NIS 2 Status in Finnland
Was die Richtlinie fordert, wie Finnland sie umsetzt, und wo Traficom und das NCSC-FI im Bild stehen.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Finnland, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Finnland muss dieses Niveau in finnisches Recht überführen und eine Aufsicht darunter führen.
Finnland setzt NIS 2 über die Kyberturvallisuuslaki (Cybersecurity Act, Gesetz 124/2025) um. Das Gesetz wurde am 11. März 2025 vom Parlament verabschiedet und trat am 8. April 2025 in Kraft. Damit lag Finnland nach der EU-Frist vom 17. Oktober 2024. Die Europäische Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme an Finnland und 18 weitere Mitgliedstaaten geschickt, weil die vollständige Umsetzung nicht rechtzeitig notifiziert war.
Die Aufsicht teilt sich Finnland sektoral. Das Liikenne- ja viestintävirasto Traficom beaufsichtigt die meisten Sektoren und beherbergt das Kyberturvallisuuskeskus (NCSC-FI), das nationale CSIRT und einheitliche Anlaufstelle nach Artikel 8(3) der Richtlinie ist. Daneben beaufsichtigen Energiavirasto, Tukes und weitere Fachbehörden ihre Sektoren. Banken und Finanzmarktinfrastrukturen fallen unter DORA, nicht unter das finnische Cybersicherheitsgesetz.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Anforderungen für DNS Anbieter, TLD Registries, Cloud, Rechenzentrums und CDN Anbieter, Managed (Security) Service Provider, Online Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. In Finnland unmittelbar anwendbar, ohne nationale Umsetzung.
Finnische Umsetzung
Kyberturvallisuuslaki 124/2025, in Kraft seit 8. April 2025
Die finnische NIS 2 Umsetzung. Ein horizontales Cybersicherheitsgesetz, das Pflichten bündelt, die vorher über mehrere Sektorgesetze verstreut waren. Verordnungen und Leitlinien von Traficom füllen den operativen Detailrahmen.
Kyberturvallisuuslaki 124/2025
Bringt die NIS 2 Pflichten in finnisches Recht. Definiert wesentliche und wichtige Einrichtungen, die Aufsichtsbefugnisse der zuständigen Behörden, Meldepflichten und Sanktionen. Der operative Detail wird über Verordnungen und Traficom-Leitlinien geregelt.
Traficom und NCSC-FI
Traficom beaufsichtigt Verkehr, digitale Infrastruktur, IKT Dienstleistungsmanagement, Weltraum, Post und Kurierdienste, digitale Anbieter, Forschung und Fahrzeugbau und beherbergt das NCSC-FI als nationales CSIRT und einheitliche Anlaufstelle. Andere Sektoren liegen bei eigenen Behörden, etwa Energiavirasto für Strom, Fernwärme und Gasnetze und Tukes für Öl, Gasspeicher und Raffinerien, Wasserstofferzeugung, Chemie und Teile des verarbeitenden Gewerbes. Banken und Finanzmarktinfrastrukturen fallen unter DORA.
Registrierung und Meldung
Finnische Einrichtungen mussten sich bis 8. Mai 2025 bei ihrer sektoralen Aufsichtsbehörde registrieren. Datenänderungen sind innerhalb von zwei Wochen zu melden. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat, alle Meldungen werden an das CSIRT beim NCSC-FI weitergeleitet.
In Finnland gilt finnisches Recht
Aktivitäten auf finnischem Staatsgebiet folgen der finnischen Umsetzung. Ein deutscher Geschäftsführer mit finnischer Tochter liest für diese Tochter die Kyberturvallisuuslaki, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Aufsicht und Sanktionen stehen aber im finnischen Recht.
Finnland darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Finnland darf strenger werden. Finnland darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans.
Traficom
Liikenne- ja viestintävirasto Traficom beaufsichtigt direkt Verkehr, digitale Infrastruktur, IKT Dienstleistungsmanagement, Weltraum, Post und Kurierdienste, digitale Anbieter, Forschung sowie Fahrzeug und Verkehrsmittelherstellung, nach gesondertem Gesetz auch die öffentliche Verwaltung. Wie jede finnische Aufsichtsbehörde führt sie die Liste der Einrichtungen für ihre eigenen Sektoren.
