NIS 2 Status in Frankreich
Was die Richtlinie fordert, wie Frankreich sie umsetzt, und wo die ANSSI im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Frankreich, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Frankreich muss dieses Niveau in französisches Recht überführen und eine Aufsicht darunter führen.
Frankreich hat NIS 2 noch nicht umgesetzt. Die Umsetzung ist ein Gesetzentwurf der Regierung, der projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Er deckt NIS 2, die Richtlinie über kritische Einrichtungen und DORA ab. Der Senat hat ihn am 12. März 2025 angenommen, ein Sonderausschuss der Assemblée nationale am 10. September 2025. Die Plenardebatte der Assemblée ist für den 7. Oktober 2026 angesetzt. Die Kommission hat Frankreich am 8. Juli 2026 wegen der fehlenden Umsetzung von NIS 2 vor dem Gerichtshof der EU verklagt und finanzielle Sanktionen beantragt. Der Entwurf legt sich über das bestehende OIV Regime (Opérateurs d'Importance Vitale) und das NIS 1 OSE Regime (Opérateurs de Services Essentiels). Er ersetzt sie nicht vollständig.
Die ANSSI (Agence nationale de la sécurité des systèmes d'information) betreibt das nationale CSIRT und ist nach dem Gesetzentwurf die nationale Behörde. Sie bietet eine freiwillige Vorregistrierung unter messervices.cyber.gouv.fr/nis2 an (früher MonEspaceNIS2). Zur Pflicht wird die Registrierung erst, wenn das Gesetz verabschiedet ist. Sektorale Regulatoren bleiben dort zuständig, wo es sie schon gab, vor allem im Finanzsektor, wo DORA als Lex specialis greift.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Frankreich unmittelbar anwendbar, ohne nationale Umsetzung.
Französische Umsetzung (Gesetzentwurf)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Der Gesetzentwurf der Regierung, der NIS 2 zusammen mit der Richtlinie über kritische Einrichtungen und DORA umsetzen soll. Der Senat hat ihn am 12. März 2025 angenommen, die Plenardebatte der Assemblée nationale ist für den 7. Oktober 2026 angesetzt. Titel I des Entwurfs fasst die Regeln für Betreiber von vitaler Bedeutung im Code de la défense neu. Titel II enthält NIS 2 als eigene Artikel des neuen Gesetzes, mit der ANSSI als nationaler Behörde. Ausführungsdekrete und ANSSI Leitlinien sollen den operativen Detailrahmen füllen.
Der Gesetzentwurf zu Resilienz und Cybersicherheit
Bringt die NIS 2 Pflichten in französisches Recht, sobald er verabschiedet ist. Noch ist er kein Gesetz. Der Entwurf definiert zwei Kategorien, entités essentielles (EE) und entités importantes (EI), die Aufsichtsbefugnisse der ANSSI, Meldepflichten und Sanktionen. Die operativen Details werden über Ausführungsdekrete (décrets d'application) geregelt.
ANSSI als Aufsicht und CSIRT
Nach dem Gesetzentwurf führt die ANSSI Aufsicht und Audits und leitet Verstöße an eine Sanktionskommission (commission des sanctions) weiter, die die Bußgelder verhängt. Sie betreibt außerdem das nationale CSIRT und die freiwillige Vorregistrierung unter messervices.cyber.gouv.fr/nis2 (früher MonEspaceNIS2). Sektorregulatoren wie ACPR für den Finanzsektor behalten ihre Zuständigkeit dort, wo Lex specialis gilt.
Registrierung und Meldung
Die Richtlinie verlangt, dass Einrichtungen ab dem 17. April 2025 für die Mitgliedstaaten identifizierbar sind. In Frankreich gibt es dafür noch keine Registrierungspflicht: Die ANSSI bietet eine freiwillige Vorregistrierung unter messervices.cyber.gouv.fr/nis2 an (früher MonEspaceNIS2), zur Pflicht wird die Registrierung erst mit dem verabschiedeten Gesetz. Sobald es gilt, folgen erhebliche Sicherheitsvorfälle der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Frankreich gilt französisches Recht
Einrichtungen mit Niederlassung in Frankreich folgen der französischen Umsetzung, sobald sie verabschiedet ist. Ein deutscher Geschäftsführer mit französischer Tochter wird für diese Tochter das französische Gesetz lesen, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen werden aber im französischen Recht stehen.
