NIS2 wird national durchgesetzt. Jeder Mitgliedstaat benennt eine oder mehrere zuständige Behörden, die Unternehmen beaufsichtigen und Geldbußen verhängen, sowie ein oder mehrere CSIRTs, die Meldungen über Sicherheitsvorfälle entgegennehmen und bei der Reaktion helfen. Die Stellen auf EU-Ebene, also die Kooperationsgruppe, das CSIRTs-Netzwerk, EU-CyCLONe und die ENISA, koordinieren zwischen den Ländern. Keine von ihnen beaufsichtigt Ihr Unternehmen direkt.
Dieser Leitfaden behandelt die nationalen Stellen, die Meldung von Sicherheitsvorfällen, was ein CSIRT für Sie tut, die EU-Stellen, die nationale Strategie, wie Sie Ihre eigene Behörde finden, den Vorschlag von 2026 zur ENISA, was das Recht offen lässt, und eine Checkliste.
| Stelle | Ebene | Aufgabe | Hat ein Unternehmen direkt mit ihr zu tun? |
|---|---|---|---|
| Zuständige Behörde (Art. 8) | National | Beaufsichtigt, prüft, setzt durch, verhängt Geldbußen | Ja: Registrierung, Aufsicht, oft Meldungen von Sicherheitsvorfällen |
| Zentrale Anlaufstelle (Art. 8) | National | Grenz- und sektorübergreifende Verbindungsfunktion | Selten |
| Behörde für das Cyberkrisenmanagement (Art. 9) | National | Bewältigt Cybersicherheitsvorfälle großen Ausmaßes und Krisen | Nur in einer nationalen Krise |
| CSIRT (Art. 10 bis 12) | National | Nimmt Meldungen entgegen, reagiert, warnt, koordiniert die Offenlegung von Schwachstellen | Ja: Sicherheitsvorfälle, Warnungen |
| Kooperationsgruppe (Art. 14) | EU | Strategische Zusammenarbeit, Leitlinien, Risikobewertungen der Lieferkette | Nein; ihre Leitlinien prägen Ihre Behörde |
| CSIRTs-Netzwerk (Art. 15) | EU | Operative Zusammenarbeit zwischen CSIRTs | Nein |
| EU-CyCLONe (Art. 16) | EU | Koordiniert grenzüberschreitende Krisen großen Ausmaßes | Nein |
| ENISA (Art. 12, 18, 27) | EU | Schwachstellendatenbank, Register, Sekretariate, EU-Bericht | Indirekt: Registerdaten laufen über Ihre Behörde |
Wer setzt NIS2 in den einzelnen Ländern durch?
Zuständige Behörden (Artikel 8)
Nach Artikel 8 Absatz 1 benennt oder errichtet jeder Mitgliedstaat eine oder mehrere zuständige Behörden, die für die Cybersicherheit und für die Aufsichtsaufgaben nach Kapitel VII verantwortlich sind.
Diese Stelle registriert Sie, beaufsichtigt Sie und verhängt Geldbußen gegen Sie. Bei wesentlichen Einrichtungen erlaubt Artikel 32 Inspektionen, Stichprobenkontrollen, regelmäßige, gezielte und Ad-hoc-Audits, Sicherheitsscans sowie Anfragen nach Informationen und Nachweisen für die Umsetzung. Wichtige Einrichtungen werden nachträglich beaufsichtigt, wenn Nachweise oder Hinweise auf Verstöße vorliegen (Artikel 33).
Bei wesentlichen Einrichtungen umfassen ihre Durchsetzungsbefugnisse Warnungen, verbindliche Anweisungen, Anordnungen, Maßnahmen mit Artikel 21 in Einklang zu bringen, einen Überwachungsbeauftragten und Geldbußen (Artikel 32 Absatz 4). Bei wichtigen Einrichtungen ist die Liste ähnlich, enthält aber keinen Überwachungsbeauftragten (Artikel 33 Absatz 4). Für Verstöße gegen die Artikel 21 und 23 müssen die Höchstbeträge der Geldbußen (Artikel 34) bei wesentlichen Einrichtungen mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes erreichen, bei wichtigen Einrichtungen mindestens 7 Mio. EUR oder 1,4 %, je nachdem, welcher Betrag höher ist. Siehe NIS2-Bußgelder und Sanktionen.
