NIS 2, REC und DORA: Frankreichs Schonfrist bei Cyberregeln endet

Fast zwei Jahre lang galt die Umsetzung der Richtlinien NIS 2 und REC in französisches Recht sowie die Anwendung der DORA-Verordnung als technisches Randthema: Ein Gesetzentwurf wurde angekündigt, dann verschoben, die europäische Frist rutschte Monat für Monat. Nun endet diese Phase, und Organisationen sollen nicht länger zögern.

Vor dem Sonderausschuss der Nationalversammlung stellte Anne Le Hénanff, die für Digitales zuständige Ministerin, klar: Die Bedrohung habe nicht auf den Gesetzgeber gewartet. Zuletzt wurden strategisch wichtige Stellen wie ANTS und DGFIP getroffen. Kein Akteur ist demnach außer Reichweite. Das Risiko betrifft jede Organisation, deren Arbeit von digitalen Systemen abhängt, von der Landgemeinde bis zum internationalen Konzern.

Governance statt reiner IT-Frage

Viele Organisationen begründeten ihr Abwarten mit dem Fehlen eines endgültigen Gesetzes. Dieses Argument trägt kaum noch: Die europäischen Texte sind veröffentlicht, die Hauptpflichten bekannt, und die Cybersicherheitsbehörde ANSSI hat einen Großteil der nötigen Referenzrahmen bereitgestellt.

Der zentrale Wandel: Cybersicherheit wird zur Führungsaufgabe, vergleichbar mit Finanzen, Compliance und Personal. Compliance heißt künftig nicht mehr, vorhandene Werkzeuge wie Virenschutz oder Passwortrichtlinien vorzuzeigen. Organisationen müssen belegen, dass sie Risiken erkennen und steuern, Vorfälle entdecken und melden sowie den Betrieb nach einer Krise rasch wiederherstellen können. Resilienz wird zum Schlüsselbegriff und braucht Zeit, Methode, Dokumentation und regelmäßige Übungen.

Kommunen und der Arbeitsaufwand

In den parlamentarischen Debatten wurden die Sorgen der Gebietskörperschaften aufgegriffen, die oft über knappe Budgets und wenig Fachpersonal verfügen. Dennoch halten sie sensible Daten, erbringen wesentliche Dienste und können das schwächste Glied eines größeren Systems sein. Deshalb hat die EU den Kreis der betroffenen Einrichtungen deutlich erweitert.

Bei Risikokarten, Maßnahmenplänen, Audits, Nachweisen und Meldepflichten stößt manuelle Verwaltung schnell an Grenzen. Wie bei der DSGVO, wo reife Organisationen von Excel-Listen auf Governance-Plattformen umstiegen, geht es nun um dauerhafte, werkzeuggestützte Steuerung. Hinzu kommt für viele Verwaltungen die Sicherheitszulassung nach dem Dekret 2022-513.