NIS2 wird überarbeitet: Was der Änderungsvorschlag 2026 für Sie und Ihre Kunden bedeutet

Zweiundzwanzig der 27 EU-Mitgliedstaaten haben NIS2 mittlerweile in nationales Recht umgesetzt. Während die meisten Organisationen noch mit den ursprünglichen Anforderungen kämpfen, hat die Europäische Kommission bereits einen Vorschlag zur Änderung der Regeln veröffentlicht. Am 20. Januar 2026 veröffentlichte die Kommission ein Änderungspaket, das Geltungsbereich, Ransomware-Meldepflichten, Zertifizierung und grenzüberschreitende Aufsicht betrifft.

Warum die Kommission bereits ändert, bevor die Richtlinie vollständig umgesetzt ist

NIS2 wurde im Oktober 2024 durchsetzbar. Das Digital Omnibus Package der Kommission, gestartet im November 2025, rationalisiert die digitale EU-Gesetzgebung, um Fragmentierung und Compliance-Belastungen zu reduzieren. Die praktische Umsetzung zeigte auch Lücken — insbesondere die Divergenz nationaler Regeln und das Fehlen eines harmonisierten Zertifizierungsweges.

Der Vorschlag vom Januar 2026 ist "gezielt" — die Kommission überdenkt die grundlegende Architektur von NIS2 nicht. Die zehn Sicherheitsmaßnahmen des Artikels 21 bleiben unverändert. Die Meldefristen für Vorfälle (24 Stunden, 72 Stunden, ein Monat) bleiben unverändert.

Ransomware-Meldepflichten: Neue Verpflichtungen am Horizont

Auf Anfrage einer nationalen Behörde werden Organisationen verpflichtet sein offenzulegen, ob eine Lösegeldforderung gestellt wurde und von wem, ob Lösegeld gezahlt wurde, den Betrag und die Zahlungsmethode sowie die Identität des Empfängers (einschließlich etwaiger beteiligter Krypto-Asset-Dienstleister).

Die Offenlegung von Lösegeldzahlungen ist nicht automatisch — sie wird durch eine Behördenanfrage ausgelöst. Der Vorschlag zielt auf die Informationsasymmetrie ab, mit der Regulierungsbehörden zu kämpfen haben. Kunden, die Ransomware-Vorfälle managen, müssen jetzt interne Dokumentationspraktiken aufbauen.

Geltungsbereichsänderungen: Wer ist drin, wer ist draußen

Betreiber von Unterseekabeln und Unterwasserkommunikationssystemen werden erstmals in den Geltungsbereich einbezogen. Chemievertrieb fällt heraus — die Änderung streicht "Vertrieb" aus Anhang II. Eine neue Kategorie "kleine mittelgroße Unternehmen" (unter 750 Mitarbeiter, Umsatz unter 150 Mio. Euro) wird als "wichtige Einrichtungen" statt "wesentliche Einrichtungen" behandelt — reaktive statt proaktiver Aufsicht.

Zertifizierung als Compliance-Weg: Das Cyber-Posture-Zertifikat

Nach der vorgeschlagenen Änderung werden Einrichtungen schließlich ein EU-"Cyber-Posture-Zertifikat" erwerben können — eine neue entitätsbezogene Zertifizierung unter einem künftigen europäischen Cybersicherheitszertifizierungsschema, das an CSA2 ausgerichtet ist. Wenn eine Einrichtung ein gültiges Zertifikat besitzt, das die Anforderungen des Artikels 21 abdeckt, dürfen zuständige Behörden keine zusätzlichen Sicherheitsaudits für diese Anforderungen durchführen.

CSA2 ist selbst noch ein Vorschlag. Die Zertifizierungsschemata existieren noch nicht. Aber die Richtung ist klar: Investieren Sie in Rahmenbedingungen und Kontrollen, die zertifizierbar sind. ENISAs Leitlinien, die NIS2-Anforderungen auf ISO 27001-Kontrollen abbilden, werden wahrscheinlich die Grundlage für zukünftige Cyber-Posture-Zertifikate bilden.

Weitere Hintergrundinformationen zu den zehn Artikel-21-Sicherheitsmaßnahmen finden Sie im NIS2 Artikel 21 Tiefgang.

Stärkere ENISA-Rolle: Was grenzüberschreitende Aufsicht bedeutet

ENISA wird in der Lage sein, die Zusammenarbeit zwischen nationalen Behörden zu erleichtern, eine federführende Behörde für gemeinsame Aufsichtsmaßnahmen zu bestimmen, innerhalb von 15 Monaten eine Risikoanalyse durchzuführen und auf Anfrage direkt an gemeinsamen Aufsichtsaktivitäten teilzunehmen. Dies ist kein One-Stop-Shop nach DSGVO-Modell.

Was sich wann ändert: Ein praktischer Zeitplan

Konservative Schätzung: diese Änderungen werden für die meisten Länder nicht vor Ende 2027 oder Anfang 2028 in nationales Recht umgesetzt. Beginnen Sie jetzt mit der Kundenberatung — aber selektiv. Die Ransomware-Dokumentationspflicht ist kostengünstig jetzt umzusetzen. Geltungsbereichsänderungen haben höchste Priorität für Kunden in betroffenen Sektoren.

Das große Bild: NIS2-Durchsetzung hat bereits begonnen

Sieben Mitgliedstaaten wurden bereits an den Europäischen Gerichtshof verwiesen. Nationale Behörden beginnen mit Inspektionen. Die ersten Bußgelder werden noch vor Jahresende erwartet.

Die vorgeschlagenen Änderungen geben Organisationen keine zusätzliche Zeit. Sie fügen neue Verpflichtungen on top des bestehenden Basisniveaus hinzu. Die verteidigungsfähigste Position ist eine dokumentierte Gap-Analyse.

Wenn Ihre Kunden diese Gap-Analyse noch nicht durchgeführt haben, führen Sie sie jetzt durch. Der NIS2 Quick-Scan bei NIS2Certify bietet einen strukturierten Ausgangspunkt in unter 20 Minuten.