Monacos kommendes Cybergesetz

Etwas kommt – Gesetz ist es noch nicht

Monaco hat erklärt, einen nationalen Rahmen für Cybersicherheit schaffen zu wollen, der sich eng an der EU-Richtlinie NIS2 orientiert. Öffentlich gemacht wurde diese Absicht bei den Assises de la Cybersécurité, seither ist sie mehrfach bestätigt worden. Die Vorbereitung liegt bei der Direction des Plateformes et des Ressources Numériques, die Aufsicht läge bei der Agence Monégasque de Sécurité Numérique (AMSN).

Zum tatsächlichen Stand, und der wiegt schwerer als jeder Zeitplan: ein monegassisches Cybersicherheitsgesetz existiert bislang nicht. Es gibt eine erklärte Richtung, Vorarbeiten in der Verwaltung und Einschätzungen von Beratungshäusern, die ein Inkrafttreten um 2027 verorten. Diese Prognosen stammen von Beratern, nicht aus dem Journal de Monaco. Behandeln Sie jedes konkrete Datum – auch die in diesem Beitrag – als Orientierung und lassen Sie den Stand von der AMSN oder einer monegassischen Kanzlei bestätigen, bevor Sie darauf Budget aufbauen.

Dieser Vorbehalt ist kein Grund, das Thema liegen zu lassen. Er ist ein Grund, jetzt die günstige Vorbereitung zu erledigen und sich den teuren Endspurt zu sparen.

Warum ein Nicht-EU-Staat eine EU-Richtlinie nachbildet

Monaco ist kein EU-Mitgliedstaat, und EU-Richtlinien gelten hier nicht automatisch. NIS2 entfaltet im Fürstentum keine unmittelbare Rechtswirkung. Warum also die Angleichung?

Weil Monacos Wirtschaft mit Europa verflochten ist. Monegassische Privatbanken, Family Offices, Luxushäuser und IT-Dienstleister stehen sämtlich in europäischen Lieferketten. NIS2 verpflichtet regulierte Unternehmen, die Sicherheit ihrer eigenen Zulieferer zu bewerten – eine französische Bank oder ein italienischer Hersteller wird ihrem monegassischen Partner also zunehmend Sicherheitsfragen stellen, mit Vertragsklauseln im Rücken. Ein Rahmen, der dieselbe Sprache spricht, macht solche Gespräche führbar.

Hinzu kommt das Souveränitätsargument. Monaco baut seit Jahren eigene digitale Infrastruktur und eigene Qualifizierungsverfahren auf, statt sie zu importieren. Ein nationales Gesetz unter Aufsicht der AMSN setzt diese Linie fort.

Wer realistisch betroffen wäre

Vorliegende Analysen sprechen von einem Kreis von rund 300 bis 400 Einheiten. Monaco ist klein, und dieses Gesetz zielt nicht auf jedes Unternehmen im Fürstentum. Zu erwarten ist die von NIS2 bekannte Zweiteilung in wesentliche und wichtige Einrichtungen, mit den schwereren Pflichten bei der ersten Gruppe.

Das wahrscheinliche Profil: Banken und Finanzinstitute, Gesundheitswesen, Energie und Wasser, Verkehr, digitale Infrastruktur und Managed-IT-Anbieter, öffentliche Stellen sowie größere Akteure in Monacos prägenden Branchen. Eine Zwei-Personen-Beratung oder ein inhabergeführtes Restaurant fällt mit hoher Wahrscheinlichkeit nicht in den direkten Anwendungsbereich.

Der direkte Anwendungsbereich ist allerdings nur die Hälfte des Themas – und für die meisten Leser die kleinere. Lieferkettenpflichten wandern nach unten durch. Wer als Agentur, Softwareanbieter oder Hoster eine betroffene Einrichtung bedient, wird sein eigenes Sicherheitsniveau belegen müssen – nicht gegenüber einer Behörde, sondern gegenüber dem Einkauf des Kunden. Das folgt dem Zeitplan des Kunden, nicht dem des Gesetzgebers, und es passiert bereits.

Die Pflichten, auf die man sich einstellen sollte

Folgt Monaco dem NIS2-Muster – und alle Signale deuten darauf hin –, stehen vier Punkte im Zentrum.

