NIS 2 Status in Tschechien
Was die Richtlinie fordert, wie Tschechien sie umsetzt, und wo NÚKIB im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Tschechien, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Tschechien muss dieses Niveau in tschechisches Recht überführen und eine Aufsicht darunter führen.
Tschechien setzt NIS 2 mit dem Gesetz Nr. 264/2025 Sb. über Cybersicherheit (Zákon o kybernetické bezpečnosti) um. Beschluss am 11. Juni 2025, Veröffentlichung in der tschechischen Gesetzessammlung (Sbírka zákonů) am 4. August 2025, Inkrafttreten am 1. November 2025. Es löst das frühere Gesetz Nr. 181/2014 Sb. ab und weitet den Kreis regulierter Einrichtungen und Dienste deutlich aus.
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) ist die zuständige Aufsichtsbehörde und betreibt das nationale Registrierungsportal. Regulierte Einrichtungen identifizieren sich selbst und tragen sich über das NÚKIB Portal ein, das erste Registrierungsfenster lief bis 31. Dezember 2025. GovCERT.CZ liegt innerhalb von NÚKIB, CSIRT.CZ wird vom Verein CZ.NIC betrieben.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Tschechien unmittelbar anwendbar, ohne nationale Umsetzung.
Tschechische Umsetzung
Gesetz Nr. 264/2025 Sb. über Cybersicherheit (Zákon o kybernetické bezpečnosti)
Das neue tschechische NIS 2 Gesetz. Beschlossen am 11. Juni 2025, veröffentlicht am 4. August 2025, in Kraft seit 1. November 2025. Ersetzt das Gesetz Nr. 181/2014 Sb. Durchführungsverordnungen (vyhlášky) von NÚKIB füllen den operativen Detailrahmen.
Gesetz Nr. 264/2025 Sb.
Bringt die NIS 2 Pflichten in tschechisches Recht. Schafft das zweistufige Modell aus regulierten Diensten höherer und niedrigerer Bedeutung (poskytovatel regulované služby), die Aufsichtsbefugnisse von NÚKIB, Meldepflichten und Bußgelder bis 250 Millionen CZK. Ersetzt das Gesetz Nr. 181/2014 Sb. ab 1. November 2025.
NÚKIB als zentrale Aufsicht
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) mit Sitz in Brno führt Aufsicht, Audits und Bußgelder, betreibt GovCERT.CZ als Regierungs-CSIRT und verwaltet das Registrierungsportal. CSIRT.CZ wird separat vom Verein CZ.NIC betrieben.
Registrierung und Meldung
Wer einen regulierten Dienst erbringt, musste sich bis 31. Dezember 2025 über das NÚKIB Portal selbst identifizieren und registrieren. Erwartet werden rund 6.000 bis 8.000 Einrichtungen. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Tschechien gilt tschechisches Recht
Aktivitäten auf tschechischem Staatsgebiet folgen dem Gesetz Nr. 264/2025 Sb. Ein deutscher Geschäftsführer mit tschechischer Tochter liest für diese Tochter das tschechische Gesetz, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Bußgelder stehen aber im tschechischen Recht.
Tschechien darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Tschechien darf strenger werden, und ist es historisch über das Gesetz 181/2014 Sb. an mehreren Stellen auch. Tschechien darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
NÚKIB
Federführende zuständige Behörde und Aufsicht. Betreibt GovCERT.CZ als Regierungs-CSIRT, verwaltet das Registrierungsportal, erlässt Durchführungsverordnungen (vyhlášky) und Leitlinien, führt Audits durch und verhängt Sanktionen. Trägt die institutionelle Erfahrung aus dem Regime von 2014, die jetzt in die NIS 2 Aufsicht einfließt.
