Mit dem Cyber Resilience Act (CRA) hat die EU erstmals verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen geschaffen – von vernetzter Hardware bis zu eigenständig vertriebener Software. Für Hersteller, Importeure und Händler bedeutet das weitreichende neue Pflichten über den gesamten Produktlebenszyklus hinweg, während gleichzeitig zahlreiche Auslegungsfragen offen sind. Genau hier setzt der neue Nomos-Kommentar zum CRA an, der jetzt erschienen ist – unter Mitwirkung unseres Partners Stephan Schmidt.
Der neue NK-CRA: erster großer Praxiskommentar zur Cyberresilienz-Verordnung
Der von Prof. Dr. Meinhard Schröder (Universität Passau) und RA Dr. Korbinian Hartl herausgegebene Kommentar „Cyber Resilience Act: CRA – Cyberresilienz-Verordnung“ ist in der renommierten Reihe der Kommentare bei Nomos erschienen (1. Auflage 2026, 600 Seiten, ISBN 978-3-7560-0246-7). Er gehört zu den ersten umfassenden Großkommentaren zur neuen Verordnung und richtet sich an Unternehmensjuristinnen und -juristen, Rechtsanwältinnen und Rechtsanwälte, Compliance-Verantwortliche sowie Behörden, die den CRA in der Praxis anwenden müssen.
Das Werk erläutert die Systematik und die zentralen Pflichten der Verordnung – darunter die Sicherheitsanforderungen an Produkte mit digitalen Elementen, die Vorgaben zur koordinierten Offenlegung von Schwachstellen, Melde- und Dokumentationspflichten sowie die Marktüberwachung – verständlich und zugleich wissenschaftlich fundiert. Ziel ist es, tragfähige Lösungsvorschläge für die zahlreichen in der Praxis auftretenden Zweifelsfragen zu bieten, die sich aus der unmittelbaren Geltung dieser EU-Verordnung ergeben.
Autorenteam aus Anwaltschaft, Wissenschaft und Behörden
An dem Kommentar hat ein interdisziplinäres Autorenteam mitgewirkt, das Expertise aus Rechtsanwaltschaft, Universitäten und Behörden bündelt – unter anderem Vertreter des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Deutschen Zentrums für Schienenverkehrsforschung (DZSF) sowie zahlreiche auf IT-Recht spezialisierte Rechtsanwältinnen und Rechtsanwälte. Als einer der Co-Autoren hat unser Mainzer Partner Stephan Schmidt seine langjährige Praxiserfahrung im IT-Sicherheitsrecht in das Werk eingebracht.
Stephan Schmidt kommentiert die Vorschriften zu Open-Source-Software im CRA
Stephan Schmidt hat im NK-CRA neben mehreren Begriffsbestimmungen die folgenden Vorschriften übernommen, die sich mit freier und quelloffener Software (Free and Open-Source Software, FOSS) befassen:
- Art. 24 CRA – Pflichten der Verwalter quelloffener Software
- Art. 25 CRA – Sicherheitsbescheinigung für freie und quelloffene Software
- Art. 26 CRA – Leitlinien
- Art. 27 CRA – Konformitätsvermutung
Diese Vorschriften adressieren eine der praktisch bedeutsamsten Neuerungen des CRA: Erstmals unterwirft eine EU-Verordnung auch Verwalter quelloffener Software eigenständigen Pflichten und schafft mit der Sicherheitsbescheinigung sowie der Konformitätsvermutung Mechanismen, die Rechtssicherheit für das Open-Source-Ökosystem schaffen sollen – ein Bereich, der bislang außerhalb klassischer produktbezogener Regulierung stand. Die Kommentierung dieser Vorschriften reiht sich in Stephan Schmidts kontinuierliches Engagement rund um die neue europäische Cybersicherheitsgesetzgebung ein, zu der er bereits zu NIS-2 und dem KRITIS-Dachgesetz publiziert und vorgetragen hat.
Warum der CRA Unternehmen jetzt schon beschäftigen sollte
Der CRA gilt unmittelbar in allen Mitgliedstaaten und erfasst materielle digitale Produkte ebenso wie nicht eingebettete Software über deren gesamten Lebenszyklus. Für die Umstellung auf die neuen Anforderungen bleibt Herstellern, Importeuren und Händlern nur ein begrenzter Zeitraum – wer frühzeitig Sicherheits-, Dokumentations- und Meldeprozesse an die neuen Vorgaben anpasst, vermeidet spätere Haftungs- und Bußgeldrisiken. Der neue Kommentar bietet hierfür eine praxisnahe Auslegungshilfe.
