Am 16. Juli 2026 hat die französische Nationalversammlung in einer außerordentlichen Sitzung die Loi n° 2026-892 relative à la résilience des activités d'importance vitale et des réseaux et systèmes d'information – kurz: Loi Résilience – verabschiedet. Das Gesetz wurde am 17. Juli 2026 im Journal officiel veröffentlicht und tritt am 1. Oktober 2026 in Kraft. Damit ist Frankreich aus dem laufenden EuGH-Verfahren heraus – nach erfolgreicher Notifizierung an die Kommission wird die Klage voraussichtlich eingestellt.
Was die Loi Résilience regelt
Das Gesetz umfasst die vollständige Umsetzung der NIS2-Richtlinie und löst das bisherige LPM-Regime für Operatoren vitaler Bedeutung (OIV) ab:
- Anwendungsbereich: rund 15.000 Einrichtungen in 18 Sektoren – eine Verzehnfachung gegenüber dem bisherigen OIV-Regime mit rund 300 regulierten Unternehmen
- Zweistufige Klassifizierung: Entités Essentielles (EE) und Entités Importantes (EI) mit abgestuften Anforderungen
- Aufsicht: Die ANSSI (Agence nationale de la sécurité des systèmes d'information) wird zur zentralen NIS2-Aufsichtsbehörde für den privaten Sektor
- Bußgelder: bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes
- Verschlüsselung: Der ursprünglich geplante Artikel 16 bis, der Hintertüren in Verschlüsselungssystemen erlaubt hätte, wurde im Einigungsverfahren gestrichen
Übergangsregelungen und Zeitplan
Das Gesetz sieht eine abgestufte Einführung vor: Einrichtungen haben bis zum 31. März 2027 Zeit, sich bei der ANSSI zu registrieren. Die erste vollständige Compliance-Prüfung ist für das zweite Quartal 2027 geplant. ANSSI hat angekündigt, bis Oktober ein Selbstregistrierungsportal bereitzustellen, analog zum deutschen MIRT-Portal des BSI.
Was Unternehmen mit Frankreich-Bezug jetzt tun sollten
Für internationale Unternehmen mit Tätigkeiten in Frankreich beginnt jetzt eine kritische Phase: Die Klassifizierung als EE oder EI hängt von der Sektorzugehörigkeit und Unternehmensgröße ab und sollte unverzüglich geklärt werden. Die ANSSI hat einen Selbstbewertungsfragebogen angekündigt – wer ihn nach Veröffentlichung früh ausfüllt, erhält klarere Signale über die eigene Einordnung und Prüfpriorität.