NIS 2 status in Ireland
What the Directive requires, where Ireland stands on transposition, and who carries supervision in the interim.
Overview
The NIS 2 Directive sits at the EU level. It binds every Member State, Ireland included, to a single floor of obligations for essential and important entities. Ireland has to translate that floor into Irish law and stand up supervision under it.
Ierland heeft de omzettingstermijn van 17 oktober 2024 gemist. De General Scheme of the National Cyber Security Bill 2024 is op 30 augustus 2024 gepubliceerd. Per begin oktober 2026 is er geen National Cyber Security Bill ingediend bij de Oireachtas. Op 8 juli 2026 heeft de Europese Commissie Ierland, samen met Spanje, Frankrijk en Nederland, voor het Hof van Justitie van de EU gedaagd en het Hof verzocht een som ineens en dwangsommen per dag op te leggen totdat Ierland de volledige omzetting meldt. Totdat de wet van kracht is, blijft de Ierse NIS 1-omzetting (de European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) van toepassing.
Het National Cyber Security Centre (NCSC-IE) is het nationale CSIRT. Volgens de General Scheme wordt het de leidende bevoegde autoriteit en het centrale contactpunt voor NIS 2, naast sectorale bevoegde autoriteiten: de CRU voor energie, drinkwater en afvalwater, ComReg voor digitale infrastructuur, ICT-dienstenbeheer, ruimtevaart en digitale aanbieders, de Central Bank of Ireland voor bankwezen en financiëlemarktinfrastructuur (waar DORA als lex specialis geldt), en verdere autoriteiten voor vervoer en gezondheid. Sinds 1 juni 2025 vallen het NCSC en de NIS-taken onder het Department of Justice, Home Affairs and Migration, dat ze heeft overgenomen van het Department of the Environment, Climate and Communications.
EU Directive
Directive (EU) 2022/2555 (NIS 2)
The EU cybersecurity directive. It sets the obligations every Member State must transpose, including the size and sector test for essential and important entities. It applies to Ireland regardless of the state of national transposition.
EU implementing act
Implementing Regulation (EU) 2024/2690
Technische en methodologische eisen voor DNS-aanbieders, TLD-registers, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in Ierland, geen nationale omzetting nodig.
Irish transposition
General Scheme of the National Cyber Security Bill 2024 (draft); until enactment: S.I. No. 360/2018 (NIS 1)
De regering heeft op 24 juli 2024 prioritaire uitwerking goedgekeurd en op 30 augustus 2024 de General Scheme gepubliceerd. Er is nog geen wetsontwerp ingediend bij de Oireachtas. Het wetsontwerp en de secundaire regelgeving die volgt, zullen de operationele details bevatten. Tot dan blijft de NIS 1-omzetting van kracht, aangevuld met richtsnoeren van NCSC-IE.
National Cyber Security Bill
Will bring NIS 2 obligations into Irish law, define essential and important entities, set out supervisory and enforcement powers and anchor incident reporting. Operational detail will be filled in by secondary regulations and NCSC-IE guidance. Today: Heads of Bill published, final text not yet enacted.
NCSC-IE als leidende bevoegde autoriteit
Het National Cyber Security Centre is het nationale CSIRT (CSIRT-IE). Volgens de General Scheme wordt het de leidende bevoegde autoriteit en het centrale contactpunt voor NIS 2, met sectorale toezichthouders zoals de CRU, ComReg en de Central Bank als bevoegde autoriteiten voor hun sectoren. Het publiceert nu al voorbereidende richtsnoeren, waaronder de ontwerprichtsnoeren over risicobeheersmaatregelen van juni 2025, en verwijst naar het Belgische CyFun-raamwerk als praktische basis.
Registration and reporting
Uiterlijk 17 april 2025 moest elke lidstaat zijn lijst van essentiële en belangrijke entiteiten opstellen (Art. 3(3) NIS 2). Ierland heeft daarvoor nog geen rechtsgrondslag, en de portalen voor registratie en incidentmelding openen pas zodra de wet van kracht is. Significante incidenten volgen dan de richtlijn: vroege waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindrapport binnen een maand.
On Irish territory, Irish law applies
Activity on Irish territory follows the Irish transposition. A German managing director with an Irish subsidiary reads the upcoming National Cyber Security Act for that subsidiary, and the 2018 NIS 1 Regulations in the meantime, not the German BSIG. The directive obligations are identical. Procedures, portals and penalties live in Irish law.
