NIS2 Umsetzung in Europa: welche Länder NIS2 schon umgesetzt haben
Die Frist für die Umsetzung war der 17. Oktober 2024. Heute gilt in 24 der 27 EU-Staaten ein nationales Gesetz. Noch ohne Gesetz: Frankreich, Spanien und Irland. Für Ihr Unternehmen gilt das Gesetz des Landes, in dem es niedergelassen ist; dort registrieren Sie sich.
Behörde, Portal und Frist je Land
Die Tabellen sind nach dem Stand der Registrierung geordnet. Gesetz und Frist stehen bei jedem Land.
22
In Betrieb
1
Vorregistrierung
0
Geplant
4
Noch nicht verfügbar
| Land | Zuständige Behörde | Registrierungsportal | Registrierungsfrist | Nationales Gesetz |
|---|---|---|---|---|
| Deutschland | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BSI-Portal | 2026-03-06 | NIS2UmsuCG / BSIG |
| Belgien | CCB (Centre for Cybersecurity Belgium) | Safeonweb@Work | 2025-03-18 | NIS2 Law (Loi NIS2) |
| Italien | ACN (Agenzia per la Cybersicurezza Nazionale) | ACN NIS Portal | 2027-02-28 | D.Lgs. 138/2024 |
| Österreich | Bundesamt für Cybersicherheit | NIS2 Services (Unternehmensserviceportal) | 2027-01-04 | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) |
| Tschechische Republik | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | Portál NUKIB | 2025-12-31 | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti |
| Dänemark | SAMSIK (Styrelsen for Samfundssikkerhed) | Virk | 2025-10-01 | LOV nr 434 af 06/05/2025 (NIS 2-loven) |
| Niederlande | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | MijnNCSC / Entiteitenregister | 2026-08-15 | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 |
| Polen | Ministry of Digital Affairs / CSIRTs | System S46 | 2026-10-03 | Amended KSC Act (ustawa o KSC) |
| Schweden | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | Noch nicht verfügbar | Noch offen | Cybersäkerhetslagen (SFS 2025:1506) |
| Kroatien | NHCSC-HR (National Cybersecurity Center) | Noch nicht verfügbar | Noch offen | Zakon o kibernetičkoj sigurnosti |
| Litauen | NKSC (National Cybersecurity Center) | Noch nicht verfügbar | Noch offen | Kibernetinio saugumo įstatymas |
| Lettland | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | Noch nicht verfügbar | 2025-04-01 | Nacionālās kiberdrošības likums |
| Griechenland | NCSA (National Cyber Security Authority) | NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) | 2025-09-30 | Law No. 5160/2024 |
| Slowakei | NBÚ (Národný bezpečnostný úrad) | NBÚ NIS2 portal (nis2.nbu.gov.sk) | Noch offen | Zákon o kybernetickej bezpečnosti |
| Rumänien | DNSC (Directoratul Național de Securitate Cibernetică) | NIS2@RO Platform | 2025-09-19 | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 |
| Finnland | Traficom + sector authorities (NCSC-FI as national CSIRT) | Noch nicht verfügbar | 2025-05-08 | Kyberturvallisuuslaki (124/2025) |
| Estland | RIA (Riigi Infosüsteemi Amet) | Noch nicht verfügbar | 2026-03-31 | Küberturvalisuse seadus |
| Portugal | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | MyCiber | 2026-09-15 | Decreto-Lei n.º 125/2025 |
| Ungarn | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | Noch nicht verfügbar | Noch offen | Act LXIX of 2024 (Hungarian Cybersecurity Act) |
| Luxemburg | ILR (Institut Luxembourgeois de Régulation) | ILR Guichet (NISS_EE231) | 2026-07-10 | Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité |
| Malta | CIPD (Critical Infrastructure Protection Department) | Noch nicht verfügbar | Noch offen | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) |
| Slowenien | URSIV (Information Security Agency) | Noch nicht verfügbar | 2025-12-19 | ZInfV-1 (Information Security Act) |
| Land | Zuständige Behörde | Registrierungsportal | Registrierungsfrist | Nationales Gesetz |
|---|---|---|---|---|
| Frankreich | ANSSI (Agence nationale de la sécurité des systèmes d'information) | MonEspaceNIS2 | Noch offen | Loi Résilience (bundles NIS2 + DORA + CER) |
| Land | Zuständige Behörde | Registrierungsportal | Registrierungsfrist | Nationales Gesetz |
|---|---|---|---|---|
| Spanien | CCN-CERT / INCIBE | Noch nicht verfügbar | Noch offen | Noch nicht verabschiedet |
| Bulgarien | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | Noch nicht verfügbar | Noch offen | Cybersecurity Act (amended) |
| Zypern | DSA (Digital Security Authority) | NIS2 Self-Assessment Tool | Noch offen | Law on Security of Networks and Information Systems (Amendment) 2025 |
| Irland | NCSC (National Cyber Security Centre) | Noch nicht verfügbar | Noch offen | National Cyber Security Bill (draft) |
Welches Land für Ihr Unternehmen zuständig ist
Zuständig ist der EU-Staat, in dem Ihr Unternehmen niedergelassen ist. Dort registrieren Sie sich, und dort melden Sie Vorfälle.
