NIS2-Zuständigkeit: Welcher Mitgliedstaat Sie beaufsichtigt und wie die Regel der Hauptniederlassung funktioniert

Die Zuständigkeit nach NIS2 folgt einer Grundregel in Artikel 26: Sie werden von dem Mitgliedstaat beaufsichtigt, in dem Sie niedergelassen sind. Es gibt drei Ausnahmen. Anbieter öffentlicher Telekommunikation unterstehen jedem Mitgliedstaat, den sie bedienen. Cloud-, Rechenzentrums-, DNS- und Plattformanbieter sowie Anbieter verwalteter Dienste unterstehen dem Mitgliedstaat ihrer Hauptniederlassung. Die öffentliche Verwaltung untersteht dem Mitgliedstaat, der sie eingerichtet hat.

Dieser Leitfaden behandelt die Grundregel, die drei Ausnahmen, die Bestimmung der Hauptniederlassung, Anbieter verwalteter Dienste, Anbieter außerhalb der EU, die Amtshilfe, Konzerne in mehreren Ländern und eine Checkliste.

Art der Einrichtung	Zuständiger Mitgliedstaat	NIS2
Die meisten wesentlichen und wichtigen Einrichtungen	Jeder Mitgliedstaat, in dem die Einrichtung niedergelassen ist	Art. 26 Abs. 1
Öffentliche elektronische Kommunikationsnetze und -dienste	Jeder Mitgliedstaat, in dem der Anbieter seine Dienste erbringt	Art. 26 Abs. 1 Buchst. a
DNS, TLD-Namenregister, Domänennamen-Registrierung, Cloud, Rechenzentren, CDN, MSP, MSSP, Online-Marktplätze, Suchmaschinen, soziale Netzwerke	Ein einziger: der Mitgliedstaat der Hauptniederlassung in der EU	Art. 26 Abs. 1 Buchst. b, Abs. 2
Einrichtungen der öffentlichen Verwaltung	Der Mitgliedstaat, der sie eingerichtet hat	Art. 26 Abs. 1 Buchst. c
Diese digitalen Anbieter, wenn sie nicht in der EU niedergelassen sind	Der Mitgliedstaat, in dem ihr Vertreter in der EU niedergelassen ist	Art. 26 Abs. 3

Welcher Mitgliedstaat ist nach NIS2 zuständig?

Nach Artikel 26 Absatz 1 unterliegen die erfassten Einrichtungen der Zuständigkeit des Mitgliedstaats, in dem sie niedergelassen sind. Für die meisten Unternehmen ist die Prüfung damit abgeschlossen.

Nach Erwägungsgrund 114 setzt eine Niederlassung die effektive Ausübung einer Tätigkeit durch eine feste Einrichtung voraus; ob Zweigniederlassung oder Tochtergesellschaft, die Rechtsform ist nicht ausschlaggebend. Es kommt nicht darauf an, wo sich die Netz- und Informationssysteme physisch befinden: Ein Serverraum im Ausland verlagert Ihre Zuständigkeit nicht schon für sich allein.

Eine Einrichtung ist eine nach dem nationalen Recht ihres Niederlassungsorts geschaffene und anerkannte Person (Artikel 6 Nummer 38), jede Tochtergesellschaft ist also eine eigene Einrichtung. Ist eine Einrichtung in mehr als einem Mitgliedstaat niedergelassen oder erbringt sie dort Dienste, sollte sie nach Erwägungsgrund 113 der gesonderten und parallelen Zuständigkeit jedes dieser Mitgliedstaaten unterliegen.

Bei einem Hersteller entscheidet das größte Werk nichts: Ein Kriterium der „Hauptproduktionsstätte“ gibt es nicht. Die Regel der Hauptniederlassung gilt nur für die digitalen Anbieter nach Artikel 26 Absatz 1 Buchstabe b.

Welche drei Ausnahmen gibt es?

Anbieter öffentlicher elektronischer Kommunikation

Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste unterliegen der Zuständigkeit jedes Mitgliedstaats, in dem sie ihre Dienste erbringen (Artikel 26 Absatz 1 Buchstabe a). Ein Mobilfunkbetreiber, der in drei Ländern tätig ist, hat es mit drei Behörden zu tun.

Digitale Infrastruktur und digitale Anbieter

DNS-Diensteanbieter, TLD-Namenregister, Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste sowie Online-Marktplätze, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke unterstehen dem Mitgliedstaat ihrer Hauptniederlassung in der Union (Artikel 26 Absatz 1 Buchstabe b). Erwägungsgrund 114 nennt den Grund: Ihre Dienste sind naturgemäß grenzüberschreitend, deshalb sollte nur ein Mitgliedstaat zuständig sein. Die Einzelheiten zum Sektor stehen in NIS2 für Cloud, Rechenzentren und digitale Infrastruktur.