Ireland cannot fall below the EU floor
De richtlijn is minimumharmonisatie. Ierland mag strenger zijn. Ierland mag niet onder de richtlijn zakken, niet bij de plichten van essentiële en belangrijke entiteiten, niet bij de meldtermijnen, niet bij de verantwoordelijkheid van het leidinggevend orgaan. Totdat Ierland omzet, binden de plichten van de richtlijn Ierse bedrijven niet rechtstreeks. Zodra de wet van kracht is, mag die de lat niet lager leggen dan de richtlijn.
NCSC-IE
National Cyber Security Centre. Nationaal CSIRT (CSIRT-IE) en volgens de General Scheme de toekomstige leidende bevoegde autoriteit en het centrale contactpunt voor NIS 2. Publiceert voorbereidende richtsnoeren, opent de registratie- en meldportalen zodra de wet van kracht is en coördineert met ENISA en andere lidstaten.
Department of Justice, Home Affairs and Migration
Leidend departement voor de omzetting. Op 1 juni 2025 heeft de regering de cyberbeveiligingstaken, waaronder die onder de NIS 1 Regulations (S.I. No. 360/2018), overgedragen van het Department of the Environment, Climate and Communications aan het Department of Justice (S.I. No. 234/2025). Het NCSC is een operationele arm van dit departement. De General Scheme of the National Cyber Security Bill 2024 is gepubliceerd; het wetsontwerp zelf is nog niet ingediend bij de Oireachtas.
ENISA
Het cyberbeveiligingsagentschap van de EU. Publiceert richtsnoeren, beheert de Europese kwetsbaarhedendatabank en coördineert over de grenzen heen. Geen toezichthouder voor Ierse entiteiten. Volgens de General Scheme komt die rol bij NCSC-IE en de sectorale bevoegde autoriteiten te liggen zodra de wet van kracht is.
Until Ireland transposes, German rules apply, because our parent sits in Germany.
No. NIS 2 follows the establishment principle. An Irish subsidiary is regulated in Ireland, a German one in Germany. The German parent may support the Irish subsidiary internally, the legal duty to register, report and supervise sits with the Irish entity and runs to NCSC-IE once the Act is in force. Until then, NIS 1 (S.I. No. 360/2018) governs for the sectors already covered.
As long as the portal is not live, I do not have to do anything.
De NIS 2-plichten om te registreren en te melden bereiken een Iers bedrijf alleen via de Ierse wet, die nog niet van kracht is. Tot dan geldt NIS 1 (S.I. No. 360/2018) voor exploitanten van essentiële diensten die daaronder al zijn aangewezen. Voorbereiden loont toch: risicobeheer, een incidentproces, clausules voor de toeleveringsketen en training van het leidinggevend orgaan kosten maanden om op te zetten, en de wet zal de registratietermijn bepalen zodra NCSC-IE het portaal opent.
Only the old NIS 1 OES are caught by NIS 2.
No. NIS 2 widens the sector and size catalogue substantially. Operators of Essential Services under NIS 1 are usually still caught under NIS 2, but the perimeter is broader and now distinguishes between essential and important entities. Medium and large entities listed in Annexes I and II of the Directive are in scope, as are some small providers with a particular role, plus parts of the public administration.
De meeste Ierse middelgrote exploitanten die wij tegenkomen behandelen NIS 2 als een uitgestelde termijn en wachten op de National Cyber Security Bill. Juridisch klopt dat voorlopig: een richtlijn bindt de staat, niet het bedrijf, dus zolang de wet niet van kracht is, gelden alleen de NIS 1 Regulations, en alleen voor exploitanten die daaronder al zijn aangewezen. Praktisch kost het werk maanden, dus wie nu begint, heeft de documentatie al op orde wanneer de wet komt.
The practical step is the same as everywhere in the EU: run the applicability test against the Directive, use the NCSC-IE preparatory guidance (the draft Risk Management Measures, CyFun) as orientation, set up the four continuous duties (keep registration data current, incident reporting, supply chain risk, supervision by the management body) and document the minimum. Once the Act is in force, the remaining work is mostly plugging the finished documentation into the Irish procedures.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Implementing Regulation (EU) 2024/2690
- General Scheme of the National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, NIS 2 status and guidance (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (June 2025)
- ComReg: volgens de General Scheme bevoegde autoriteit voor digitale infrastructuur, ICT-dienstenbeheer, ruimtevaart en digitale aanbieders
- Central Bank of Ireland: competent authority for DORA in the financial sector
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Europese Commissie, 8 juli 2026: Commissie daagt Ierland, Spanje, Frankrijk en Nederland voor het Hof van Justitie (digital-strategy.ec.europa.eu)
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