TCI Rechtsanwälte berät zum Cyber Resilience Act
TCI Rechtsanwälte begleitet Mandantinnen und Mandanten bei der Umsetzung des CRA sowie angrenzender Regelwerke wie NIS-2, DORA und dem KRITIS-Dachgesetz – von der Erstbewertung betroffener Produkte über die Vertragsgestaltung bis zur Implementierung interner Compliance-Prozesse. Bei Fragen zum Cyber Resilience Act oder zu anderen Themen des Cybersicherheitsrechts steht Ihnen Stephan Schmidt und das Team von TCI Rechtsanwälte gerne zur Verfügung.
Ab dem 18. August 2026 greifen im Rahmen der E-Evidence-Verordnung neue Vorgaben für Unternehmen zur Herausgabe von Daten an europäische Staatsanwaltschaften. Davon betroffen sind auch viele Online-Shops und Webseiten-Betreiber. Wenn auch Sie erfasst sind, sind umfangreiche Anpassungen vorzunehmen. Wir erklären, wer betroffen ist und was auf Sie zukommt.
Ziel und Regelungsinhalt der E-Evidence-Verordnung
Mit der neuen Verordnung (offizielle: Verordnung (EU) 2023/1543 des Europäischen Parlaments und des Rates vom 12.07.2023 über Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen für elektronische Beweismittel in Strafverfahren und für die Vollstreckung von Freiheitsstrafen nach Strafverfahren) werden europaweit die Regeln festgelegt, nach denen eine Behörde eines Mitgliedstaates im Rahmen eines Strafverfahrens bestimmte Dinge von einem Unternehmer verlangen kann, der in einem anderen Mitgliedstaat sitzt.
Es geht also immer um grenzüberschreitende Sachverhalte. Will etwa die französische Staatsanwaltschaft im Rahmen eines Ermittlungsverfahrens an bestimmte Daten bei einem deutschen Unternehmen kommen, muss sie bislang ein kompliziertes Rechtshilfeverfahren durchlaufen. Das führt dann dazu, dass die deutsche Staatsanwaltschaft auf ein Unternehmen zugeht, die Daten herausverlangt und diese Daten nach Frankreich weitergibt.
Dieser komplizierte und langwierige Weg soll nun abgekürzt werden. In Zukunft soll die französische Staatsanwaltschaft unmittelbar an das deutsche Unternehmen herantreten können.
Welche Unternehmen sind betroffen?
Die Verordnung gilt für Diensteanbieter, die eine oder mehrere der folgenden Dienstleistungskategorien anbieten:
- elektronische Kommunikationsdienste (hierzu zählen Internetzugangsdienste, interpersonelle Kommunikationsdienste Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie Übertragungsdienste, die für die Maschine-Maschine-Kommunikation und für den Rundfunk genutzt werden)
- Internetdomänen- und IP-Nummerierungsdienste sowie
- andere Dienste der Informationsgesellschaft, die es ihren Nutzern ermöglichen, miteinander zu kommunizieren oder
- die es ermöglichen, für Nutzer, für welche die Dienstleistung erbracht wird, Daten zu speichern oder
- auf sonstige Weise zu verarbeiten, sofern die Speicherung von Daten ein bestimmender Bestandteil der für den Nutzer erbrachten Dienstleistung ist.
Die Unternehmen, die von a) und b) erfasst sind, sind relativ klar umgrenzt. Eine kompliziertere Frage ist aber, welche Unternehmen unter die Kategorie c fallen.
Ermöglicht ein Dienst die Kommunikation zwischen seinen Nutzern, fällt er in den Anwendungsbereich.
Davon erfasst sind danach z.B. Social-Media- oder Shopping-Plattformen mit Nachrichtenfunktion, über die die Nutzer unmittelbar miteinander kommunizieren können. Man denke etwa an Kleinanzeigen, eBay oder Vinted – deren Bestimmung ist es gerade, dass die Nutzer in Kontakt kommen, um den Vertragsschluss zu ermöglichen oder Nachfragen zum angebotenen Produkt zu stellen.
Können sich Nutzer im Rahmen von Online-Videospielen per Chat-Funktion miteinander austauschen, wäre auch ein solcher Dienst von der E-Evidence-Verordnung erfasst.
Es muss sich aber nicht um einen solche „private“ Kommunikation handeln. Denkbar ist auch eine öffentliche Kommunikation miteinander. Hierzu zählen etwa klassische Foren.
Auf zahlreichen Webseiten können User (Bewertungs-)Kommentare abgeben (z.B. auf Rezepte oder Nachrichten-Seiten) und auf diese Kommentare können andere User antworten. Auch das stellt eine Kommunikation der Nutzer miteinander dar, sodass auch diese Seiten erfassen sind.
Betroffen sind aber auch Webseiten, die es ihren Nutzern ermöglichen, usergenerated content zu speichern, sofern dies ein bestimmender Bestandteil für die Dienstleistung ist.
Sind auch Online-Shops betroffen?
Das Gesetz spricht davon, dass der Dienst es dem Nutzer ermöglichen muss, „Daten zu speichern oder auf sonstige Weise zu verarbeiten“, wobei die Speicherung von Daten ein bestimmender Bestandteil der erbrachten Dienstleistung sein muss. Der Anwendungsbereich ist also denkbar weit.
