Dienst nach dem Gesetz über Cybersicherheit?

Das Gesetz gilt nicht für das Unternehmen als Ganzes, sondern für den einzelnen Dienst. Ein regulierter Dienst ist ein Dienst, über den die Behörde durch eine Registrierungsentscheidung entschieden hat, und die Bedingungen für die Registrierung sind erfüllt, wenn es sich um einen Dienst handelt, der für die Sicherung wichtiger gesellschaftlicher oder wirtschaftlicher Aktivitäten oder für die Sicherheit in der Tschechischen Republik in einem der genannten Sektoren von Bedeutung ist, und der Anbieter ein mittleres oder großes Unternehmen ist oder im Sinne des Gesetzes bedeutend ist (§ 4 des Gesetzes über Cybersicherheit).

Die Liste der konkreten Dienste und die Kriterien für die Bedeutung des Anbieters werden nicht durch das Gesetz, sondern durch eine Durchführungsverordnung festgelegt. Dies ist die Verordnung Nr. 408/2025 Slg. über regulierte Dienste, die am 1. November 2025 in Kraft tritt. Im verarbeitenden Gewerbe nennt sie nur die Herstellung von Computern, elektronischen und optischen Geräten, elektrischen Ausrüstungen, Maschinen und Geräten, Kraftwagen, Kraftwagenanhängern und -sattelanhängern sowie sonstigen Fahrzeugen gemäß den Abteilungen 26 bis 30 der CZ-NACE-Klassifikation. Für große und mittlere Unternehmen gilt die Regelung mit geringeren Pflichten, in der Regelung mit höheren Pflichten befindet sich nur der Serienhersteller von Personenkraftwagen.

Der Kreis der Sektoren ist breit gefächert und betrifft nicht nur Energie und Verkehr. Das Gesetz nennt unter anderem die öffentliche Verwaltung, Energie, verarbeitendes Gewerbe, Lebensmittelindustrie, chemische Industrie, Wasser- und Abfallwirtschaft, Verkehr, digitale Infrastruktur und Dienste, Finanzmarkt, Gesundheitswesen, Wissenschaft, Forschung und Bildung, Post- und Kurierdienste sowie die Verteidigungs- und Raumfahrtindustrie. Ein mittelgroßes Produktionsunternehmen kann daher unter diese Regelung fallen, ohne sich dessen bisher bewusst gewesen zu sein, jedoch nur, wenn seine Tätigkeit einem der Dienste im Anhang der Verordnung entspricht.

Wesentlich ist auch die Frist. Ein Dienstanbieter, der die Bedingungen nach § 4 Abs. 1 erfüllt, ist verpflichtet, den Dienst der Behörde spätestens innerhalb von 60 Tagen ab dem Tag zu melden, an dem die Bedingungen erfüllt wurden (§ 6 Abs. 1 des Gesetzes über Cybersicherheit). Ein Unternehmen, das wächst und die Grenze zur mittleren Größe überschreitet, löst seine Pflicht somit ohne jegliche Benachrichtigung seitens des Staates aus.

Stellen Sie sich ein mittelgroßes Unternehmen vor, das Maschinen und Anlagen herstellt. Es ist im verarbeitenden Gewerbe tätig und seine Tätigkeit entspricht einem Dienst aus der Liste der Verordnung, sodass es als mittleres Unternehmen die Bedingungen für eine Registrierung erfüllen kann. Das Unternehmen hat sich dabei nie als Betreiber von etwas Kritischem betrachtet. Dennoch kann für es die Pflicht entstehen, den Dienst zu melden, und zwar innerhalb einer Frist, die niemand im Auge behält. Ein Hersteller, dessen Tätigkeit nicht zu den genannten Diensten gehört, ist auf diesem Weg nicht reguliert.

