Die EU-Kommission hat das Vertragsverletzungsverfahren gegen Bulgarien wegen der verspäteten NIS2-Umsetzung (Nr. 2024/0257) eingestellt. Das hat das bulgarische Ministerium für Innovation und digitale Transformation am 1. Oktober 2026 mitgeteilt. Bulgarien hatte sein Cybersicherheitsgesetz im Februar 2026 geändert und der Kommission im März die vollständige Umsetzung gemeldet. Für bulgarische Einrichtungen ändert die Einstellung nichts: Ihre Pflichten gelten seit Februar.
Irland: weiter nur ein Entwurfsschema
Anders in Irland. Dort liegt dem Parlament (Oireachtas) bis heute kein Gesetzentwurf vor. Veröffentlicht ist nur der General Scheme des National Cyber Security Bill vom 30. August 2024. Im Gesetzgebungsprogramm der Regierung für Herbst 2026 steht der Entwurf erneut unter den vorrangig zu veröffentlichenden Vorhaben, wie schon im Sommer. Bis zum Inkrafttreten gilt das NIS1-Regime fort. Seit dem 8. Juli 2026 ist Irland vor dem EuGH verklagt.
Korrektur: Auf unserer Statusseite und in unserem Überblick vom 17. August stand, der Entwurf durchlaufe bereits die Oireachtas. Das war falsch und ist korrigiert.
Frankreich und Spanien
- Frankreich: Die am 6. Oktober abgesetzte Loi Résilience hat bis Ende Oktober keinen neuen Termin in der Nationalversammlung erhalten.
- Spanien: Der Entwurf vom Januar 2025 hat den Ministerrat noch kein zweites Mal passiert und die Cortes nicht erreicht; es gilt das NIS1-Regime nach dem Real Decreto-ley 12/2018.
Was das für Unternehmen bedeutet
Wo das Gesetz fehlt, fehlen Registrierung und Meldeweg – nicht aber die Erwartungen der Kunden. Unternehmen mit Gesellschaften in Irland, Frankreich oder Spanien erhalten NIS2-Anforderungen schon heute über Lieferverträge und Kundenaudits, und sie werden sie nach dem Inkrafttreten ohne lange Vorlaufzeit erfüllen müssen.