NIS2 in Europa: Warum Deutschland allein nicht reicht
14.11.2026 • Franz Hiemer
Viele Unternehmen haben NIS2 in Deutschland inzwischen gut im Blick: Betroffenheit geprüft, beim BSI registriert, Maßnahmen nach § 30 BSIG in Arbeit (mehr zu NIS2 in Deutschland). Was dabei oft fehlt, sind die Standorte und Tochtergesellschaften im europäischen Ausland. Denn NIS2 ist eine EU-Richtlinie, aber jedes Land setzt sie mit eigenem Gesetz, eigener Behörde und eigenen Fristen um.
Das Ergebnis ist ein Flickenteppich: Ein Land schreibt einen festen Maßnahmenkatalog vor, das nächste ein Pflichtaudit, das dritte eine Zertifizierung. Manche Fristen sind bereits abgelaufen, andere laufen gerade. Wir begleiten NIS2-Projekte über Deutschland hinaus und kennen diese Sonderwege aus der Praxis. Hier der Überblick und wie ein einziges Sicherheitsmanagement alle Standorte abdecken kann.
Gleicher Kern, nationale Sonderwege
Die Richtlinie gibt den Rahmen vor: Risikomanagement, Umgang mit Sicherheitsvorfällen, Meldewege, Verantwortung der Geschäftsleitung. Diese Themen finden sich in allen nationalen Gesetzen wieder. Die Unterschiede liegen in der Tiefe: Wie konkret sind die Maßnahmen vorgeschrieben, wo muss man sich registrieren, und wer prüft die Umsetzung?
NIS2 in zehn EU-Ländern (Stand: 14. November 2026)
| Land | Gesetz und Stand | Besonderheit | Wichtige Frist |
|---|---|---|---|
| Deutschland | NIS2-Umsetzungsgesetz, in Kraft seit 6.12.2025 | Maßnahmen risikobasiert nach § 30 BSIG, Registrierung beim BSI | Registrierung bis 6.3.2026 |
| Österreich | NISG 2026, gilt seit 1.10.2026 | Selbstdeklaration, ab 2028 Prüfbericht einer unabhängigen Stelle auf Anforderung | Registrierung binnen 3 Monaten, Selbstdeklaration binnen 12 Monaten |
| Italien | Legislativdekret 138/2024, seit 16.10.2024 | fester Katalog mit bis zu 43 Maßnahmen, jährliche Registrierung | Maßnahmen bis 31.10.2026 |
| Ungarn | Gesetz LXIX/2024, seit 1.1.2025 | Sicherheitsklassen je System, Pflichtaudit durch registrierte Auditoren | erstes Audit bis 30.6.2026 |
| Tschechien | Gesetz 264/2025, seit 1.11.2025 | Fristen laufen ab Bestätigung der Registrierung; Regeln zu unsicheren Lieferanten angekündigt | Registrierung bis Ende 2025 |
| Polen | geändertes Cybersicherheitsgesetz (KSC), seit 3.4.2026 | Selbstregistrierung im nationalen System | Registrierung bis 3.10.2026, Pflichten ab 3.4.2027 |
| Belgien | NIS2-Gesetz, seit 18.10.2024 | Nachweis über CyberFundamentals oder ISO 27001 für wesentliche Einrichtungen | Nachweise bis 18.4.2026, ISO-Zertifizierung bis April 2027 |
| Niederlande | Cyberbeveiligingswet, seit 15.8.2026 | Registrierung beim NCSC, Meldeschwellen je Sektor | Registrierung läuft |
| Frankreich | Gesetz noch nicht verabschiedet, EU-Klage seit 8.7.2026 | über 15.000 Einrichtungen betroffen, Aufsicht ANSSI | offen |
| Spanien | Gesetz im Verfahren, EU-Klage seit 8.7.2026 | bis dahin gilt das alte NIS1-Recht | offen |
Der Umsetzungsstand ändert sich laufend. Wir aktualisieren diese Übersicht regelmäßig.
Vier Muster, die wir in Projekten immer wieder sehen
- Feste Maßnahmenkataloge statt Ermessen. In Deutschland wählt das Unternehmen die Maßnahmen risikobasiert. Italien dagegen schreibt bis zu 43 Maßnahmen mit 116 Anforderungen genau vor.
