Irland drohen Millionenstrafen der EU wegen Verzögerung beim Cybersicherheitsgesetz

Irland droht eine finanzielle Strafe von rund 2,8 Mio. € zuzüglich auflaufender täglicher Zwangsgelder, weil es EU-Cybersicherheitsvorschriften fast zwei Jahre nach Ablauf der Umsetzungsfrist noch immer nicht in nationales Recht überführt hat. Die Europäische Kommission hat die Republik zusammen mit Spanien, Frankreich und den Niederlande an den Gerichtshof der Europäischen Union (EuGH) verwiesen.

Der Verweis betrifft die NIS2-Richtlinie, die die Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht umsetzen mussten. Die auf professionelle Dienstleistungen spezialisierte Firma Aon, die die Strafenschätzung mithilfe der eigenen Sanktionsmethodik der Kommission berechnet hat, warnte diese Woche, dass Irland weiterhin nicht konform sei und die täglichen Zwangsgelder weiter ansteigen werden, bis die Gesetzgebung in Kraft tritt.

Was NIS2 von den Mitgliedstaaten verlangt

Die Richtlinie über Netz- und Informationssicherheit, bekannt als NIS2, ersetzt die ursprüngliche NIS-Richtlinie von 2016 und stellt einen erheblichen Fortschritt in der EU-Cybersicherheitsregulierung dar. Während ihr Vorgänger nur einen relativ engen Kreis von Betreibern wesentlicher Dienste erfasste, wirft NIS2 ein weitaus größeres Netz. Sie unterwirft zusätzliche Sektoren, darunter Lebensmittelproduktion, Chemie, Fertigung, Weltraum und öffentliche Verwaltung, verbindlichen Cybersicherheitspflichten. Zudem verschärft sie die Meldepflichten bei Sicherheitsvorfällen: Organisationen müssen erhebliche Cybervorfälle innerhalb enger Fristen melden. Außerdem führt sie die persönliche Haftung von Leitungsorganen ein, die Cybersicherheitsrisiken nicht angemessen überwachen.

Für Irland wird die Richtlinie die Zahl der Organisationen, die der Cybersicherheitsregulierung unterliegen, erheblich ausweiten. Unternehmen, die sich nie als Teil der kritischen Infrastruktur betrachtet haben, werden feststellen, dass sie neue Meldepflichten und Governance-Anforderungen haben. Auch Lieferketten fallen in den Anwendungsbereich: Ein mittelständisches irisches Unternehmen, das Dienstleistungen für eine regulierte Einheit erbringt, kann sich plötzlich vertraglichen Cybersicherheitsklauseln ausgesetzt sehen, die es bisher nicht erfüllen musste.

Warum die Umsetzung stockt

Die irische Regierung führt die Komplexität der Gesetzgebung als Grund für die Verzögerung an. Der National Cyber Security Bill, der die Richtlinie umsetzen soll, durchläuft zwar das Oireachtas (das irische Parlament), hat seinen legislativen Weg aber noch nicht abgeschlossen. Der Gesetzentwurf muss noch mehrere verbleibende Stadien passieren, bevor er als Gesetz unterzeichnet werden kann.

Die Komplexität ist ein berechtigter Einwand. NIS2 verlangt von den Mitgliedstaaten, festzulegen, welche Einrichtungen in den Anwendungsbereich fallen, proportionale Regulierungsregime für unterschiedliche Größen und Sektoren zu schaffen und Durchsetzungsmechanismen mit wirksamen Sanktionen einzurichten. Die Richtlinie lässt den Mitgliedstaaten zudem Spielraum bei der Umsetzung bestimmter Bestimmungen, was die Ausarbeitung einer sowohl konformen als auch praktikablen Gesetzgebung zeitaufwendig macht.