Die Mitgliedstaaten wählen das Modell. Einige benennen eine sektorübergreifende Behörde, andere belassen die Zuständigkeit bei den Sektorregulierern. Diese Wahl entscheidet, mit wem Sie sprechen; prüfen Sie sie also, bevor Sie etwas voraussetzen. Welcher Mitgliedstaat zuständig ist, regelt Artikel 26, erläutert im Beitrag zu NIS2-Zuständigkeit und Hauptniederlassung.
Die zentrale Anlaufstelle (Artikel 8 Absätze 3 und 4)
Jeder Mitgliedstaat benennt außerdem eine zentrale Anlaufstelle. Gibt es nur eine zuständige Behörde, ist sie zugleich die zentrale Anlaufstelle. Ihre Aufgabe ist die Verbindung: grenzüberschreitende Zusammenarbeit mit den Behörden anderer Mitgliedstaaten und gegebenenfalls mit der Kommission und der ENISA, dazu sektorübergreifende Zusammenarbeit im eigenen Land.
Die Richtlinie macht sie nicht zur Empfängerin Ihrer Meldungen, auch wenn sie diese erhalten kann, wenn sie zugleich die einzige zuständige Behörde ist und in dieser Rolle handelt. Das CSIRT oder die Behörde, die Ihre Meldung erhält, unterrichtet die zentrale Anlaufstelle (Artikel 13 Absatz 3), die bei grenz- oder sektorübergreifenden Sicherheitsvorfällen die relevanten Informationen rechtzeitig erhalten muss (Artikel 23 Absatz 1).
Behörden für das Cyberkrisenmanagement (Artikel 9)
Jeder Mitgliedstaat benennt eine oder mehrere Behörden für die Bewältigung von Cybersicherheitsvorfällen großen Ausmaßes und Krisen, bei mehreren mit einem Koordinator. Er verabschiedet einen nationalen Plan für die Reaktion auf Cybersicherheitsvorfälle großen Ausmaßes und Krisen, der unter anderem Übungen, die Verbindung zum allgemeinen nationalen Krisenmanagement sowie die beteiligten öffentlichen und privaten Interessenträger und Infrastrukturen abdeckt.
In der Praxis begegnet ein Unternehmen dieser Ebene nur in einer nationalen Krise. Wenn Sie Energie-, Telekommunikations- oder Gesundheitsdienste betreiben, können Sie zu den Interessenträgern gehören, die der Plan nennt.
Wem melden Sie einen NIS2-Sicherheitsvorfall?
Ihrem nationalen CSIRT oder gegebenenfalls Ihrer zuständigen Behörde (Artikel 23 Absatz 1). Welche Stelle es ist, entscheidet das nationale Recht, das auch den Meldeweg vorgibt. Die Richtlinie setzt die Fristen: eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Die Stufen beschreibt der Beitrag zu den Meldefristen für Sicherheitsvorfälle nach NIS2.
Gegebenenfalls, insbesondere wenn ein erheblicher Sicherheitsvorfall zwei oder mehr Mitgliedstaaten betrifft, unterrichtet das CSIRT, die zuständige Behörde oder die zentrale Anlaufstelle die anderen betroffenen Mitgliedstaaten und die ENISA (Artikel 23 Absatz 6). Sie melden an Ihr eigenes CSIRT oder Ihre eigene Behörde, und diese gibt die Informationen weiter.
Freiwillige Meldungen sind ebenfalls möglich (Artikel 30): für Einrichtungen im Anwendungsbereich zu Sicherheitsvorfällen, Cyberbedrohungen und Beinahe-Vorfällen über das hinaus, was Artikel 23 verlangt, und für jede andere Einrichtung zu erheblichen Sicherheitsvorfällen, Cyberbedrohungen und Beinahe-Vorfällen.
Was tut ein CSIRT für ein Unternehmen?
Nach Artikel 23 Absatz 5 antwortet die Stelle, die Ihre Frühwarnung erhält, unverzüglich und nach Möglichkeit innerhalb von 24 Stunden mit einer ersten Rückmeldung und auf Ihr Ersuchen mit Hinweisen zu Abhilfemaßnahmen. Das CSIRT leistet auf Ersuchen zusätzliche technische Unterstützung. Hat der Sicherheitsvorfall mutmaßlich kriminellen Charakter, erhalten Sie außerdem Hinweise, wie Sie ihn den Strafverfolgungsbehörden melden.
