Das Cybersicherheitsgesetz: Wen es betrifft und bis wann

Für wen gilt das Gesetz?

Bei den meisten regulierten Diensten entscheidet die Kombination zweier Dinge: was ein Unternehmen anbietet und wie groß es ist. In der Regel muss es sich mindestens um ein mittleres Unternehmen im Sinne der Empfehlung 2003/361/EG der Europäischen Kommission handeln, sodass weder die Größe allein noch die Branche allein ausreicht.

Die Größe ist jedoch keine allgemeine Bedingung, und genau das ist der häufigste Grund, warum sich ein Unternehmen sagt „das betrifft uns nicht“ und nicht weiterliest. Bei einigen Diensten entscheiden andere Kriterien der Bedeutsamkeit, und die Größe spielt überhaupt keine Rolle: Das gilt zum Beispiel für Anbieter von DNS-Diensten, für Registrierungsstellen für Domänennamen der obersten Ebene und für die öffentliche Verwaltung.

Wie viele Unternehmen das sind, lässt sich erstmals mit Zahlen belegen. Die tschechische Behörde für Cyber- und Informationssicherheit NÚKIB rechnete damit, dass rund sechstausend Organisationen unter das Gesetz fallen; bis zum 8. Februar 2026 hatten 4.825 von ihnen die Meldung eingereicht (öffnet sich in einem neuen Fenster), obwohl die Frist Ende 2025 abgelaufen war. Die sechstausend sind eine Schätzung, wie groß der Kreis der regulierten Einrichtungen ist, keine Liste konkreter Unternehmen, sodass sich die beiden Zahlen nicht einfach voneinander abziehen lassen. Die Behörde selbst folgert daraus jedoch, dass ein Teil der Einrichtungen, die die Kriterien erfüllen, die Meldung bisher nicht eingereicht hat.

Welche Fristen laufen für ein Unternehmen?

Drei, und jede wird ab einem anderen Ereignis berechnet. Genau das wird an ihnen am häufigsten übersehen: Sie werden nicht durch das Datum des Inkrafttretens ausgelöst, sondern durch das, was bei Ihnen geschieht.

• Meldung an NÚKIB innerhalb von 60 Tagen ab dem Tag, an dem das Unternehmen die Voraussetzungen erfüllt (§ 6 Abs. 1). Wer sie bereits beim Inkrafttreten des Gesetzes erfüllte, musste die Meldung bis Ende 2025 einreichen.
• Umsetzung der Sicherheitsmaßnahmen innerhalb eines Jahres ab dem Tag, an dem dem Unternehmen die Entscheidung über die Registrierung zugestellt wird (§ 13 Abs. 4). Das Jahr läuft also nicht ab November 2025, sondern ab der Entscheidung der Behörde.
• Meldung eines meldepflichtigen Vorfalls: Erstmeldung unverzüglich, spätestens 24 Stunden nach der Feststellung (§ 16). Bei einem Vorfall mit erheblichen Auswirkungen folgen eine Meldung mit einer ersten Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 30 Tagen.

Am härtesten sind die 24 Stunden, weil sie nicht ab dem Moment zählen, in dem das Unternehmen Klarheit hat, sondern ab der Feststellung des Vorfalls. In der Praxis heißt das, im Voraus zu wissen, wer die Meldung abschickt, woher er die Angaben nimmt und wer ihn in diesem Moment vertreten kann. Welche Vorfälle überhaupt zu melden sind, unterscheidet sich je nach Regime (§ 15), sodass auch diese Frage bei der Einstufung beginnt. Der vollständige Wortlaut der Fristen und Pflichten steht im Gesetz Nr. 264/2025 Slg. (öffnet sich in einem neuen Fenster), das in Tschechien die Regelung von 2014 ersetzt und die europäische NIS2-Richtlinie umgesetzt hat.

Was bedeuten die Regime höherer und niedrigerer Pflichten?

Das Gesetz teilt Unternehmen nicht in regulierte und nicht regulierte ein, sondern in zwei Gruppen innerhalb der Regulierung. Der Umfang der Pflichten richtet sich danach, wie bedeutend der Dienst ist und wie groß das Unternehmen ist, das ihn erbringt, und für jedes Regime gilt eine eigene Durchführungsverordnung: 409/2025 Slg. für höhere Pflichten und 410/2025 Slg. für niedrigere.