Governance mit benannter Verantwortung. NIS2 hat die Leitungsorgane für die Risikomanagementmaßnahmen in die Pflicht genommen. Das Thema ist nicht mehr vollständig an die IT delegierbar: Jemand auf Führungsebene muss das Risikobild erklären können.

Risikomanagementmaßnahmen. Richtlinien, Incident Handling, Betriebskontinuität, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Verschlüsselung. Monaco würde diese vermutlich auf das bestehende nationale Cybersicherheits-Referenzsystem der AMSN abbilden, statt einen Parallelstandard zu erfinden.

Meldepflichten mit kurzer Uhr. NIS2 arbeitet mit einer Frühwarnung binnen 24 Stunden, einer Meldung binnen 72 Stunden und einem Abschlussbericht binnen eines Monats. Planen sollte man gegen die 24 Stunden – zu kurz, um erst dann zu klären, wer entscheidet, wer schreibt und wer die Zugangsdaten hat.

Sicherheit der Lieferkette. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferanten und Dienstleister berücksichtigen – genau der Mechanismus, der Anforderungen auf Unternehmen ausdehnt, die im Gesetz nie genannt werden.

Die Überschneidung mit Gesetz Nr. 1.565 ist Ihre Abkürzung

Unternehmen in Monaco leben bereits mit einer 72-Stunden-Meldepflicht für Datenschutzverletzungen nach dem Gesetz Nr. 1.565 vom 3. Dezember 2024, überwacht durch die APDP. Andere Behörde, anderer Auslöser, anderer Bericht: Eine Verletzung des Schutzes personenbezogener Daten ist kein Cybersicherheitsvorfall, und ein einzelnes Ereignis kann beides auslösen.

Die Überschneidung liegt in den internen Abläufen – und die sind der eigentliche Aufwand. Wer erkennt. Wer bewertet. Wer schreibt. Wer unterschreibt. Wo Kontaktdaten und Protokolle sonntags um zwei Uhr nachts liegen. Einmal aufbauen, doppelt nutzen. Wer die Grundlagenarbeit zum APDP-Datenschutz schon geleistet hat, ist weiter als gedacht.

Was in den nächsten zwölf Monaten lohnt

Nichts davon hängt vom endgültigen Text ab, und alles zahlt sich ohnehin aus:

• Halten Sie schriftlich fest, ob Sie plausibel betroffen sind – direkt oder über einen betroffenen Kunden. Zwei Absätze, datiert, zu prüfen, sobald ein Entwurf vorliegt.
• Bringen Sie die Grundlagen in Ordnung, die jeder Rahmen verlangt. MFA durchgängig, Patches, die tatsächlich eingespielt werden, Backups, aus denen mindestens einmal wiederhergestellt wurde, und Offboarding, das Zugänge am selben Tag entzieht. Unspektakulär – und genau das, was Audits vermissen.
• Kennen Sie Ihre eigene Lieferkette. CMS, Plugins, Hosting, Zahlungsdienstleister, Analytics, E-Mail-Plattform. Ein Abhängigkeits- und Dienstleisterverzeichnis ist die Voraussetzung für jede weitere Maßnahme und gehört in eine laufende Website-Wartung und -Betreuung, nicht in ein einmaliges Audit.
• Proben Sie die 24-Stunden-Reaktion einmal durch. Eine einstündige Tischübung deckt mehr Lücken auf als eine hundertseitige Richtlinie.
• Klären Sie Ihre Infrastruktur-Geschichte. Wo Daten liegen, unter welcher Jurisdiktion, mit welchen Zertifizierungen – Fragen, die Entscheidungen in der Webentwicklung in Monaco längst prägen, bevor eine Aufsichtsbehörde fragt.

Wer das Thema als Reifegradprojekt für Sicherheit angeht statt als Compliance-Projekt, ist vorbereitet, wenn das Gesetz kommt – und gewinnt in der Zwischenzeit Ausschreibungen. Wer auf das Journal de Monaco wartet, hat wenige Monate für die Arbeit mehrerer Jahre.

Für eine nüchterne Bestandsaufnahme, wie Website, Hosting und Datenflüsse in einem solchen Rahmen dastehen, nehmen Sie Kontakt auf – ein kurzes und nützliches Gespräch.