Die Behörde entscheidet über die Registrierung, wenn die Bedingungen nach § 4 Abs. 1 oder § 5 erfüllt sind, und diese Entscheidung kann die erste Handlung im Verfahren sein. Ein dagegen eingelegter Widerspruch hat keine aufschiebende Wirkung, sodass die Pflichten aus der Registrierung auch in der Zeit gelten, in der sich das Unternehmen gegen die Entscheidung wehrt. Der Anbieter muss spätestens innerhalb von 1 Jahr ab dem Tag der Zustellung der Entscheidung mit der Umsetzung von Sicherheitsmaßnahmen beginnen (§ 13 Abs. 4). Sich auf einen Widerspruch als Aufschub zu verlassen, ist daher nicht möglich.

Zweiter Test: Sind Sie ein Anbieter eines Basisdienstes und ein Betreiber kritischer Infrastrukturen?

Das Gesetz über kritische Infrastrukturen unterscheidet mehrere Ebenen, und die Einstufung ist wesentlich enger als bei der Cybersicherheit. Ein Basisdienst is ein Dienst, der für die Aufrechterhaltung der grundlegenden Funktionen des Staates, der wirtschaftlichen Tätigkeiten, der Sicherheit, der öffentlichen Gesundheit oder der Umwelt in den Sektoren gemäß dem Anhang des Gesetzes unerlässlich ist, und ein Anbieter eines Basisdienstes ist derjenige, der diesen in der Tschechischen Republik erbringt und das Kriterium der Bedeutung erfüllt (§ 2 des Gesetzes über kritische Infrastrukturen).

Der Anbieter eines Basisdienstes muss die Informationen selbst an das Ministerium übermitteln. Über das Portal für kritische Infrastrukturen stellt er Informationen über den Basisdienst, die Erfüllung mindestens eines Kriteriums der Bedeutung und über seine kritische Infrastruktur bereit, und zwar innerhalb von 3 Monaten ab dem Tag des Beginns der Leistungserbringung oder innerhalb von 1 Monat nach Aufforderung durch die zuständige Behörde (§ 9 des Gesetzes über kritische Infrastrukturen). Anbieter, die den Dienst bereits zum 30. November 2025 erbracht haben, mussten die Informationen erstmals bis zum 1. März 2026 übermitteln (§ 30 Abs. 5 des Gesetzes über kritische Infrastrukturen).

Ein Unternehmen wird erst durch eine Entscheidung des Innenministeriums zum Betreiber kritischer Infrastrukturen. Der Status als Betreiber entsteht durch die Aufnahme des Anbieters des Basisdienstes in die Liste der Betreiber kritischer Infrastrukturen (§ 2 Abs. 1 Buchst. d)). Das zuständige Ministerium, eine andere Zentralbehörde oder die Tschechische Nationalbank bewerten die übermittelten Informationen und geben dem Innenministerium einen Impuls; über die Aufnahme entscheidet dann das Innenministerium (§ 11 Abs. 1 und 2).

Die Basisdienste in den einzelnen Sektoren und die Kriterien der Bedeutung werden durch die Regierungsverordnung Nr. 127/2026 Slg., wirksam ab dem 18. Juli 2026, festgelegt; beides ist in deren Anhang aufgeführt. Ein Unternehmen hat somit einen objektiven Test: Es muss im Anhang der Verordnung prüfen, ob sein Dienst zu den Basisdiensten gehört, und kontrollieren, ob es das Kriterium der Bedeutung erfüllt.

Die Entscheidung über die Aufnahme kann die erste Handlung im Verfahren sein, und ein Widerspruch dagegen hat keine aufschiebende Wirkung. Die Liste ist nicht öffentlich, und der Betreiber erfüllt die gesetzlichen Pflichten ab dem Tag der Zustellung der Entscheidung (§ 11 Abs. 3, 4 und 6). Der Test für kritische Infrastrukturen unterscheidet sich daher vom Cybersicherheitstest: Das Unternehmen muss die Informationen selbst rechtzeitig übermitteln, aber über die Aufnahme entscheidet die Behörde.