Öffentliche Verwaltung

Einrichtungen der öffentlichen Verwaltung unterliegen der Zuständigkeit des Mitgliedstaats, der sie eingerichtet hat (Artikel 26 Absatz 1 Buchstabe c), unabhängig davon, wo sie tätig sind.

Wie wird die Hauptniederlassung bestimmt?

Artikel 26 Absatz 2 sieht drei Kriterien vor, die in dieser Reihenfolge gelten:

1. Der Mitgliedstaat, in dem die Entscheidungen im Zusammenhang mit den Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden.
2. Lässt sich dieser nicht bestimmen oder werden diese Entscheidungen nicht in der Union getroffen: der Mitgliedstaat, in dem die Cybersicherheitsmaßnahmen durchgeführt werden.
3. Lässt sich auch dieser nicht bestimmen: der Mitgliedstaat, in dem die Einrichtung die Niederlassung mit den meisten Beschäftigten in der Union hat.

Das erste Kriterium stellt auf die tatsächlichen Verhältnisse ab, nicht auf den eingetragenen Sitz. Prüfen Sie in der Praxis, wer die Maßnahmen nach Artikel 21 genehmigt, wo die Leitung der Informationssicherheit sitzt und wo über das Budget entschieden wird. Nach Artikel 20 müssen die Leitungsorgane diese Maßnahmen billigen, daher sind ihre Protokolle der erste Nachweis. Das zweite Kriterium greift, wenn eine Muttergesellschaft außerhalb der EU entscheidet.

Wo werden Anbieter verwalteter Dienste nach NIS2 beaufsichtigt?

In einem einzigen Mitgliedstaat. MSP und MSSP stehen in Anhang I (Verwaltung von IKT-Diensten, Business-to-Business) und folgen der Regel der Hauptniederlassung nach Artikel 26 Absatz 1 Buchstabe b, unabhängig davon, wo ihre Kunden sind. Ob Sie erfasst sind, was gilt und welche Schwellenwerte für Sicherheitsvorfälle bei verwalteten Diensten gelten, steht in NIS2 für MSP und MSSP.

Diese Anbieter übermitteln außerdem Angaben für das EU-weite Register der ENISA (Artikel 27), darunter ihre Hauptniederlassung und ihre sonstigen Niederlassungen in der EU oder ihren Vertreter sowie die Mitgliedstaaten, in denen sie Dienste erbringen. Die erste Frist war der 17. Januar 2025; Änderungen sind innerhalb von drei Monaten mitzuteilen.

Was gilt, wenn ein Anbieter nicht in der EU niedergelassen ist?

Ein Anbieter einer in Artikel 26 Absatz 1 Buchstabe b genannten Art, der nicht in der Union niedergelassen ist, dort aber Dienste anbietet, muss „einen Vertreter in der Union“ benennen (Artikel 26 Absatz 3). Der Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen die Dienste angeboten werden, und dieser Mitgliedstaat ist zuständig. Behörden und CSIRTs können sich anstelle der Einrichtung selbst an den Vertreter wenden (Artikel 6 Nummer 34).

Ohne Vertreter kann jeder Mitgliedstaat, in dem die Einrichtung Dienste erbringt, wegen Verstoßes gegen die Richtlinie rechtlich gegen sie vorgehen. Die Benennung schützt die Einrichtung nicht: Rechtliche Schritte gegen die Einrichtung selbst bleiben möglich (Artikel 26 Absatz 4).

Dienste anbieten setzt eine Absicht voraus, nicht bloße Reichweite. Nach Erwägungsgrund 116 genügt es nicht, dass eine Website in der Union lediglich zugänglich ist; die Sprache oder Währung eines Mitgliedstaats mit der Möglichkeit, in dieser Sprache zu bestellen, ist ein Anhaltspunkt.

Der Vorschlag der Kommission vom 20. Januar 2026, COM(2026) 13, würde die Pflicht zur Benennung eines Vertreters auf jede wesentliche oder wichtige Einrichtung ausweiten, die nicht in der EU niedergelassen ist. Außerdem würde er Luftfahrtunternehmen dem Mitgliedstaat zuordnen, dessen Genehmigungsbehörde ihre Betriebsgenehmigung erteilt hat. Beides sind Vorschläge, kein geltendes Recht.

Kann ein anderer Mitgliedstaat Sie trotzdem beaufsichtigen?