NCSC-FI (Kyberturvallisuuskeskus)
Das Nationale Cybersicherheitszentrum innerhalb von Traficom ist nationales CSIRT und einheitliche Anlaufstelle nach Artikel 8(3) der Richtlinie. Ein erheblicher Vorfall wird rechtlich der zuständigen sektoralen Aufsicht gemeldet, die ihn sofort an das NCSC-FI weiterleitet; in der Praxis erreicht ein gemeinsames Traficom Formular Aufsicht, CSIRT und zentrale Anlaufstelle gleichzeitig.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für finnische Einrichtungen. Die liegt bei Traficom und den sektoralen Fachbehörden.
Finnland setzt NIS 2 wie Deutschland um, wir können das BSIG lesen.
Die Richtlinienpflichten sind identisch, der Aufbau der Aufsicht ist es nicht. Finnland hat ein einheitliches horizontales Gesetz, die Kyberturvallisuuslaki 124/2025, statt eines ergänzenden BSI-Aufbaus. Aufsicht ist sektoral verteilt, Traficom und NCSC-FI koordinieren. Wer den BSIG-Text auf Finnland überträgt, verfehlt Zuständigkeiten und Meldewege.
Es gibt noch keine offizielle Liste, also können wir warten.
Die Registrierungspflicht gilt seit dem 8. April 2025, die Erstregistrierung war bis 8. Mai 2025 fällig. Jede sektorale Aufsichtsbehörde führt die Liste der NIS 2 Einrichtungen ihrer Sektoren. Wer noch nicht registriert ist, ist nicht im Recht, nur außerhalb der Beobachtung. Änderungen der Registrierungsdaten sind binnen zwei Wochen zu melden (Art. 3 Abs. 4 NIS 2, § 41 des finnischen Gesetzes).
Mein Sektorregulator regelt alles, NCSC-FI ist nur Beratung.
Die sektorale Aufsichtsbehörde führt Aufsicht und Audits, und an sie geht rechtlich auch die Meldung eines erheblichen Vorfalls. Die Aufsicht leitet jede Meldung sofort an das CSIRT beim NCSC-FI weiter, und in der Praxis stellt ein gemeinsames Traficom Formular die Meldung gleichzeitig an Aufsicht, CSIRT und zentrale Anlaufstelle zu. Dieses Formular nutzen, statt einzelne Behörden von Hand anzuschreiben.
Die meisten finnischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als IT-Thema. Das stimmt nur zur Hälfte. Aufsicht und Meldekanal liegen sektoral, der Scope ist breiter als unter dem alten finnischen Cybersicherheitsregime und die Verantwortung des Leitungsorgans (toimitusjohtaja, hallitus) schwerer. Das Leitungsorgan billigt und überwacht das Risikomanagementverfahren und muss mit dem Cybersicherheitsrisikomanagement ausreichend vertraut sein; bei wesentlichen Einrichtungen kann wiederholtes schweres Fehlverhalten zu einem befristeten Verbot der Organtätigkeit führen.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, beim sektoralen Regulator registrieren und in dessen Liste der Einrichtungen auftauchen, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Wer das gemeinsame Traficom Meldeformular nutzt, hat den Meldepfad sauber.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Kyberturvallisuuslaki 124/2025: Finlex
- Traficom: Liikenne- ja viestintävirasto, offizielle Seite zur NIS 2 Umsetzung
- Kyberturvallisuuskeskus (NCSC-FI): nationales CSIRT und einheitliche Anlaufstelle
- Energiavirasto: sektorale Aufsicht für Strom, Fernwärme und Gas
- Tukes (finnische Behörde für Sicherheit und Chemikalien): sektorale Aufsicht für Öl, Gasspeicher, Wasserstofferzeugung, Chemie und Teile des verarbeitenden Gewerbes
- Europäische Kommission, mit Gründen versehene Stellungnahme vom 7. Mai 2025 zur NIS 2 Umsetzung
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
