NIS2 Artikel 26: Welche Aufsichtsbehörde beaufsichtigt Ihren Kunden wirklich?

Ein Managed Service Provider in Rotterdam betreibt Security Operations für einen Kunden mit Sitz in Frankfurt, drei Produktionsstandorten in Polen und einem Vertriebsbüro in Mailand.

Vier Länder. Vier nationale NIS2-Gesetze. Vier Aufsichtsbehörden.

Welche darf prüfen?

Die meisten Berater raten falsch. Sie nehmen an, NIS2 funktioniere wie der One-Stop-Shop der DSGVO, oder sie glauben, jedes Betriebsland bringe eine weitere Aufsichtsbehörde. Beides ist falsch. NIS2 Artikel 26 legt die Regel fest und teilt Einrichtungen in zwei Gruppen, die sich völlig unterschiedlich verhalten.

In den meisten Sektoren folgt die Zuständigkeit der Niederlassung — in jedem Land, in dem Sie tätig sind

Artikel 26(1)(a) ist kurz: Einrichtungen unterliegen der Gerichtsbarkeit des Mitgliedstaats, in dem sie niedergelassen sind.

Beachten Sie die Mehrzahl. Ein Hersteller mit Rechtsträgern in Deutschland, Polen und Italien ist dreimal niedergelassen. Überschreitet jeder dieser Rechtsträger die Größenschwelle in einem Sektor aus Anhang I oder Anhang II, fällt jeder einzeln in den Anwendungsbereich, muss sich einzeln registrieren und wird von der Behörde des jeweiligen Landes einzeln beaufsichtigt.

Das ist der Regelfall und betrifft die meisten Kunden: Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser, verarbeitendes Gewerbe, Lebensmittel, Abfallwirtschaft, Postdienste, Chemie, digitale Anbieter, Forschung.

Konkretes Beispiel: Ein Lebensmittelhersteller betreibt ein Werk mit 60 Beschäftigten in Polen und eines mit 40 Beschäftigten in Belgien. Der polnische Rechtsträger fällt unter das polnische Gesetz und muss sich dort registrieren. Der belgische Rechtsträger erreicht die Größenschwelle für sich genommen nicht. Gleiche Gruppe, unterschiedliche Pflichten, unterschiedliche Behörden, zwei getrennte Compliance-Programme.

Berater, die ein einziges zentrales NIS2-Programm für eine Gruppe aufsetzen und dabei stehen bleiben, lassen jeden lokalen Rechtsträger ungeschützt. Konzernrichtlinien sind nützlich. Sie ersetzen keine lokale Registrierung und keine lokale Aufsicht.

Digitale und Managed Service Provider bekommen eine Aufsichtsbehörde — und nur eine

Artikel 26(1)(b) nimmt eine bestimmte Liste heraus und gibt diesen Einrichtungen einen einzigen Aufsichtspunkt, unabhängig davon, wo in der EU sie tätig sind:

• DNS-Diensteanbieter
• TLD-Namenregister
• Einrichtungen, die Domain-Namen-Registrierungsdienste erbringen
• Anbieter von Cloud-Computing-Diensten
• Anbieter von Rechenzentrumsdiensten
• Betreiber von Content Delivery Networks
• Managed Service Provider
• Managed Security Service Provider
• Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke

Diese Einrichtungen unterliegen der Gerichtsbarkeit des Mitgliedstaats, in dem sie ihre Hauptniederlassung haben. Eine Behörde. Eine Registrierung. Ein nationales Gesetz, selbst wenn sie Kunden in allen 27 Mitgliedstaaten bedienen.

Wenn Sie einen MSP oder MSSP betreiben, sind Sie das selbst — und es betrifft Ihre eigene Compliance-Position, nicht nur die Ihrer Kunden. Siehe unseren Leitfaden zu NIS2 für MSPs und MSSPs zur doppelten Verpflichtung.

"Hauptniederlassung" ist nicht Ihr eingetragener Sitz

Hier scheitern die meisten Selbsteinschätzungen. Artikel 26(2) definiert die Hauptniederlassung über eine Kaskade, und der eingetragene Sitz kommt darin nirgends vor.

1. Der Mitgliedstaat, in dem Entscheidungen über Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden.
2. Lässt sich dieser Mitgliedstaat nicht bestimmen oder werden diese Entscheidungen nicht in der Union getroffen — der Mitgliedstaat, in dem die Cybersicherheitsmaßnahmen durchgeführt werden.
3. Lässt sich auch das nicht bestimmen — der Mitgliedstaat, in dem die Einrichtung die Niederlassung mit der höchsten Beschäftigtenzahl in der Union hat.

