Ressource
NIS2-Umsetzung in den EU-Mitgliedstaaten
Wo NIS2 in allen 27 Mitgliedstaaten steht: Umsetzungsstatus, nationales Gesetz, zuständige Behörde, Registrierungspflicht und Quellen. Jede Zeile ist belegt, Unbestätigtes kennzeichnen wir als solches. Stand: 24. Oktober 2026.
Was Umsetzung bedeutet
NIS2 (Richtlinie (EU) 2022/2555) ist eine Richtlinie, keine Verordnung. Sie gilt nicht unmittelbar, sondern jeder Mitgliedstaat muss sie in eigenes Recht gießen. Die Frist dafür lief am 17. Oktober 2024 ab. Erst das nationale Gesetz legt fest, welche Behörde zuständig ist, wie und bis wann sich Einrichtungen registrieren, wie Vorfälle gemeldet werden und wie hoch Bußgelder konkret ausfallen.
Für Unternehmen, die in mehreren Mitgliedstaaten tätig sind, heißt das: Es gibt nicht ein NIS2, sondern bis zu 27 Fassungen davon. Grundsätzlich ist der Mitgliedstaat zuständig, in dem eine Einrichtung niedergelassen ist; für einige digitale Dienste (etwa Cloud, Rechenzentren und Managed Services) gilt der Ort der Hauptniederlassung (Art. 26). Eine Gruppe mit Tochtergesellschaften in mehreren Ländern hat damit schnell mehrere Register, Meldewege und Fristen zu bedienen. Diese Übersicht zeigt für jedes Land den aktuellen Stand und die amtliche Quelle.
24
Umgesetzt und in Kraft
0
Beschlossen, noch nicht in Kraft
3
Entwurf, noch nicht beschlossen
0
Noch kein Entwurf
Anzahl der Mitgliedstaaten je Status, Stand 24. Oktober 2026.
NIS2-Umsetzung nach Mitgliedstaat · nur verifiziert
27 von 27 Mitgliedstaaten
| Nationales Gesetz | Behörde / CSIRT | Registrierung | Besonderheiten und EU-Verfahren | Quellen | ||
|---|---|---|---|---|---|---|
| BelgienBE | Umgesetzt und in Kraft in Kraft seit Veröffentlicht im Belgischen Staatsblatt am 17. Mai 2024; hebt das NIS1-Gesetz von 2019 auf. | Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique / Wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid Gesetz vom 26. April 2024 über einen Rahmen für die Cybersicherheit von Netz- und Informationssystemen von allgemeinem Interesse für die öffentliche Sicherheit (NIS2-Gesetz) | Centre for Cybersecurity Belgium (CCB), zugleich nationales CSIRT | Pflicht Binnen fünf Monaten nach Inkrafttreten (Art. 13), also bis 18. März 2025, über Safeonweb@work. [Quelle] |
| geprüft |
| BulgarienBG | Umgesetzt und in Kraft Änderungsgesetz veröffentlicht im Staatsanzeiger Nr. 17 vom 13. Februar 2026. Genaues Datum des Inkrafttretens aus amtlichem Text nicht bestätigt. | Закон за изменение и допълнение на Закона за киберсигурност (ДВ, бр. 17 от 13.02.2026 г.) Gesetz zur Änderung und Ergänzung des Cybersicherheitsgesetzes (Staatsanzeiger Nr. 17/2026) | Minister für Innovation und digitale Transformation (führt das Register) und sektorale Behörden; nationales CSIRT: GovCERT Bulgarien | Nicht bestätigt Behördengeführt: Sektorbehörden bestimmen wesentliche und wichtige Einrichtungen; der Minister führt das Register (Art. 6). Keine allgemeine Frist zur Selbstregistrierung gefunden. |
| geprüft |
| DänemarkDK | Umgesetzt und in Kraft in Kraft seit Gesetz Nr. 434 vom 6. Mai 2025; ersetzt vier sektorale NIS1-Gesetze. | Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven) Gesetz über Maßnahmen für ein hohes Cybersicherheitsniveau (NIS-2-Gesetz) | Styrelsen for Samfundssikkerhed (SAMSIK) mit Sektorbehörden; nationales CSIRT: dänischer Militärnachrichtendienst | Pflicht Bis 1. Oktober 2025 für Einrichtungen, die bei Inkrafttreten erfasst waren, über ein zentrales Formular auf virk.dk. [Quelle] |
| geprüft |