Ja, über die Zusammenarbeit der Behörden. Erbringt eine Einrichtung Dienste in mehreren Mitgliedstaaten oder stehen ihre Systeme in einem Mitgliedstaat und bedient sie einen anderen, verpflichtet Artikel 37 die Behörden zur Zusammenarbeit. Mindestens gilt:

1. eine Behörde, die Aufsichts- oder Durchsetzungsmaßnahmen ergreift, unterrichtet und konsultiert die anderen über die zentrale Anlaufstelle;
2. eine Behörde kann eine andere ersuchen, Aufsichts- oder Durchsetzungsmaßnahmen zu ergreifen;
3. auf begründetes Ersuchen leistet eine Behörde Amtshilfe in einem ihren Ressourcen angemessenen Umfang, einschließlich Auskunftsersuchen, Kontrollen und gezielter Sicherheitsprüfungen.

Ablehnen darf sie nur aus eng begrenzten Gründen, etwa wegen fehlender Zuständigkeit oder aus Gründen der nationalen Sicherheit. Gemeinsame Aufsichtsmaßnahmen sind im gegenseitigen Einvernehmen möglich (Artikel 37 Absatz 2).

Für die digitalen Anbieter geht Artikel 26 Absatz 5 weiter. Ein Mitgliedstaat, der ein Amtshilfeersuchen erhält, kann im Rahmen dieses Ersuchens Aufsichts- und Durchsetzungsmaßnahmen gegen einen Anbieter ergreifen, der in seinem Hoheitsgebiet Dienste anbietet oder dort über ein Netz- und Informationssystem verfügt. Erwägungsgrund 113 fügt hinzu, dass die Mitgliedstaaten Durchsetzungsmaßnahmen oder Sanktionen für dasselbe Verhalten nicht mehr als einmal verhängen sollten.

Meldungen über Sicherheitsvorfälle gehen an das CSIRT oder die zuständige Behörde des zuständigen Mitgliedstaats (Artikel 23 Absatz 1). Betrifft ein Sicherheitsvorfall zwei oder mehr Mitgliedstaaten, unterrichtet diese Stelle die anderen und gegebenenfalls die ENISA (Artikel 23 Absatz 6).

Wie funktioniert die NIS2-Zuständigkeit für Konzerne in mehreren Ländern?

NIS2 sieht keine Registrierung auf Konzernebene vor. Anwendungsbereich und Zuständigkeit werden für jede Einrichtung gesondert beurteilt, mit einer Besonderheit: Für die digitalen Anbieter nach Artikel 26 Absatz 1 Buchstabe b gilt nach Erwägungsgrund 114, dass bei Diensten, die eine Unternehmensgruppe erbringt, die Hauptniederlassung des beherrschenden Unternehmens als Hauptniederlassung der Gruppe gilt. Bei der Größe zählt die Gruppe: Nach der Empfehlung 2003/361/EG werden die Daten verbundener und Partnerunternehmen zusammengerechnet, sodass eine Tochtergesellschaft mit 40 Beschäftigten in einem großen Konzern in der Regel kein kleines Unternehmen ist. Siehe den Leitfaden zum NIS2-Anwendungsbereich.

Vier Beispiele mit den Mitgliedstaaten A, B und C:

• Maschinenbauer. Muttergesellschaft in A, Tochtergesellschaft in B, Vertriebsniederlassung der Muttergesellschaft in C. Die Muttergesellschaft registriert sich in A, die Tochtergesellschaft in B. Die Niederlassung ist eine feste Einrichtung der Muttergesellschaft, deshalb spricht Erwägungsgrund 113 auch für eine parallele Zuständigkeit von C. Prüfen Sie die Registrierungsregeln in C.
• Anbieter verwalteter Dienste, ein Unternehmen, Büros in A, B und C. Die Geschäftsführung in A genehmigt die Sicherheitsrichtlinie, das Team für den Sicherheitsbetrieb sitzt in B, die meisten Beschäftigten arbeiten in C. Die Hauptniederlassung liegt in A, das die Aufsicht führt. B und C können auf ein Amtshilfeersuchen hin tätig werden.
• Telekommunikationsbetreiber, der A, B und C bedient. Alle drei sind zuständig.
• Cloud-Anbieter außerhalb der EU, der in der Sprache und Währung von A verkauft. Er muss einen Vertreter in einem Mitgliedstaat benennen, in dem er Dienste anbietet. Bis er das tut, kann jeder dieser Mitgliedstaaten tätig werden.

Nationale Gesetze greifen diese Regeln auf: siehe NIS2 in Deutschland und NIS2 in Belgien.

Die Umsetzung ist uneinheitlich. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie keine Umsetzungsmaßnahmen mitgeteilt hatten. Ist eine Ihrer Einrichtungen dort niedergelassen, prüfen Sie den aktuellen Stand auf der Umsetzungsseite der Kommission und bei der nationalen Behörde.

