NIS2 im Oktober 2026: Stand der Umsetzung

Veröffentlicht 19. Oktober 2026 · Von Dazr

Zwei Jahre nach der Frist stehen vier Mitgliedstaaten vor dem EuGH, während Deutschland, die Niederlande und Österreich NIS2-Gesetze anwenden.

Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, die NIS2-Richtlinie in nationales Recht umzusetzen. Zwei Jahre später haben die meisten das getan, einige arbeiten noch daran, und die Europäische Kommission hat vier von ihnen verklagt.

Vier Länder vor dem Gerichtshof

Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof der EU verklagt, weil sie keine vollständige Umsetzung von NIS2 mitgeteilt hatten. Sie beantragt finanzielle Sanktionen: einen Pauschalbetrag und tägliche Zwangsgelder bis zur vollständigen Umsetzung. Das Verfahren begann mit Aufforderungsschreiben am 28. November 2024, gefolgt von begründeten Stellungnahmen am 7. Mai 2025.

Gesetze, die jetzt gelten

Deutschland: Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und gilt seit dem 6. Dezember 2025. Einrichtungen hatten drei Monate Zeit, sich beim BSI zu registrieren. Laut BSI ist diese Frist abgelaufen; wer noch nicht registriert ist, soll das umgehend nachholen.
Niederlande: Die Cyberbeveiligingswet (Cbw) ist am 15. August 2026 in Kraft getreten, nach der Klageerhebung, zusammen mit dem Gesetz über die Resilienz kritischer Einrichtungen (Wwke). Sie ersetzt das Wbni, und Einrichtungen müssen sich beim NCSC registrieren.
Österreich: Das NISG 2026 (BGBl. I Nr. 94/2025) gilt seit dem 1. Oktober 2026 und ersetzt das NISG 2018.
Italien: Das Gesetzesdekret 138/2024 gilt seit dem 16. Oktober 2024.

Noch in Arbeit

Frankreich: Der Gesetzentwurf zur Resilienz kritischer Infrastrukturen und zur Stärkung der Cybersicherheit, der NIS2 zusammen mit der CER-Richtlinie und der DORA-Richtlinie umsetzt, wurde am 12. März 2025 vom Senat in erster Lesung angenommen. Der Ausschuss der Assemblée nationale hat seine Fassung am 10. September 2025 beschlossen; das Verfahren ist noch nicht abgeschlossen.
Spanien: Der Ministerrat hat am 14. Januar 2025 den Vorentwurf des Gesetzes über Koordinierung und Governance der Cybersicherheit gebilligt. Bis ein neues Gesetz im BOE veröffentlicht ist, gilt weiter das Real Decreto-ley 12/2018, mit dem die erste NIS-Richtlinie umgesetzt wurde.
Irland: Das General Scheme des National Cyber Security Bill wurde im August 2024 veröffentlicht. Das Gesetz ist noch nicht verabschiedet.

Vorgeschlagene Änderungen

Am 20. Januar 2026 hat die Kommission in einem Cybersicherheitspaket gezielte Änderungen an NIS2 vorgeschlagen: einfachere Regeln zur Zuständigkeit der Mitgliedstaaten, eine gestraffte Erhebung von Daten zu Ransomware-Angriffen und eine neue Kategorie kleiner Midcap-Unternehmen. Nach Schätzung der Kommission würde das die Umsetzung für 28.700 Unternehmen erleichtern. Es sind Vorschläge; bis zu ihrer Annahme gelten die heutige Richtlinie und die nationalen Gesetze.

Was das in der Praxis bedeutet

Prüfen Sie jedes Land, in dem Sie tätig sind. Registrierungspflichten, Behörden, Fristen und Bußgelder sind national geregelt und unterschiedlich.
Zuerst registrieren. Wo ein Gesetz gilt, ist die Registrierung bei der nationalen Behörde meist die erste und oft eine kurze Frist.
Nicht auf ein spätes Gesetz warten. Ihre Pflichten folgen aus dem nationalen Gesetz und beginnen, sobald es gilt. Kunden und öffentliche Auftraggeber fragen schon heute nach den Maßnahmen aus Artikel 21 und nach der Absicherung von Lieferanten, und die Durchführungsverordnung (EU) 2024/2690 beschreibt diese Maßnahmen für Anbieter digitaler Dienste im Detail.

Mehr zu Österreich: NISG 2026 in Österreich.

Quellen

Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 19. Oktober 2026.

Themen: NIS2, EU, Umsetzung

Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål