NIS 2 Status in Rumänien
Was die Richtlinie fordert, wie Rumänien sie umsetzt, und wo DNSC im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch Rumänien, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Rumänien muss dieses Niveau in rumaenisches Recht überführen und eine Aufsicht darunter führen.
Rumänien hat NIS 2 durch ein nationales Gesetz umgesetzt, das weithin als Legea nr. 58/2024 zitiert wird. Der Umsetzungstracker der Europäischen Kommission führt Rumänien als Mitgliedstaat, der Umsetzungsmaßnahmen notifiziert hat. Der genaue Titel und die Fundstelle im Monitorul Oficial sollten vor jeder Zitierung am Originaltext geprüft werden.
DNSC, das Directoratul National de Securitate Cibernetica (Nationales Direktorat für Cybersicherheit), ist die zuständige Behörde und betreibt das nationale CSIRT. DNSC hat das früher eigenständige CERT-RO im Jahr 2021 übernommen. Kontaktdaten in EU Registern, die noch CERT-RO heißen, bezeichnen dieselbe Institution. Die Registrierung der NIS 2 Einrichtungen läuft über DNSC.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Rumänien unmittelbar anwendbar, ohne nationale Umsetzung.
Rumaenische Umsetzung
Legea nr. 58/2024 (weithin so zitiert)
Die rumaenische NIS 2 Umsetzung. Genauer Titel, Datum und Fundstelle im Monitorul Oficial sollten am amtlichen Text verifiziert werden. Untergesetzliche Normen und DNSC Leitlinien füllen den operativen Detailrahmen.
Nationales Gesetz (Legea nr. 58/2024)
Bringt die NIS 2 Pflichten in rumaenisches Recht. Definiert die Kategorien wesentlicher und wichtiger Einrichtungen, die Aufsichtsbefugnisse von DNSC, Meldepflichten und Sanktionen. Der operative Detail wird über untergesetzliche Normen und DNSC Leitlinien geregelt. Die genaue Gesetzesnummer und das Datum sind vor jeder Zitierung am Eintrag im Monitorul Oficial zu prüfen.
DNSC als Aufsicht und CSIRT
DNSC führt Aufsicht, Audits und Sanktionsverfahren und betreibt das nationale CSIRT. CERT-RO wurde 2021 in DNSC überführt. Verweise auf CERT-RO in älteren EU Registern meinen dieselbe Institution. Sektorregulatoren behalten ihre Zuständigkeit, wo Lex specialis gilt, etwa im Finanzsektor unter DORA.
Registrierung und Meldung
Die Richtlinie verlangt, dass Einrichtungen ab dem 17. April 2025 für den Mitgliedstaat identifizierbar sind. In Rumänien läuft das über den Registrierungskanal von DNSC. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Rumänien gilt rumaenisches Recht
Aktivitäten auf rumaenischem Staatsgebiet folgen der rumaenischen Umsetzung. Ein deutscher Geschäftsführer mit rumaenischer Tochter liest für diese Tochter das rumaenische Gesetz und die DNSC Leitlinien, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Registrierungskanal und Sanktionen stehen aber im rumaenischen Recht.
Rumänien darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Rumänien darf strenger werden. Rumänien darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans nach Artikel 20.
DNSC
Directoratul National de Securitate Cibernetica. Federführende zuständige Behörde. Betreibt Registrierung, Aufsicht, Audits und Sanktionsverfahren, veröffentlicht Leitlinien und führt das nationale CSIRT. Hat CERT-RO 2021 übernommen.
Nationales CSIRT (unter DNSC)
Die CSIRT Funktion für Rumänien sitzt innerhalb von DNSC. Das ist der Kanal für Vorfallmeldungen unter NIS 2. Ältere Verweise auf CERT-RO bezeichnen dieselbe Funktion, jetzt Teil von DNSC.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für rumaenische Einrichtungen. Die liegt bei DNSC.
Wir können einfach dem BSIG Playbook folgen, NIS 2 ist überall gleich.
Die Pflichten auf Richtlinienebene sind in allen Mitgliedstaaten identisch. Verfahren, Registrierungsportal, Sanktionshoehen und Aufsichtsstil stehen aber im nationalen Recht. Eine rumaenische Tochter registriert sich bei DNSC unter dem rumaenischen Gesetz, nicht beim BSI unter dem BSIG. Die Compliance Inhalte überschneiden sich. Der administrative Rahmen nicht.
Rumänien hat noch keinen NIS 2 Registrierungskanal, also können wir warten.
Rumänien hat Umsetzungsmaßnahmen an die Europäische Kommission notifiziert, und DNSC betreibt den Registrierungskanal für wesentliche und wichtige Einrichtungen. Die EU Identifikationsfrist vom 17. April 2025 gilt. Auf ein perfektes zweisprachiges Portal zu warten ist keine Verteidigung gegen eine Anwendbarkeitsfeststellung.
Wir sind nicht im Energie- oder Finanzsektor, also gilt NIS 2 nicht für uns.
Die Anhänge I und II der Richtlinie nennen 18 Sektoren, darunter digitale Infrastruktur, Post und Kurierdienste, Abfallwirtschaft, Lebensmittel, Herstellung kritischer Gueter, Forschung und öffentliche Verwaltung. Die Größenprüfung entscheidet dann zwischen wesentlich und wichtig. Viele rumaenische Mittelständler, die sich nie als kritische Infrastruktur gesehen haben, fallen über diese Sektoren in den Anwendungsbereich.
Die meisten rumaenischen Mittelstandsbetreiber, die uns begegnen, sehen NIS 2 noch als IT Thema, nicht als Sache des Leitungsorgans. Das ist derselbe Fehler wie anderswo in der EU. Artikel 20 legt die Pflicht auf das Leitungsorgan, das Risikomanagement zu billigen, seine Umsetzung zu überwachen und eine Schulung zu absolvieren. DNSC wird genau diese Freigabe prüfen, nicht den Verfasser der Richtlinie.
Der praktische Schritt in Rumänien ist derselbe wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, über den nationalen Kanal von DNSC registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren.
- Richtlinie (EU) 2022/2555 (NIS 2) auf EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Rumaenisches Umsetzungsgesetz (weithin als Legea nr. 58/2024 zitiert), am Monitorul Oficial zu verifizieren
- DNSC (Directoratul National de Securitate Cibernetica), offizielle Seite
- Europäische Kommission, NIS 2 Umsetzungstracker, Länderseite Rumänien
- ENISA, CSIRTs interaktive Karte, Eintrag Rumänien
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
