Bis zum 17. Oktober 2024 hätten alle Mitgliedstaaten NIS2 in nationales Recht umsetzen müssen. Zwei Jahre später gilt die Richtlinie in den meisten von ihnen. Der Oktober 2026 bringt gleich mehrere Stichtage – und eine Handvoll Staaten fehlt weiter.
Was sich im Oktober bewegt hat
- Österreich: Das NISG 2026 ist seit 1. Oktober in Kraft und löst das NISG 2018 ab. Registrierung und Meldungen laufen über die Anwendung „NIS2 Services“ im Unternehmensserviceportal; die Registrierungsfrist endet am 31. Dezember 2026. Meldepflichten gelten seit dem ersten Tag.
- Polen: Die Frist für Anträge auf Eintragung in das Verzeichnis der wesentlichen und wichtigen Einrichtungen ist am 3. Oktober abgelaufen. Wer die Kriterien später erfüllt, hat sechs Monate ab diesem Zeitpunkt; die Sicherheitspflichten sind bis 3. April 2027 umzusetzen.
- Italien: Für die meisten Einrichtungen, die 2025 in die NIS-Liste aufgenommen wurden, laufen im Oktober die 18 Monate für die Basis-Sicherheitsmaßnahmen der ACN ab – maßgeblich ist das Datum der eigenen Aufnahmemitteilung. Danach kann die ACN den Umsetzungsstand prüfen.
- Deutschland: 20.373 Registrierungen beim BSI zum 30. September; für das vierte Quartal ist eine Durchsetzungsinitiative gegen Nachzügler angekündigt.
Wer noch fehlt
- Frankreich: Die Loi Résilience wurde am 6. Oktober kurzfristig von der Tagesordnung der Nationalversammlung genommen; ein neuer Termin steht aus.
- Irland und Spanien: Die Umsetzungsgesetze sind weiterhin nicht verabschiedet.
- Gegen Frankreich, Irland, Spanien und die Niederlande hat die EU-Kommission am 8. Juli 2026 Klage beim EuGH erhoben. Die Niederlande haben inzwischen umgesetzt: Die Cyberbeveiligingswet gilt seit 15. August 2026.
Was das für Unternehmen bedeutet
Die Phase der Gesetzgebung geht zu Ende, die der Aufsicht beginnt: Deutschland schreibt Nachzügler an, Italien geht von Begleitung zu Kontrollen über, in Österreich laufen die Meldepflichten seit dem ersten Tag. Wer in mehreren Mitgliedstaaten tätig ist, braucht je Land eine eigene Registrierung – aber nur ein Fundament: Risikomanagement, Meldewege, Notfallplanung, Lieferkette und die Schulung der Leitung sind nach Art. 21 und 23 überall dieselben.