NIS2-Registrierung beim ILR: wer sich registrieren muss, was einzureichen ist und wie es danach weitergeht

Einrichtungen, die unter das luxemburgische NIS2-Gesetz fallen, müssen sich selbst bei der zuständigen Behörde registrieren, für die meisten Sektoren beim Institut luxembourgeois de régulation (ILR) über dessen Online-Formular zur Selbstregistrierung. Die gesetzliche Frist lief am 10. Juli 2026 ab, zwei Monate nach Inkrafttreten des Gesetzes. Wenn Sie betroffen sind und sich noch nicht registriert haben, holen Sie das jetzt nach. Das ILR bestätigt anschließend, ob Sie eine wesentliche oder eine wichtige Einrichtung sind, und Sie halten Ihre Angaben aktuell.

Dieser Leitfaden behandelt, wer sich registrieren muss, die Frist, die Angaben im Formular, die einzelnen Schritte, was danach geschieht, die gesonderten Regeln für Anbieter im digitalen Sektor und eine Checkliste.

	NIS2-Registrierung in Luxemburg
Rechtsgrundlage	Artikel 11(4) des Gesetzes vom 5. Mai 2026; Artikel 17 für Anbieter im digitalen Sektor
Frist	10. Juli 2026 (zwei Monate nach Inkrafttreten am 10. Mai 2026)
Wo	Das Formular zur Selbstregistrierung des ILR auf guichet.ilr.lu, auf Französisch oder Englisch
Was	Name; Anschrift und Kontaktdaten, einschließlich E-Mail-Adressen, IP-Adressbereichen und Telefonnummern; Sektor und Teilsektor; EU-Länder, in denen Sie Dienste erbringen; Größe
Danach	Das ILR prüft das Formular und bestätigt den Status als wesentliche oder wichtige Einrichtung
Änderungen	Innerhalb von zwei Wochen (innerhalb von drei Monaten für den Datensatz nach Artikel 17)
Ohne Registrierung	Verwarnung, Verweis oder Bußgeld von bis zu 250.000 EUR (Artikel 25)
Fragen	[email protected], (+352) 28 228 228

Wer muss sich beim ILR registrieren?

Jede Einrichtung auf der Liste, die die zuständigen Behörden nach Artikel 11(3) führen müssen: wesentliche Einrichtungen, wichtige Einrichtungen und Einrichtungen, die Domänennamen-Registrierungsdienste erbringen. In der Praxis sind das mittlere und große Unternehmen in den Sektoren der Anhänge I und II sowie die Kategorien, die unabhängig von ihrer Größe erfasst sind. Die vollständige Prüfung des Anwendungsbereichs finden Sie in NIS2 in Luxemburg, und der NIS2-Check zum Geltungsbereich liefert in drei Klicks eine erste Antwort.

Zwei Gruppen fragen oft, ob sie handeln müssen:

• Ehemalige Betreiber wesentlicher Dienste nach NIS1 werden automatisch wesentliche Einrichtungen. Das ILR empfiehlt trotzdem die Selbstregistrierung, damit es die zusätzlichen Angaben erheben kann, die NIS2 verlangt.
• Telekommunikationsbetreiber nach dem Gesetz vom 17. Dezember 2021 über elektronische Kommunikationsnetze und -dienste, die bereits Pflichten zu Sicherheitsmaßnahmen unterliegen, werden vom ILR als wesentliche Einrichtungen registriert, sofern sie sich nicht selbst registrieren.

Die Commission de surveillance du secteur financier (CSSF), die luxemburgische Finanzaufsicht, ist zuständig für Bankwesen, Finanzmarktinfrastrukturen sowie für Tätigkeiten in den Bereichen digitale Infrastruktur und Verwaltung von IKT-Diensten, die sie beaufsichtigt. In diesen Fällen registrieren Sie sich bei der CSSF, nicht beim ILR. Dieser Leitfaden behandelt die Registrierung beim ILR.

Welche Frist galt, und was tun, wenn Sie sie verpasst haben?