Die praktische Frage lautet daher, wer im Unternehmen die Kommunikation mit den Ministerien und Regulierungsbehörden des Sektors verfolgt und die Fristen überwacht. Eine Aufforderung zur Bereitstellung von Informationen über den erbrachten Dienst setzt eine Frist von einem Monat in Gang und gehört daher gleichzeitig in die Hände eines Juristen und eines Krisenmanagers, da die Antworten bestimmen können, welche Pflichten auf das Unternehmen zukommen.

Ein in die Liste aufgenommener Betreiber trägt zudem Pflichten, die durch die Durchführungsverordnung Nr. 122/2026 Slg. über den Resilienzplan, die Risikobewertung, Maßnahmen zur Gewährleistung der Resilienz und die Meldung von Vorfällen, wirksam ab dem 1. August 2026, geregelt sind. Ihr genauer Umfang muss anhand der Verordnung und des Sektors, in dem das Unternehmen tätig ist, beurteilt werden.

Was passiert, wenn beide Regelungen gleichzeitig gelten

Beim Betreiber einer kritischen Infrastruktur treffen beide Gesetze aufeinander. Die Bedingungen für die Registrierung eines regulierten Dienstes sind nach dem Gesetz über Cybersicherheit auch dann erfüllt, wenn der Dienstanbieter ein Betreiber kritischer Infrastrukturen ist; der regulierte Dienst ist dann der Dienst, der dem bei diesem Betreiber bestimmten Element der kritischen Infrastruktur entspricht (§ 5 des Gesetzes über Cybersicherheit).

Ein Unternehmen auf der Liste der kritischen Infrastrukturen fällt somit auch unter die Cybersicherheitsregelung. Einen solchen Dienst registriert die Behörde von Amts wegen, sodass der Anbieter nichts melden muss, und er befindet sich zudem in der Regelung mit höheren Pflichten, unabhängig von der Größe des Unternehmens (§ 6 Abs. 3 und § 8 Abs. 3 des Gesetzes über Cybersicherheit). Das Innenministerium informiert dabei das Nationale Amt für Cyber- und Informationssicherheit innerhalb von 1 Monat nach Zustellung der Entscheidung über die Aufnahme (§ 11 Abs. 5 des Gesetzes über kritische Infrastrukturen). Ein kleines Unternehmen kann somit gerade über die kritische Infrastruktur in die Cybersicherheitsregelung eintreten.

Die staatlichen Organe koordinieren ihre Verfahren untereinander. Die Strategie zur Stärkung der Resilienz von Betreibern kritischer Infrastrukturen umfasst auch die Art und Weise der Koordinierung der Behörden nach dem Gesetz über kritische Infrastrukturen mit den Behörden nach dem Gesetz über Cybersicherheit für den Austausch von Informationen über Risiken, Bedrohungen und Vorfälle sowie für die Durchführung von Kontrollen (§ 3 Abs. 2 Buchst. g des Gesetzes über kritische Infrastrukturen). Informationen über einen einzelnen Vorfall können somit an beide Behörden gelangen.

In der Praxis bedeutet dies, dass das Unternehmen eine Person oder ein Team haben muss, das über beide Regelungen Bescheid weiß und beide Pflichtenkreise überwacht. Andernfalls besteht das Risiko, dass die IT-Abteilung die Anforderungen der Cybersicherheitsbehörde erfüllt und niemand die Anforderungen an die Resilienz des gesamten Dienstes im Auge behält, oder umgekehrt. Die Zusammenarbeit der beiden Behörden kann nicht als Ersatz für den eigenen Überblick herangezogen werden.

Lieferanten und Unternehmen außerhalb der Listen: Wer indirekt betroffen sein kann

Ein Unternehmen, das keine Liste kennt, kann über seinen Abnehmer betroffen sein. Das Gesetz über kritische Infrastrukturen kennt den kritischen Lieferanten, d. h. eine Person, die eine Rechtsbeziehung mit einem Betreiber kritischer Infrastrukturen eingegangen ist und auf dieser Grundlage Waren oder Dienstleistungen bereitstellt, die für die Sicherstellung der Erbringung des Basisdienstes unerlässlich sind (§ 2 Abs. 1 Buchst. l des Gesetzes über kritische Infrastrukturen). Das Innenministerium kann zudem Warnungen herausgeben und über die Bedingungen oder das Verbot der Nutzung der Leistungen eines solchen Lieferanten entscheiden (§ 6 Abs. 1 Buchst. m).

