7 Herausforderungen für das deutsche IKT-Recht im EU-Rahmen

Die Digitalisierung stellt das deutsche IKT-Recht vor immer neue Aufgaben – besonders im Spannungsfeld zwischen nationalen Regelungen und EU-Vorgaben. Während Brüssel Richtlinien wie NIS-2 oder den Data Act vorantreibt, kämpfen deutsche Gesetzgeber und Unternehmen mit komplexen Umsetzungsfristen, unklaren Zuständigkeiten und sich überschneidenden Compliance-Pflichten. Dieser Artikel analysiert die sieben drängendsten Herausforderungen.

1. Umsetzung der NIS-2-Richtlinie: Fristenchaos und praktische Hürden

Die NIS-2-Richtlinie soll die Cybersicherheit in der EU vereinheitlichen, doch Deutschland hinkt hinterher. Ursachen sind:

• Komplexe Abgrenzung: Erstmals fallen auch KMU unter die Pflichten, etwa aus der Lebensmittelproduktion oder Logistik.
• Datenkonflikte: Meldepflichten für Cyberangriffe kollidieren mit DSGVO-Vorgaben zur Datensparsamkeit.
• Praxisferne: Viele KMU verfügen nicht über Ressourcen für aufwendige Penetrationstests oder Krisensimulationen.

2. Harmonisierung mit dem Digital Services Act (DSA)

Konfliktfelder:

• Löschpflichten: Der DSA verlangt schnelles Entfernen illegaler Inhalte – deutsche Anbieter fürchten Zensurvorwürfe.
• Transparenzberichte: Neue Dokumentationspflichten erfordern IT-System-Updates, die kleinere Plattformen überfordern.
• Zuständigkeitswirrwarr: Nationale Aufsichtsbehörden (wie die BNetzA) und EU-Gremien (z.B. das EDBI) klären noch Kompetenzgrenzen.

3. Datenmarkt vs. Datenschutz: Der Data Act als Drahtseilakt

Der Data Act soll den EU-Datenmarkt ankurbeln, stellt Unternehmen aber vor Dilemmata:

Laut Bitkom-Studie 2024 befürchten 68% der deutschen Industrieunternehmen Nachteile durch zu rigide Offenlegungsregeln.

4. Cyber Resilience Act: Zertifizierungsmarathon

Die geplante EU-Zertifizierung für vernetzte Produkte führt zu:

• Kostenexplosion: Hersteller rechnen mit bis zu 200.000 € Zertifizierungskosten pro Produktlinie.
• Technische Lücken: Kein einheitlicher Standard für „Security by Design“-Anforderungen.
• Retrofit-Probleme: Nachrüstpflichten für Altgeräte könnten unmöglich werden.

5. DORA vs. nationale Aufsicht: Doppelbelastung für Finanzsektor

Die Digital Operational Resilience Act (DORA) verlangt von Banken und Versicherungen:

• IKT-Risikomanagement: Quartalsweise Stress-Tests ab 2025.
• Lieferketten-Checks: Banken müssen sogar Cloud-Anbieter in Drittstaaten auditieren.

Gleichzeitig behält die BaFin nationale Prüfungsrechte – viele Institute klagen über redundante Berichtspflichten.

6. Fachkräftemangel: Juristische und technische Leerstellen

• Personallücke: Nur 12% der deutschen IT-Juristen haben Expertise in EU-Regulatorik.
• Ausbildungsdefizite: Studiengänge wie der LL.M. IT-Recht an der Uni Hannover decken nur 30% der geforderten NIS-2-Kompetenzen ab.
• Behörden-Engpass: Das BSI sucht aktuell 137 Cybersecurity-Experten – unbesetzte Stellen verzögern Genehmigungsverfahren.

7. Fragmentierung im EU-Binnenmarkt

Trotz Harmonierungsziele behindern nationale Sonderregeln den digitalen Binnenmarkt:

Fazit: IKT-Recht als Balanceakt

Die deutsche Digitalwirtschaft steht vor einem regulatorischen Berg an EU-Vorgaben – von der verzögerten NIS-2-Umsetzung bis zum Zertifizierungsdschungel des Cyber Resilience Act. Während Brüssel auf Harmonisierung drängt, gefährden nationale Interpretationen und Ressourcenengpässe die Wettbewerbsfähigkeit. Erfolg verspricht nur ein Dreiklang aus:

1. Pragmatische Umsetzungshilfen für KMU
2. EU-weite Schulungsinitiativen für IT-Juristen
3. Klare Priorisierung der dringlichsten Regelwerke (NIS-2 > Data Act > DORA)