Artikel 11 Absatz 3 listet die Aufgaben des CSIRT auf. Diese betreffen ein Unternehmen direkt:
- Frühwarnungen, Warnmeldungen und Bekanntmachungen an die betroffenen Einrichtungen;
- Reaktion auf Sicherheitsvorfälle und gegebenenfalls Unterstützung wesentlicher und wichtiger Einrichtungen;
- auf Ihr Ersuchen ein proaktiver Scan Ihrer Netz- und Informationssysteme;
- gegebenenfalls die Rolle als Koordinator für die koordinierte Offenlegung von Schwachstellen (Artikel 12 Absatz 1), beschrieben im Beitrag zur koordinierten Offenlegung von Schwachstellen nach NIS2.
CSIRTs können außerdem öffentlich zugängliche Netz- und Informationssysteme wesentlicher und wichtiger Einrichtungen proaktiv und nicht intrusiv scannen und ihnen mitteilen, was verwundbar oder unsicher konfiguriert ist. Stellen Sie sicher, dass eine solche Warnung jemanden erreicht, der handeln kann.
CSIRTs können innerhalb einer zuständigen Behörde angesiedelt sein (Artikel 10 Absatz 1). In manchen Ländern sind die Stelle, die Ihnen hilft, und die Stelle, die Sie beaufsichtigt, deshalb dieselbe Organisation.
Was tun die EU-Stellen in der NIS2-Architektur?
Die Kooperationsgruppe (Artikel 14)
Sie besteht aus Vertretern der Mitgliedstaaten, der Kommission und der ENISA; die Kommission führt das Sekretariat. Zu ihren Aufgaben gehören Leitlinien für die zuständigen Behörden zur Umsetzung und Durchführung, koordinierte Risikobewertungen kritischer Lieferketten nach Artikel 22, die Festlegung der Methodik für Peer Reviews und die regelmäßige Bewertung von Bedrohungen wie Ransomware. Zwei Wirkungen erreichen Unternehmen: Die Leitlinien der Gruppe prägen, wie Ihre Behörde die Richtlinie auslegt, und Artikel 21 Absatz 3 verpflichtet Sie, die Ergebnisse dieser Lieferkettenbewertungen zu berücksichtigen.
Das CSIRTs-Netzwerk (Artikel 15)
Es besteht aus Vertretern der nationalen CSIRTs und des CERT-EU; die Kommission nimmt als Beobachterin teil, die ENISA führt das Sekretariat. Das Netzwerk tauscht Informationen über Sicherheitsvorfälle, Bedrohungen und Schwachstellen aus, koordiniert auf Ersuchen eines Mitglieds nach Möglichkeit die Reaktion auf einen Sicherheitsvorfall, unterstützt Mitgliedstaaten bei grenzüberschreitenden Sicherheitsvorfällen und unterstützt die Offenlegung von Schwachstellen, die mehrere Mitgliedstaaten betreffen. Es berichtet der Kooperationsgruppe alle zwei Jahre über die operative Zusammenarbeit; der erste Bericht war bis zum 17. Januar 2025 fällig.
EU-CyCLONe (Artikel 16)
Das Europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe) unterstützt das koordinierte Management von Cybersicherheitsvorfällen großen Ausmaßes und Krisen auf operativer Ebene. Mitglieder sind die Behörden für das Cyberkrisenmanagement der Mitgliedstaaten; die Kommission beteiligt sich an seinen Tätigkeiten, wenn ein Cybersicherheitsvorfall großen Ausmaßes erhebliche Auswirkungen auf Dienste im Anwendungsbereich hat oder wahrscheinlich haben wird, und nimmt ansonsten als Beobachterin teil. Die ENISA führt das Sekretariat.
Zu seinen Aufgaben gehören Vorsorge, ein gemeinsames Lagebild, die Bewertung der Auswirkungen und Vorschläge für Abhilfemaßnahmen, die Koordinierung des Krisenmanagements und die Unterstützung politischer Entscheidungen. Es berichtet dem Europäischen Parlament und dem Rat alle 18 Monate; der erste Bericht war bis zum 17. Juli 2024 fällig. Es ist keine Plattform für Bedrohungsinformationen, und Unternehmen können ihm nicht beitreten.
Peer Reviews (Artikel 19)
Die Mitgliedstaaten überprüfen sich gegenseitig; Unternehmen werden nicht überprüft. Die Teilnahme ist freiwillig. Experten, die von mindestens zwei anderen Mitgliedstaaten benannt werden, bewerten zum Beispiel, wie die Artikel 21 und 23 umgesetzt werden und wie leistungsfähig die zuständigen Behörden und CSIRTs sind. Die Kommission und die ENISA nehmen als Beobachter teil, und der überprüfte Mitgliedstaat kann seinen Bericht veröffentlichen.
