NIS 2 Status in Irland
Was die Richtlinie fordert, wo Irland mit der Umsetzung steht, und wer im Übergang die Aufsicht trägt.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Irland, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Irland muss dieses Niveau in irisches Recht überführen und eine Aufsicht darunter aufstellen.
Irland hat die Umsetzungsfrist vom 17. Oktober 2024 verpasst. Das General Scheme of the National Cyber Security Bill 2024 wurde am 30. August 2024 veröffentlicht. Bis Anfang Oktober 2026 ist kein National Cyber Security Bill im Oireachtas eingebracht. Am 8. Juli 2026 hat die Europäische Kommission Irland, zusammen mit Spanien, Frankreich und den Niederlanden, beim Gerichtshof der EU verklagt und beantragt, einen Pauschalbetrag und ein tägliches Zwangsgeld zu verhängen, bis Irland die vollständige Umsetzung mitteilt. Bis das Gesetz in Kraft tritt, bleibt die irische NIS 1 Umsetzung in Form der European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018) weiter anwendbar.
Das National Cyber Security Centre (NCSC-IE) ist nationales CSIRT. Nach dem General Scheme soll es federführende zuständige Behörde und Single Point of Contact für NIS 2 werden, neben sektoralen Behörden: CRU für Energie, Trinkwasser und Abwasser, ComReg für digitale Infrastruktur, IKT Dienstleistungsmanagement, Weltraum und digitale Anbieter, die Central Bank of Ireland für Banken und Finanzmarktinfrastrukturen (wo DORA als Lex specialis greift) sowie weitere Behörden für Verkehr und Gesundheit. Seit dem 1. Juni 2025 gehören das NCSC und die NIS Zuständigkeiten zum Department of Justice, Home Affairs and Migration, das sie vom Department of the Environment, Climate and Communications übernommen hat.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen. Sie gilt für Irland unabhängig vom Stand der nationalen Umsetzung.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Anforderungen für DNS Anbieter, TLD Registries, Cloud, Rechenzentrums und CDN Anbieter, Managed (Security) Service Provider, Online Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. In Irland unmittelbar anwendbar, ohne nationale Umsetzung.
Irische Umsetzung
General Scheme of the National Cyber Security Bill 2024 (entwurfsstadium); bis zum Inkrafttreten: S.I. No. 360/2018 (NIS 1)
Die Regierung hat die vorrangige Ausarbeitung am 24. Juli 2024 beschlossen und das General Scheme am 30. August 2024 veröffentlicht. Ein Gesetzentwurf ist im Oireachtas noch nicht eingebracht. Das Bill und die nachgelagerten Regulations werden den operativen Rahmen setzen. Bis dahin bleibt die NIS 1 Umsetzung in Kraft, ergänzt durch Leitlinien des NCSC-IE.
National Cyber Security Bill
Soll die NIS 2 Pflichten in irisches Recht bringen, die Kategorien essential und important entities festlegen, die Aufsichts- und Sanktionsbefugnisse benennen und Meldepflichten verankern. Der operative Detail wird über nachgelagerte Regulations und NCSC-IE Guidance geregelt. Stand jetzt: Heads of Bill veröffentlicht, finaler Text noch nicht beschlossen.
NCSC-IE als federführende zuständige Behörde
Das National Cyber Security Centre ist nationales CSIRT (CSIRT-IE). Nach dem General Scheme soll es federführende zuständige Behörde und Single Point of Contact für NIS 2 werden, mit Sektorregulatoren wie CRU, ComReg und der Central Bank als zuständigen Behörden für ihre Sektoren. Es veröffentlicht bereits jetzt Vorab-Leitlinien, etwa den Entwurf zu Risk Management Measures aus Juni 2025, und referenziert den belgischen CyFun Rahmen als praktische Orientierung.
Registrierung und Meldung
Bis zum 17. April 2025 musste jeder Mitgliedstaat seine Liste wesentlicher und wichtiger Einrichtungen erstellen (Art. 3 Abs. 3 NIS 2). In Irland fehlt dafür noch die Rechtsgrundlage, Registrierungsportal und Meldeportal öffnen erst mit Inkrafttreten des Gesetzes. Erhebliche Sicherheitsvorfälle folgen dann der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Irland gilt irisches Recht
Aktivitäten auf irischem Staatsgebiet folgen der irischen Umsetzung. Eine deutsche Geschäftsführerin mit irischer Tochter liest für diese Tochter das künftige National Cyber Security Act und bis dahin die NIS 1 Regulations 2018, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen stehen aber im irischen Recht.