Auch das Gesetz über Cybersicherheit rechnet mit dem Lieferanten als unterstützendem Vermögenswert. Ein unterstützender Vermögenswert ist ein Vermögenswert, der das Funktionieren der primären Vermögenswerte sicherstellt, insbesondere ein Mitarbeiter, ein Lieferant, ein technischer Vermögenswert oder ein Gebäude. Ein Anbieter eines regulierten Dienstes, der Sicherheitsmaßnahmen über einen Lieferanten umsetzt, muss diesen im Einklang mit den sich aus den Maßnahmen ergebenden Anforderungen auswählen und diese Anforderungen in die Verträge mit ihm aufnehmen (§ 13 Abs. 5).

Lieferanten können daher indirekt von den Anforderungen des regulierten Betreibers oder des Betreibers einer kritischen Infrastruktur betroffen sein, insbesondere durch das Lieferkettenmanagement und vertragliche Pflichten. Typischerweise handelt es sich dabei um die Pflicht, Vorfälle zu melden, Audits zu ermöglichen, Sicherheitsmaßnahmen einzuhalten oder Aufzeichnungen aufzubewahren. Ein Unternehmen, das diese Anforderungen unüberlegt ablehnt, riskiert den Verlust eines Schlüsselkunden. Daher ist es ratsam, diese zu prüfen und gegebenenfalls eine Anpassung des Umfangs auszuhandeln, anstatt sie blind zu akzeptieren oder abzulehnen.

Wichtig ist auch, die eigene Position zu kennen. Ein Hersteller, der Komponenten für den Energie- oder Verkehrssektor liefert, kann die Definition eines kritischen Lieferanten erfüllen und weiß dies möglicherweise erst, wenn er es vom Abnehmer erfährt. Es wird daher empfohlen, die Abnehmer proaktiv zu fragen, ob sie das Unternehmen als unterstützenden Vermögenswert oder als kritischen Lieferanten betrachten, und die Verträge entsprechend der Antwort anzupassen.

Wie man in der Praxis vorgeht

Der erste Schritt besteht darin, zu prüfen, ob das Unternehmen einen der konkreten Dienste erbringt, die die Verordnung Nr. 408/2025 Slg. für den jeweiligen Sektor definiert, und erst danach die Unternehmensgröße nach den gesetzlichen Regeln sowie weitere Kriterien der Bedeutung zu bewerten. Wenn die Bedingungen nach § 4 Abs. 1 erfüllt sind, läuft die 60-tägige Frist für die Meldung an die Behörde. Dieser Teil sollte unverzüglich erledigt werden, da er rückwirkend nicht aufgeschoben werden kann.

Der zweite Schritt besteht darin, zu prüfen, ob der Dienst nicht zu den Basisdiensten nach der Regierungsverordnung Nr. 127/2026 Slg. gehört. Wenn ja, muss der Anbieter die Informationen selbst an das Ministerium übermitteln und darf nicht auf eine Aufforderung warten; bei Unsicherheit über das Kriterium der Bedeutung ist es ratsam, proaktiv mit dem fachlich zuständigen Ministerium zu kommunizieren. Je früher das Unternehmen von seinem Status erfährt, desto mehr Zeit hat es für die Erstellung des Resilienzplans und der Risikobewertung.

Der dritte Schritt besteht darin, die eigene Lieferkette zu überprüfen. Ein Unternehmen, das einen regulierten Dienst erbringt, muss wissen, welche Lieferanten für seinen Dienst unerlässlich sind, und mit ihnen vertraglich geregelte Meldungen, Zugriffe und Verantwortlichkeiten vereinbaren. Ohne eine solche Regelung erfährt es erst spät von einem Vorfall beim Lieferanten und muss seine eigenen Pflichten gegenüber der Behörde unter Zeitdruck erfüllen.