Frankreich darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Frankreich darf strenger werden, und ist es historisch über das OIV Regime auch. Frankreich darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans.
ANSSI
Nationales CSIRT und nach dem Gesetzentwurf die nationale Behörde. Betreibt die freiwillige NIS 2 Vorregistrierung unter messervices.cyber.gouv.fr/nis2 (früher MonEspaceNIS2), veröffentlicht Leitlinien und führt Audits durch. Nach dem Entwurf beaufsichtigt die ANSSI und leitet Verstöße an eine Sanktionskommission (commission des sanctions) weiter. Diese verhängt Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und bis zu 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen. Trägt die historische OIV Doktrin, die künftig in die NIS 2 Aufsicht einfließt.
CNIL
Die französische Datenschutzbehörde. Nicht der NIS 2 Regulator. Bleibt zuständig für Meldepflichten bei Verletzungen personenbezogener Daten nach DSGVO. Ein NIS 2 Vorfall mit Personenbezug ist oft eine Doppelmeldung an ANSSI und CNIL.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für französische Einrichtungen. Die liegt bei der ANSSI.
Wir sind schon OIV, also ist NIS 2 abgedeckt.
OIV und OSE Einstufungen aus dem Code de la défense und dem NIS 1 Rahmen werden nicht automatisch zu wesentlichen oder wichtigen Einrichtungen (EE oder EI) unter NIS 2. Perimeter und Sektorenschwellen sind anders. Jede Einrichtung muss ihren Status gegen die neuen Kriterien prüfen. Viele OIV sind zugleich wesentliche Einrichtungen unter NIS 2, das Pflichtenheft und der Meldekanal verändern sich aber.
NIS 2 in Frankreich trifft nur große Betreiber.
Der Größentest deckelt standardmäßig bei mittleren und großen Unternehmen, die Richtlinie fängt aber auch kleine Einrichtungen, wenn sie einziger Anbieter sind, grenzüberschreitend wirken oder das französische Recht sie zusätzlich nennt. Öffentliche Verwaltungen und bestimmte digitale Anbieter sind unabhängig von der Größe drin. Die Anwendbarkeitsprüfung muss Fall für Fall passieren, nicht über die reine Unternehmensgröße.
MonEspaceNIS2 und die ANSSI akzeptieren nur Französisch.
Portal und offizielle Leitlinien sind zuerst auf Französisch. Eine ausländische Konzernmutter braucht nicht jede interne Richtlinie auf Französisch, um sich zu registrieren oder einen Vorfall zu melden.
Die meisten französischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als Erweiterung des alten OIV und OSE Regimes. Das stimmt nur zur Hälfte. Nach dem Gesetzentwurf liegen Aufsicht und Meldekanal wie vorher bei der ANSSI, der Scope ist aber breiter und die Verantwortung des Leitungsorgans schwerer. Sobald das Gesetz gilt, haftet der président, directeur général oder gérant persönlich für die Freigabe des Risikomanagements und die eigene Schulung.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, sich freiwillig bei der ANSSI vorregistrieren (messervices.cyber.gouv.fr/nis2, früher MonEspaceNIS2) und registrieren, sobald das Gesetz verabschiedet ist, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Der OIV Apparat hilft, ersetzt aber die NIS 2 Pflichten nicht.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, Gesetzgebungsdossier
- Code de la défense, Artikel L.1332-1 ff. (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, offizielle Seite
- ANSSI NIS 2 Vorregistrierung: messervices.cyber.gouv.fr/nis2 (früher MonEspaceNIS2)
- ACPR / Banque de France: zuständige Behörde für DORA im Finanzsektor
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