Ob Online-Shops betroffen sind, muss anhand der Funktionen des einzelnen Shops geprüft werden. Aber – SPOILER – ein Großteil der deutschen Online-Shops dürfte betroffen sein.
Online-Kundenkonto im Shop
Kann sich der Nutzer ein Kundenkonto anlegen und darin Daten wie etwa Liefer- und Rechnungsanschrift speichern? Dann ist der Anwendungsbereich eröffnet, da diese Art der Datenspeicherung ein bestimmender Bestandteil der erbrachten Dienstleistung ist.
Kundenbewertungen im Shop
Gleiches gilt, wenn Online-Shops anbieten, dass Kunden Bewertungen in Form von Kommentaren abgeben können. Hier stellt sich auch die Frage, ob dies ein bestimmender Bestandteil ist. Da in der E-Commerce-Branche in den letzten Jahren allerdings immer wieder betont wurde, dass Kundenbewertungen eines der wichtigsten Marketing-Mittel ist, wird man jetzt als Unternehmen nicht argumentieren können, dass dieser Dienst nur ein kleiner Nebenaspekt des erbrachten Dienstleistung „Online-Shopping“ ist.
Zwischenfazit
Ein sehr großer Teil der Online-Shops ist aus unserer Sicht von den neuen Regelungen betroffen.
Dabei ist es irrelevant, ob es sich um ein B2B- oder ein B2C-Unternehmen handelt.
Es dürfte also ein verbreiteter Irrtum sein, die E-Evidence-Verordnung betreffe ausschließlich große Plattformen, soziale Netzwerke oder internationale Cloud-Anbieter. Tatsächlich knüpft das Gesetz nicht an Marktgröße oder Umsatz an, sondern an die Art der Datenverarbeitung und deren Bedeutung für die Erbringung der Dienstleistung.
Was passiert, wenn ein Shop von der E-Evidence-Verordnung betroffen ist?
Kommt man zu dem Ergebnis, dass der Anwendungsbereich eröffnet ist, stellt sich natürlich die Frage, was daraus folgt.
Die Verordnung sieht zwei zentrale Elemente vor: Die Europäische Herausgabeanordnung (sog. EPOC) und die Europäische Sicherungsanordnung (sog. EPOC-PR).
Die Europäische Herausgabeanordnung (EPOC)
Mit der EPOC kann eine ausländische Behörde von einem Diensteanbieter die Herausgabe bestimmter Daten verlangen. Diese Daten sind in der EPOC konkret benannt. Es können Bestandsdaten, aber auch Verkehrsdaten und die Ausleitung der Inhalte von Kommunikation angefordert werden.
Zu de Datenkategorien gehören:
- Identität des Kunden oder Nutzers
- Technische Merkmale, die der Identifizierung dienen können
- Verkehrsdaten, z.B. Quelle und Zieladresse beim Verbindungsaufbau und die Inhalte der Kommunikation
Grundsatz: 10 Tage Frist
Erhält das Unternehmen eine EPOC, wird es gemäß Art. 10 Abs. 1 der Verordnung umgehend zur Sicherung der angeforderten Daten tätig. Spätestens nach 10 Tagen muss das Unternehmen grundsätzlich die angeforderten Daten an die Behörde, von der die EPOC kommt, übermitteln.
Notfallfrist: ACHT STUNDEN
In einem Notfall muss das Unternehmen die angeforderten Daten aber unverzüglich, spätestens jedoch innerhalb von acht Stunden nach Erhalt der EPOC übermitteln.
Ein Notfall ist nach der Definition in der Verordnung eine Situation, in der eine unmittelbare Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person oder für eine kritische Infrastruktur besteht, wenn die Störung oder Zerstörung einer kritischen Infrastruktur zu einer unmittelbaren Gefahr für das Leben, die körperliche Unversehrtheit oder die Sicherheit einer Person führen würde, auch durch die schwere Beeinträchtigung der Bereitstellung der Grundversorgung für die Bevölkerung oder der Wahrnehmung der Kernfunktionen des Staates.
Liegt ein solcher Notfall vor, müssen die Gründe für die Annahme eines solchen Notfalls in der EPOC enthalten sein. Unternehmen müssen also nicht selbst prüfen, ob ein Notfall vorliegt oder nicht.
Kommt die EPOC in einem Notfall also samstags um 21 Uhr rein, müssen bis spätestens Sonntag 5 Uhr alle in der EPOC angeforderten Daten übermittelt werden.
Was ist, wenn Daten nicht herausgegeben werden können?
Können die angeforderten Daten aufgrund einer faktischen Unmöglichkeit nicht herausgegeben werden, unterrichtet das Unternehmen die Anordnungsbehörde darüber.