Lesen Sie Schritt eins noch einmal. Es geht darum, wo die Entscheidungen getroffen werden. Nicht darum, wo die Gesellschaft eingetragen ist, wo der CEO sitzt oder wo die Rechnungen gestellt werden.

Ein MSP, der aus steuerlichen Gründen in Luxemburg eingetragen ist, dessen CISO, Security-Steuerungsgremium und Risikoregister aber in Antwerpen liegen, hat seine Hauptniederlassung in Belgien. Belgisches Recht gilt. Das CCB beaufsichtigt. Die luxemburgische Eintragung ist für Artikel 26 irrelevant.

Dokumentieren Sie, bei welcher Kaskadenstufe Sie gelandet sind und warum. Wenn eine Behörde fragt, ist "unsere Anwälte sagten Luxemburg" keine Antwort. Vorstandsprotokolle, aus denen hervorgeht, wo Risikomanagemententscheidungen genehmigt werden, schon.

Anbieter außerhalb der EU müssen einen Vertreter benennen — und diese Wahl bestimmt die Zuständigkeit

Artikel 26(3) betrifft Anbieter auf der 26(1)(b)-Liste, die nicht in der Union niedergelassen sind, dort aber Dienste anbieten. Sie müssen einen Vertreter benennen, der in einem der Mitgliedstaaten niedergelassen ist, in denen sie diese Dienste anbieten. Die Einrichtung gilt dann als der Gerichtsbarkeit des Mitgliedstaats unterliegend, in dem dieser Vertreter niedergelassen ist.

Zwei Konsequenzen, die Berater regelmäßig übersehen.

Die Benennung eines Vertreters schützt die Einrichtung nicht. Rechtliche Schritte können weiterhin gegen den Anbieter selbst eingeleitet werden, auch wenn ein Vertreter benannt wurde.

Keinen zu benennen schafft keine Immunität. Es schafft einen nicht vertretenen Anbieter, der in einen Markt verkauft, in dem Behörden ohnehin gegen ihn vorgehen können.

Praktische Konsequenz: Wenn Sie eine US-, UK- oder Schweizer Cloud-Plattform in einen wesentlichen Dienst eines Kunden weiterverkaufen oder integrieren, fragen Sie nach dem EU-Vertreter und dem Mitgliedstaat, in dem dieser sitzt. Kann der Anbieter keinen nennen, haben Sie eine Feststellung für die Lieferkettenbewertung des Kunden. Genau die Art von Lücke, die in NIS2 Lieferkettensicherheit behandelt wird.

Eine Aufsichtsbehörde bedeutet nicht ein Regelwerk

Artikel 26 entscheidet, wer Sie beaufsichtigt. Er harmonisiert nicht, wogegen geprüft wird.

NIS2 ist eine Richtlinie, keine Verordnung. Jeder Mitgliedstaat hat sie in ein eigenes Gesetz umgesetzt, mit eigenem Registrierungsportal, eigenen Fristen, eigener Auslegung der Größenschwellen und in mehreren Fällen einem eigenen Kontrollrahmen — das belgische CyFun, die italienische ACN-Kategorisierung, das deutsche BSIG.

Und die Umsetzung ist weiterhin unvollständig. Am 8. Juli 2026 hat die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande vor den Gerichtshof der EU gebracht, weil sie keine vollständigen Umsetzungsmaßnahmen mitgeteilt haben — jeweils mit dem Antrag auf finanzielle Sanktionen. Was das für Lieferanten bedeutet, haben wir in Frankreich und Spanien vor dem EuGH behandelt.

Für einen Anbieter auf der 26(1)(b)-Liste ist die Hauptniederlassung damit eine echte strategische Variable. Wo Ihre Sicherheitsentscheidungen getroffen werden, bestimmt, in welchem Portal Sie sich registrieren, welchem CSIRT Sie melden, mit welcher Aufsichtskultur Sie es zu tun haben und auf welchen Rahmen Ihre Nachweise abgebildet werden müssen. Das sollten Sie nicht während einer Prüfung herausfinden. Wo jedes Land steht, zeigt unsere NIS2-Umsetzungsübersicht.

