NIS 2 Status in Kroatien
Was die Richtlinie fordert, wie Kroatien sie umsetzt, und wo SOA, NCSC-HR und CERT.hr im Bild stehen.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch Kroatien, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Kroatien muss dieses Niveau in kroatisches Recht überführen und eine Aufsicht darunter führen.
Kroatien setzt NIS 2 durch das Zakon o kibernetičkoj sigurnosti (Cybersicherheitsgesetz, NN 14/2024) um. Das Gesetz wurde im Januar 2024 vom kroatischen Parlament beschlossen und ist seit 15. Februar 2024 in Kraft. Die ausführende Verordnung (Uredba o kibernetičkoj sigurnosti, NN 135/2024) folgte im November 2024. Kroatien gehört zu den wenigen Mitgliedstaaten, die die Umsetzungsfrist 17. Oktober 2024 deutlich vor Ablauf eingehalten haben.
Die Aufsicht ist geteilt. Die Sicherheits- und Nachrichtendienstagentur (SOA, Sigurnosno-obavještajna agencija) beherbergt das Nationale Cyber Security Center (NCSC-HR) und ist zentrale zuständige Behörde für die meisten Sektoren. Das Büro des Nationalen Sicherheitsrats (UVNS) ist nationaler Single Point of Contact gegenüber der EU. CERT.hr, betrieben innerhalb von CARNet, ist das operative nationale CSIRT und betreibt die Meldeplattform PiXi.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Kroatien unmittelbar anwendbar, ohne nationale Umsetzung.
Kroatische Umsetzung
Zakon o kibernetičkoj sigurnosti, NN 14/2024 (in Kraft seit 15. Februar 2024)
Die kroatische NIS 2 Umsetzung. Die ausführende Verordnung Uredba o kibernetičkoj sigurnosti (NN 135/2024) ergänzt den operativen Detailrahmen, unter anderem Aufsichtsmodalitäten und Selbsteinstufungspflichten der Einrichtungen.
Cybersicherheitsgesetz NN 14/2024
Bringt die NIS 2 Pflichten in kroatisches Recht. Definiert wesentliche und wichtige Einrichtungen, Aufsichtsbefugnisse, Meldepflichten und Sanktionen. Die begleitende Verordnung NN 135/2024 konkretisiert Cybersicherheitsmaßnahmen und Aufsicht stärker, als es die Richtlinie selbst tut.
SOA, NCSC-HR und UVNS
Die Sicherheits- und Nachrichtendienstagentur (SOA) beherbergt das Nationale Cyber Security Center (NCSC-HR), das als zentrale zuständige Behörde für die meisten Sektoren auftritt. Das Büro des Nationalen Sicherheitsrats (UVNS) ist Single Point of Contact gegenüber der EU. Sektorregulatoren behalten ihre Rolle dort, wo Lex specialis gilt, etwa im Finanzsektor unter DORA.
Registrierung und Meldung
Kroatien hat die Umsetzungsfrist 17. Oktober 2024 deutlich vor Ablauf eingehalten. Wesentliche und wichtige Einrichtungen identifizieren sich selbst und registrieren sich über die Kanäle nach NN 14/2024 und NN 135/2024. Erhebliche Sicherheitsvorfälle folgen dem Takt der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat. Die Meldung läuft über die von CARNet betriebene Plattform PiXi, Zugang über e-Ovlaštenja.
In Kroatien gilt kroatisches Recht
Aktivitäten auf kroatischem Staatsgebiet folgen der kroatischen Umsetzung. Ein deutscher Geschäftsführer mit kroatischer Tochter liest für diese Tochter NN 14/2024, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen stehen aber im kroatischen Recht.
Kroatien darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Kroatien darf strenger werden, und ist es bei einzelnen Punkten wie dem Selbsteinstufungsregime wohl auch. Kroatien darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
SOA / NCSC-HR
Die SOA beherbergt das Nationale Cyber Security Center (NCSC-HR), die zentrale zuständige Behörde für Cybersicherheitsaufsicht nach NN 14/2024. NCSC-HR koordiniert Aufsichtsmaßnahmen und veröffentlicht Leitlinien. UVNS sitzt daneben als EU Single Point of Contact.
