NIS2-Umsetzung, Staat für Staat: Was das Register der Kommission selbst zeigt

Jede Kanzlei mit einer Cybersicherheitspraxis veröffentlicht einen Tracker zur NIS2-Umsetzung, und keine zwei stimmen überein, weil jeder die Lesart einer Person von dem ist, was 27 Parlamente hervorgebracht haben. Es gibt eine Liste, die keine Lesart ist: das Register der nationalen Maßnahmen, die die Mitgliedstaaten selbst der Kommission nach Artikel 41 der Richtlinie (EU) 2022/2555 mitgeteilt haben, das EUR-Lex unter der Registerkarte „Nationale Umsetzung“ der Richtlinie zeigt und das Amt für Veröffentlichungen als Daten vorhält. Es ist die Liste, an der die Vertragsverletzungsentscheidungen der Kommission geprüft werden. Dieser Artikel ist dieses Register, gelesen am 12. September 2026, mit der vollständigen Liste jeder mitgeteilten Maßnahme, je Staat, auf einer eigenen Seite und den zwei Schlussfolgerungen, die das Register trägt und die die Tracker gern verwischen.

Was das Register ist

Artikel 41(1) verpflichtete die Mitgliedstaaten, „die Maßnahmen, die erforderlich sind, um dieser Richtlinie nachzukommen“, bis zum 17. Oktober 2024 zu erlassen und zu veröffentlichen, „die Kommission unverzüglich davon in Kenntnis“ zu setzen und diese Maßnahmen ab dem 18. Oktober 2024 anzuwenden. Jede Maßnahme, die ein Staat mitteilt, wird ein Datensatz: der Titel, den der Staat ihr gegeben hat, in seiner eigenen Sprache; die Art des Rechtsakts; sein Datum; das Datum der Mitteilung; und, soweit der Staat sie geliefert hat, das Inkrafttreten und das nationale Amtsblatt. Der CELLAR-Speicher des Amts für Veröffentlichungen verknüpft jeden Datensatz mit der Richtlinie, weshalb eine Maschine den ganzen Bestand auf einmal lesen kann und die Seite und der Datensatz hinter diesem Artikel neu erzeugt statt abgetippt werden.

Zwei Eigenschaften des Registers wiegen schwerer als jede Zeile darin. Es enthält nur, was mitgeteilt wurde: Ein Staat, dessen Parlament letzten Monat ein Gesetz beschlossen und es noch nicht notifiziert hat, erscheint mit nichts, und ein Staat, der seinen Rahmen von 2018 für die Sicherheit von Netz- und Informationssystemen als Teilumsetzung mitgeteilt hat, erscheint mit diesem Rahmen, wie sehr ihn ein späterer Rechtsakt auch ablöst. Und es sagt nicht, welche der Maßnahmen eines Staats „das NIS2-Gesetz“ ist. Die Tabelle unten nennt eine je Staat, nach einer benannten Regel gewählt: die mitgeteilte Maßnahme höchsten Rangs, deren Titel die Richtlinie, Cybersicherheit oder die Sicherheit von Netz- und Informationssystemen nennt, bei mehreren die neueste. Das ist unsere Lesart, und die Seite kennzeichnet sie als solche.

Was es am 12. September 2026 zeigt

25 der 27 Mitgliedstaaten haben mindestens eine Maßnahme mitgeteilt, zusammen 303 Maßnahmen. 24 haben einen Rechtsakt mitgeteilt, der die Richtlinie oder Cybersicherheit im Titel nennt. Spanien und Irland haben nichts mitgeteilt. Frankreich hat 15 Texte mitgeteilt, jeder davon zwischen 2005 und 2023 datiert: Gesetz, Dekret und Erlass von 2018, mit denen die erste NIS-Richtlinie umgesetzt wurde, Artikel des Verteidigungsgesetzbuchs und interministerielle Anweisungen zur Sicherheit staatlicher Informationssysteme, und keinen Rechtsakt, der NIS2 nennt.

Die Daten erzählen den Rest. Sechs der 24 Hauptrechtsakte sind auf oder vor die Frist des 17. Oktober 2024 datiert: der kroatische, der früheste, vom Februar 2024; das belgische Gesetz vom April 2024, in Kraft ab dem 18. Oktober 2024, dem Tag, ab dem die Richtlinie galt; der lettische, der litauische und der italienische im Sommer und Herbst 2024; und der slowakische, der das Gesetz von 2018 in geänderter Fassung ist, in Kraft seit dem 1. Januar 2025. Die anderen 18 sind nach der Frist datiert, und sechs davon traten 2026 in Kraft: Estland und Schweden im Januar, Bulgarien im Februar, Polen im April, Luxemburg im Mai und die Niederlande, deren Cyberbeveiligingswet vom 8. Juli 2026 ab dem 15. August 2026 gilt und der neueste Rechtsakt im Register ist.