Das ist etwa der Fall, wenn die angeforderten Daten im Unternehmen gar nicht gespeichert werden. Wird im EPOC etwa das Geburtsdatum eines Nutzers mit angefordert, aber dieses liegt im Unternehmen nicht vor, dann kann es natürlich auch nicht herausgegeben werden.
In einem solchen Fall informiert das Unternehmen die Anordnungsbehörde unter Verwendung eines in Anhang III E-Evidence-Verordnung vorgesehenen Formulars.
Wichtig: Die E-Evidence-Verordnung verpflichtet ausschließlich zur Herausgabe von Daten, bereits zum Zeitpunkt des Erhalts der EPOC gespeichert sind. Die Verordnung enthält keine allgemeine Verpflichtung, dass Daten allgemein und unterschiedslos (auf Vorrat) gespeichert werden.
Die Europäische Sicherungsanordnung (EPOC-PR)
Von der EPOC zu unterscheiden ist die EPOC-PR, die Europäische Sicherheitsanordnung.
Auch bei der EPOC-PR erhält das Unternehmen eine Anordnung von einer Behörde aus einem anderen Mitgliedstaat. Darin wird dann aber nicht die Herausgabe bestimmter Daten angeordnet, sondern die Sicherung.
Diese Sicherungsanordnung soll es – vereinfacht gesagt – der anordnenden Behörde ermöglichen, eine Herausgabeanordnung noch vorzubereiten und ggfs. bei Gericht zu beantragen. Durch die Sicherungsanordnung ist dann aber sichergestellt, dass zum Zeitpunktes des Erlasses und Übermittlung der Herausgabeanordnung überhaupt noch die entsprechenden Daten zur Verfügung stehen und nicht etwa im Rahmen eines Löschkonzeptes gelöscht wurden.
Grundsätzlich muss diese Sicherung dann für 60 Tage erfolgen, kann von der Behörde aber um weitere 30 verlängert werden.
Auch hier gilt: Kann das Unternehmen die Daten in Folge einer faktischen Unmöglichkeit nicht sichern, teilt es dies der Behörde mit – ebenfalls unter Verwendung des Formulars in Anhang III der Verordnung. Aber Achtung: „Nicht genügend Speicherplatz“ ist kein valider Grund für eine faktische Unmöglichkeit. Insoweit müssen sich Unternehmen also auch technisch auf eine eventuell notwendige Speicherung vorbereiten.
Was passiert, wenn man nicht reagiert?
Kommt man der EPOC oder der EPOC-PR nicht nach, können finanzielle Sanktionen verhängt werden – in Höhe von bis zu 2 % des im vorhergehenden Geschäftsjahr weltweit erzielten Jahresumsatzes.
Dezentrales IT-System
Damit – wie eingangs beschrieben – eine Vereinfachung und Beschleunigung des Verfahrens erreicht werden kann, wird ein dezentrales IT-System eingeführt. Hierfür wird das IT-System e-CODEX („electronic Communication via Online Data Exchange“) verwendet. Die schriftliche Kommunikation zwischen den Behörden und den Unternehmen erfolgt über dieses System.
Um über e-CODEX empfangsbereit sein zu können, müssen sich die betroffenen Unternehmen bis zum 18. August 2026 auf einer Notification-Platform der EU anmelden, um die Daten ihrer Adressaten an eine Datenbank (die Court Data Base, CDB) zu übermitteln. Diese Daten werden dann validiert.
Wurden Sie validiert, erhalten Sie Zugangsdaten zu einer von der EU-Kommission entwickelten Software namens JUDEX. Große Unternehmen können dann auch eigene Systeme über eine Schnittstelle an JUDEX anbinden.
Wichtig: Diese Anmeldung und Validierung ist notwendig, um den ab 18. August 2026 geltenden Verpflichtungen nachkommen zu können.
Das vollständige Anmeldeprozedere ist auf der Webseite des Bundesamtes für Justiz erklärt.
Ab wann gilt die E-Evidence-Verordnung?
Die E-Evidence-Verordnung gilt ab dem 18. August 2026. Bis zu diesem Tage müssen sich die betroffenen Unternehmen auch bei der Notification-Platform der EU angemeldet haben.
Fazit
Der Anwendungsbereich der E-Evidence-Verordnung ist denkbar weit gefasst. Für betroffene Unternehmen bedeuten die neuen Vorgaben umfassende Anpassung der Systeme bzw. Prozesse. Neben der erforderlichen Registrierung und Anmeldung auf der Plattform zur Entgegennahme von EPOC und EPOC-PR muss sichergestellt werden, dass die internen Abläufe so gestaltet sind, dass auf eine Herausgabe- oder Sicherungsanordnung auch reagiert werden kann. Hierbei sind insbesondere die Fristen – im Notfall: acht Stunden – zu beachten. Gerne unterstützen wir Sie bei der Prüfung, ob Sie von der neuen E-Evidence-Verordnung betroffen sind und auch bei der Umsetzung der dann notwendigen Prozesse.