Was Artikel 26 offenlässt und wie Sie die Lücke schließen

Artikel 26 knüpft an Tatsachen an, ohne zu sagen, wie sie nachzuweisen sind: Wann Entscheidungen überwiegend getroffen werden, ist nicht definiert. Ein Konzern mit einem einheitlichen Sicherheitsprogramm muss trotzdem jeder Behörde zeigen, dass die jeweilige Einrichtung die Maßnahmen gebilligt und umgesetzt hat, denn Artikel 20 legt diese Pflicht dem Leitungsorgan jeder einzelnen Einrichtung auf.

Sinnvoll ist ein Zuständigkeitsnachweis je juristischer Person, der bei jeder organisatorischen Änderung überprüft wird:

NIS2-ZUSTÄNDIGKEITSNACHWEIS (einer je juristischer Person)

Name und Registernummer der Einrichtung:
Mitgliedstaat der Gründung:
Weitere Niederlassungen (Zweigniederlassungen, Büros), je Mitgliedstaat:
Mitgliedstaaten, in denen Dienste erbracht werden:
Sektor, Teilsektor und Art der Einrichtung (Anhang I oder II):
Größe, inkl. verbundener und Partnerunternehmen:
Wesentlich oder wichtig:
Angewandte Regel:
  [ ] Art. 26 Abs. 1           Niederlassung
  [ ] Art. 26 Abs. 1 Buchst. a Ort der Diensterbringung
  [ ] Art. 26 Abs. 1 Buchst. b Hauptniederlassung
  [ ] Art. 26 Abs. 1 Buchst. c öffentliche Verwaltung
  [ ] Art. 26 Abs. 3           Vertreter in der EU
Bestimmung der Hauptniederlassung (nur Art. 26 Abs. 1 Buchst. b):
  1. Wo die Entscheidungen nach Art. 21 überwiegend fallen:
     Nachweise (Protokolle der Geschäftsführung, Genehmigungen, Rollen):
  2. Wo die Cybersicherheitsmaßnahmen durchgeführt werden:
  3. Niederlassung mit den meisten Beschäftigten in der EU:
Zuständige Behörde und CSIRT, je Mitgliedstaat:
Registrierungsnummer und -datum, je Mitgliedstaat:
Verantwortlich und nächster Überprüfungstermin:

Schwieriger sind die Nachweise. Ordnen Sie in der Praxis jedes Control und jeden Nachweis der Einrichtung und dem Land zu, die er abdeckt, damit ein einziges Programm jeder Behörde antwortet. Die CloudSoul-Plattform sammelt diese Nachweise laufend aus den Systemen, und eine Person prüft die Ausnahmen. Wenn Sie noch nicht sicher sind, welche Einrichtungen erfasst sind, beginnen Sie mit dem NIS2-Anwendungsbereichsprüfer. Das gesamte Programm finden Sie auf der Seite zur NIS2-Compliance.

Checkliste zur NIS2-Zuständigkeit

• Erfassen Sie jede juristische Person der Gruppe, ihre Niederlassungen und die Länder, in denen sie Dienste erbringt.
• Prüfen Sie den Anwendungsbereich je Einrichtung und rechnen Sie bei der Größe verbundene und Partnerunternehmen mit.
• Halten Sie fest, welche Regel aus Artikel 26 für jede Einrichtung gilt und warum.
• Dokumentieren Sie bei digitalen Anbietern die Bestimmung der Hauptniederlassung mit Protokollen der Geschäftsführung und Rollen.
• Registrieren Sie jede Einrichtung bei ihrer Behörde; aufgeführte Anbieter ohne Niederlassung in der EU benennen einen Vertreter.
• Nennen Sie in Ihrem Verfahren für Sicherheitsvorfälle das CSIRT für jeden zuständigen Mitgliedstaat.
• Überprüfen Sie den Nachweis nach jeder Umstrukturierung, jeder Übernahme und jedem Umzug des Sicherheitsteams.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 3, 6, 20, 23, 26, 27 und 37 sowie Erwägungsgründe 113 bis 116, EUR-Lex.
• Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, EUR-Lex.
• Vorschlag für eine Richtlinie zur Änderung der Richtlinie (EU) 2022/2555, COM(2026) 13, 20. Januar 2026, EUR-Lex.
• Europäische Kommission, Klage vor dem Gerichtshof gegen Irland, Spanien, Frankreich und die Niederlande, 8. Juli 2026, Digital Strategy.
• Europäische Kommission, Umsetzung von NIS2 in den EU-Ländern, Digital Strategy.

Häufige Fragen