Artikel 11(4) gab den Einrichtungen zwei Monate ab Inkrafttreten des Gesetzes. Das Gesetz gilt seit dem 10. Mai 2026, die Frist endete also am 10. Juli 2026. Nach Angaben des ILR bleiben Registrierungen, die vor Inkrafttreten des Gesetzes vorgenommen wurden, gültig, solange die Angaben aktuell sind.

Eine verpasste Frist hebt die Pflicht nicht auf. Registrieren Sie sich jetzt. Nach Artikel 25 kann die zuständige Behörde auf einen Verstoß gegen Artikel 11(4) mit einer Verwarnung, einem Verweis oder einem Bußgeld von bis zu 250.000 EUR reagieren, abgewogen nach den Umständen. Eine späte Registrierung ist besser, als ohne Registrierung entdeckt zu werden.

Welche Angaben verlangt die Registrierung?

Artikel 11(4) verlangt mindestens:

1. den Namen der Einrichtung;
2. ihre Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adressen, IP-Adressbereichen und Telefonnummern;
3. gegebenenfalls ihren Sektor und Teilsektor nach Anhang I oder II;
4. gegebenenfalls die EU-Mitgliedstaaten, in denen sie Dienste erbringt, die in den Anwendungsbereich fallen;
5. ihre Größe und gegebenenfalls die Größe der Gruppe, zu der sie gehört.

Stellen Sie diese Angaben zusammen, bevor Sie das Formular öffnen:

• Kontaktdaten, die auch in einem Jahr noch funktionieren. Nutzen Sie für Sicherheitskontakte funktionsbezogene Adressen und Nummern statt des Postfachs einer einzelnen Person.
• Ihre öffentlichen IP-Adressbereiche. Fragen Sie Ihre Hosting-, Cloud- und Konnektivitätsanbieter, wenn Sie die Liste nicht selbst führen.
• Ihren Sektor und Teilsektor nach Anhang. Verwenden Sie den Wortlaut des Anhangs, nicht Ihre Marketingbeschreibung.
• Beschäftigtenzahl und Finanzkennzahlen für die Einrichtung und gegebenenfalls für die Gruppe, denn die Größe entscheidet, ob Sie betroffen sind und ob Sie eine wesentliche oder eine wichtige Einrichtung sind. Die Größenschwellen erklärt Gilt NIS2 für KMU.

Wie läuft die Registrierung Schritt für Schritt ab?

1. Klären Sie Anwendungsbereich und Behörde. Prüfen Sie, ob Sie betroffen sind und ob das ILR und nicht die CSSF Ihre zuständige Behörde ist.
2. Stellen Sie die fünf Angaben zusammen, für die Einrichtung und ihre Gruppe.
3. Öffnen Sie das Formular zur Selbstregistrierung über die Seite zur Selbstregistrierung des ILR, auf guichet.ilr.lu, auf Französisch oder Englisch.
4. Senden Sie das Formular ab. Bewahren Sie eine Kopie der übermittelten Angaben und das Datum auf.
5. Warten Sie die Prüfung durch das ILR ab. Das ILR prüft jedes Formular und bestätigt den Status der Einrichtung als wesentlich oder wichtig.
6. Halten Sie die Angaben aktuell. Melden Sie jede Änderung innerhalb von zwei Wochen, nachdem sie eingetreten ist.

Was passiert nach der Registrierung?

• Ihr Status wird bestätigt. Wesentliche Einrichtungen unterliegen einer Aufsicht vorab und im Nachhinein, wichtige Einrichtungen einer nachträglichen Aufsicht. Den Unterschied erklärt wesentliche und wichtige Einrichtungen im Vergleich.
• Sie erhalten ein SERIMA-Konto. SERIMA ist die kostenlose Cybersicherheitsplattform, die das ILR gemeinsam mit dem belgischen IBPT und dem luxemburgischen NC3 entwickelt hat. Das ILR richtet die Konten für NIS2-Einrichtungen nach der Registrierung ein.
• Die Meldepflicht für Sicherheitsvorfälle gilt. Erhebliche Sicherheitsvorfälle gehen über das SERIMA-Meldeformular an das ILR: innerhalb von 24 Stunden, dann innerhalb von 72 Stunden, dann innerhalb eines Monats. Das Verfahren und eine Vorlage finden Sie unter NIS2-Meldung von Sicherheitsvorfällen in Luxemburg.
• Wesentliche Einrichtungen berichten jährlich über ihre Maßnahmen. Das ILR verlangt von wesentlichen Einrichtungen eine Beschreibung der bestehenden Maßnahmen, eine Analyse der wichtigsten Cyberrisikoszenarien in Form eines Multiple-Choice-Fragebogens und einen mehrjährigen Aktionsplan. Es kann außerdem die Liste ihrer Abhängigkeiten von direkten Lieferanten anfordern. Die Fristen legt das ILR in seinen Verordnungen fest. Das ILR stellt klar, dass dieser Fragebogen die eigene Risikoanalyse der Einrichtung nach Artikel 12 nicht ersetzt.
• Das Leitungsorgan billigt die Maßnahmen. Nach Artikel 13 muss das Leitungsorgan die Sicherheitsmaßnahmen billigen und überwachen sowie an Schulungen teilnehmen.

