Am 9. Juli 2026 hat die Europäische Kommission vier Mitgliedstaaten offiziell beim Europäischen Gerichtshof (EuGH) wegen der Nichterfüllung ihrer NIS2-Umsetzungspflichten verklagt: Irland, Spanien, Frankreich und die Niederlande. Die Richtlinie hätte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen – die Frist ist damit seit mehr als 20 Monaten abgelaufen.
Was die Kommission beantragt
Die Kommission beantragt beim EuGH zweierlei: erstens die Verhängung eines einmaligen Pauschalbetrags als Strafe für die bereits eingetretene Verletzung der Richtlinienpflicht; zweitens die Verhängung täglicher Strafzahlungen für jeden weiteren Tag, an dem die vollständige Umsetzung ausbleibt. Vergleichbare Verfahren aus anderen Politikbereichen haben in der Vergangenheit Tagesbeträge im sechs- bis siebenstelligen Eurobereich erzeugt.
Aktueller Stand in den vier Ländern
Die Situation der vier betroffenen Mitgliedstaaten ist unterschiedlich weit fortgeschritten:
- Niederlande: Der Senat hat am 7. Juli 2026 – also zwei Tage vor der Klage – die Cyberbeveiligingswet verabschiedet. Das Gesetz tritt am 15. August in Kraft. Die Verfahrenseinleitung erfolgte vor dieser Abstimmung; eine Einstellung des Verfahrens ist nach erfolgreicher Notifizierung zu erwarten.
- Frankreich: Das Nationalparlament berät die Loi Résilience derzeit im Rahmen einer außerordentlichen Parlamentssitzung. Ein Votum steht unmittelbar bevor; die Verzögerung hatte sich unter anderem an Artikel 16 bis (Verbot staatlicher Hintertüren bei Verschlüsselung) entzündet.
- Irland: Das National Cyber Security Bill befindet sich noch in der parlamentarischen Vorprüfung (pre-legislative scrutiny). Es wird frühestens im September 2026 dem Parlament vorgelegt. Irland hat damit unter den vier Betroffenen den längsten Weg vor sich.
- Spanien: Ein nationaler Umsetzungsentwurf liegt vor, ist aber noch nicht verabschiedet. Der Zeitplan bleibt unklar.
Was das für Unternehmen bedeutet
Für Unternehmen mit Niederlassungen oder Tätigkeiten in diesen vier Ländern ändert die EuGH-Klage kurzfristig nichts an den operativen NIS2-Anforderungen – die Richtlinienpflichten bestehen unabhängig vom nationalen Umsetzungsstand. Die Erfahrung zeigt jedoch: In dem Moment, in dem das nationale Gesetz in Kraft tritt, beginnt die Aufsichtsbehörde unmittelbar mit der aktiven Durchsetzung. Wer bis dahin nicht vorbereitet ist, startet mit einem Bußgeldrisiko.
Die Klage ist ein deutliches Signal, dass die Kommission NIS2 als politische Priorität ernst nimmt – und dass kein Mitgliedstaat auf Dauer ohne Konsequenzen bleibt, wenn er die Richtlinie ignoriert.