Dennoch ist Irland nicht allein mit dem Verpassen der Frist, was darauf hindeutet, dass die Richtlinie in verschiedenen Rechtstraditionen echte Schwierigkeiten bereitet hat. Spanien, Frankreich und die Niederlande befinden sich in der gleichen Lage. Die meisten Mitgliedstaaten haben jedoch fristgerecht umgesetzt, was das Argument untergräbt, die Aufgabe sei schlicht zu schwierig gewesen. Die Frage ist, ob die Verzögerung auf tatsächliche legislatorische Komplexität oder auf mangelnden politischen Willen zurückzuführen ist.

Der ungünstige Zeitpunkt der EU-Präsidentschaft

Irland hält derzeit die rotierende Präsidentschaft des Rates der Europäischen Union inne, eine Rolle, die die Festlegung der Ratsagenda, den Vorsitz bei Ministertreffen und die Vertretung des Rates in Verhandlungen mit dem Europäischen Parlament umfasst. Für einen Mitgliedstaat, der wegen Nichteinhaltung von EU-Recht an den EuGH verwiesen wurde, ist das eine unangenehme Position.

Aon hob die Präsidentschaft in seiner Warnung hervor und deutete an, dass sie Irland die Chance bietet, die Umsetzung abzuschließen und den Organisationen Rechtssicherheit über den Rahmen zu geben, der die Cybersicherheit in kritischen Sektoren regeln wird. Die Implikation ist klar: Ein Land, das die legislativen Arbeiten des Rates steuert, sollte nicht zu den Nachzüglern bei der Umsetzung der eigenen Beschlüsse gehören.

Die Präsidentschaft wechselt alle sechs Monate. Irland übernahm im Juli 2026 von Polen und wird an den nachfolgenden Staat übergeben. Der Zeitplan bedeutet, dass Irland im zweiten Halbjahr 2026 sowohl die EU-Gesetzgebung lenkt als auch wegen der Nichtumsetzung eines wichtigen Teils genau dieses Rechtskorpus in einem Vertragsverletzungsverfahren steht.

Wie die Strafen berechnet werden

Der Betrag von 2,8 Mio. € ist keine feste Geldstrafe, die das Gericht verhängt. Es handelt sich um eine Schätzung, die auf der Standardmethodik der Kommission zur Berechnung von Pauschalstrafen in Vertragsverletzungsverfahren beruht. Die Methodik berücksichtigt die Schwere des Verstoßes, seine Dauer und die Zahlungsfähigkeit des Mitgliedstaats, die wiederum eine Funktion des Bruttonationaleinkommens ist. Aon wendete diese Methodik an, um Irlands Risikoexposition zu schätzen.

Hinzu kommen tägliche Zwangsgelder für jeden Tag, an dem Irland nach einem Gerichtsurteil weiterhin im Verstoß verbleibt. Diese täglichen Strafen können beträchtliche Summen erreichen, insbesondere bei länger andauernder Nicht-Compliance. Die Kommission beantragt in der Regel sowohl eine Pauschalstrafe für den Zeitraum der Verletzung bis zum Urteil als auch ein tägliches Zwangsgeld für die anhaltende Nicht-Compliance danach. Über die Höhe entscheidet letztlich der EuGH.

Ein Muster langsamer Umsetzung

Es ist nicht das erste Mal, dass Irland wegen zögerlicher Umsetzung von EU-Gesetzgebung mit finanziellen Strafen belegt wird. Der Staat musste zuvor bereits 4,5 Mio. € Strafe zahlen für eine dreijährige Verzögerung bei der Umsetzung des Europäischen Kodex für elektronische Kommunikation. Diese Richtlinie, die die EU-Telekommunikationsvorschriften aktualisierte, wurde 2018 angenommen und hätte bis Dezember 2020 umgesetzt werden müssen. Irland schloss die Umsetzung erst weit nach Ablauf der Frist ab.

