Die ursprüngliche Frist zur Umsetzung der NIS2-Richtlinie in nationales Recht lief bereits am 17. Oktober 2024 ab. Mittlerweile sind mehr als 20 Monate vergangen – und obwohl die meisten Mitgliedstaaten inzwischen nachgezogen haben, eskaliert die EU-Kommission ihren Druck auf die verbliebenen Nachzügler weiter.
Vom Mahnschreiben zur Klage
Das Verfahren folgt einem festen Muster: Im November 2024 verschickte die Kommission Mahnschreiben an alle Mitgliedstaaten, die ihre nationalen Umsetzungsgesetze nicht fristgerecht notifiziert hatten. Am 7. Mai 2025 folgte die nächste Eskalationsstufe: begründete Stellungnahmen an 19 Mitgliedstaaten, darunter Deutschland, Frankreich, Spanien, die Niederlande, Polen, Portugal und Schweden. Die betroffenen Staaten hatten daraufhin zwei Monate Zeit, vollständige Umsetzungsgesetze vorzulegen – andernfalls drohte der Schritt vor den Europäischen Gerichtshof (EuGH).
Wo die Eskalation jetzt steht
Ein Teil der ursprünglich gerügten Staaten – darunter Bulgarien, das sein Cybersicherheitsgesetz erst im Februar 2026 final verabschiedete – wurde zwischenzeitlich tatsächlich beim EuGH verklagt, bevor die nationale Gesetzgebung abgeschlossen war. Berichten zufolge sehen sich aktuell mehrere weitere Mitgliedstaaten mit laufenden EU-Verfahren wegen unvollständiger NIS2-Umsetzung konfrontiert. Stand März 2026 hatten 21 von 27 Mitgliedstaaten ihre Umsetzung formal abgeschlossen – die übrigen sechs bewegen sich juristisch auf dünnem Eis.
Warum das auch Unternehmen betrifft
Für Unternehmen in noch nicht vollständig regulierten Mitgliedstaaten bedeutet die Verzögerung keine Entwarnung. Die NIS2-Richtlinie selbst ist seit Januar 2023 in Kraft, und nationale Gerichte können die Richtlinienziele bei der Auslegung bestehender Sicherheitspflichten bereits jetzt berücksichtigen. Zudem zeigt die Erfahrung aus Deutschland, Belgien und anderen Vorreiterländern: Sobald das nationale Gesetz steht, beginnt die Aufsichtsbehörde meist unmittelbar mit aktiver Durchsetzung – ohne lange Schonfrist für unvorbereitete Unternehmen.
Empfehlung
Unternehmen in Mitgliedstaaten mit noch ausstehender Umsetzung sollten die regulatorische Hängepartie nicht als Aufschub missverstehen. Wer die Wartezeit für eine Gap-Analyse, ein Risikoregister und getestete Meldeprozesse nutzt, ist beim Inkrafttreten des nationalen Gesetzes – das angesichts des EuGH-Drucks oft sehr kurzfristig kommt – bereits vorbereitet.