Bereits am 19. November 2025 hatte die EU-Kommission im Rahmen ihres „Digital Omnibus“-Pakets erste technische Anpassungen an NIS2 vorgeschlagen, insbesondere ein einheitliches Rahmenwerk für die Meldung von Cybervorfällen sowie eine klarere Abgrenzung zur CER-Richtlinie und zu DORA. Am 20. Januar 2026 legte die Kommission nach: ein zweites Paket mit gezielten Änderungen an NIS2 selbst, begleitet von einem Vorschlag zur Überarbeitung des Cybersecurity Act (CSA2).
Was sich inhaltlich ändern soll
Die vorgeschlagenen Anpassungen zielen vor allem auf mehr Rechtssicherheit und weniger bürokratischen Aufwand:
- Ein einheitliches Berichtsformat für Vorfälle, das parallel für NIS2, CER und teilweise DORA gilt
- Klarere Kriterien zur Abgrenzung, welche Einrichtungen unter welches Regelwerk fallen, wenn mehrere Vorschriften gleichzeitig greifen könnten
- Eine neue Pflicht, bei Ransomware-bezogenen erheblichen Vorfällen auf Anfrage zusätzliche Details zur Lösegeldforderung mitzuteilen
- Engere inhaltliche Verzahnung mit dem überarbeiteten Cybersecurity Act
Wo der Prozess aktuell steht
Beide Vorschläge befinden sich nun im ordentlichen Gesetzgebungsverfahren. Das bedeutet: Europäisches Parlament und Rat verhandeln nun jeweils eigene Positionen, bevor anschließend ein Trilog zwischen Kommission, Parlament und Rat über die endgültige Fassung entscheidet. Eine politische Einigung wird derzeit nicht vor Anfang 2027 erwartet – die Verhandlungen im Parlament und Rat laufen erst im weiteren Verlauf des Jahres 2026 an.
Was das für Unternehmen bedeutet
Für die betriebliche Praxis ist die wichtigste Botschaft: Nichts ändert sich kurzfristig. Die bestehenden Pflichten aus NIS2 und den jeweiligen nationalen Umsetzungsgesetzen gelten unverändert weiter, einschließlich aller Melde-, Risikomanagement- und Governance-Anforderungen. Unternehmen sollten die angekündigte Vereinfachung nicht als Grund nehmen, laufende Compliance-Projekte zu verzögern – die Verhandlungen können sich über Monate hinziehen, und am Ende könnten die endgültigen Regelungen erheblich von den ursprünglichen Vorschlägen abweichen.
Sinnvoller ist es, die Entwicklung zu beobachten und insbesondere die Vorschläge zum einheitlichen Meldeformat im Blick zu behalten – wer seine internen Meldeprozesse schon jetzt modular aufbaut, kann eine künftige Harmonisierung leichter nachvollziehen, ohne bestehende Abläufe komplett neu aufsetzen zu müssen.