Mit dem Ablauf der deutschen BSI-Registrierungsfrist am 6. März 2026 ist Europa in eine neue Phase der NIS2-Durchsetzung eingetreten. Rund 20 von 27 EU-Mitgliedstaaten haben die Richtlinie umgesetzt – und in mehreren Ländern stehen jetzt konkrete Compliance-Deadlines an.
Die wichtigsten kommenden Fristen (Q2–Q4 2026)
- 30. Juni 2026 – Ungarn: Erste Pflichtprüfung für wesentliche und wichtige Einrichtungen fällig.
- Q2 2026 – Niederlande: Cybersicherheitsgesetz (Wet beveiliging netwerk- en informatiesystemen) soll in Kraft treten.
- Q2/Q3 2026 – Schweden: Nationales Cybersicherheitsgesetz (Ds 2025:1) voraussichtlich in Kraft.
- 11. September 2026 – Cyber Resilience Act: Meldepflichten für aktiv ausgenutzte Schwachstellen in vernetzten Produkten werden wirksam (Meldung an ENISA in 24 Stunden).
- 1. Oktober 2026 – Österreich: NISG 2026 tritt in Kraft; ca. 4.000 Unternehmen werden regulierungspflichtig.
- 1. Oktober 2026 – Italien: Vollständige NIS2-Compliance-Pflichten für alle registrierten Einrichtungen.
Deutschland: Enforcement-Phase läuft
Das BSI ist seit dem 6. März 2026 in der aktiven Aufsichtsphase. Nur rund 11.500 von geschätzten 29.500 Pflichtigen haben sich fristgerecht registriert. Das BSI hat angekündigt, zunächst Erinnerungsschreiben zu versenden – förmliche Verfahren mit Bußgeldern bis zu 10 Mio. € sind jedoch möglich. Wichtige Einrichtungen müssen sich unverzüglich nachregistrieren.
EU-Änderungspaket: Zeitplan bleibt 2027
Der NIS2-Änderungsvorschlag der EU-Kommission vom 20. Januar 2026 (inkl. CSA2) befindet sich im Trilog-Prozess. Eine politische Einigung wird frühestens für Anfang 2027 erwartet – die aktuellen NIS2-Pflichten bleiben bis dahin unverändert.