Liefern allein macht kein anderes Land zuständig. Eine Tochtergesellschaft in einem anderen EU-Staat ist dort niedergelassen; für sie gilt das Gesetz dieses Staates.
Ausnahmen gelten für Telekommunikation, die dort zuständig ist, wo sie ihre Dienste erbringt, und für bestimmte digitale Anbieter wie Cloud, Rechenzentren und Managed Services. Für sie zählt die Hauptniederlassung in der EU: der Staat, in dem die Entscheidungen über die Cybersicherheit vorwiegend fallen.
Art. 26 Abs. 1 und 2 NIS 2
Was überall gleich ist, und was nicht
Die Mindestliste der Sicherheitsmaßnahmen und die Fristen für Meldungen, 24 Stunden, 72 Stunden und ein Monat, stehen in der Richtlinie selbst. Jedes Land muss sie übernehmen.
Unterschiedlich sind die Behörde, das Portal, die Frist für die Registrierung und manche Einzelheiten. Ein Land darf strengere Regeln erlassen.
Art. 5, 21 und 23 NIS 2
Was das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Ist Ihr Unternehmen nur in Deutschland niedergelassen, gilt für Sie das BSI-Gesetz, auch wenn Sie in andere Länder liefern.
Hat es Tochtergesellschaften in anderen EU-Staaten, prüfen Sie für jede, ob sie nach dem dortigen Gesetz betroffen ist. Bei der Größe zählen verbundene Unternehmen und Partnerunternehmen nach der Empfehlung 2003/361/EG mit.
Die Maßnahmen können Sie gemeinsam aufsetzen. Registrieren und melden muss jede Gesellschaft in ihrem Land.
Ein Beispiel
Eine erfundene Firma: ein Hersteller von Messtechnik mit 130 Beschäftigten in Deutschland und einer Vertriebsgesellschaft in Österreich mit 12 Beschäftigten.
Die Herstellung elektronischer und optischer Erzeugnisse steht in Anlage 2 des BSIG. Die deutsche GmbH ist eine wichtige Einrichtung und registriert sich beim BSI.
Die Gesellschaft in Österreich ist eine eigene Gesellschaft. Ob sie nach dem österreichischen Gesetz betroffen ist, hängt von ihrem Sektor und ihrer Größe ab, wobei die Muttergesellschaft mitzählt.
Kunden in Frankreich und Italien beliefert die Firma aus Deutschland. Dort muss sie sich deshalb nicht registrieren.
So geht das im Durchgang
Der Durchgang auf nisd2.eu fragt, wo Ihr Unternehmen niedergelassen ist, und richtet sich danach.
Der Schritt zur Registrierung zeigt für Ihr Land die zuständige Behörde und ihr Portal.
Er erklärt, in welchem EU-Staat Sie sich registrieren, mit den Ausnahmen für Telekommunikation und digitale Anbieter.
Die Sicherheitsmaßnahmen folgen der Mindestliste der Richtlinie, die in jedem EU-Staat gilt.
Die Erklärungen im Durchgang gibt es auf Deutsch und Englisch.
Häufige Fragen
Welche Länder haben NIS2 schon umgesetzt?
In 24 der 27 EU-Staaten gilt ein nationales Gesetz. Noch ohne Gesetz: Frankreich, Spanien und Irland. Die Tabellen oben zeigen für jedes Land Gesetz, Behörde, Portal und Frist.
Muss ich mich in jedem Land registrieren, in das ich liefere?
Nein. Zuständig ist der Staat, in dem Ihr Unternehmen niedergelassen ist (Art. 26 Abs. 1 NIS 2). Eine Tochtergesellschaft in einem anderen Staat registriert sich dort, wenn sie dort betroffen ist.
Gibt es ein Register für die ganze EU?
Nein. Jeder Staat führt sein eigenes. Für bestimmte digitale Anbieter wie Cloud und Rechenzentren führt die ENISA zusätzlich ein Register (Art. 27 NIS 2).
Was gilt in einem Land, das NIS2 noch nicht umgesetzt hat?
Die Richtlinie richtet sich an die Staaten. Pflichten für Unternehmen entstehen erst mit dem nationalen Gesetz. Bis dahin können dort ältere Regeln aus der ersten NIS-Richtlinie weiter gelten.
Quellen
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 5, 21, 23, 26, 27 und 41, EUR-Lex
- Empfehlung 2003/361/EG der Kommission, EUR-Lex
- Gesetze, Behörden und Portale je Land: die Angaben der nationalen Behörden, verlinkt in den Tabellen
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
