Nach mehr als einem Jahr Stillstand hat die französische NIS2-Umsetzung einen Termin. Die Konferenz der Präsidenten der Nationalversammlung hat am 22. September 2026 den Gesetzentwurf über die Resilienz kritischer Infrastrukturen und die Stärkung der Cybersicherheit – die sogenannte Loi Résilience – auf die Tagesordnung gesetzt. Die Beratung im Plenum beginnt am Mittwoch, 7. Oktober 2026, und wird am Freitag, 9. Oktober fortgesetzt.
Der lange Weg bis hierher
Der Entwurf bündelt die Umsetzung von drei EU-Rechtsakten in einem Gesetz: der NIS2-Richtlinie, der CER-Richtlinie zur Resilienz kritischer Einrichtungen und von Teilen des DORA-Pakets für den Finanzsektor. Der Senat hat ihn im März 2025 angenommen, ein Sonderausschuss der Nationalversammlung im September 2025. Seitdem lag der Text. Am 8. Juli 2026 hat die EU-Kommission Frankreich – zusammen mit Irland, Spanien und den Niederlanden – wegen der ausgebliebenen Umsetzung vor dem EuGH verklagt.
Was die Tagesordnung bedeutet – und was nicht
Ein Plenartermin ist noch kein Gesetz. Nach der Abstimmung in der Nationalversammlung müssen sich beide Kammern auf einen gemeinsamen Text einigen, sofern die Fassungen voneinander abweichen. Danach folgt die Verkündung, und erst die Durchführungsdekrete werden die konkreten Pflichten und Schwellen festlegen. Bis dahin gilt in Frankreich kein NIS2-Umsetzungsgesetz und es gibt keinen verbindlichen Termin für Registrierung oder Meldungen.
Die Richtung ist dennoch bekannt. Der Anwendungsbereich soll sich von rund 300 bisher regulierten Betreibern auf etwa 15.000 Einrichtungen in 18 Sektoren erweitern, unterteilt in wesentliche und wichtige Einrichtungen, mit der ANSSI als zentraler Aufsicht. Als Orientierung dient das Référentiel Cyber France (ReCyF), das die ANSSI im März 2026 veröffentlicht hat.
Was das für Unternehmen bedeutet
- Französische Tochtergesellschaften sollten jetzt ihre voraussichtliche Einstufung prüfen und den ReCyF gegen die eigenen Maßnahmen legen – nicht erst nach der Verkündung.
- Deutsche Lieferanten französischer Kunden sollten damit rechnen, dass NIS2-Klauseln in Verträgen ankommen, sobald das Gesetz verabschiedet ist.
- Konzernweit lohnt ein einheitliches Maßnahmenprogramm: Wer nach BSIG aufgestellt ist, deckt einen großen Teil dessen ab, was auch in Frankreich verlangt werden wird.