NIS2 Ende 2026: Umsetzungsstand, Erwartungen der Aufsichtsbehörden und das belgische Modell

Zwei Jahre nach der NIS2-Frist haben die meisten Mitgliedstaaten nationale Gesetze in Kraft gesetzt und die Aufsichtsbehörden sind von der Sensibilisierung zur Überprüfung übergegangen. Hier ist der Stand im Oktober 2026, mit einem genaueren Blick auf Belgien.

Die NIS2-Richtlinie (EU) 2022/2555 musste bis zum 17. Oktober 2024 ^[1] in nationales Recht umgesetzt werden. Zwei Jahre später hat sich das Bild erheblich verändert. Die meisten Mitgliedstaaten haben nun ein nationales Gesetz in Kraft, die Kommission hat Vertragsverletzungsverfahren gegen die verbleibenden Nachzügler eingeleitet, und Aufsichtsbehörden in früh handelnden Ländern sind von Sensibilisierungskampagnen zu Überprüfungen übergegangen. Dieser Artikel fasst die Situation zum 18. Oktober 2026 zusammen und erläutert ihre praktischen Auswirkungen mit Fokus auf Belgien.

Stand der Umsetzung im Oktober 2026

Die Kommission ist vor Gericht gegangen

Die Kommission schickte Mahnschreiben an Mitgliedstaaten, die die vollständige Umsetzung bis zum 28. November 2024 nicht gemeldet hatten, und folgte mit begründeten Stellungnahmen am 7. Mai 2025 nach. Am 8. Juli 2026 verwies sie Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der Europäischen Union und forderte den Gerichtshof auf, Pauschalbeträge und tägliche Zwangsgelder bis zur Vollendung der Umsetzung zu verhängen. ^[2].

Die verbleibenden Lücken

Seitdem haben sich die Niederlande bewegt: Ihre Cyberbeveiligingswet und das Gesetz zur Umsetzung der Richtlinie über die Widerstandsfähigkeit kritischer Einrichtungen traten am 15. August 2026 in Kraft, wobei die Registrierung beim NCSC ab diesem Datum erforderlich ist ^[3].

Frankreich, Irland und Spanien verfügten zum Zeitpunkt der Erstellung über kein in Kraft befindliches nationales NIS2-Gesetz:

• Frankreich: Das Gesetzesvorhaben „Résilience" sollte am 7. Oktober 2026 in der Assemblée nationale debattiert werden, wurde aber am 6. Oktober erneut verschoben, ohne dass ein neuer Termin festgelegt wurde ^[4].
• Irland und Spanien: Gesetzentwürfe befinden sich noch im nationalen Gesetzgebungsverfahren, wie unabhängige Nachverfolgungssysteme zeigen ^[5].

Der Status kann sich schnell ändern. Überprüfen Sie daher vor Ihrer Entscheidung das nationale Amtsblatt oder die zuständige Behörde. Organisationen, die grenzüberschreitend tätig sind, sollten beachten, dass die Zuständigkeitsregeln der Richtlinie bedeuten, dass einige Einrichtungen – beispielsweise viele Anbieter digitaler Infrastruktur und IKT-Dienstleistungen – unter den Mitgliedstaat ihrer Hauptniederlassung fallen. ^[1].

Die Regeln selbst werden überarbeitet

Am 20. Januar 2026 schlug die Kommission gezielte Änderungen an NIS2 als Teil eines umfassenderen Cybersicherheitspakets vor. Der Vorschlag würde unter anderem eine Kategorie „kleine Mittelbetriebe" schaffen, die grundsätzlich als wichtige statt wesentliche Einrichtungen behandelt werden, und Meldefelder speziell für Ransomware hinzufügen ^[6]. Separat schlägt der Digital Omnibus vom November 2025 eine einzige Anlaufstelle für die Meldung von Vorfällen gemäß NIS2, DSGVO, DORA und eIDAS vor ^[7]. Stand Oktober 2026 sind beide noch Vorschläge in Verhandlung. Die geltenden nationalen Verpflichtungen gelten vollständig, bis eine Änderung angenommen und umgesetzt wird.