Die Wiederholung wirft Fragen zu Irlands legislativer Kapazität und Priorisierung auf. Für einen kleinen Staat, der enorm von der EU-Mitgliedschaft profitiert hat, sowohl durch Strukturfonds als auch durch den Binnenmarkt, ist wiederholte Nicht-Compliance ein unschönes Bild. Sie verursacht zudem direkte finanzielle Kosten, die letztlich die Steuerzahler tragen.

Es gibt strukturelle Gründe, warum Irland manchmal Schwierigkeiten hat. Das Oireachtas tagt im Vergleich zu vielen europäischen Parlamenten relativ wenige Tage. Regierungsvorlagen konkurrieren um begrenzte Parlamentszeit. Koalitionsregierungen, die in Irland seit Jahrzehnten die Norm sind, können Gesetzgebung verlangsamen, da Parteien über Bestimmungen verhandeln. Das sind Erklärungen, keine Entschuldigungen. Andere kleine Staaten mit ähnlichen Einschränkungen haben NIS2 fristgerecht umgesetzt.

Was Unternehmen jetzt tun sollten

Leann Moroney, Associate Director für Cyber Risk Management bei Aon Ireland, formulierte die Implikationen deutlich: "NIS2 stellt eine der bedeutendsten Änderungen der Cybersicherheitsregulierung der letzten Jahre dar und wird Auswirkungen auf Tausende von Organisationen in Irland haben, entweder direkt oder über ihre Lieferketten."

Moroney warnte auch davor, mit Maßnahmen zu warten, bis die Gesetzgebung erlassen ist. "Cyberbedrohungen warten nicht auf Gesetze, und Unternehmen sollten das auch nicht", sagte sie. "Die Richtung ist bereits klar, und Cyberrisiken müssen jetzt als Priorität auf Vorstandsebene behandelt werden."

Dieser Rat ist fundiert, auch wenn er von einem Unternehmen kommt, das Cybersicherheitsberatung verkauft. Die Kernanforderungen von NIS2 sind bereits bekannt. Organisationen, die wesentliche oder wichtige Dienste erbringen, wie die Richtlinie sie definiert, , werden Risikomanagementmaßnahmen, Meldeverfahren bei Vorfällen und Governance-Strukturen benötigen, die das Management in die Pflicht nehmen. Die irische Umsetzung wird nationale Details hinzufügen, aber der Kern wird voraussichtlich nicht erheblich vom Richtlinientext abweichen.

Unternehmen, die Vorbereitungen verzögern, riskieren, im Moment des Inkrafttretens der Gesetzgebung nicht konform zu sein. Angesichts der bereits fast zweijährigen Verzögerung der Umsetzung besteht die reale Möglichkeit, dass die irische Gesetzgebung ein relativ kurzes Konformitätsfenster setzt, sobald sie erlassen ist, gerade um weitere Vertragsverletzungsverfahren zu vermeiden.

Das EuGH-Verweisungsverfahren

Ein Verweis an den EuGH ist nicht der Beginn des Vertragsverletzungsverfahrens, sondern dessen Höhepunkt. Die Kommission beginnt typischerweise mit einer förmlichen Mitteilung, die dem Mitgliedstaat Gelegenheit zur Stellungnahme gibt. Fällt die Antwort unzureichend aus, erlässt die Kommission eine mit Gründen versehene Stellungnahme. Erst wenn der Mitgliedstaat trotzdem nicht handelt, verweist die Kommission die Sache an den Gerichtshof. Wenn ein Fall Luxemburg erreicht, hat der Mitgliedstaat bereits mehrere Gelegenheiten zum Handeln gehabt.

Das Gericht kann sowohl eine Pauschalstrafe für den Zeitraum der Nicht-Compliance als auch tägliche Zwangsgelder bis zur Konformität verhängen. Die Vertragsverletzungsverfahren der Kommission sind öffentlich in ihrer Datenbank einsehbar, wo der aktuelle Stand der Verfahren gegen jeden Mitgliedstaat geprüft werden kann.