Irland darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Irland darf strenger werden. Irland darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans. Bis Irland umsetzt, binden die Pflichten der Richtlinie irische Unternehmen nicht unmittelbar. Sobald das Gesetz in Kraft ist, darf es nicht unter der Richtlinie bleiben.
NCSC-IE
National Cyber Security Centre. Nationales CSIRT (CSIRT-IE) und nach dem General Scheme künftige federführende zuständige Behörde sowie Single Point of Contact für NIS 2. Veröffentlicht Vorab-Leitlinien, öffnet Registrierungs und Meldeportal mit Inkrafttreten des Gesetzes und koordiniert mit ENISA und anderen Mitgliedstaaten.
Department of Justice, Home Affairs and Migration
Federführendes Ministerium für die Umsetzung. Am 1. Juni 2025 hat die Regierung die Zuständigkeiten für Cybersicherheit, einschließlich der NIS 1 Regulations (S.I. No. 360/2018), vom Department of the Environment, Climate and Communications auf das Department of Justice übertragen (S.I. No. 234/2025). Das NCSC ist ein operativer Arm dieses Ministeriums. Das General Scheme of the National Cyber Security Bill 2024 liegt vor, der Gesetzentwurf selbst ist im Oireachtas noch nicht eingebracht.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für irische Einrichtungen. Die liegt nach dem General Scheme beim NCSC-IE und den sektoralen Behörden, sobald das Gesetz in Kraft ist.
Solange Irland nicht umgesetzt hat, gelten die deutschen Regeln, weil unsere Konzernmutter in Deutschland sitzt.
Das ist falsch. NIS 2 folgt dem Niederlassungsprinzip. Eine irische Tochter wird in Irland reguliert, eine deutsche in Deutschland. Die deutsche Konzernmutter darf die irische Tochter intern unterstützen, die rechtliche Pflicht zur Registrierung, Meldung und Aufsicht liegt aber bei der irischen Einrichtung gegenüber dem NCSC-IE, sobald das Bill in Kraft ist. Bis dahin gilt die NIS 1 Logik aus S.I. No. 360/2018 für die Sektoren, die schon dort erfasst sind.
Solange das Portal nicht läuft, muss ich nichts tun.
Die NIS 2 Pflichten zur Registrierung und Meldung erreichen ein irisches Unternehmen erst über das irische Gesetz, und das ist noch nicht in Kraft. Bis dahin gilt NIS 1 (S.I. No. 360/2018) für die bereits benannten Betreiber wesentlicher Dienste. Vorbereitung lohnt sich trotzdem: Risikomanagement, Vorfallprozess, Lieferkettenklauseln und die Schulung des Leitungsorgans brauchen Monate, und das Gesetz legt die Registrierungsfrist fest, sobald das NCSC-IE das Portal öffnet.
Nur die alten OES nach NIS 1 sind unter NIS 2 betroffen.
Falsch. NIS 2 erweitert den Sektor- und Größenkatalog deutlich. Operators of Essential Services nach NIS 1 sind in der Regel auch unter NIS 2 erfasst, der Perimeter ist aber breiter und kennt jetzt die Kategorien essential und important entities. Mittlere und große Unternehmen in den Annexen I und II der Richtlinie fallen darunter, ebenso einzelne kleine Anbieter mit besonderer Rolle, sowie Teile der öffentlichen Verwaltung.
Die meisten irischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 wie eine verschobene Frist und warten auf den National Cyber Security Bill. Rechtlich stimmt das derzeit: Eine Richtlinie bindet den Staat, nicht das Unternehmen, und bis das Gesetz in Kraft ist, gelten nur die NIS 1 Regulations, und nur für die dort benannten Betreiber. Praktisch dauert die Arbeit Monate, wer jetzt anfängt, hat die Dokumentation fertig, wenn das Gesetz kommt.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, die NCSC-IE Vorab-Leitlinien (Risk Management Measures Entwurf, CyFun) als Orientierung nehmen, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Sobald das Bill in Kraft ist, ist die Aufgabe vor allem, die fertige Dokumentation an die irischen Verfahren anzudocken.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- General Scheme of the National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, NIS 2 Status und Leitlinien (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (Juni 2025)
- ComReg: nach dem General Scheme zuständige Behörde für digitale Infrastruktur, IKT Dienstleistungsmanagement, Weltraum und digitale Anbieter
- Central Bank of Ireland: zuständige Behörde für DORA im Finanzsektor
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Europäische Kommission, 8. Juli 2026: Klage gegen Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof (digital-strategy.ec.europa.eu)
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