ENISA
Die Agentur der Europäischen Union für Cybersicherheit hat nach NIS2 festgelegte Aufgaben, von denen keine eine Aufsichtsaufgabe ist:
- Europäische Schwachstellendatenbank (Artikel 12 Absatz 2). Am 13. Mai 2025 als EUVD gestartet. Die Registrierung von Schwachstellen dort ist freiwillig.
- Register digitaler Anbieter (Artikel 27). DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Domänennamen-Registrierungsdiensten, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content-Delivery-Netzwerken, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste sowie Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Netzwerken haben ihre Angaben bis zum 17. Januar 2025 an ihre zuständige Behörde übermittelt; Änderungen sind innerhalb von drei Monaten mitzuteilen. Die zentrale Anlaufstelle leitet die Daten, außer den IP-Adressbereichen, an die ENISA weiter.
- Bericht über den Stand der Cybersicherheit in der Union, alle zwei Jahre, zusammen mit der Kommission und der Kooperationsgruppe (Artikel 18).
Was umfasst die nationale Cybersicherheitsstrategie?
Artikel 7 verpflichtet jeden Mitgliedstaat, eine nationale Cybersicherheitsstrategie mit Zielen, Governance, einem Mechanismus zur Risikobewertung, Vorsorgemaßnahmen und einer Liste der beteiligten Behörden zu verabschieden. Artikel 7 Absatz 2 ergänzt zehn Konzepte: Sicherheit der IKT-Lieferkette; Cybersicherheitsanforderungen in der öffentlichen Beschaffung; Management von Schwachstellen und koordinierte Offenlegung; der öffentliche Kern des offenen Internets; fortgeschrittene Technologien; Bildung, Kompetenzen, Sensibilisierung und Forschung; Unterstützung von Hochschul- und Forschungseinrichtungen; freiwilliger Informationsaustausch; das Grundniveau an Cyberresilienz und Cyberhygiene von KMU; und aktiver Cyberschutz. Die Strategien werden mindestens alle fünf Jahre bewertet.
Für ein Unternehmen erklärt die Strategie, woher Sicherheitsanforderungen in der öffentlichen Beschaffung und die nationale Unterstützung für KMU kommen. Für sich allein begründet sie keine Pflichten für Sie.
Wie finden Sie Ihre zuständige Behörde und Ihr CSIRT?
Jeder Mitgliedstaat muss die Identität seiner zuständigen Behörde veröffentlichen, und die Kommission veröffentlicht eine Liste der zentralen Anlaufstellen (Artikel 8 Absatz 6). In der Praxis:
- Klären Sie für jede Einrichtung Ihrer Gruppe, welcher Mitgliedstaat zuständig ist (Artikel 26).
- Lesen Sie das Umsetzungsgesetz dieses Landes: Es nennt die zuständige Behörde, etwaige Sektorbehörden und das CSIRT.
- Finden Sie den Registrierungsweg und prüfen Sie, ob Sie registriert sind. Änderungen Ihrer Angaben sind unverzüglich und innerhalb von zwei Wochen mitzuteilen (Artikel 3 Absatz 4).
- Finden Sie den Meldeweg für Sicherheitsvorfälle: Portal, Formular oder Adresse, und wer ein Konto braucht.
- Notieren Sie den Kontakt des CSIRT für technische Hilfe und den Koordinator für Schwachstellenmeldungen.
- Nehmen Sie die Datenschutzaufsichtsbehörde auf, denn eine Verletzung des Schutzes personenbezogener Daten wird gesondert nach der DSGVO gemeldet.
Beispiel Luxemburg. Die ILR gibt an, dass sie die zuständige Behörde für die Sektoren der Anhänge I und II und für kritische Einrichtungen ist. Die Registrierung bei der ILR war bis zum 10. Juli 2026 fällig, und von der ILR beaufsichtigte Einrichtungen melden Sicherheitsvorfälle über das Online-Formular SERIMA. CIRCL ist das CERT für den Privatsektor, die Gemeinden und nichtstaatliche Einrichtungen sowie der nationale Koordinator für die Offenlegung von Schwachstellen. GOVCERT.LU ist für Sicherheitsvorfälle zuständig, die staatliche Systeme und Betreiber kritischer Infrastrukturen betreffen. Das vollständige Bild finden Sie im Beitrag zu NIS2 in Luxemburg.
