NIS 2 Status in Litauen
Was die Richtlinie fordert, wie Litauen sie umsetzt, und wo das NKSC im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Litauen, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Litauen muss dieses Niveau in litauisches Recht überführen und eine Aufsicht darunter führen.
Litauen setzt NIS 2 über die Änderung des Lietuvos Respublikos kibernetinio saugumo įstatymas (Gesetz über Cybersicherheit) um. Das Änderungsgesetz wurde am 11. Juli 2024 verabschiedet und ist am 18. Oktober 2024 in Kraft getreten, einen Tag nach der EU Frist. Die Regierungsverordnung mit dem Anforderungskatalog folgte im November 2024. Litauen gehört damit zu den Mitgliedstaaten, die die Umsetzungsfrist vom 17. Oktober 2024 in der Sache eingehalten haben.
Das Nacionalinis kibernetinio saugumo centras (Nationales Zentrum für Cybersicherheit, NKSC) unter dem Verteidigungsministerium ist zuständige Behörde, zentrale Anlaufstelle nach Artikel 8 NIS 2 und betreibt das nationale CSIRT unter dem Namen CERT-LT. Die Zahl der betroffenen Einrichtungen in Litauen wird in NKSC-nahen Quellen mit 8.000 bis 10.000 angegeben, abhängig von der Anwendbarkeitsprüfung im Einzelfall.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Litauen unmittelbar anwendbar, ohne nationale Umsetzung.
Litauische Umsetzung
Lietuvos Respublikos kibernetinio saugumo įstatymas (Gesetz über Cybersicherheit) in der geänderten Fassung, in Kraft seit 18. Oktober 2024
Die litauische NIS 2 Umsetzung. Das Änderungsgesetz wurde am 11. Juli 2024 verabschiedet. Die Regierungsverordnung mit dem Katalog der Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen folgte im November 2024.
Geändertes Gesetz über Cybersicherheit
Das Änderungsgesetz vom 11. Juli 2024 bringt die NIS 2 Pflichten in litauisches Recht. Es definiert wesentliche und wichtige Einrichtungen, die Aufsichtsbefugnisse des NKSC, Meldepflichten und Sanktionen. Operativer Detail steht in der Regierungsverordnung, die im November 2024 in Kraft getreten ist.
NKSC als Aufsicht und CSIRT
Das NKSC führt Aufsicht, Audits und Sanktionsvorschläge. Es ist auch zentrale Anlaufstelle nach Artikel 8 NIS 2 und betreibt das nationale CSIRT, CERT-LT. Sektorregulatoren behalten ihre Rolle dort, wo Lex specialis gilt, etwa DORA im Finanzsektor.
Registrierung und Meldung
Die Richtlinie verlangt, dass die Mitgliedstaaten Einrichtungen bis zum 17. April 2025 identifizieren. In Litauen erstellt das NKSC die Liste der wesentlichen und wichtigen Einrichtungen. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Litauen gilt litauisches Recht
Aktivitäten auf litauischem Staatsgebiet folgen der litauischen Umsetzung. Ein deutscher Geschäftsführer mit litauischer Tochter liest für diese Tochter das geänderte Gesetz über Cybersicherheit, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Aufsicht und Sanktionen stehen aber im litauischen Recht.
Litauen darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Litauen darf strenger werden und ist es historisch bei nationalen Sicherheitsanforderungen auch. Litauen darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
NKSC
Nacionalinis kibernetinio saugumo centras, das Nationale Zentrum für Cybersicherheit unter dem Verteidigungsministerium. Zuständige Behörde, zentrale Anlaufstelle nach Artikel 8 NIS 2, Aufsicht und Betreiber des nationalen CSIRT. Führt das Register der wesentlichen und wichtigen Einrichtungen.
CERT-LT
Das nationale CSIRT, im NKSC angesiedelt. Verarbeitet Vorfallmeldungen, technische Koordination und die 24/7 Erreichbarkeit für dringende Fälle. In der Praxis sind NKSC und CERT-LT eine Institution mit zwei Rollen, nicht zwei getrennte Behörden.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für litauische Einrichtungen. Die liegt beim NKSC.
Die litauische NIS 2 Lage sieht aus wie die deutsche.
Die Richtlinienpflichten sind identisch. Aufsicht, Gesetzestext, Sanktionsregime, Registrierungskanal und Fristen für nachgelagerte Verordnungen sind es nicht. Eine litauische Einrichtung liest das geänderte Gesetz über Cybersicherheit und NKSC Leitlinien. Eine deutsche liest das BSIG und BSI Leitlinien. Grenzüberschreitende Gruppen müssen jede Tochter auf ihre nationale Aufsicht abbilden.
Weil das öffentliche Register nicht durchsuchbar ist, ist die Registrierung freiwillig.
Das NKSC führt das Register der wesentlichen und wichtigen Einrichtungen, die Liste ist aber nicht öffentlich abrufbar. Daraus wird die Registrierung nicht freiwillig. Einrichtungen, die den Größen- und Sektortest nach Anhang I oder II der Richtlinie erfüllen, müssen sich selbst identifizieren und Registrierungsdaten an das NKSC übermitteln. Artikel 27 NIS 2 verlangt zusätzlich, dass die Registrierungsdaten aktuell gehalten werden.
In Litauen sind nur die elf Sektoren aus der CIR im Anwendungsbereich.
Die Durchführungsverordnung (EU) 2024/2690 legt technische Maßnahmen für eine enge Gruppe von Anbietern digitaler Infrastruktur fest. Das litauische Gesetz über Cybersicherheit erfasst den vollen NIS 2 Perimeter aus Anhang I und Anhang II, dazu öffentliche Verwaltungen und alle zusätzlich von Litauen benannten Einrichtungen. Wer nur die CIR-Liste liest, unterschätzt den Anwendungsbereich um eine Größenordnung.
Die meisten litauischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als Erweiterung des alten NIS 1 Regimes. Das stimmt nur zur Hälfte. Das NKSC war auch vorher die Aufsicht und bleibt es. Der Scope ist breiter, die Verantwortung des Leitungsorgans schwerer, und der Katalog der Cybersicherheitsanforderungen in der Regierungsverordnung ist detaillierter als die frühere Vorgabe.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, beim nationalen Aufseher registrieren (hier NKSC), die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Die alten NIS 1 Unterlagen helfen als Grundlage, ersetzen aber das NIS 2 Pflichtenregister nicht.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine litauische Tochter unter dem geänderten Gesetz über Cybersicherheit, eine deutsche Mutter unter BSIG und eine niederländische Schwester unter dem Cyberbeveiligingswet. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den litauischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo das NKSC Sektorleitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Lietuvos Respublikos kibernetinio saugumo įstatymas (Gesetz über Cybersicherheit) in der geänderten Fassung: e-tar.lt (litauisches Rechtsaktenregister)
- Nacionalinis kibernetinio saugumo centras (NKSC): offizielle Seite
- CERT-LT: nationales CSIRT, im NKSC angesiedelt
- Europäische Kommission, Shaping Europe's digital future, NIS 2 Umsetzung in Litauen
- Verteidigungsministerium der Republik Litauen: übergeordnetes Ressort des NKSC