Sektorbehörden
NÚKIB konsolidiert die Aufsicht, sektorale Regulatoren bleiben dort relevant, wo Lex specialis gilt. ČNB (Tschechische Nationalbank) führt die Aufsicht über Finanzunternehmen nach DORA. ERÚ (Energieregulierungsamt) und ČTÚ (Tschechisches Telekommunikationsamt) behalten ihre Sektorzuständigkeit. CSIRT.CZ, betrieben von CZ.NIC, bleibt das CSIRT für die .cz Internetgemeinschaft und unterstützt den Digitalsektor.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für tschechische Einrichtungen. Die liegt bei NÚKIB.
Unsere deutsche Mutter ist nach BSIG registriert, damit ist die tschechische Tochter abgedeckt.
Die Richtlinie ist ein Mindestniveau, das Verfahren bleibt national. Eine tschechische Tochter, die in Tschechien einen regulierten Dienst erbringt, registriert sich nach dem Gesetz Nr. 264/2025 Sb. über das NÚKIB Portal. Eine deutsche Registrierung nach BSIG ersetzt das nicht. Die Konzernstruktur verschiebt die Zuständigkeit nicht, der Ort der Diensterbringung tut es.
Wir standen nicht im alten Register nach Gesetz 181/2014, also sind wir nicht betroffen.
Das Gesetz Nr. 264/2025 Sb. arbeitet mit Selbstidentifikation. Die alten KII und VIS Listen aus dem Regime von 2014 gehen nicht eins zu eins in die neue Welt über. Jede Einrichtung muss sich gegen die neuen Sektor- und Größenkriterien prüfen und gegen die Liste von rund 60 regulierten Diensten in 18 Sektoren. Viele Einrichtungen außerhalb des alten Registers sind im neuen drin.
NIS 2 ist nur für Energie, Telekommunikation und Banken. Produktion oder Abfallwirtschaft fällt raus.
Das tschechische Gesetz folgt den beiden Anhängen der Richtlinie. Wichtige Einrichtungen umfassen die Herstellung bestimmter Produkte, Lebensmittelproduktion und -vertrieb, Abfallwirtschaft, Postdienste, Chemieproduktion und digitale Anbieter. Mittlere Unternehmen in diesen Sektoren sind standardmäßig erfasst. Die Sektorlisten gehören gegen die Anhänge I und II der Richtlinie geprüft, nicht gegen das Bauchgefühl.
Die meisten tschechischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als Erweiterung des alten Regimes nach Gesetz 181/2014 Sb. Das stimmt nur zur Hälfte. NÚKIB führt weiter Aufsicht und Meldekanal, der Scope ist aber deutlich breiter, das zweistufige Modell aus höherer und niedrigerer Bedeutung verschiebt die Pflichten pro Dienst, und das statutarische Organ (jednatel oder představenstvo) trägt jetzt ausdrücklich die Verantwortung für die Freigabe des Risikomanagements und die eigene Schulung.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, sich gegen die Liste regulierter Dienste selbst identifizieren, über das NÚKIB Portal registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Die Dokumentation aus 2014 hilft, ersetzt aber das NIS 2 Pflichtenregister nicht.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine tschechische Tochter unter dem Gesetz Nr. 264/2025 Sb., eine deutsche Mutter unter BSIG und eine französische Schwester unter Ordonnance n° 2024-1093. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den tschechischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo NÚKIB vyhlášky und Sektorleitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Gesetz Nr. 264/2025 Sb. über Cybersicherheit: Sbírka zákonů (4. August 2025)
- Gesetz Nr. 181/2014 Sb. über Cybersicherheit: Vorgängerregelung
- NÚKIB: Národní úřad pro kybernetickou a informační bezpečnost (Brno), offizielle Seite nukib.gov.cz
- GovCERT.CZ: Regierungs-CSIRT, betrieben von NÚKIB
- CSIRT.CZ: nationales CSIRT für die .cz Internetgemeinschaft, betrieben von CZ.NIC
- Tschechische Nationalbank (ČNB): DORA-zuständige Behörde für den Finanzsektor
- Europäische Kommission, NIS 2 Umsetzungstracker: Tschechische Republik