CERT.hr (CARNet)
Das nationale CSIRT, betrieben innerhalb von CARNet (kroatisches Bildungs- und Forschungsnetzwerk). Betreibt die Meldeplattform PiXi, über die wesentliche und wichtige Einrichtungen Vorfälle melden. Übernimmt direkt die Sektoren Bankwesen, Finanzmarktinfrastruktur, digitale Infrastruktur sowie Forschung und Bildung. Andere Sektoren laufen über ihre jeweiligen Aufsichtsbehörden.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für kroatische Einrichtungen. Die liegt bei SOA und NCSC-HR.
Kroatien ist nur eine übersetzte Kopie des deutschen BSIG.
Beide setzen dieselbe Richtlinie um, das Verfahren ist aber verschieden. Kroatien führt die Aufsicht über SOA und NCSC-HR, also über die Nachrichtendienststruktur, nicht über eine zivile Behörde nach Art des BSI. Meldungen laufen über die Plattform PiXi und e-Ovlaštenja, nicht über das BSI Portal. Das kroatische Gesetz formalisiert zudem ein Selbsteinstufungsregime, das der deutsche Entwurf so nicht abbildet. Die Richtlinienebene ist identisch, die operative Schicht nicht.
Kroatien hat die Frist verpasst und kein funktionierendes Registrierungssystem.
Kroatien hat NN 14/2024 im Januar 2024 verabschiedet und am 15. Februar 2024 in Kraft gesetzt, deutlich vor der EU Frist 17. Oktober 2024. Die Verordnung NN 135/2024 folgte im November 2024. Wesentliche und wichtige Einrichtungen stufen sich selbst ein, registrieren sich nach dem Gesetz und melden über PiXi mit Zugang über e-Ovlaštenja. Wer eine kroatische Tochter mit Verweis auf ein fehlendes Verfahren blockiert, liest veraltete Informationen.
Nur die Sektoren in Anhang I sind im Anwendungsbereich.
Die Größen- und Sektorprüfung der Richtlinie gilt, das Gesetz und die Verordnung erfassen aber auch wichtige Einrichtungen aus Anhang II sowie bestimmte Einrichtungen unabhängig von der Größe, etwa Teile der öffentlichen Verwaltung und bestimmte digitale Anbieter. Die Anwendbarkeit muss Fall für Fall geprüft werden, gegen den kroatischen Text und die Richtlinie, nicht gegen eine einzelne Sektorliste.
Die meisten kroatischen Betreiber, die uns begegnen, lesen NIS 2 noch als Fortsetzung des alten Rahmens für kritische Infrastruktur. Das stimmt nur teilweise. Aufsicht läuft jetzt über SOA und NCSC-HR, mit UVNS als EU Kontaktstelle, der Scope ist breiter als unter dem alten Regime, und das Leitungsorgan trägt persönlich Verantwortung für die Freigabe des Risikomanagements und die eigene Schulung.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, über die Kanäle nach NN 14/2024 und NN 135/2024 registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. PiXi und e-Ovlaštenja sind die operative Schnittstelle, nicht die Pflicht selbst.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine kroatische Tochter unter NN 14/2024, eine deutsche Mutter unter BSIG und eine französische Schwester unter Ordonnance n° 2024-1093. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den kroatischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo SOA, NCSC-HR oder CERT.hr Sektorleitlinien veröffentlichen, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Zakon o kibernetičkoj sigurnosti, NN 14/2024: Narodne novine
- Uredba o kibernetičkoj sigurnosti, NN 135/2024: Narodne novine
- SOA: Sigurnosno-obavještajna agencija, offizielle Seite
- NCSC-HR: Nationales Cyber Security Center, angesiedelt bei der SOA
- UVNS: Büro des Nationalen Sicherheitsrats, nationaler Single Point of Contact
- CERT.hr: betrieben innerhalb von CARNet, nationales CSIRT
- PiXi: kroatische NIS 2 Meldeplattform (CARNet)