NIS2 Umsetzung in der EU: Zwei Jahre Verzug, drei Länder ohne Gesetz

Ein deutscher MSP betreut die IT einer französischen Tochtergesellschaft eines mittelständischen Maschinenbauers. In Deutschland gilt seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz, und das BSI erwartet die Registrierung. In Frankreich gibt es noch kein Gesetz. Der Kunde fragt: „Muss die Tochter jetzt auch etwas tun?“

Am 17. Oktober 2026 war die Frist für die NIS2 Umsetzung genau zwei Jahre überschritten. Hier der Stand vom 21. Oktober 2026 und was er für Ihre Beratung heißt.

NIS2 Umsetzung in der EU: Wer hat ein Gesetz, wer nicht

Die Richtlinie (EU) 2022/2555 war bis zum 17. Oktober 2024 umzusetzen. Laut einem Sekundär-Tracker, zuletzt Mitte September 2026 aktualisiert, haben 24 von 27 Mitgliedstaaten ein Gesetz in Kraft. Frankreich, Irland und Spanien nicht. Prüfen Sie jede Zeile bei der nationalen Quelle nach.

Deutschland gehört zu den umgesetzten Ländern: Das NIS2UmsuCG, das das BSI-Gesetz (BSIG) neu fasst, trat am 6. Dezember 2025 in Kraft. Die Registrierungsfrist beim BSI lief nach § 33 BSIG am 6. März 2026 ab und wurde danach mehrfach verlängert. Italien setzte mit dem Decreto legislativo 138/2024 pünktlich um, in Kraft seit dem 16. Oktober 2024. Polen folgte am 3. April 2026, die Niederlande mit der Cyberbeveiligingswet am 15. August 2026 und Österreich mit dem NISG 2026 am 1. Oktober 2026.

Für Kunden mit Standorten in mehreren Ländern laufen damit mehrere Uhren zugleich. In Frankreich, Spanien und Irland läuft keine. Das ist nicht dasselbe wie keine Pflicht.

Frankreich: einen Tag vor der Debatte von der Tagesordnung genommen

Der französische Senat nahm den Gesetzentwurf am 12. März 2025 mit 181 zu 134 Stimmen an. Danach wartete er mehr als anderthalb Jahre auf die Nationalversammlung. Die Debatte war für den 7. und 9. Oktober 2026 angesetzt. Am 6. Oktober strich die Conférence des présidents beide Sitzungen. Ein neuer Termin ist nicht bestätigt.

Rund 397 Änderungsanträge liegen vor. Streitpunkt ist vor allem Artikel 16 bis zu Verschlüsselung und Hintertüren, den die Regierung streichen will. Geschieht das, geht der Text in einen gemeinsamen Ausschuss (CMP). Erst nach endgültiger Annahme und Verkündung folgen Dekrete.

Schon vorhanden ist das ReCyF-Rahmenwerk der französischen Behörde ANSSI, verfügbar seit März 2026, mit 20 Sicherheitszielen für wesentliche und 15 für wichtige Einrichtungen. Große Einkäufer nennen es bereits in Ausschreibungen. Mehr dazu in unserem Beitrag zu Frankreichs NIS2-Gesetz und ReCyF.

Spanien und Irland: Entwürfe, keine Gesetze

Der spanische Ministerrat billigte den Entwurf der Ley de Coordinación y Gobernanza de la Ciberseguridad am 14. Januar 2025, mit Dringlichkeitsverfahren. Er ist weiterhin ein Entwurf und wartet auf die parlamentarische Debatte. Die Aufgaben bleiben auf CCN, INCIBE und Sektorbehörden verteilt. Hintergrund: Spanien und das EuGH-Verfahren.

In Irland wird der National Cyber Security Bill noch ausgearbeitet. Siehe der Stand des irischen Gesetzentwurfs.

Das EuGH-Verfahren setzt Regierungen unter Druck, nicht Ihre Kunden

Am 8. Juli 2026 verwies die EU-Kommission Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der EU. Sie beantragt einen Pauschalbetrag und tägliche Zwangsgelder, bis der Staat die vollständige Umsetzung meldet. Diese Sanktionen treffen den Staat, nicht Ihren Kunden. Die Niederlande setzten ihr Gesetz fünf Wochen später in Kraft, ein Beispiel dafür, wie der Druck wirkt.

Was ein fehlendes Gesetz ändert und was nicht

Eine Richtlinie richtet sich an die Mitgliedstaaten. Solange Frankreich, Spanien oder Irland nicht umgesetzt haben, hat ein Unternehmen dort keine gesetzliche Registrierungspflicht, keinen nationalen Prüfzyklus und kein Bußgeld nach einem nationalen NIS2-Gesetz.

Die Pflicht kommt aber über die Lieferkette. Artikel 21 Absatz 2 Buchstabe d NIS2 verlangt, Lieferantenrisiken zu steuern. Eine deutsche besonders wichtige Einrichtung gibt Anforderungen an jeden Lieferanten weiter, auch an französische, spanische und irische, per Fragebogen und Vertragsklausel. Diese Klauseln sind vertraglich schon heute durchsetzbar. Den Mechanismus erklärt NIS2 und Lieferkettensicherheit.

Das erste NIS2-Audit eines Kunden kann also von einem Auftraggeber kommen, nicht von einer Behörde. Und eine Aufsicht in einem umgesetzten Land prüft, was ihre eigenen Einrichtungen von Lieferanten verlangt haben.

Triage für Kunden in Ländern ohne Gesetz

Beginnen Sie beim Anwendungsbereich, nicht beim fehlenden Gesetz. Drei Fragen je Kunde:

1. Beliefert der Kunde eine Einrichtung in einem Land mit geltendem NIS2-Recht? Dann kommen jetzt Fragebögen.
2. Fällt der Kunde nach Sektor und Größe unter den EU-Text? Dann ist der Anwendungsbereich wahrscheinlich, egal wie der nationale Zeitplan aussieht.
3. Liegen schon Nachweise für die zehn Maßnahmen aus Artikel 21 vor?

Eine Gap-Analyse beantwortet Frage drei an einem Nachmittag statt in einem Quartal. Nutzen Sie den Quick-Scan von NIS2Certify und machen Sie aus den Lücken den Arbeitsplan, den Sie verkaufen.

Dokumentieren Sie danach die Nachweise: datierte Richtlinien, eine Asset-Liste, einen getesteten Incident-Plan und ein Lieferantenregister. Das fragt zuerst der Auftraggeber ab, später die Aufsicht. Unser Beitrag was Aufsichten nach der Registrierung prüfen zeigt dieselben Nachweise aus Sicht der Behörde.

Was Sie Kunden diesen Monat sagen

Sagen Sie einem französischen, spanischen oder irischen Kunden nicht, NIS2 gelte noch nicht. Sagen Sie: Das nationale Gesetz ist spät, die Auftraggeber in anderen Ländern sind es nicht, und die Nachweise, die jetzt entstehen, werden ohnehin gebraucht.