Halten Sie die Antworten an einem Ort fest, neben dem Plan zur Reaktion auf Sicherheitsvorfälle. Die Zugangsdaten für das Portal sucht man vor dem Sicherheitsvorfall, nicht währenddessen.
NIS2-KONTAKTKARTE BEHÖRDEN (alle sechs Monate prüfen)
Juristische Person:
Zuständiger Mitgliedstaat (Art. 26):
Wesentlich oder wichtig:
Zuständige Behörde:
Registrierungsnummer und Portal:
Kontakt für die Aufsicht:
Sektorbehörde, falls vorhanden:
Meldungen von Sicherheitsvorfällen an: CSIRT / zuständige Behörde
Meldeweg (Portal, Formular, E-Mail):
Kontoinhaber (zwei benannte Personen):
Notfall-Telefonnummer:
Letzter Test des Meldewegs: Datum, Ergebnis
CSIRT für technische Hilfe:
Koordinator Offenlegung von Schwachstellen (Art. 12 Abs. 1):
Datenschutzaufsichtsbehörde (DSGVO-Verletzungen):Was würde der Vorschlag vom Januar 2026 für die ENISA ändern?
Am 20. Januar 2026 hat die Kommission gezielte Änderungen an NIS2 (COM(2026) 13) und einen überarbeiteten Rechtsakt zur Cybersicherheit (COM(2026) 11) vorgeschlagen. Stand September 2026 sind beide Vorschläge, kein geltendes Recht, und können sich noch ändern, bevor sich das Europäische Parlament und der Rat einigen. Nach COM(2026) 13:
- Das Register der ENISA würde alle wesentlichen und wichtigen Einrichtungen sowie Domänennamen-Registrierungsdienste erfassen, nicht nur die aufgeführten digitalen Anbieter (geänderter Artikel 27 Absatz 1).
- Nach einem neuen Artikel 37a würde die ENISA die Mitgliedstaaten bei der gegenseitigen Amtshilfe für Einrichtungen unterstützen, die Dienste in mehr als einem Mitgliedstaat erbringen, eine jährlich aktualisierte grenzüberschreitende Bewertung der Cybersicherheitsrisiken erstellen und den zuständigen Behörden die Einrichtung gemeinsamer Prüfteams empfehlen.
- Die ENISA würde Mitglied des CSIRTs-Netzwerks (geänderter Artikel 15 Absatz 2).
Nach COM(2026) 11 würde die ENISA laut Kommission frühzeitige Warnungen zu Cyberbedrohungen und Sicherheitsvorfällen herausgeben, bei der Eindämmung von Ransomware helfen, einen gemeinsamen EU-Dienst für das Schwachstellenmanagement entwickeln und den im digitalen Omnibus vorgeschlagenen einheitlichen Zugangspunkt für die Meldung von Sicherheitsvorfällen betreiben. Die Kommission beziffert die Budgeterhöhung auf mehr als 75 %.
Im vorgeschlagenen Text unterstützt und empfiehlt die ENISA; die Aufsicht bleibt bei den zuständigen Behörden. Wenn Sie Dienste in mehreren Mitgliedstaaten betreiben, sollten Sie diesen Teil verfolgen.
Was das Recht offen lässt
Die Richtlinie benennt die Rollen, nicht, wer in Ihrem Unternehmen mit welcher Stelle über welches Konto spricht, sonntags um 3 Uhr morgens. In der Praxis hat ein Unternehmen im Anwendungsbereich meist mit drei Stellen zu tun: der zuständigen Behörde, dem CSIRT und der Datenschutzaufsichtsbehörde.
Zwei Lücken tauchen immer wieder auf. Erstens veralten Registrierungsdaten. Kontakte, IP-Adressbereiche und die Länder, in denen Sie Dienste erbringen, ändern sich schneller, als jemand die Angaben bei der Behörde aktualisiert, obwohl das Gesetz Aktualisierungen unverzüglich und innerhalb von zwei Wochen verlangt, bei Registereinträgen innerhalb von drei Monaten. Zweitens kommen Warnungen des CSIRT an und versanden. Ein CSIRT kann Ihre öffentlichen Systeme scannen und Sie auf einen verwundbaren Dienst hinweisen, aber erst ein überwachtes Postfach und ein Asset-Verzeichnis, das jeden IP-Adressbereich einem Verantwortlichen zuordnet, machen aus dieser Warnung eine Behebung.
