Die EU-Kommission hat ihre NIS2-Durchsetzungsstrategie schrittweise verschärft. Nachdem im Mai 2025 „begründete Stellungnahmen" an 19 Mitgliedstaaten versandt wurden, haben inzwischen die meisten Länder ihre Umsetzungsgesetze verabschiedet. Die Kommission hält jedoch die Option einer EuGH-Klage für verbliebene Nachzügler ausdrücklich offen.
Der Prozess im Überblick
- Oktober 2024: EU-Umsetzungsfrist verpasst – 23 von 27 Staaten säumig
- November 2024: Kommission eröffnet Vertragsverletzungsverfahren gegen 23 Staaten
- Mai 2025: Begründete Stellungnahmen an 19 Staaten – letzter Schritt vor EuGH-Klage
- Spät 2025 / Q1 2026: Mehrere Länder setzen NIS2 um (u.a. Deutschland Dez. 2025, Österreich Dez. 2025)
Stand März 2026
Ca. 20 von 27 EU-Mitgliedstaaten haben NIS2 umgesetzt. Noch ausstehend: Frankreich (kurz vor Verabschiedung), Niederlande (Gesetz im Parlament), Spanien, Irland, Luxemburg, Bulgarien, Schweden und weitere. Die Kommission hat bisher keine Klagen beim EuGH eingereicht, die Verfahren laufen jedoch weiter – EuGH-Bußgelder inklusive täglicher Strafzahlungen bleiben eine reale Drohkulisse.
Keine Bri-Unternehmens-Bussen bisher
Wichtig für Unternehmen: Nationale Aufsichtsbehörden haben bisher noch keine öffentlich bekannten Bußgelder gegen betroffene Einrichtungen verhängt. Die meisten Behörden befinden sich noch in der Aufbauphase ihrer Aufsichtssysteme. Durchsetzungsmaßnahmen gegen Unternehmen werden im Verlauf von 2026 erwartet.