Die Europäische Kommission hat am 20. Januar 2026 eine gezielte Novelle der NIS2-Richtlinie vorgeschlagen (COM(2026) 13). Das Paket zielt auf drei Kernbereiche: Erweiterung des Geltungsbereichs auf Unterseekabel-Infrastruktur, verschärfte Ransomware-Meldepflichten und Vereinfachung der grenzüberschreitenden Aufsicht über ENISA.
Unterseekabel neu im Scope
Betreiber von Submarine Data Transmission Infrastructure (SDTI) werden erstmals in den NIS2-Geltungsbereich aufgenommen. Der Begriff ist weit gefasst und umfasst nicht nur die Unterseekabel selbst, sondern auch Landestationen und Fronthaulstrecken vom Kabelschacht bis zur Landestation. Hintergrund: Unterseekabel transportieren über 95 % des globalen Internetdatenverkehrs – eine Regulierung war längst überfällig.
Chemiesektor: Teilrückzug aus dem Scope
Gleichzeitig werden Chemikalienvertriebsunternehmen aus dem Geltungsbereich herausgenommen. Hersteller und Produzenten von Chemikalien bleiben weiterhin erfasst. Die Kommission reagiert damit auf Kritik, dass der bisherige Chemiesektor-Scope unverhältnismäßig weit gefasst war.
Erweiterte Ransomware-Meldepflichten
Ein zentrales Element der Novelle sind neue Anforderungen bei Ransomware-Vorfällen. Unternehmen müssen auf Anfrage der zuständigen Behörde zusätzliche Angaben machen:
- Ob eine Lösegeldforderung gestellt wurde und von wem
- Ob und in welcher Höhe ein Lösegeld gezahlt wurde
- Zahlungsmethode und Empfänger (einschließlich Krypto-Assets und -Dienstleister)
- Angriffsvektor und eingeleitete Gegenmaßnahmen
Diese Daten sollen ENISA und nationalen Behörden bessere Lagebilder zu Ransomware-Trends in Europa ermöglichen.
Stärkere Rolle der ENISA bei grenzüberschreitender Aufsicht
Die Novelle stärkt die koordinierende Rolle der ENISA bei der Aufsicht über Einrichtungen, die in mehreren EU-Mitgliedstaaten tätig sind. Bislang führte die Zuständigkeitsfrage zu erheblicher Rechtsunsicherheit für grenzüberschreitend tätige Unternehmen. Außerdem werden Jurisdiktionsregeln vereinfacht.
Zeitplan und praktische Auswirkungen
Die Novelle durchläuft nun das ordentliche EU-Gesetzgebungsverfahren mit Verhandlungen in Europäischem Parlament und Rat. Eine Verabschiedung wird nicht vor Ende 2026, wahrscheinlich erst 2027 erwartet. Nach Inkrafttreten haben Mitgliedstaaten 12 Monate Zeit zur Umsetzung.
Für Unternehmen gilt: Die aktuellen NIS2-Anforderungen gelten unverändert. Die Novelle ergänzt – sie ersetzt nicht. Besonders SDTI-Betreiber und ransomware-exponierte Einrichtungen sollten die weiteren Gesetzgebungsfortschritte eng verfolgen.