Beide Lücken zu schließen ist operative Arbeit: ein Asset-Verzeichnis, abgeglichen mit dem, was Sie registriert haben, ein getesteter Meldeweg mit benannten Personen und aktuelle Nachweise Ihrer Maßnahmen für den Fall, dass die Behörde nach den Artikeln 32 und 33 danach fragt. Diese Art von Arbeit automatisiert die CloudSoul Plattform, wobei eine Person die Ausnahmen prüft. Das umfassendere Programm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste zu den NIS2-Behörden
- Klären Sie für jede Einrichtung Ihrer Gruppe den zuständigen Mitgliedstaat.
- Benennen Sie Ihre zuständige Behörde, Ihr CSIRT, eine etwaige Sektorbehörde und die Datenschutzaufsichtsbehörde.
- Prüfen Sie Ihre Registrierung und tragen Sie die Zwei-Wochen-Regel für Änderungen in den Kalender ein.
- Speichern Sie den Meldeweg für Sicherheitsvorfälle und testen Sie den Zugang mit zwei benannten Personen.
- Nehmen Sie die Kontaktkarte der Behörden in den Plan zur Reaktion auf Sicherheitsvorfälle auf.
- Leiten Sie Warnungen des CSIRT an ein überwachtes Postfach mit einem benannten Verantwortlichen.
- Gleichen Sie Ihre registrierten IP-Adressbereiche mit Ihrer tatsächlichen externen Präsenz ab.
- Wenn Sie in mehreren Mitgliedstaaten tätig sind, verfolgen Sie COM(2026) 13 und COM(2026) 11.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 3, 7 bis 16, 18, 19, 21, 23, 26, 27, 30 und 32 bis 34, EUR-Lex; Artikeltext auch auf nis-2-directive.com.
- Vorschlag für eine Richtlinie zur Änderung der Richtlinie (EU) 2022/2555, COM(2026) 13, 20. Januar 2026, EUR-Lex.
- Europäische Kommission, Rechtsakt zur Cybersicherheit und Cybersicherheitspaket: Fragen und Antworten, zu COM(2026) 11.
- Europäische Kommission, NIS-Kooperationsgruppe.
- ENISA, CSIRTs-Netzwerk, EU-CyCLONe und Start der europäischen Schwachstellendatenbank, 13. Mai 2025.
- ILR, NIS und Meldung von Sicherheitsvorfällen; CIRCL; GOVCERT.LU.
Häufige Fragen
Wer setzt NIS2 durch?
Die nationalen zuständigen Behörden, die jeder Mitgliedstaat nach Artikel 8 benennt. Sie beaufsichtigen wesentliche und wichtige Einrichtungen und können Warnungen aussprechen, verbindliche Anweisungen erteilen und Geldbußen verhängen. Die EU-Stellen koordinieren zwischen den Ländern, beaufsichtigen aber keine Unternehmen.
Wem melden Sie einen NIS2-Sicherheitsvorfall?
Ihrem nationalen CSIRT oder gegebenenfalls Ihrer zuständigen Behörde (Artikel 23 Absatz 1). Die Empfangsstelle antwortet unverzüglich und nach Möglichkeit innerhalb von 24 Stunden nach der Frühwarnung, und das CSIRT leistet auf Ihr Ersuchen zusätzliche technische Unterstützung.
Was ist die zentrale Anlaufstelle nach NIS2?
Eine nationale Stelle mit Verbindungsfunktion: Sie gewährleistet die grenzüberschreitende Zusammenarbeit mit den Behörden anderer Mitgliedstaaten und gegebenenfalls mit der Kommission und der ENISA sowie die sektorübergreifende Zusammenarbeit im eigenen Land (Artikel 8 Absatz 4). Hat ein Mitgliedstaat nur eine zuständige Behörde, ist diese zugleich die zentrale Anlaufstelle.
Was ist EU-CyCLONe?
Das Europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen, eingerichtet durch Artikel 16. Es bringt die Behörden für das Cyberkrisenmanagement der Mitgliedstaaten zusammen, um die Bewältigung von Cybersicherheitsvorfällen großen Ausmaßes und Krisen zu koordinieren. Unternehmen treten ihm nicht bei und melden ihm nichts.
Beaufsichtigt die ENISA Unternehmen nach NIS2?
Nein. Die ENISA führt ein Register bestimmter digitaler Anbieter, betreibt die europäische Schwachstellendatenbank und stellt das Sekretariat für das CSIRTs-Netzwerk und EU-CyCLONe. Ein Vorschlag der Kommission vom Januar 2026 würde ihr eine größere koordinierende Rolle geben, doch es handelt sich um einen Vorschlag, nicht um geltendes Recht.