Die Frage, die Aufsichtsbehörden stellen, lautet nicht mehr, ob Sie NIS2 kennen, sondern ob Sie dessen Umsetzung nachweisen können.

Was Aufsichtsbehörden jetzt erwarten

Registrierung, die korrekt und aktuell gehalten wird

Die Mitgliedstaaten mussten ihre Listen der wesentlichen und wichtigen Einrichtungen bis zum 17. April 2025 erstellen ^[1]. Die Registrierung ist keine einmalige Aufgabe: Einrichtungen müssen Änderungen ihrer registrierten Daten mitteilen. Aufsichtsbehörden nutzen Registrierungsdaten zur Inspektionsplanung, daher führen veraltete Kontaktdaten, Sektorklassifizierungen oder Listen der Mitgliedstaaten, in denen Dienstleistungen erbracht werden, zu vermeidbarer Reibung.

Ein getesteter, gestaffelter Prozess zur Meldung von Vorfällen

Artikel 23 der NIS2 verlangt, dass erhebliche Vorfälle in Stufen an das CSIRT oder die zuständige Behörde gemeldet werden ^[1]:

Phase	Frist	Inhalt
Frühwarnung	Innerhalb von 24 Stunden nach Bekanntwerden	Ob der Vorfall vermutlich durch rechtswidrige oder böswillige Handlungen verursacht wurde und ob er grenzüberschreitende Auswirkungen haben könnte
Vorfallmeldung	Innerhalb von 72 Stunden nach Bekanntwerden	Aktualisierung, erste Bewertung des Schweregrads und der Auswirkungen, verfügbare Kompromittierungsindikatoren
Abschlussbericht	Innerhalb eines Monats nach der Vorfallmitteilung	Detaillierte Beschreibung, wahrscheinliche Grundursache, angewendete Abhilfemaßnahmen, grenzüberschreitende Auswirkungen

Ein Zwischenbericht kann jederzeit angefordert werden, und ein Fortschrittsbericht ist erforderlich, wenn der Vorfall nach einem Monat noch andauert. Für digitale Infrastruktur und bestimmte digitale Anbieter definiert die Durchführungsverordnung (EU) 2024/2690, wann ein Vorfall „erheblich" ist. ^[11].

Aufsichtsbehörden suchen zunehmend nach Nachweisen, dass der Prozess funktioniert: eine dokumentierte Bewertung der Bedeutsamkeit, benannte Entscheidungsträger, Erreichbarkeit außerhalb der Geschäftszeiten und Aufzeichnungen von Übungen oder tatsächlichen Meldungen. Die 24-Stunden-Frist läuft ab dem Zeitpunkt der Kenntnisnahme, daher ist die Übergabe vom Sicherheitsbetriebsteam an die Person, die den Bericht einreicht, oft die schwache Stelle.

Verantwortung des Leitungsorgans

Artikel 20 verlangt, dass Leitungsorgane Risikomanagementmaßnahmen im Bereich der Cybersicherheit genehmigen, deren Umsetzung überwachen und an Schulungen teilnehmen, und ermöglicht, dass sie für Verstöße haftbar gemacht werden ^[1]. Artikel 32 sieht vor, dass Behörden bei wesentlichen Einrichtungen in bestimmten Fällen eine Person in einer Leitungsposition vorübergehend von der Ausübung dieser Funktionen ausschließen können ^[1]. Aufsichtsbehörden suchen daher nach Protokollen, die die Genehmigung der Risikomanagementmaßnahmen zeigen, regelmäßige Berichte an den Vorstand und Schulungsunterlagen für Vorstandsmitglieder.

Angemessenes, dokumentiertes Risikomanagement

Artikel 21 listet zehn Mindestmaßnahmenbereiche auf, von der Risikoanalyse und der Vorfallbehandlung bis zur Sicherheit der Lieferkette, Kryptografie und Multi-Faktor-Authentifizierung ^[1]. In der Praxis wird erwartet, dass für jede Maßnahme eine dokumentierte, risikobasierte Begründung und ein Nachweis ihrer Funktionsfähigkeit vorliegen – nicht nur eine Richtlinie.

