Sehr geehrte Leserinnen und Leser,
vergangene Woche, am Donnerstag, dem 13.11.2025 – und damit über ein Jahr nach Ablauf der Umsetzungsfrist – hat der Bundestag die nationale Umsetzung der NIS-2-Richtlinie der Europäischen Union (NIS-2-Umsetzungsgesetz) beschlossen. Dem vorausgegangen war ein über zwei Jahre dauernder Gesetzgebungsprozess, der bereits von der vorherigen Regierung begonnen worden war. Aufgrund der verzögerten Umsetzung hatte die EU-Kommission ein Vertragsverletzungsverfahren gegen Deutschland eingeleitet, welches sich nun bereits in der zweiten Stufe des Verfahrens befindet. Entsprechend hoch war also der Druck, eine Einigung zu erzielen.
Mit dem NIS-2-Umsetzungsgesetz werden nun weitreichende Mindeststandards für Cybersicherheit in die deutsche Gesetzgebung überführt. Schätzungsweise 29.850 Unternehmen in Sektoren wie Energie, Gesundheitswesen und (digitale) Infrastruktur sowie Behörden der Bundesverwaltung werden durch das Umsetzungsgesetz verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) alle relevanten IT-Sicherheitsvorfälle zu melden, ein geeignetes technisches und organisatorisches Risikomanagement einzuführen und eine Schulung der Mitarbeitenden zu gewährleisten. Die Befugnisse des BSI im Bereich der behördlichen Prüfungen, der Nachweisanforderungen sowie der Bußgeldverfahren werden durch das Gesetz außerdem erweitert.
In der abschließenden Debatte im Bundestag betonte Innenminister Alexander Dobrindt, die andauernde hybride Kriegsführung unterziehe der Cybersicherheit Deutschlands einem permanenten Stresstest – mit dem Umsetzungsgesetz beweise man nun „Stabilität und Stärke“. Neben Betreibern kritischer Infrastruktur werden nun auch zahlreiche mittlere und große Unternehmen vom Anwendungsbereich des neuen Umsetzungsgesetzes umfasst sein und auch entlang der Lieferketten werden die Anforderungen steigen. Während die Bedrohungen für Unternehmen wachsen, könnte sich auch die Umsetzung der Anforderungen des NIS-2-Umsetzungsgesetzes zu einem „Stresstest“ entwickeln.
In dieser Ausgabe des PraxisReports befasst sich zunächst Elias Wirth mit einem Urteil des BGH zum Anwendungsbereich des FernUSG (BGH, Urt. v. 02.10.2025 - III ZR 173/24) (Anm. 2).
Sodann ist Frank Braun mit einer Anmerkung zur Unzulässigkeit der in einem Presseartikel aufgestellten Behauptung vertreten, die Braut habe dem Bräutigam vor der Trauung „den Stinkefinger“ gezeigt (LG Berlin II, Urt. v. 30.09.2025 - 27 O 306/25 eV) (Anm. 3).
Anschließend erwartet Sie ein Beitrag von Christoph Halder zur Frage der prozessualen und materiell-rechtlichen Bedeutung der Mitteilungspflicht nach Art. 12 Abs. 3 Satz 1 DSGVO (VG Düsseldorf, Beschl. v. 10.09.2025 - 29 K 6427/25) (Anm. 4).
Susan Hillert bespricht ein Urteil des AG Paderborn zur Einordnung eines Coachingprogrammes im Rahmen des FernUSG (AG Paderborn, Urt. v. 05.09.2025 - 57a C 183/24) (Anm. 5).
Zuletzt beschäftigt sich Klaus Lodigkeit mit einem Beschluss des OLG Koblenz zum Widerruf einer Einwilligung nach § 22 Satz 1 KunstUrhG aus „wichtigem Grund“ (OLG Koblenz, Beschl. 02.04.2025 - 4 U 238/23) (Anm. 6).
Ich wünsche Ihnen eine unterhaltsame Lektüre!
Ihr Prof. Dr. Dirk Heckmann