Abschließender Hinweis: Wir haben den Ablauf der EPOC und EPOC-PR hier nur grob beschrieben. Es gibt noch weitere Details, etwa zur Ablehnung und Prüfung, auf deren Darstellung wir hier aus Gründen der Übersichtlichkeit verzichtet haben. Parallel zu der Verordnung gibt es auch die E-Evidence-Richtlinie, die in Deutschland bereits in nationales Recht umgesetzt wurde. Hieraus können sich ggfs. weitere Pflichten und Details ergeben. Gerne können wir diese im Rahmen der individuellen Beratung aber näher darstellen.
Erstmals gelten in Deutschland sektorübergreifende Mindeststandards für den physischen Schutz kritischer Infrastrukturen. Das KRITIS-Dachgesetz ergänzt für die betroffenen Sektoren das bestehende Regime der IT-Sicherheit nach dem BSI-Gesetz und den auf seiner Grundlage erlassenen Regelungen um einen All-Gefahren-Ansatz. Stephan Schmidt analysiert in seinem Beitrag das am 17. März 2026 in Kraft getretene Gesetz in seinen wesentlichen Regelungsstrukturen und erläutert die Pflichten für betroffene Betreiber.
Der Beitrag ist in Heft 23/2026 der Zeitschrift Betriebs-Berater erschienen und hier kostenlos abrufbar.
Mit Beschluss vom 13.11.2025, Az. 9 UKl 1/25 (EnWZ 2026, 48) hat das Oberlandesgericht Dresden eine für die Praxis bedeutsame Klarstellung zur Entgeltgestaltung bei der vorzeitigen Ausstattung von Messstellen mit intelligenten Messsystemen getroffen. Auch wenn der Rechtsstreit durch übereinstimmende Erledigungserklärungen beendet wurde und damit keine inhaltliche Sachentscheidung erging, äußerte der Senat in der mündlichen Verhandlung eine zentrale Rechtsauffassung: Die in § 35 Abs. 1 S. 2 Nr. 2 MsbG genannten 100 € stellen keine Preisobergrenze dar, sondern lediglich eine gesetzliche Vermutung für die Angemessenheit. Messstellenbetreiber dürfen daher auch höhere Entgelte verlangen, sofern sie deren Angemessenheit nachweisen können.
Diese Klarstellung ist für grundzuständige wie auch wettbewerbliche Messstellenbetreiber von erheblicher Bedeutung. Die z.T. vertretene Auffassung, der Gesetzgeber habe eine absolute Deckelung auf 100 € vorgesehen, ist damit nicht vereinbar. Vielmehr trägt der Messstellenbetreiber die Darlegungs und Beweislast dafür, dass ein höheres Entgelt sachlich gerechtfertigt ist – etwa durch höhere Montagekosten, komplexere IT Anbindung oder besondere örtliche Gegebenheiten.
Hinweise für die Vertragsgestaltung der Messstellenbetreiber:
Preisblätter sollten klar strukturiert sein und in transparenter Weise zwischen Standard und Zusatzleistungen unterscheiden. Entgelte für die vorzeitige Ausstattung mit intelligenten Messsystemen oberhalb der 100 € Schwelle sollten stets durch eine prüffähige Kalkulation unterlegt werden, die im Streitfall offengelegt werden kann. Empfehlenswert ist zudem, die wesentlichen Kalkulationsparameter – wie Arbeitszeiten, Materialkosten oder Systemaufwand – in einer Anlage zum Vertrag zu dokumentieren. Dies erhöht die Transparenz gegenüber Kunden und reduziert das Risiko von Abmahnungen.
Der Beschluss setzt ein wichtiges Signal: Messstellenbetreiber erhalten Spielraum für kostendeckende Entgelte, müssen aber zugleich hohe Sorgfalt bei der Begründung der Angemessenheit walten lassen. Für wettbewerbliche Messstellenbetreiber bietet dies die Chance, wirtschaftlich tragfähige Vergütungsmodelle zu entwickeln – vorausgesetzt, die Preisgestaltung ist nachvollziehbar, transparent und rechtssicher dokumentiert.
Rechtsanwalt und Fachanwalt für Informationstechnologierecht Dr. Thomas Stögmüller, LL.M. (Berkeley), hält am 7. Mai 2026 auf dem 20. Österreichischen IT-Rechtstag in Wien einen Vortrag zum Thema „Cloud Switching nach dem Data Act – Anwendungsbereich und Praxis des Wechsels“. Seit dem 12. September 2025 sind unter Kapitel VI des EU Data Act Anbieter von Datenverarbeitungsdiensten verpflichtet, ihren Kunden zu ermöglichen, zu einem anderen Anbieter zu wechseln. In dem Vortrag werden die rechtlichen Voraussetzungen wie auch die Konsequenzen dieser neuen gesetzlichen Regelungen dargestellt.