Dabei gilt eine Regel, die Unternehmen mit mehreren Diensten überrascht: Eine Organisation hat ein Regime. Sobald mindestens einer Ihrer regulierten Dienste in das höhere Regime fällt, gilt das höhere Regime auch für alle anderen. Für das niedrigere Regime hat NÚKIB ein Handbuch mit praktischen Beispielen (öffnet sich in einem neuen Fenster) herausgegeben, wie die Maßnahmen umzusetzen sind.

Was ist unter Sicherheitsmaßnahmen zu verstehen?

Nicht der Kauf eines Tools. Beide Verordnungen beschreiben organisatorische wie technische Maßnahmen. Neben der Absicherung der Technik geht es also darum, wer im Unternehmen für die Sicherheit verantwortlich ist, wie Risiken gesteuert werden, wie mit Lieferanten gearbeitet wird und wie Mitarbeitende geschult werden.

Welche Dokumentation konkret nötig ist, hängt vom Regime ab, und das ist ein weiterer Grund, mit der Einstufung zu beginnen. Die Verordnung für das höhere Regime verlangt unter anderem einen Bericht über die Risikobewertung, einen Risikobehandlungsplan, Pläne zur Betriebskontinuität und Wiederherstellung, Auditaufzeichnungen und eine Erklärung zur Anwendbarkeit, also eine Übersicht, welche Maßnahmen das Unternehmen umgesetzt hat, welche nicht und warum (§ 8). Im niedrigeren Regime ist der Umfang geringer.

Beiden Regimen gemeinsam ist, dass auch die Arbeit mit Menschen nachgewiesen werden muss. Die Schulung der Mitarbeitenden ist eine Maßnahme wie jede andere und wird bei einer Kontrolle genauso nachgewiesen wie die Konfiguration der Technik, sodass von jeder Schulung ein prüffähiger Nachweis bleiben muss.

Wie hoch sind die Bußgelder?

Bei den schwersten Verstößen kann das Bußgeld im Regime höherer Pflichten 250 Mio. CZK oder 2 % des weltweiten Netto-Jahresumsatzes erreichen, im niedrigeren Regime 175 Mio. CZK oder 1,4 % des Umsatzes. In beiden Fällen gilt der höhere der beiden Beträge, sodass bei einem großen Unternehmen nicht ein fester Betrag die Sanktion begrenzt, sondern ein Prozentsatz vom Umsatz. Bei weniger schweren Verstößen liegen die Obergrenzen niedriger. Es ist eine Obergrenze, kein Tarif: Das Gesetz sagt nicht, wie viel für einen konkreten Verstoß zu zahlen ist, und wer das Gegenteil behauptet, rechnet es sich selbst aus.

Praktischer betrachtet ist das Bußgeld erst der zweite Schaden. Der erste entsteht durch den Vorfall selbst und dadurch, dass das Unternehmen nicht darauf vorbereitet war: durch den Betriebsausfall, durch Daten, die sich nicht wiederherstellen lassen, und durch eine Meldung, die unter dem Druck von 24 Stunden geschrieben wird.

Womit beginnen, wenn Sie nicht wissen, ob es Sie betrifft?

Der erste Schritt ist, die Einstufung zu ermitteln, nicht Technologie einzukaufen. Damit beginnt die GAP-Analyse von Securent: Sie bewertet, ob und in welchem Regime das Gesetz Ihr Unternehmen betrifft, und prüft den Stand der Prozesse und der Dokumentation, die organisatorischen und technischen Maßnahmen, die ICT-Umgebung, die Lieferkette, die DSGVO, die Schulung und den physischen Schutz. Das Ergebnis sind drei Dokumente: ein Management-Reporting für die Geschäftsleitung, ein Begründungsbericht mit der Analyse der Lücken und eine Roadmap mit der Reihenfolge der Schritte.

Die zweite häufige Frage lautet, ob Sie wegen der Regulierung jemanden einstellen müssen. Das müssen Sie nicht: Manager, Architekt und Auditor für Cybersicherheit sowie den Datenschutzbeauftragten (DPO) können Sie extern beauftragen, was auf einem Markt, auf dem solche Fachleute knapp sind, meist schneller geht als eine Einstellung. Was sich nicht auslagern lässt, ist die Verantwortung. Die gesetzlichen Pflichten bleiben bei Ihrer Organisation, wer auch immer sie erfüllt.

Wer sich zugleich um den Betrieb von Netzwerken und Endgeräten kümmert, findet beides in der Kategorie Cybersicherheit, wo Securent neben den ICT-Dienstleistungen steht.