NIS2 Tracker: wo jeder EU-Staat bei der Umsetzung steht
Stand 16. Oktober 2026: In 24 der 27 EU-Staaten ist ein nationales NIS2 Gesetz in Kraft. Noch ohne Gesetz in Kraft: Frankreich, Irland und Spanien. Die Frist der EU für die Umsetzung war der 17. Oktober 2024. Die Tabelle zeigt für jedes Land Gesetz, Behörde, CSIRT und Stand.
Der Stand in jedem EU-Staat
Für jedes Land das nationale Gesetz, die federführende Behörde, das nationale CSIRT und der Stand. Wo es eine eigene Seite zum Land gibt, ist der Name verlinkt.
| Land | Nationales Gesetz | Zuständige Behörde | Nationales CSIRT | Stand |
|---|---|---|---|---|
BEBelgien | NIS2 Law (Loi NIS2) Einer der ersten Mitgliedstaaten mit Umsetzung. Inkrafttreten am 18. Oktober 2024. | CCB (Centre for Cybersecurity Belgium) | CERT.be (under CCB) | In Kraft |
Cybersecurity Act (amended) | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | CERT Bulgaria | In Kraft | |
DKDänemark | LOV nr 434 af 06/05/2025 (NIS 2-loven) Sektorale Aufsicht. Das CFCS, das das nationale CSIRT betreibt, gehört seit dem 29. Januar 2025 zu SAMSIK. | SAMSIK (Styrelsen for Samfundssikkerhed) | CFCS (Centre for Cyber Security) | In Kraft |
DEDeutschland | NIS2UmsuCG / BSIG Deutschland verfehlte die EU-Frist 17. Oktober 2024. Vertragsverletzungsverfahren der Kommission seit Mai 2025. | BSI (Bundesamt für Sicherheit in der Informationstechnik) | CERT-Bund (BSI) | In Kraft |
EEEstland | Küberturvalisuse seadus Estland setzte zügig über eine Novelle des Cybersicherheitsgesetzes von 2018 um. | RIA (Riigi Infosüsteemi Amet) | CERT-EE (within RIA) | In Kraft |
FIFinnland | Kyberturvallisuuslaki (124/2025) Umsetzungsgesetz Kyberturvallisuuslaki (124/2025) seit 8. April 2025 in Kraft. | Traficom + sector authorities (NCSC-FI as national CSIRT) | NCSC-FI (Kyberturvallisuuskeskus, within Traficom) | In Kraft |
Loi Résilience (bundles NIS2 + DORA + CER) Aufgesetzt auf das bestehende OIV/OSE-Regime im Code de la défense. Registrierung über MonEspaceNIS2. Die Assemblée nationale hat das Umsetzungsgesetz von den Plenarterminen am 7. und 9. Oktober 2026 abgesetzt; ein neuer Termin steht nicht fest (nächste Conférence des présidents am 20. Oktober 2026). | ANSSI (Agence nationale de la sécurité des systèmes d'information) | CERT-FR (ANSSI) | Gesetz beschlossen oder im Verfahren | |
Law No. 5160/2024 | NCSA (National Cyber Security Authority) | GR-CERT (within NCA) | In Kraft | |
IEIrland | National Cyber Security Bill (draft) Gesetzesentwurf im Verfahren der Houses of the Oireachtas; Klage beim EuGH am 8. Juli 2026. | NCSC (National Cyber Security Centre) | NCSC-IE | Im Entwurf |
ITItalien | D.Lgs. 138/2024 Inkrafttreten am 16. Oktober 2024. Einer der wenigen Mitgliedstaaten, die die EU-Frist einhielten. | ACN (Agenzia per la Cybersicurezza Nazionale) | CSIRT Italia (within ACN) | In Kraft |
HRKroatien | Zakon o kibernetičkoj sigurnosti 2024 verabschiedet. Sektorale Aufsicht. | NHCSC-HR (National Cybersecurity Center) | CERT.hr (CARNet) | In Kraft |
LVLettland | Nacionālās kiberdrošības likums Lettland verabschiedete 2024 das Nationale Cybersicherheitsgesetz zur NIS-2-Umsetzung. | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | CERT.LV | In Kraft |
LTLitauen | Kibernetinio saugumo įstatymas Litauen verabschiedete das Umsetzungsgesetz Ende 2024. | NKSC (National Cybersecurity Center) | CERT-LT (within NKSC) | In Kraft |
Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité | ILR (Institut Luxembourgeois de Régulation) | CIRCL (Computer Incident Response Center Luxembourg) | In Kraft | |
MTMalta | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) | CIPD (Critical Infrastructure Protection Department) | CSIRTMalta | In Kraft |
Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 Cbw veröffentlicht am 10. Juli 2026 (Stb. 2026, 187), in Kraft ab 15. August 2026. Ersetzt die Wbni (NIS-1-Umsetzung). | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | NCSC-NL | In Kraft | |
NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) Ursprüngliches NISG (BGBl. I Nr. 111/2018) setzte NIS 1 um; ersetzt durch NISG 2026 (BGBl. I Nr. 94/2025), in Kraft ab 1. Oktober 2026. | Bundesamt für Cybersicherheit | GovCERT (public administration, run by the Bundesamt für Cybersicherheit), HealthCERT (health sector), national CSIRT (all other sectors), under §§ 8 to 11 NISG 2026 | In Kraft | |
PLPolen | Amended KSC Act (ustawa o KSC) Novelle des Gesetzes über das Nationale Cybersicherheitssystem (Ustawa o KSC) seit 3. April 2026 in Kraft. Die Selbstregistrierung im Verzeichnis endete am 3. Oktober 2026. | Ministry of Digital Affairs / CSIRTs | CSIRT NASK, CSIRT GOV, CSIRT MON | In Kraft |
PTPortugal | Decreto-Lei n.º 125/2025 | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | CERT.PT (within CNCS) | In Kraft |
RORumänien | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 Rumänien setzte über OUG 155/2024 im Dezember 2024 um. | DNSC (Directoratul Național de Securitate Cibernetică) | DNSC CSIRT | In Kraft |
SESchweden | Cybersäkerhetslagen (SFS 2025:1506) | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | CERT-SE (within the NCSC at the FRA since 1 July 2026) | In Kraft |
SKSlowakei | Zákon o kybernetickej bezpečnosti | NBÚ (Národný bezpečnostný úrad) | SK-CERT (within NBÚ) | In Kraft |
ZInfV-1 (Information Security Act) | URSIV (Information Security Agency) | SI-CERT | In Kraft | |
ESSpanien | - Im August 2026 kein Umsetzungsgesetz im BOE; Klage beim EuGH am 8. Juli 2026. Spanien hat ein Zwei-CSIRT-Modell, sektorale Aufsicht über das bestehende Real Decreto 43/2021 (NIS 1). | CCN-CERT / INCIBE | CCN-CERT (public sector), INCIBE-CERT (private sector) | Im Entwurf |
Zákon č. 264/2025 Sb. o kybernetické bezpečnosti Das frühere Cybersicherheitsgesetz (Zákon č. 181/2014 Sb.) setzte NIS 1 um. Es wurde durch das Gesetz 264/2025 Sb. abgelöst, in Kraft seit 1. November 2025. | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | GovCERT.CZ (NÚKIB), CSIRT.CZ | In Kraft | |
HUUngarn | Act LXIX of 2024 (Hungarian Cybersecurity Act) Ungarn setzte früh über Gesetz XXIII von 2023 um. Die SZTFH übernimmt die Cybersicherheitsaufsicht. | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | National Cyber Defence Institute (NBSZ) | In Kraft |
CYZypern | Law on Security of Networks and Information Systems (Amendment) 2025 | DSA (Digital Security Authority) | CSIRT-CY | In Kraft |
Zuletzt in Kraft getreten
Die Länder, deren Gesetz zuletzt in Kraft getreten ist, das neueste zuerst.
- Österreich: in Kraft seit 1. Oktober 2026
- Niederlande: in Kraft seit 15. August 2026
- Luxemburg: in Kraft seit 10. Mai 2026
- Polen: in Kraft seit 3. April 2026
- Portugal: in Kraft seit 3. April 2026
Warum die Länder unterschiedlich weit sind
NIS2 ist eine Richtlinie. Sie richtet sich an die Staaten. Jeder EU-Staat muss sie in eigenes Recht übernehmen.
Die Frist dafür war der 17. Oktober 2024. Viele Staaten waren später. Die Europäische Kommission hat deshalb Verfahren gegen mehrere Staaten eröffnet und einige beim Gerichtshof der EU verklagt.
Pflichten für Unternehmen entstehen erst mit dem nationalen Gesetz. Bis dahin können in einem Land ältere Regeln aus der ersten NIS-Richtlinie weiter gelten.
Art. 41 Abs. 1 NIS 2
Was das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Für Ihr Unternehmen zählt vor allem das Land, in dem es niedergelassen ist. Ist es nur in Deutschland niedergelassen, gilt für Sie das BSI-Gesetz, seit dem 6. Dezember 2025.
Der Tracker hilft, wenn Sie Tochtergesellschaften oder Werke in anderen EU-Staaten haben. Dort entscheidet das Gesetz des jeweiligen Landes, ob und ab wann Pflichten gelten.
Ein Gesetz in Kraft heißt nicht, dass alle Fristen schon abgelaufen sind. Die Frist für die Registrierung legt jedes Land selbst fest.