| DeutschlandDE | Umgesetzt und in Kraft in Kraft seit BGBl. 2025 I Nr. 301; ändert das BSI-Gesetz (BSIG). Keine allgemeine Übergangsfrist. | Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG) NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz | Bundesamt für Sicherheit in der Informationstechnik (BSI), zugleich nationales CSIRT | Pflicht Binnen drei Monaten nach Erfüllung der Kriterien (§ 33 BSIG); für Einrichtungen, die von Beginn an erfasst waren, bis 6. März 2026, über das BSI-Portal. [Quelle] |
| geprüft |
| EstlandEE | Umgesetzt und in Kraft in Kraft seit Ändert das bestehende Cybersicherheitsgesetz (RT I, 30.12.2025, 4). | Küberturvalisuse seaduse ja teiste seaduste muutmise seadus (küberturvalisuse 2. direktiivi ülevõtmine) Gesetz zur Änderung des Cybersicherheitsgesetzes und anderer Gesetze (Umsetzung von NIS2) | Riigi Infosüsteemi Amet (RIA, Behörde für Informationssysteme), Sitz von CERT-EE | Pflicht Binnen drei Monaten nach Inkrafttreten bzw. nach Erfüllung der Kriterien, über das Staatsportal eesti.ee. [Quelle] | geprüft | |
| FinnlandFI | Umgesetzt und in Kraft in Kraft seit | Kyberturvallisuuslaki (124/2025) Cybersicherheitsgesetz (124/2025) | Sektorale Aufsichtsbehörden, koordiniert vom National Cyber Security Centre (NCSC-FI) der Traficom, dem nationalen CSIRT | Pflicht Binnen eines Monats nach Inkrafttreten (bis 8. Mai 2025) bzw. nach Erfüllung der Kriterien, im Verzeichnis der Sektoraufsicht. [Quelle] |
| geprüft |
| FrankreichFR | Entwurf, noch nicht beschlossen Vom Senat am 12. März 2025 angenommen; in der Nationalversammlung weiter in erster Lesung. Eine für den 7. Oktober 2026 angesetzte Plenardebatte wurde verschoben. | Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité Gesetzentwurf zur Resilienz kritischer Infrastrukturen und zur Stärkung der Cybersicherheit (setzt NIS2, CER und die DORA-Richtlinie um) | Agence nationale de la sécurité des systèmes d'information (ANSSI), laut Gesetzentwurf | Nicht bestätigt Noch keine gesetzliche Pflicht. Die ANSSI bietet eine freiwillige Vorregistrierung über MonEspaceNIS2 an, bis Gesetz und Dekrete veröffentlicht sind. [Quelle] | geprüft | |
| GriechenlandGR | Umgesetzt und in Kraft in Kraft seit Veröffentlicht im FEK A 195 vom 27. November 2024; mit Veröffentlichung in Kraft. | Νόμος 5160/2024: Ενσωμάτωση της Οδηγίας (ΕΕ) 2022/2555 σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας στο σύνολο της Ένωσης Gesetz 5160/2024 zur Umsetzung der NIS2-Richtlinie | Nationale Cybersicherheitsbehörde (Εθνική Αρχή Κυβερνοασφάλειας), zugleich nationales CSIRT | Pflicht Selbsterklärung über die gov.gr-Plattform gemäß Gemeinsamer Ministerialentscheidung 1381/2025; Änderungen binnen zwei Wochen. Aktuelle Frist aus amtlicher Quelle nicht bestätigt. [Quelle] |
| geprüft |
| IrlandIE | Entwurf, noch nicht beschlossen Es gibt nur einen General Scheme (2024); Stand 7. Oktober 2026 war der Gesetzentwurf nicht im Oireachtas eingebracht. Es gelten weiter die NIS1-Regeln. | General Scheme of the National Cyber Security Bill 2024 Eckpunkte des Entwurfs für ein nationales Cybersicherheitsgesetz | National Cyber Security Centre (NCSC), laut Entwurf als zuständige Behörde und CSIRT vorgesehen | Nicht bestätigt Laut NCSC öffnet das NIS2-Registrierungsportal erst nach Verabschiedung des Gesetzes. [Quelle] |
| geprüft |
| ItalienIT | Umgesetzt und in Kraft in Kraft seit Veröffentlicht in der Gazzetta Ufficiale Nr. 230 vom 1. Oktober 2024. | Decreto legislativo 4 settembre 2024, n. 138 Gesetzesvertretendes Dekret Nr. 138 vom 4. September 2024 zur Umsetzung von NIS2 | Agenzia per la cybersicurezza nazionale (ACN), Sitz von CSIRT Italia | Pflicht Jährlich vom 1. Januar bis 28. Februar auf der ACN-Plattform, mit jährlicher Aktualisierung vom 15. April bis 31. Mai. [Quelle] |
