Fast zwei Jahre nach Ablauf der Umsetzungsfrist am 17. Oktober 2024 ist die NIS2-Landkarte Europas immer noch uneinheitlich. Der August 2026 hat sie an zwei Stellen verändert – und an drei Stellen bestätigt, dass sich weniger bewegt, als Zeitpläne vermuten lassen. Ein Zwischenstand für alle, die Konzernstrukturen oder Lieferketten über mehrere Mitgliedstaaten hinweg planen.
Niederlande: seit dem 15. August in Kraft
Die Cyberbeveiligingswet gilt seit dem 15. August 2026, gemeinsam mit der Wet weerbaarheid kritieke entiteiten zur Umsetzung der CER-Richtlinie. Rund 8.000 Organisationen sind betroffen, und zwar ohne Übergangsfrist: Registrierung über mijn.ncsc.nl, Sorgfaltspflicht und der dreistufige Meldeprozess gelten ab dem ersten Tag. Details dazu in unserem Beitrag zum Inkrafttreten der Cbw.
Österreich: NISG 2026 tritt am 1. Oktober in Kraft
Für deutsche Unternehmen mit österreichischen Tochtergesellschaften ist das der wichtigere Termin der kommenden Wochen. Das NISG 2026 wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025) und tritt am 1. Oktober 2026 in Kraft. Der Zeitplan danach ist gestuft:
- 1. Oktober 2026: Inkrafttreten; die Pflichten beginnen zu laufen
- 31. Dezember 2026: Frist für die Registrierung bei der zuständigen Behörde – also drei Monate ab Inkrafttreten
- 30. September 2027: Frist für die Selbstdeklaration, mit der die Einrichtungen die Umsetzung der Sicherheitsmaßnahmen nachweisen
Betroffen sind nach Schätzungen etwa 4.000 bis 5.000 Einrichtungen aus den 18 Sektoren; der Bußgeldrahmen entspricht mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes dem europäischen Standard. Die gestufte Struktur ist bemerkenswert: Anders als Deutschland, wo Registrierung und materielle Pflichten praktisch zeitgleich einsetzten, räumt Österreich für den Nachweis der Maßnahmen ein Jahr ein – für die Registrierung dagegen nur ein Quartal.
Frankreich: die Loi Résilience ist weiterhin nicht verkündet
Frankreich bleibt das größte offene Feld. Die Loi Résilience, die NIS2, die CER-Richtlinie und DORA in einem einzigen Gesetz bündelt, wurde vom Senat in erster Lesung am 12. März 2025 angenommen und anschließend in der Nationalversammlung im Ausschuss beraten. Verkündet ist sie bis heute nicht. Die Behandlung im Plenum der Nationalversammlung wird für den Herbst 2026 erwartet – nach derzeitigem Stand ab September.
Praktisch heißt das: Es gibt in Frankreich kein geltendes NIS2-Umsetzungsgesetz und damit auch keinen belastbaren Termin für Registrierung oder Meldepflichten. Wer für französische Einheiten plant, arbeitet bis auf Weiteres mit dem Référentiel Cyber France (ReCyF), das die ANSSI am 17. März 2026 veröffentlicht hat. Es ist bis zur Umsetzung ein Arbeitsdokument ohne unmittelbare Rechtswirkung, gibt aber die Richtung vor, an der sich die späteren Dekrete orientieren werden. Rund 15.000 Einrichtungen werden erwartet; nach der Verkündung ist eine Übergangszeit von drei Jahren bis zur vollständigen Konformität vorgesehen.
Spanien: nichts im BOE
Spanien hat die NIS2-Richtlinie bis heute nicht umgesetzt. Der Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad wurde bereits am 14. Januar 2025 vom Ministerrat gebilligt, ist aber im Boletín Oficial del Estado bis August 2026 nicht veröffentlicht worden. Bis auf Weiteres gilt für spanische Einrichtungen weiterhin das NIS1-Regime nach dem Real Decreto-ley 12/2018.
Irland: der National Cyber Security Bill hängt weiter
Der National Cyber Security Bill durchläuft weiterhin die Oireachtas; eine Verabschiedung wird für 2026 erwartet, ein verbindliches Datum gibt es nicht. Bemerkenswert ist, dass das irische NCSC im Juli 2026 eine Governance-Leitlinie für Leitungsorgane veröffentlicht hat – die Erwartungen an die Unternehmensführung werden also bereits formuliert, bevor das Gesetz existiert.
Die EuGH-Verfahren
Am 8. Juli 2026 hat die EU-Kommission vier Mitgliedstaaten wegen unvollständiger Umsetzung vor dem Europäischen Gerichtshof verklagt: Irland, Spanien, Frankreich und die Niederlande. Für Spanien hat die Kommission zusätzlich finanzielle Sanktionen beantragt. Sechs Wochen später hat einer der vier geliefert – die Niederlande. Die anderen drei Verfahren laufen weiter.
Was das für die Praxis heißt
Drei Konsequenzen, die sich aus dieser Landkarte für Unternehmen mit europäischer Präsenz ergeben:
- Ein nationales Gesetz trägt nicht für die Gruppe. Anwendungsbereich, Schwellenwerte, Fristen und Aufsichtsstrukturen unterscheiden sich. Eine Betroffenheitsanalyse gegen das BSIG sagt nichts über die österreichische oder niederländische Tochter aus.
- Fehlende Umsetzung ist keine Atempause. In Frankreich, Spanien und Irland kommen die Anforderungen über Verträge – Kunden aus bereits regulierten Mitgliedstaaten geben Lieferkettenpflichten weiter, lange bevor das nationale Gesetz gilt.
- Die Nachweise sind übertragbar, die Formalien nicht. Risikoanalyse, Maßnahmenübersicht, Meldeprozess und Schulungsnachweise lassen sich einmal aufbauen und in jedem Mitgliedstaat verwenden. Registrierungsportale, Fristen und Selbstdeklarationen muss man je Land einzeln bedienen.
Den vollständigen Überblick über alle 27 Mitgliedstaaten – mit Status, Stichtagen und Quellen – finden Sie in unserem NIS2-Statustracker.