Nähere Informationen und Anmeldung unter https://www.infolaw.at/
Im Januar 2026 wurde der Entwurf des Cybersecurity Act 2 vorgestellt, mit dem die EU eine grundlegende Reformierung ihrer Cybersicherheitsarchitektur anstrebt. Die Europäische Agentur für Netz- und Informationssicherheit soll gestärkt, die Zertifizierung als Compliance-Instrument neu ausgerichtet und die Sicherheit der Lieferkette im Bereich der Informations- und Kommunikationstechnologie neu gestaltet werden.
In seinem Beitrag in Heft 4/26 der Zeitschrift Kommunikation und Recht ordnet unser Partner Stephan Schmidt den Entwurf systematisch und hinsichtlich seiner Bedeutung für die Fortentwicklung des europäischen IT- und Sicherheitsrechts ein und nimmt eine erste Bewertung der praktischen Auswirkungen vor.
Den Beitrag können Sie hier mit freundlicher Genehmigung des Verlages herunterladen: Der Entwurf zum Cybersecurity Act 2.
Mit Urteil vom 04. September 2025 (Rs. C-413/23 P) hat der EuGH zentrale Fragen zur Relativität des Personenbezugs, insbesondere zur datenschutzrechtlichen Einordnung pseudonymisierter Daten geklärt und zugleich die Anforderungen an Informationspflichten gegenüber Betroffenen präzisiert. Die Entscheidung hat erhebliche praktische Relevanz, insbesondere im Kontext von Datenweitergaben an Dritte.
Hintergrund des Verfahrens
Ausgangspunkt war die Bankenabwicklung der spanischen Banco Popular, in deren Verlauf Entschädigungsansprüche früherer Gläubiger und Anteilseigner geprüft wurden. Der zuständige europäische Einheitliche Abwicklungsausschuss (Single Resolution Board, SRB) hat in diesem Zusammenhang Stellungnahmen der betroffenen Anteilseigner und Gläubiger erhoben. Diese Stellungnahmen wurden anschließend mit einem 33-stelligen Code pseudonymisiert und an den externen Dienstleister Deloitte weitergeleitet. Dabei verfügte nur das SRB über die zusätzlichen Informationen, die eine Personenidentifizierung ermöglicht hätte.
Der Europäische Datenschutzbeauftragte (EDSB) sah hierin einen Verstoß gegen die Informationspflichten gem. Art. 15 Abs. 1 lit. d der Verordnung (EU) 2018/1725, da die Betroffenen nicht durch das SRB als verantwortliches Organ über die Weitergabe ihrer Daten informiert worden seien. Das SRB hielt dem entgegen, es habe sich bei den übermittelten Daten nicht um personenbezogene Daten gehandelt.
Das SRB erhob gegen die Entscheidung des EDSB Klage vor dem Gericht erster Instanz der Europäischen Union, dem EuG. Dieses hat der Klage des SRB zunächst stattgegeben und die Entscheidung des EDSB für nichtig erklärt.
Der EuGH hat hingegen einen Verstoß gegen die Informationspflichten der Verordnung (EU) 2018/1725 festgestellt. Zudem ist das Urteil, wie der EuGH deutlich gemacht hat, auch für die Anwendung der DSGVO von Bedeutung, da Art. 3 Nr. 1 VO (EU) 2018/1725 und Art. 4 Nr. 1 DSGVO übereinstimmen und gleich ausgelegt werden, um eine einheitliche und kohärente Anwendung des Unionsrechts zu gewährleisten.
Kernaussagen des EuGH
Der EuGH bestätigt zunächst seine bisherige Linie nach der der Begriff der personenbezogenen Daten weit auszulegen ist. Er umfasst grundsätzlich alle Informationen, die sich auf eine Person beziehen.
Dabei ist besonders hervorzuheben, dass Stellungnahmen, Meinungen und Bewertungen regelmäßig personenbezogene Daten sind, sowie eine gesonderte Prüfung von Zweck oder Auswirkungen nicht erforderlich ist, wenn bereits der Inhalt eine persönliche Sichtweise widerspiegelt. Damit stellt der EuGH klar, dass subjektive Inhalte nahezu immer einen Personenbezug aufweisen.
Die Pseudonymisierung ist kein Ausschlusskriterium für den Personenbezug. Entscheidend ist vielmehr, ob die betroffene Person identifizierbar ist.
Der EuGH betont dabei die Relativität des Personenbezugs: Daten können für einen Verantwortlichen pseudonym, für einen anderen Verantwortlichen anonym sein. Im vorliegenden Fall bleiben die Daten für den Verantwortlichen (hier: SRB), der über Zusatzinformationen verfügt, personenbezogen. Für einen Empfänger (hier: Deloitte) können dieselben Daten unter Umständen nicht personenbezogen sein – sofern eine Identifizierung praktisch ausgeschlossen ist. Damit kommt es stets auf die konkrete Perspektive und die tatsächlich verfügbaren Identifizierungsmöglichkeiten an. Die datenschutzrechtlichen Vorgaben fänden insoweit für den Empfänger keine Anwendung.