Registrieren sich Anbieter im digitalen Sektor anders?

Ja, sie übermitteln nach Artikel 17 einen umfangreicheren Datensatz. Betroffen sind DNS-Diensteanbieter, Namenregister der Domäne oberster Stufe, Anbieter von Domänennamen-Registrierungsdiensten, Anbieter von Cloud-Computing-Diensten und Rechenzentren, Betreiber von Content-Delivery-Netzwerken, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für soziale Netzwerke. Sie übermitteln:

1. den Namen der Einrichtung;
2. ihren Sektor, Teilsektor und die Art der Einrichtung;
3. die Anschrift ihrer Hauptniederlassung und ihrer sonstigen Niederlassungen in der EU oder die ihres Vertreters;
4. aktuelle Kontaktdaten, einschließlich E-Mail-Adressen und Telefonnummern;
5. die Mitgliedstaaten, in denen sie Dienste erbringt;
6. ihre IP-Adressbereiche.

Änderungen sind innerhalb von drei Monaten zu melden. Die zentrale Anlaufstelle leitet die Angaben ohne die IP-Adressbereiche für das EU-Register an die ENISA weiter. Artikel 17(1) übernimmt das Datum der Richtlinie, den 17. Januar 2025, das bei Verabschiedung des Gesetzes bereits verstrichen war. Praktisch gilt deshalb dasselbe: Übermitteln Sie die Angaben jetzt.

Dieselben Anbieter fallen außerdem unter die Durchführungsverordnung (EU) 2024/2690 der Kommission, die detaillierte Sicherheitsanforderungen und die Kriterien für einen erheblichen Sicherheitsvorfall festlegt. Was NIS2 für Anbieter verwalteter Dienste bedeutet, erklärt NIS2 für MSPs und MSSPs.

Checkliste für die NIS2-Registrierung

• Klären Sie, ob Sie betroffen sind und ob das ILR oder die CSSF Ihre zuständige Behörde ist.
• Stellen Sie Name, Kontaktdaten, IP-Adressbereiche, Sektor und Teilsektor, die Länder, in denen Sie Dienste erbringen, sowie die Größe von Einrichtung und Gruppe zusammen.
• Verwenden Sie funktionsbezogene Sicherheitskontakte.
• Reichen Sie das Formular zur Selbstregistrierung des ILR ein und bewahren Sie eine Kopie auf.
• Achten Sie auf die Bestätigung Ihres Status als wesentliche oder wichtige Einrichtung durch das ILR und auf Ihr SERIMA-Konto.
• Richten Sie einen Prozess ein, der Änderungen innerhalb von zwei Wochen meldet (drei Monate für den Datensatz nach Artikel 17).
• Informieren Sie das Leitungsorgan darüber, was die Registrierung in Gang setzt.

Wie CloudSoul die NIS2-Compliance nach der Registrierung umsetzt, erfahren Sie auf der NIS2-Seite.

Quellen

• ILR, Self-registration (Selbstregistrierung), aktualisiert am 6. Juli 2026.
• ILR, Frequently asked questions about NIS2 (häufig gestellte Fragen zu NIS2).
• ILR, Security measures (Sicherheitsmaßnahmen), aktualisiert am 7. August 2026, und SERIMA.
• Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau (amtlicher Titel: loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité), Legilux.

Häufige Fragen