Die Zahl der Maßnahmen sagt etwas darüber, wie Staaten notifizieren, nicht darüber, wie viel Recht sie haben. Tschechiens 83 Datensätze umfassen Rechtsakte, die bis zurück ins Jahr 2004 mitgeteilt und später mit der Richtlinie verknüpft wurden; Ungarns 39 und Estlands 28 folgen demselben Muster, das umgebende Gesetzbuch mitzuteilen; Deutschlands 20 sind überwiegend die eigenen Umsetzungsregeln der Länder für ihre Verwaltungen, einzeln mitgeteilt, neben dem Bundesgesetz vom Dezember 2025. Bulgarien, Zypern, Italien, Luxemburg, Malta und Slowenien haben je einen Rechtsakt mitgeteilt.

Das Register, eine Zeile je Staat

Die vollständige Liste hinter jeder Zeile, mit Arten, Daten, Amtsblättern und nationalen Links, steht auf der Umsetzungsseite, und dieselben Datensätze sind in den Datensätzen, die StandardOS aus Primärquellen veröffentlicht.

Was ein Softwareunternehmen damit anfängt

Welches dieser Gesetze Sie erreicht, entscheidet Artikel 26, nicht der Sitz Ihrer Kunden. Eine wesentliche oder wichtige Einrichtung untersteht der Zuständigkeit des Mitgliedstaats, in dem sie niedergelassen ist. Für die digitalen Anbieter des Artikels 26(1)(b), darunter Cloud-Computing-Dienste, Rechenzentren, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen und soziale Netzwerke, geht die Zuständigkeit an den Mitgliedstaat der Hauptniederlassung in der Union, in Artikel 26(2) definiert als der Staat, „in dem die Entscheidungen im Zusammenhang mit den Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden“. Das Gesetz eines Staats, eine Aufsicht, eine Registrierung, wie verteilt Ihre Nutzer auch sind. Dieselben Anbieter mussten nach Artikel 27(2) bis zum 17. Januar 2025 ihren Namen, Sektor, Anschriften, Kontaktdaten, bedienten Mitgliedstaaten und IP-Bereiche der zuständigen Behörde übermitteln, für das Register der ENISA. Ob die Richtlinie Ihr Unternehmen erreicht, als wesentliche oder wichtige Einrichtung, und unter welchem Staats Gesetz, wird hier schriftlich beantwortet.

Die Teile, die sich je Staat unterscheiden, sind die, die ein nationaler Rechtsakt festlegt: wer beaufsichtigt, wo und wann Sie sich registrieren, wie die Bußgelder innerhalb der Obergrenzen der Richtlinie festgesetzt werden, und Form und Kanal der Vorfallsmeldung. Die Teile, die überall gleich sind, sind die der Richtlinie selbst: die Maßnahmen des Artikels 21, Abschnitt für Abschnitt gegen ISO 27001; die Fristen des Artikels 23, die für ein Unternehmen, das neben einem Dienst auch ein Produkt liefert, neben denen des CRA laufen; und, für Cloud- und andere digitale Anbieter, die Schwellenwerte für Vorfälle der Durchführungsverordnung (EU) 2024/2690, die unmittelbar gilt und gar keiner Umsetzung bedarf. Ein Unternehmen in einem der zwei Staaten, von denen nichts im Register steht, ist nicht außerhalb der Richtlinie: Die Verordnung gilt für es heute, und die Frage, ob NIS2 oder der CRA sein Gesetz ist, hat dieselbe Antwort wie überall sonst.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 26(1) und (2), Artikel 27(1) und (2), Artikel 41(1).
• Die nationalen Umsetzungsmaßnahmen, die in CELLAR, dem Speicher des Amts für Veröffentlichungen hinter EUR-Lex, mit CELEX 32022L2555 verknüpft sind, gelesen über SPARQL am 12. September 2026; Titel, Arten und Daten wie mitgeteilt.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 1.

Dies ist keine Rechtsberatung. Das Register hält fest, was die Mitgliedstaaten mitgeteilt haben; ob ein Staat die Richtlinie richtig oder vollständig umgesetzt hat, ist eine Frage für die Kommission und am Ende für den Gerichtshof, und dieser Artikel beantwortet sie nicht.