| geprüft |
| KroatienHR | Umgesetzt und in Kraft in Kraft seit Veröffentlicht in Narodne novine 14/2024; in Kraft am achten Tag nach Veröffentlichung. | Zakon o kibernetičkoj sigurnosti (NN 14/2024) Cybersicherheitsgesetz | Sektorale Behörden; Sicherheits- und Nachrichtendienst (SOA) als zentrale Stelle mit seinem National Cyber Security Centre (NCSC-HR); CARNET CERT als zweites CSIRT | Keine eigene Pflicht Keine Selbstregistrierung: Die zuständigen Behörden kategorisieren die Einrichtungen und benachrichtigen sie (erste Runde binnen eines Jahres nach Inkrafttreten). [Quelle] |
| geprüft |
| LettlandLV | Umgesetzt und in Kraft in Kraft seit Veröffentlicht in Latvijas Vēstnesis 128A vom 4. Juli 2024; 2026 geändert. | Nacionālās kiberdrošības likums Nationales Cybersicherheitsgesetz | Nacionālais kiberdrošības centrs (Nationales Cybersicherheitszentrum, Verteidigungsministerium); CSIRT: CERT.LV | Pflicht Erstmeldung an das Nationale Cybersicherheitszentrum bis 1. April 2025; Cybersicherheitsverantwortliche und Selbstbewertung bis 1. Oktober 2025. [Quelle] |
| geprüft |
| LitauenLT | Umgesetzt und in Kraft in Kraft seit Neufassung des bestehenden Cybersicherheitsgesetzes (Nr. XIV-2902). | Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymas (Nr. XIV-2902) Gesetz zur Änderung des Cybersicherheitsgesetzes Nr. XII-1428 | Nacionalinis kibernetinio saugumo centras (NKSC, Nationales Cybersicherheitszentrum), Sitz von CERT-LT | Nicht bestätigt Einrichtungen werden in das nationale Register der Cybersicherheitssubjekte eingetragen; die Pflichten gelten ab Eintragung (Art. 11 Abs. 2). Ob eine Selbstregistrierung mit Frist gilt, ist nicht bestätigt. [Quelle] |
| geprüft |
| LuxemburgLU | Umgesetzt und in Kraft in Kraft seit Gesetz vom 5. Mai 2026, veröffentlicht im Mémorial A Nr. 225 am 6. Mai 2026. | Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau | Institut Luxembourgeois de Régulation (ILR); CSSF für Banken und Finanzmarktinfrastrukturen | Pflicht Binnen zwei Monaten nach Inkrafttreten, also bis 10. Juli 2026, über das Selbstregistrierungsformular des ILR. [Quelle] | geprüft | |
| MaltaMT | Umgesetzt und in Kraft in Kraft seit Verordnung L.N. 71 von 2025, in Kraft gesetzt durch L.N. 22 von 2026; geändert durch L.N. 89 von 2026. | Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order (S.L. 460.41) NIS2-Umsetzungsverordnung, Subsidiary Legislation 460.41 | Critical Infrastructure Protection (CIP) Department; Malta Communications Authority für gelistete digitale Infrastruktur; nationales CSIRT bei der MITA | Pflicht Selbstregistrierung beim CIP Department unter Angabe des überwachenden CSIRT. Frist nicht bestätigt. [Quelle] |
| geprüft |
| NiederlandeNL | Umgesetzt und in Kraft in Kraft seit Veröffentlicht als Stb. 2026, 187; ersetzt das Wbni. | Cyberbeveiligingswet (Cbw) Cybersicherheitsgesetz | Fachministerien als zuständige Behörden mit ihren Aufsichtsdiensten (z. B. RDI); das NCSC führt das Register und ist CSIRT | Pflicht Im Einrichtungsregister des NCSC (mijn.ncsc.nl) ab Inkrafttreten; Änderungen binnen zwei Wochen. [Quelle] |
| geprüft |
| ÖsterreichAT | Umgesetzt und in Kraft in Kraft seit Kundgemacht am 23. Dezember 2025 (BGBl. I Nr. 94/2025); löst das NISG 2018 ab. | Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) Netz- und Informationssystemsicherheitsgesetz 2026 | Bundesamt für Cybersicherheit (BCS), Bundesministerium für Inneres | Pflicht Binnen drei Monaten nach Inkrafttreten: bis 1. Jänner 2027, spätestens 4. Jänner 2027 (§ 33 AVG), über das Unternehmensserviceportal (USP). [Quelle] | geprüft | |