Das belgische Modell: CCB und CyFun

Belgien war einer der ersten Mitgliedstaaten, die die Richtlinie durch das Gesetz vom 26. April 2024 umgesetzt haben, das seit 18. Oktober 2024 in Kraft ist. Das Zentrum für Cybersicherheit Belgien (CCB) fungiert als nationale Cybersicherheitsbehörde und nationales CSIRT ^[8].

Wichtige belgische Fristen

• Registrierung auf Safeonweb@Work: bis 18. Dezember 2024 für bestimmte Einrichtungen des digitalen Sektors und bis 18. März 2025 für alle anderen wesentlichen und wichtigen Einrichtungen ^[8].
• 18. April 2026: wesentliche Einrichtungen mussten ihre erste obligatorische Konformitätsbewertung abschließen ^[8].
• 18. April 2027: wesentliche Einrichtungen, die sich für CyberFundamentals (CyFun) oder ISO/IEC 27001 entschieden haben, müssen die entsprechende Zertifizierung vorweisen ^[8].

Für Einrichtungen, die später vom CCB identifiziert werden, laufen diese Fristen ab dem Benachrichtigungsdatum ^[8].

CyFun als Konformitäts-Rahmenwerk

CyFun ist das Rahmenwerk der CCB mit drei Assurance-Stufen: Basic, Important und Essential. Ein Auswahlwerkzeug hilft Einrichtungen, die angemessene Stufe zu bestimmen ^[9]. Wesentliche Einrichtungen müssen sich regelmäßig einer Konformitätsbewertung unterziehen, und diejenigen, die eine gültige Konformitätserklärung besitzen, profitieren von einer Vermutung der Konformität ^[8]. Wichtige Einrichtungen können sich freiwillig demselben Verfahren unterziehen, um diese Vermutung zu erlangen. ^[9].

In der Praxis sind die Wege eine CyFun-Verifizierung (Stufe Basic oder Important) oder Zertifizierung (Stufe Essential) durch eine akkreditierte Konformitätsbewertungsstelle, eine ISO/IEC 27001-Zertifizierung mit bei der CCB eingereichter Dokumentation oder eine Inspektion durch die CCB ^[10]. Berichte aus dem Markt deuten darauf hin, dass die akkreditierte Bewertungskapazität begrenzt war, was ein Grund ist, den Meilenstein 2027 bereits jetzt und nicht erst Anfang 2027 zu planen. ^[10].

Vorfälle werden der CCB über ihre Meldeplattform gemeldet, wobei die telefonische Meldung Notfällen vorbehalten ist. ^[9].

Praktische nächste Schritte

1. Überprüfen Sie Ihre Klassifizierung und Registrierung erneut in jedem Mitgliedstaat, in dem Sie tätig sind, besonders dort, wo Gesetze 2025–2026 in Kraft traten.
2. Führen Sie eine zeitgesteuerte Übung zur Meldung von Vorfällen gegen die 24-Stunden- und 72-Stunden-Fristen durch, einschließlich der Entscheidung zur Erheblichkeit.
3. Dokumentieren Sie die Aufsicht durch das Leitungsorgan: Genehmigung von Maßnahmen, ein Berichtszyklus und abgeschlossene Schulungen.
4. Kontrollmaßnahmen einmal erfassen, mehrfach nutzen. CyFun, ISO/IEC 27001 und die Maßnahmen nach Artikel 21 überschneiden sich erheblich; ein einziger Kontrollsatz mit gemeinsamen Nachweisen vermeidet doppelte Arbeit.
5. Belgische wesentliche Einrichtungen: bestätigen Sie Ihr Zielschutzniveau 2027 und buchen Sie frühzeitig Ihre Konformitätsbewertungsstelle.

Abschließende Anmerkung

Secrato hilft Organisationen, Rahmenwerke wie NIS2, DORA und ISO/IEC 27001 in einer EU-gehosteten Plattform zu verwalten – mit gemeinsamen Kontrollen, Nachweisen und Audit-Trails.