Der vierte Schritt besteht darin, im Unternehmen eine für beide Regelungen verantwortliche Person zu bestimmen. Die Praxis zeigt, dass beide Bereiche oft getrennt gelöst werden, einerseits von der IT-Sicherheitsabteilung und andererseits von der Abteilung für Krisenmanagement, und die Lücke dazwischen ist genau der Ort, an dem Pflichten übersehen werden. Einen Gesamtüberblick über das neue Gesetz bietet der Text über das neue Gesetz über Cybersicherheit.

Der fifth Schritt besteht darin, die etablierten Verfahren mit der praktischen Umsetzung abzustimmen. Wie NIS2 im normalen Geschäftsbetrieb eines Unternehmens umgesetzt wird, behandelt der Text über die Implementierung von NIS2 in der Praxis. Wenn das Unternehmen zudem Produkte mit digitalen Elementen herstellt, hat es neben beiden Gesetzen auch Pflichten nach der europäischen Cyberresilienz-Verordnung, darunter die Pflicht, ausgenutzte Schwachstellen innerhalb von 24 Stunden zu melden.

Für die Geschäftsführung ist es nützlich, eine kurze Aufzeichnung über die gesamte Bewertung zu führen: welche Dienste das Unternehmen erbringt, zu welchem Sektor es gehört, wie groß es ist und wann die Bedingungen überprüft wurden. Eine solche Aufzeichnung spart Zeit bei Verhandlungen mit der Behörde und zeigt, dass das Unternehmen die Frage mit der gebotenen Sorgfalt behandelt hat. Es ist ratsam, die Bewertung bei jeder größeren Änderung der Gruppenstruktur, einem neuen Dienst oder einer Akquisition zu wiederholen.

Wie genau die Überprüfung des Status des Unternehmens und der Resilienzplan zu gestalten sind, hängt vom Sektor ab und davon, ob das Unternehmen ein Dienstanbieter, ein Lieferant oder beides gleichzeitig ist – daher beurteilen die Anwälte der Kanzlei ARROWS dies immer anhand des konkreten Dienstes und nicht nach einer universellen Checkliste.

Risiken einer falschen Einstufung in die Cybersicherheitsregelung

Abschließende Zusammenfassung

Kritische Infrastrukturen und NIS2 sind keine zwei Varianten einer Regelung, sondern zwei eigenständige Gesetze, die ein Unternehmen gleichzeitig betreffen können. Der Artikel hat gezeigt, dass die Cybersicherheitsregelung anhand des konkreten Dienstes, des Sektors und der Größe überprüft und der Behörde innerhalb von 60 Tagen gemeldet wird, während der Status eines Betreibers kritischer Infrastrukturen durch eine Entscheidung über die Aufnahme in die Liste entsteht, der eine Informationspflicht des Anbieters des Basisdienstes vorausgeht, und dass beim Betreiber einer kritischen Infrastruktur beide Regelungen aufeinandertreffen.

Für die Geschäftsführung ergibt sich daraus eine klare Aufgabe: beide Tests separat durchzuführen, eine verantwortliche Person für beide Regelungen zu bestimmen und die Lieferkette zu überprüfen. Ein Unternehmen, das seinen Status nicht kennt, kann weder Fristen einhalten noch Verträge vorbereiten, und über seinen Status entscheidet erst die Behörde.

Die Anwälte der Kanzlei ARROWS bewerten den Status von Unternehmen nach dem Gesetz über Cybersicherheit und dem Gesetz über kritische Infrastrukturen, bereiten Meldungen und Resilienzpläne vor und passen Verträge mit Lieferanten und Abnehmern an. Schreiben Sie uns an beratung@arws.cz oder informieren Sie sich über unsere Praxis für Verträge und Verhandlungen.