| PolenPL | Umgesetzt und in Kraft in Kraft seit Dz. U. 2026 poz. 252; ändert das Gesetz über das nationale Cybersicherheitssystem (KSC). | Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw Gesetz vom 23. Januar 2026 zur Änderung des Gesetzes über das nationale Cybersicherheitssystem und weiterer Gesetze | Ministerium für Digitalisierung (Register), sektorale Behörden; CSIRT GOV, CSIRT NASK und CSIRT MON | Pflicht Selbstregistrierung im Wykaz KSC: bis 3. Oktober 2026 für Einrichtungen, die am 3. April 2026 erfasst waren; sonst binnen sechs Monaten nach Erfüllung der Kriterien. [Quelle] |
| geprüft |
| PortugalPT | Umgesetzt und in Kraft in Kraft seit In Kraft 120 Tage nach Veröffentlichung; die CNCS-Verordnung 756/2026 (22. Juni 2026) regelt die Durchführung. | Decreto-Lei n.º 125/2025, de 4 de dezembro (Regime Jurídico da Cibersegurança) Gesetzesdekret 125/2025 über die Rechtsordnung der Cybersicherheit | Centro Nacional de Cibersegurança (CNCS) mit sektoralen Cybersicherheitsbehörden | Pflicht Auf der CNCS-Plattform MyCiber: binnen 60 Arbeitstagen nach Freischaltung (23. Juni 2026) für bereits tätige Einrichtungen; 30 Arbeitstage für neue. [Quelle] |
| geprüft |
| RumänienRO | Umgesetzt und in Kraft in Kraft seit Dringlichkeitsverordnung, veröffentlicht am 31. Dezember 2024; mit Änderungen bestätigt durch Gesetz 124/2025. | Ordonanța de urgență nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil Dringlichkeitsverordnung 155/2024 über einen Rahmen für die Cybersicherheit von Netz- und Informationssystemen im nationalen zivilen Cyberraum | Directoratul Național de Securitate Cibernetică (DNSC), zuständige Behörde und nationales CSIRT | Pflicht Meldung an das DNSC binnen 30 Tagen (Art. 18); das DNSC erlässt dann einen Identifizierungsbescheid. Portaldetails aus amtlicher Quelle nicht bestätigt. [Quelle] |
| geprüft |
| SchwedenSE | Umgesetzt und in Kraft in Kraft seit SFS 2025:1506; ersetzt das NIS1-Gesetz. | Cybersäkerhetslag (2025:1506) Cybersicherheitsgesetz | National Cybersecurity Centre (NCSC) beim FRA für Registrierung und CSIRT seit 1. Juli 2026 (zuvor MCF); Aufsicht durch Sektorbehörden | Pflicht So bald wie möglich nach Eintritt in den Anwendungsbereich (Registrierung seit 2. Februar 2026 möglich); Änderungen binnen 14 Tagen. Seit 1. Juli 2026 beim NCSC. [Quelle] |
| geprüft |
| SlowakeiSK | Umgesetzt und in Kraft in Kraft seit Ändert das Cybersicherheitsgesetz Nr. 69/2018. | Zákon č. 366/2024 Z. z., ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov Gesetz 366/2024 zur Änderung des Cybersicherheitsgesetzes 69/2018 | Národný bezpečnostný úrad (NBÚ, Nationale Sicherheitsbehörde) mit dem nationalen CSIRT SK-CERT | Pflicht Meldung an das NBÚ binnen 60 Tagen nach Aufnahme der Tätigkeit; Änderungen binnen 14 Tagen. [Quelle] |
| geprüft |
| SlowenienSI | Umgesetzt und in Kraft in Kraft seit Veröffentlicht im Uradni list RS 40/2025 am 4. Juni 2025. | Zakon o informacijski varnosti (ZInfV-1) Gesetz über Informationssicherheit | Urad Vlade Republike Slovenije za informacijsko varnost (URSIV); CSIRTs: SI-CERT und SIGOV-CERT | Pflicht Einrichtungen, die am 19. Juni 2025 erfasst waren, hatten bis 19. Dezember 2025 Zeit; neue Einrichtungen binnen 30 Tagen, über das Webformular des URSIV. [Quelle] |
| geprüft |