Welches Land für Ihr Unternehmen zuständig istEin Beispiel
Eine erfundene Firma: ein Hersteller von Verpackungsmaschinen mit 110 Beschäftigten in Deutschland, einem eigenen Werk in Polen und einer Vertriebsgesellschaft in Irland.
Die deutsche GmbH: Maschinenbau steht in Anlage 2 des BSIG, mit 110 Beschäftigten ist sie eine wichtige Einrichtung. Sie registriert sich beim BSI.
Das Werk in Polen ist eine eigene Gesellschaft. Zeigt der Tracker für Polen ein Gesetz in Kraft, prüft die Firma, ob das Werk nach dem polnischen Gesetz betroffen ist und bis wann es sich dort registriert.
Die Vertriebsgesellschaft in Irland stellt selbst nichts her. Ob sie unter NIS2 fällt, hängt von ihrer Tätigkeit ab. Zeigt der Tracker für Irland noch kein Gesetz in Kraft, entstehen dort noch keine Pflichten aus einem irischen NIS2 Gesetz.
Die Firma schaut einmal im Quartal in den Tracker. Den Abstand hat sie selbst gewählt.
So geht das im Durchgang
Der Durchgang auf nisd2.eu nutzt dieselben Daten wie diese Tabelle.
Der Schritt zur Registrierung zeigt für Ihr Land die zuständige Behörde und ihr Portal, aus derselben Liste wie diese Seite.
Er erklärt, in welchem EU-Staat Sie sich registrieren, mit den Ausnahmen für Telekommunikation und digitale Anbieter.
Die Sicherheitsmaßnahmen folgen der Mindestliste der Richtlinie, die in jedem EU-Staat gilt.
Die Erklärungen im Durchgang gibt es auf Deutsch und Englisch.
Seiten zu einzelnen Ländern
CCB (Centre for Cybersecurity Belgium)
Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency
SAMSIK (Styrelsen for Samfundssikkerhed)
RIA (Riigi Infosüsteemi Amet)
Traficom + sector authorities (NCSC-FI as national CSIRT)
ANSSI (Agence nationale de la sécurité des systèmes d'information)
NCSA (National Cyber Security Authority)
NCSC (National Cyber Security Centre)
ACN (Agenzia per la Cybersicurezza Nazionale)
NHCSC-HR (National Cybersecurity Center)
NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV
NKSC (National Cybersecurity Center)
ILR (Institut Luxembourgeois de Régulation)
CIPD (Critical Infrastructure Protection Department)
NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)
Bundesamt für Cybersicherheit
Ministry of Digital Affairs / CSIRTs
CNCS (Centro Nacional de Cibersegurança) + CERT.PT
DNSC (Directoratul Național de Securitate Cibernetică)
NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE
NBÚ (Národný bezpečnostný úrad)
URSIV (Information Security Agency)
CCN-CERT / INCIBE
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)
DSA (Digital Security Authority)
Häufige Fragen
Welche Länder haben NIS2 schon umgesetzt?
Stand 16. Oktober 2026 ist in 24 der 27 EU-Staaten ein nationales NIS2 Gesetz in Kraft. Die Tabelle oben zeigt jedes Land mit Gesetz, Behörde und Stand.
Welche Länder haben NIS2 noch nicht umgesetzt?
Stand 16. Oktober 2026 ist noch kein nationales Gesetz in Kraft in: Frankreich, Irland und Spanien.
Was ist ein CSIRT?
Ein CSIRT (Computer Security Incident Response Team) ist ein Team, das in einem Land Meldungen zu Sicherheitsvorfällen entgegennimmt und bei der Bewältigung hilft. Jeder EU-Staat benennt mindestens eines (Art. 10 NIS 2). In Deutschland ist das CERT-Bund beim BSI.
Wie aktuell ist der Tracker?
Die Tabelle hat den Stand 16. Oktober 2026. Maßgeblich sind die Amtsblätter der einzelnen Länder und die Übersicht der Europäischen Kommission, die unten als Quellen stehen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 10 und 41, EUR-Lex
- Europäische Kommission, Stand der Umsetzung von NIS 2: digital-strategy.ec.europa.eu/en/policies/nis-transposition
- Europäische Kommission, Vertragsverletzungsverfahren wegen fehlender Mitteilung der Umsetzung (Aufforderungsschreiben 28. November 2024, mit Gründen versehene Stellungnahmen 7. Mai 2025, Klagen beim Gerichtshof der EU 8. Juli 2026, IP/26/1499)
- Nationale Amtsblätter, etwa BGBl (DE), Moniteur belge / Belgisch Staatsblad (BE), Gazzetta Ufficiale (IT), BOE (ES), JORF (FR), Sbírka zákonů (CZ)
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