Weiterhin stellt der EuGH klar, dass die Identifizierbarkeit nach objektiven Kriterien zu beurteilen ist. Dabei ist unter anderem einzubeziehen, welche Mittel realistischerweise zur Verfügung stehen, wie hoch Aufwand, Kosten und Zeit sind sowie bestehende rechtliche Hindernisse. Ist eine Identifizierung nur mit unverhältnismäßigem Aufwand möglich, kann der Personenbezug entfallen.
Besonders praxisrelevant ist die Klarstellung zu Art. 15 VO (EU) 2018/1725, die der EuGH vorgenommen hat. Die Informationspflicht gegenüber Betroffenen über möglichen Drittempfänger von Daten besteht bereits zum Zeitpunkt der Datenerhebung und unabhängig davon, ob es sich für den Empfänger um personenbezogene Daten handelte oder nicht. Maßgeblich ist also die Perspektive des Verantwortlichen, hier des SRB und nicht die des späteren Empfängers, hier Deloitte.
Das bedeutet, dass auch wenn Daten beim Empfänger möglicherweise keinen Personenbezug mehr haben, muss deren Weitergabe entsprechend der Informationspflichten vorab offengelegt werden, sofern sie beim Verantwortlichen personenbezogen sind.
Fazit
Der EuGH schärft mit diesem Urteil die dogmatischen Grundlagen des Datenschutzrechts, bringt Klarstellung für den Umgang mit pseudonymisierten Daten und stärkt zugleich die Rechte der Betroffenen. Die Relativität des Personenbezugs wird vom EuGH entsprechend seiner bisherigen Linie aufrechterhalten. Für die Praxis bedeutsam ist aber, dass Unternehmen Datenübermittlungen auch dann als datenschutzrechtlich relevant behandeln sollten, wenn die Daten für den Empfänger anonym, für das übermittelnde Unternehmen aber nur pseudonym ist.
TCI Rechtsanwälte sponsern auch 2026 das Göttinger Forum IT-Recht, eine der führenden juristischen Fachtagungen zum IT- und Datenrecht, die dieses Jahr zum 12. Mal stattfindet. Das Thema lautet „Mit Recht in die digitale Zukunft – Regulierte Innovation: Vom Data Act bis zur KI-Verordnung“. Die Konferenz findet hybrid am 12. – 13. Februar 2026 statt. Nähere Informationen und Anmeldung unter: https://www.goettingen-itrecht.de/
Mit dem NIS-2-Umsetzungsgesetz hat Deutschland zum 6. Dezember 2025 einen zentralen Baustein der europäischen Cybersicherheitsstandards in nationales Recht überführt. Das Gesetz setzt die europäische NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) um und schafft damit einen Rechtsrahmen für Informations- und Netzsicherheit.
Hintergrund und Entstehung
Die ursprüngliche NIS-Richtlinie (Network and Information Security) aus dem Jahr 2016 war ein EU-weites Regelwerk zur Stärkung der Cybersicherheit kritischer Dienste. Dieses Regelwerk genügte jedoch nicht mehr den aktuellen Herausforderungen – die Risiken durch Cyberangriffe und Systemausfälle steigen kontinuierlich. Die EU reagierte daher mit der NIS-2-Richtlinie, die den Anwendungsbereich erweitert, strengere Mindestanforderungen an IT-Sicherheit, Governance und Meldepflichten definiert und höhere Sanktionsmöglichkeiten vorsieht.
In Deutschland wurde die Richtlinie nach mehrjähriger Vorbereitung im Bundestag am 13. November 2025 verabschiedet und nach Zustimmung des Bundesrates im Bundesgesetzblatt veröffentlicht. Mit Wirkung zum 6. Dezember 2025 trat das Gesetz ohne Übergangsfristen in Kraft.
Ziel und Bedeutung
Das NIS-2-Umsetzungsgesetz verfolgt das Ziel, ein hohes gemeinsames Niveau der Cybersicherheit zu etablieren und die Widerstandsfähigkeit digitaler Infrastrukturen zu stärken. Es schafft verbindliche Pflichten für Unternehmen und öffentliche Einrichtungen, um Risiken systematisch zu identifizieren, zu steuern und auf Sicherheitsvorfälle angemessen zu reagieren.
Ein zentraler Kern der Umsetzung ist die umfassende Novellierung des BSI-Gesetzes (BSIG n.F.). Dieses wird zur tragenden nationalen Grundlage für die Umsetzung der NIS-2-Pflichten und regelt gleichzeitig Informationssicherheitsmanagement in der Bundesverwaltung. Zudem werden Fachgesetze, wie beispielsweise das Energiewirtschaftsgesetz („EnWG“) oder das Telekommunikationsgesetz („TKG“) angepasst.