| SpanienES | Entwurf, noch nicht beschlossen Regierungsentwurf, vom Ministerrat am 14. Januar 2025 in erster Lesung gebilligt; noch nicht im Parlament. Es gilt weiter das NIS1-Gesetz (Real Decreto-ley 12/2018). | Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad Entwurf eines Gesetzes über Koordinierung und Governance der Cybersicherheit | Nicht bestätigt | Nicht bestätigt Noch kein NIS2-Registrierungsverfahren; der Entwurf ist nicht verabschiedet. | geprüft | |
| TschechienCZ | Umgesetzt und in Kraft in Kraft seit | Zákon č. 264/2025 Sb., o kybernetické bezpečnosti Gesetz Nr. 264/2025 Slg. über Cybersicherheit | Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), betreibt auch das Regierungs-CERT | Pflicht Meldung an NÚKIB binnen 60 Tagen nach Erfüllung der Kriterien (§ 6); für Einrichtungen, die von Beginn an erfasst waren, bis 31. Dezember 2025, über das NÚKIB-Portal. [Quelle] |
| geprüft |
| UngarnHU | Umgesetzt und in Kraft in Kraft seit Löst das Gesetz XXIII von 2023 ab, Ungarns früheres NIS2-Gesetz. | 2024. évi LXIX. törvény Magyarország kiberbiztonságáról Gesetz LXIX von 2024 über die Cybersicherheit Ungarns | Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) für Unternehmen; nationales CSIRT: NCSC Hungary (Nemzeti Kibervédelmi Intézet) | Pflicht Registrierung bei der SZTFH binnen 30 Tagen nach Aufnahme der Tätigkeit oder Eintritt in den Anwendungsbereich; nach dem Gesetz von 2023 bereits registrierte Daten müssen nicht erneut gemeldet werden. [Quelle] |
| geprüft |
| ZypernCY | Umgesetzt und in Kraft in Kraft seit In Kraft mit Veröffentlichung im Amtsblatt (25. April 2025), bis auf einen Artikel; ändert Gesetz 89(I)/2020. | Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών (Τροποποιητικός) Νόμος του 2025 (Ν. 60(Ι)/2025) Gesetz zur Sicherheit von Netz- und Informationssystemen (Änderung) von 2025 | Digital Security Authority (DSA), Sitz des nationalen CSIRT-CY | Pflicht Einrichtungen übermitteln ihre Angaben auf Anforderung der DSA und melden Änderungen binnen zwei Wochen. Keine feste gesetzliche Frist gefunden. [Quelle] |
| geprüft |
Stand:
Vertragsverletzungsverfahren der Kommission
Wer NIS2 nicht fristgerecht umsetzt, riskiert ein Vertragsverletzungsverfahren der Europäischen Kommission. Der Ablauf hat drei Stufen: Aufforderungsschreiben, mit Gründen versehene Stellungnahme und Klage vor dem Gerichtshof der EU. Die bisherigen Schritte zu NIS2:
Aufforderungsschreiben an 23 Mitgliedstaaten, die bis zur Frist am 17. Oktober 2024 keine vollständige Umsetzung gemeldet hatten. Quelle
Mit Gründen versehene Stellungnahmen an 19 Mitgliedstaaten: Bulgarien, Dänemark, Deutschland, Estland, Finnland, Frankreich, Irland, Lettland, Luxemburg, die Niederlande, Österreich, Polen, Portugal, Schweden, Slowenien, Spanien, Tschechien, Ungarn und Zypern. Quelle
Klage gegen Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof der EU, verbunden mit einem Antrag auf finanzielle Sanktionen. Quelle
Letzte erfasste Einstellungen: Bis zu diesem Datum waren 16 der 24 NIS2-Verfahren in der Datenbank der Kommission eingestellt, darunter das der Niederlande nach Inkrafttreten ihres neuen Gesetzes. Acht sind offen: Irland, Spanien und Frankreich vor dem Gerichtshof, Deutschland, Estland, Finnland, Portugal und Schweden im Stadium der mit Gründen versehenen Stellungnahme. Ein Verfahren kann auch nach Inkrafttreten eines Gesetzes offen bleiben, bis die Kommission es geprüft hat. Quelle
Wie wir prüfen
Wir verfahren wie beim NIS2-Sanktions-Tracker: Eine Angabe erscheint nur, wenn wir sie auf eine Quelle zurückführen können, vorzugsweise auf das amtliche Gesetzblatt, das zuständige Ministerium, die nationale Cybersicherheitsbehörde oder die Europäische Kommission. Kanzlei-Übersichten haben wir nur als Hinweisgeber genutzt und, wo möglich, die amtliche Quelle zitiert.