- Externe Prüfung als Pflicht. Ungarn verlangt ein Audit durch registrierte Auditoren, Belgien einen Nachweis über CyberFundamentals oder ISO 27001. Österreich kann ab 2028 einen Prüfbericht anfordern.
- Eigene Registrierung und eigene Fristen je Land. Eine Registrierung beim BSI ersetzt keine Registrierung in Rom, Budapest oder Warschau. Italien verlangt sie sogar jedes Jahr neu.
- Länder im Umbau. In Frankreich und Spanien fehlt das Gesetz noch. Wer dort Standorte hat, sollte vorbereitet sein, bevor die Regeln kommen.
Unsere Erfahrung zeigt: Diese Unterschiede fallen oft erst auf, wenn eine Frist schon läuft. Italien und Ungarn widmen wir eigene Beiträge in dieser Serie.
Ein ISMS statt Parallelstrukturen
Die gute Nachricht: Für jedes Land ein eigenes Sicherheitsmanagement aufzubauen, ist nicht nötig. Risikomanagement, Richtlinien, Lieferantenmanagement und der Umgang mit Vorfällen lassen sich zentral steuern. Die nationalen Besonderheiten werden gezielt ergänzt.
- Meldewege: Ein zentraler Prozess für Sicherheitsvorfälle, ergänzt um die Meldestellen und Fristen je Land.
- Klassifizierung: Das gemeinsame Risikomanagement bleibt die Basis. Nationale Einstufungen wie die ungarischen Sicherheitsklassen werden dort ergänzt, wo sie vorgeschrieben sind.
- Nachweise: Dokumente so aufbauen, dass sie einem festen Maßnahmenkatalog ebenso standhalten wie einem Audit oder einer Zertifizierung.
- Verantwortung: Die zentrale Steuerung ersetzt nicht die rechtliche Verantwortung der Gesellschaft vor Ort. Zuständigkeiten müssen je Land klar benannt sein.
Wer bereits ein ISMS nach ISO 27001 oder ein TISAX®-Label hat, bringt viel mit. Vollständige NIS2-Konformität ist das aber nicht: Länderspezifische Meldewege, Pflichtklassifizierungen und Audits deckt kein Zertifikat automatisch ab.
Häufige Fragen
Brauchen wir für jedes Land ein eigenes ISMS? Nein. Ein zentral gesteuertes ISMS kann alle Standorte abdecken. Die nationalen Zusatzpflichten wie Meldewege, Registrierungen oder Audits werden darin je Land ergänzt.
Reicht unsere Registrierung beim BSI auch für die Standorte im Ausland? In der Regel nicht. Jede betroffene Gesellschaft muss sich in ihrem Land registrieren, bei der dortigen Behörde und nach deren Fristen. Ausnahmen gibt es nur für bestimmte digitale Dienste.
Deckt ISO 27001 oder TISAX® die NIS2-Pflichten ab? Zu einem großen Teil, aber nicht vollständig. Nationale Meldewege, Klassifizierungen und Pflichtaudits kommen dazu. Mehr dazu in unserem Beitrag NIS2 und ISO 27001.
Was gilt in Ländern, in denen das Gesetz noch fehlt? Die Richtlinie verpflichtet Unternehmen dort noch nicht direkt. Die Pflichten kommen aber, und die Fristen sind dann oft knapp. Wer sein ISMS schon jetzt auf mehrere Länder auslegt, ist vorbereitet.
Unser Rat: Gap-Analyse je Land
Der erste Schritt ist eine kurze Gap-Analyse für jeden Standort in der EU: Ist die Gesellschaft dort betroffen, was ist bereits erfüllt, was fehlt bis zur nächsten Frist? Weil in mehreren Ländern Fristen bereits abgelaufen sind oder gerade laufen, lohnt sich der Blick jetzt.
Wir begleiten Unternehmen bei NIS2 in Deutschland und in ganz Europa und verbinden die Anforderungen in einem gemeinsamen System. In einem 30-minütigen Erstgespräch per Teams klären wir, welche Länder für Sie relevant sind – kostenlos und unverbindlich. Wie wir bei NIS2 vorgehen, lesen Sie auf unserer Seite NIS2-Beratung. Jetzt Termin buchen