Artikel 27 bedeutet, dass Sie sich keine günstige Zuständigkeit aussuchen können

Artikel 27 verpflichtet die Mitgliedstaaten, über ihre zentralen Anlaufstellen identifizierende Angaben von jeder Einrichtung auf der 26(1)(b)-Liste zu erheben und an die ENISA weiterzuleiten. Die ENISA führt ein unionsweites Register und gewährt zuständigen Behörden auf Anfrage Zugang.

Die übermittelten Angaben umfassen den Namen der Einrichtung, den betreffenden Sektor und Teilsektor aus den Anhängen, Anschrift und Kontaktdaten, die Mitgliedstaaten, in denen Dienste erbracht werden, und die IP-Adressbereiche.

Diese letzten beiden Punkte wiegen schwerer, als sie aussehen. Sie erklären selbst, welche Länder Sie bedienen, die ENISA führt das Register, und jede nationale Behörde kann Zugang anfordern.

Ein Anbieter, der sich im Mitgliedstaat mit dem mildesten Aufsichtsruf registriert, während seine tatsächlichen Sicherheitsentscheidungen anderswo getroffen werden, versteckt sich also nicht. Er reicht eine Erklärung ein, die Behörden genau das Material liefert, um die Diskrepanz zu bemerken. Die Registrierung selbst ist ohnehin die am häufigsten versäumte NIS2-Pflicht — siehe die Registrierungspflicht.

Eine falsche Zuständigkeitsannahme wird zu drei getrennten Verstößen

Es bleibt selten ein Papierproblem.

Registrierung. Registrieren Sie sich im falschen Mitgliedstaat, sind Sie im richtigen nicht registriert. In den meisten nationalen Gesetzen ist das ein eigenständiger Verstoß, völlig unabhängig davon, wie gut Ihre tatsächliche Sicherheitslage ist.

Meldepflichten. Die Frühwarnung innerhalb von 24 Stunden geht an das CSIRT des zuständigen Mitgliedstaats. Schicken Sie sie an das falsche, läuft die Uhr weiter, während Sie es herausfinden. Eine verspätete Meldung ist ein eigener Verstoß, getrennt vom Vorfall selbst. Die Fristen stehen in NIS2 Meldepflichten.

Lieferkette. Ihre Kunden müssen ihre Lieferanten nach Artikel 21(2)(d) bewerten. Ein Lieferant, der seine eigene Aufsichtsbehörde nicht benennen kann, ist ein Lieferant, dessen Compliance-Status nicht überprüfbar ist — und das landet direkt als offenes Risiko in der Lieferantendokumentation des Kunden.

Was Sie für jeden Kunden mit mehreren Ländern dokumentieren sollten

Vier Dokumente. Keines davon dauert lange. Nach allen wird gefragt.

1. Eine Rechtsträgerübersicht. Jeder Rechtsträger, sein Land, Beschäftigtenzahl, Umsatz und der Sektor aus Anhang I oder II. Daraus ergibt sich, welche Rechtsträger nach Artikel 26(1)(a) einzeln in den Anwendungsbereich fallen.
2. Ein Hauptniederlassungs-Memo für jede Einrichtung auf der 26(1)(b)-Liste. Nennen Sie die angewandte Kaskadenstufe, die zugrunde liegenden Nachweise und das Datum. Eine Seite genügt.
3. Der Registrierungsnachweis. Portal, Einreichungsdatum, Referenznummer, zuständige Behörde und der nationale CSIRT-Meldeweg.
4. Vertreterangaben für jeden Nicht-EU-Anbieter in der kritischen Lieferkette des Kunden, einschließlich des Mitgliedstaats dieses Vertreters.

Überprüfen Sie das Hauptniederlassungs-Memo, sobald sich die Sicherheitsfunktion verlagert. Ein SOC zu verlegen, Security Operations in ein anderes Land auszulagern oder einen CISO an einem neuen Standort einzustellen, kann die Zuständigkeit über die Kaskade verschieben. Keine Behörde wird Sie darauf hinweisen.

Die meisten Organisationen stellen fest, dass ihre Zuständigkeitsannahme falsch war, wenn sie bereits etwas anderes nachweisen sollen. Unser kostenloser NIS2-Quick-Scan geht in etwa zehn Minuten Anwendungsbereich, Zuständigkeit und die Artikel-21-Maßnahmen durch und liefert eine Gap-Analyse, die Sie direkt mit dem Kunden besprechen können.

Artikel 26 sind zwei Absätze Gesetzestext. Ihn falsch anzuwenden entwertet alles, was Sie darauf aufbauen.