Lässt sich ein Feld nicht belegen, steht dort „Nicht bestätigt“. Wir schätzen nicht und füllen keine Lücken mit Annahmen. Jede Zeile trägt ihr eigenes Prüfdatum; die gesamte Übersicht wurde zuletzt am 24. Oktober 2026 geprüft. Die Umsetzung ändert sich laufend. Wenn Sie eine neuere amtliche Quelle kennen, schreiben Sie uns.
Keine Rechtsberatung. Diese Übersicht dient der Orientierung. Sie ersetzt weder den Gesetzestext noch eine Beratung durch Anwältinnen und Anwälte im jeweiligen Mitgliedstaat. Maßgeblich ist immer die amtlich veröffentlichte Fassung.
Weiterführend
NIS2 Scope-Checker
Prüfen Sie, ob Ihr Unternehmen wesentliche oder wichtige Einrichtung ist.
NIS2-Sanktions-Tracker
Verifizierte NIS2-Sanktionen, nur mit Primärquelle.
Was ist NIS2? (EN)
Die Richtlinie im Überblick: Sektoren, Pflichten, Fristen.
NIS2-Bußgelder (EN)
Obergrenzen nach Art. 34 und wie nationale Gesetze sie umsetzen.
Haftung der Geschäftsleitung (EN)
Was Art. 20 von Geschäftsführung und Vorstand verlangt.
Häufige Fragen
Welche EU-Staaten haben NIS2 umgesetzt?
Stand 24. Oktober 2026 haben 24 der 27 Mitgliedstaaten ein NIS2-Umsetzungsgesetz in Kraft. In Frankreich, Irland und Spanien ist noch kein Gesetz in Kraft. Die Übersicht nennt für jedes Land Gesetz, Inkrafttreten, zuständige Behörde und Registrierungspflicht, jeweils mit amtlicher Quelle.
Was passiert in einem Mitgliedstaat, der NIS2 nicht umgesetzt hat?
Die Europäische Kommission leitet ein Vertragsverletzungsverfahren ein: Aufforderungsschreiben, dann mit Gründen versehene Stellungnahme, dann Klage vor dem Gerichtshof, der finanzielle Sanktionen verhängen kann. Im Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande verklagt. Für Unternehmen entstehen die Pflichten nicht aus der Richtlinie selbst, sondern aus dem nationalen Gesetz. Bis dieses beschlossen ist, gelten dort weiter die bisherigen NIS1-Regeln.
Muss ich mich in jedem Land registrieren, in dem ich tätig bin?
Nicht automatisch. Grundsätzlich ist der Mitgliedstaat zuständig, in dem eine Einrichtung niedergelassen ist. Eine Gruppe mit Tochtergesellschaften in mehreren Ländern registriert daher meist jede Tochter in ihrem eigenen Land. Bestimmte digitale Anbieter, etwa Cloud-, Rechenzentrums- und Managed-Service-Anbieter, unterliegen dem Mitgliedstaat ihrer Hauptniederlassung (Art. 26). Fristen und Portale unterscheiden sich je Land, deshalb führt die Übersicht sie pro Zeile auf.
Wie prüfen Sie die Angaben?
Jede Angabe ist belegt, vorzugsweise mit dem amtlichen Gesetzblatt, dem zuständigen Ministerium, der nationalen Cybersicherheitsbehörde oder der Europäischen Kommission. Kanzlei-Übersichten dienen nur als Hinweisgeber. Lässt sich ein Feld nicht belegen, steht dort „Nicht bestätigt“ statt einer Schätzung, und jede Zeile trägt ihr Prüfdatum.
Was NIS2 für Sie in Euro bedeutet.
Starten Sie die kostenlose Simulation für Ihre externe Angriffsfläche: ohne Login, ohne Integration, Ergebnis in Minuten.