Anwendungsbereich und Adressatenkreis
Eines der auffallendsten Merkmale des neuen BSI-Gesetzes ist der deutlich erweiterte Adressatenkreis. Während unter dem bisherigen BSIG vor allem Betreiber kritischer Infrastrukturen reguliert waren, fallen nun auch große Teile der mittelständischen Industrie unter die neuen Vorschriften.
Unternehmen unterfallen dem Anwendungsbereich, wenn ihre Tätigkeit in einen der in Anlage 1 und 2 definierten Sektoren fällt und das Unternehmen mindestens als mittleres Unternehmen gilt. Die Sektoren umfassen eine große Bandbreite an Tätigkeiten, wie etwa Energie, Verkehr, Gesundheit, Finanzdienstleistungen, digitale Infrastruktur, öffentliche Verwaltung. Ein mittleres Unternehmen ist man entsprechend § 28 BSIG n.F., wenn man mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist.
Zudem unterscheidet das Gesetz gem. § 28 BSIG n.F. zwischen „wichtigen“ und „besonders wichtigen“ Einrichtungen. Je nach Einstufung gelten unterschiedliche Pflichten und Aufsichtsregime. Je größer das Unternehmen ist und je relevanter der Sektor, in dem Unternehmen tätig ist, ist, desto mehr Pflichten gelten für das Unternehmen.
Wesentliche Rechte und Pflichten im Überblick
Das NIS-2-Umsetzungsgesetz legt für betroffene Einrichtungen eine Reihe von Pflichten fest:
1. Risikomanagement und Sicherheitsmaßnahmen
Verpflichtete Unternehmen müssen entsprechend § 30 BSIG n.F. ein wirksames, dokumentiertes und risikoorientiertes Informationssicherheitsmanagement implementieren, das technische und organisatorische Maßnahmen umfasst. § 30 Abs. 2 S. 2 BSIG n.F. gibt einen Mindestkatalog an Risikomanagementmaßnahmen vor, darunter etwa Risikoanalysen und Sicherheitskonzepte nach dem Stand der Technik, Vorgaben zur Betriebskontinuität und Schwachstellenmanagement.
Die Geschäftsleitung wird bei der Umsetzung und Überwachung dieser Pflichten gem. § 38 BSIG n.F. explizit in die Pflicht genommen: Cybersicherheit ist damit nicht mehr allein eine technische Aufgabe, sondern Management- und Governance-Verantwortung.
2. Meldepflichten
Ein zentrales Element des Gesetzes sind die in § 32 BSIG n.F. normierten, verbindlichen Meldepflichten bei Sicherheitsvorfällen. Erhebliche Vorfälle müssen innerhalb klarer Fristen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Je nach Schweregrad gelten gestufte Fristen (z. B. 24 h, 72 h oder ein Monat).
3. Registrierungspflichten
Betroffene Einrichtungen müssen sich gem. § 33 BSIG n.F. innerhalb von drei Monaten, nachdem sie dem Anwendungsbereich des BSIG n.F. unterfallen, verpflichtend bei einer vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsstelle registrieren.
4. Aufsicht und Sanktionen
Das BSI erhält mit dem BSIG n.F. erweiterte Aufsichts- und Prüfungsbefugnisse. Dazu gehören Anordnungen, Prüfungen, Nachweisanforderungen und Bußgeldverfahren. Verstöße gegen die gesetzlichen Pflichten können mit empfindlichen Bußgeldern belegt werden – je nach Schwere und Umfang der Pflichtverletzung auch in Millionenhöhe oder als Prozentsatz des globalen Umsatzes. Bei „besonders wichtigen Einrichtungen“ kann ein Bußgeld von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes, bei „wichtigen Einrichtungen“ ein Bußgeld bis zu 7 Millionen Euro oder bis zu 1,4 % des weltweiten Jahresumsatzes verhängt werden.
Fazit
Das NIS-2-Umsetzungsgesetz markiert einen grundlegenden Rechts- und Praxiswechsel im deutschen Cybersicherheitsrecht. Es überführt europäische Vorgaben in verbindliches nationales Recht, weitet den Kreis der Adressaten erheblich aus und schafft höhere Anforderungen an Informationssicherheit, Governance und Meldepflichten. Für Unternehmen und öffentliche Einrichtungen bedeutet dies einen spürbaren Anstieg an Compliance-Pflichten – zugleich eröffnet das Gesetz die Chance, Cybersicherheit strukturiert in die Unternehmens- und Verwaltungsprozesse zu integrieren.
Am 12. und 13. März 2026 wird unsere Partnerin Dr. Truiken Heydn wieder zusammen mit Prof. Dr. Fabian Schuster die Kölner Tage IT-Recht leiten. Einen Überblick über die Themen geben Ihnen die Tagungsleiter in diesem Video.
