Luxemburg hat NIS2 mit dem Gesetz vom 5. Mai 2026 umgesetzt, in Kraft seit dem 10. Mai 2026. Es erfasst mittlere und große Unternehmen in achtzehn Sektoren sowie einige Einrichtungen unabhängig von ihrer Größe. Das ILR beaufsichtigt die meisten von ihnen, und betroffene Einrichtungen mussten sich bis zum 10. Juli 2026 registrieren. Erhebliche Sicherheitsvorfälle sind innerhalb von 24 Stunden zu melden, und die Bußgelder reichen bis 10 Mio. EUR oder 2 % des weltweiten Umsatzes.
Dieser Leitfaden behandelt den zeitlichen Ablauf des Gesetzes, den Anwendungsbereich, wesentliche und wichtige Einrichtungen, die zuständigen Aufsichtsstellen, die Registrierung, die zehn Maßnahmen, die Pflichten des Leitungsorgans, die Meldung von Sicherheitsvorfällen, Aufsicht und Bußgelder, die Überschneidungen mit DSGVO und DORA und die nächsten Schritte. Er ist keine Rechtsberatung.
| Luxemburgisches NIS2-Gesetz | |
|---|---|
| Gesetz | Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau (Mémorial A 225), in Kraft seit dem 10. Mai 2026 |
| Zuständige Behörde | ILR für die meisten Sektoren; CSSF für Bankwesen, Finanzmarktinfrastrukturen und die Tätigkeiten, die sie bereits beaufsichtigt |
| CSIRT | CIRCL für die meisten privaten Einrichtungen; GOVCERT.LU für staatliche Stellen und kritische Einrichtungen |
| Registrierung | Artikel 11(4): innerhalb von zwei Monaten nach Inkrafttreten, also bis zum 10. Juli 2026; Änderungen innerhalb von zwei Wochen |
| Sicherheitsmaßnahmen | Artikel 12: zehn Maßnahmen, identisch mit Artikel 21(2) der Richtlinie |
| Leitungsorgan | Artikel 13: billigt die Maßnahmen, überwacht sie, kann verantwortlich gemacht werden, muss geschult werden |
| Meldung von Sicherheitsvorfällen | Artikel 14: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat |
| Bußgelder | Artikel 26: bis 10 Mio. EUR oder 2 % (wesentliche Einrichtungen), 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen); Artikel 25: bis 250.000 EUR für sonstige Pflichten |
Zur Richtlinie selbst lesen Sie den NIS2-Compliance-Leitfaden. Wie CloudSoul das Programm von Anfang bis Ende umsetzt, erfahren Sie unter NIS2-Compliance.
Wann ist NIS2 in Luxemburg in Kraft getreten?
Das Gesetz vom 5. Mai 2026 wurde im Amtsblatt (Mémorial A 225) veröffentlicht und gilt seit dem 10. Mai 2026. Der Gesetzentwurf wurde als Parl.-Dok. 8364 eingebracht. Der vollständige Text steht auf Legilux unter legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo.
Es ersetzt das Gesetz vom 28. Mai 2019 zur Umsetzung von NIS1, das Artikel 30 ausdrücklich aufhebt, und ändert die Gesetze über den elektronischen Geschäftsverkehr, über das Haut-Commissariat à la Protection nationale (HCPN, Hochkommissariat für nationalen Schutz) und über elektronische Kommunikationsnetze und -dienste.
Wenn Sie unter NIS1 Betreiber wesentlicher Dienste waren, fangen Sie nicht bei null an. Artikel 11(1) Nummer 7° übernimmt zuvor benannte Betreiber als wesentliche Einrichtungen. Die Einstufung wird übernommen, Ihr Compliance-Stand nicht. Die Unterschiede zwischen beiden Regimen erläutert NIS1 vs. NIS2: die wichtigsten Unterschiede.
Wer fällt in Luxemburg unter NIS2?
Artikel 1 übernimmt die zweistufige Prüfung der Richtlinie.
Sektor plus Größe. Die Einrichtung muss einer in Anhang I oder Anhang II aufgeführten Art angehören und mindestens ein mittleres Unternehmen im Sinne der Empfehlung 2003/361/EG der Kommission sein.
- Anhang I nennt elf Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung und Weltraum.
- Anhang II nennt sieben sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinen, Kraftwagen und sonstige Fahrzeuge), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschung.
Unabhängig von der Größe. Artikel 1(2) bis (4) erfasst außerdem:
- Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe (TLD) und DNS-Diensteanbieter;
- den einzigen Anbieter eines Dienstes in Luxemburg, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist;
- Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit, die öffentliche Ordnung oder die öffentliche Gesundheit haben oder ein erhebliches Systemrisiko verursachen könnte;
- Einrichtungen, die auf nationaler oder regionaler Ebene kritisch sind;
- Einrichtungen der öffentlichen Verwaltung;
- Einrichtungen, die nach dem Gesetz vom 5. Mai 2026 über die Resilienz kritischer Einrichtungen als kritisch eingestuft sind;
- Einrichtungen, die Domänennamen-Registrierungsdienste erbringen.
Finanzsektor. Finanzunternehmen, die unter DORA (Verordnung (EU) 2022/2554) fallen, unterliegen den gleichwertigen Vorschriften von DORA zum Risikomanagement und zur Meldung von Sicherheitsvorfällen, sodass die entsprechenden Bestimmungen des NIS2-Gesetzes nach Artikel 1(8) für sie nicht gelten. Artikel 1(5) nimmt davon getrennt die Einrichtungen aus, die die Mitgliedstaaten nach Artikel 2(4) DORA vom Anwendungsbereich der Verordnung ausnehmen dürfen. Die Abgrenzung behandeln NIS2 und der Finanzsektor und NIS2, DORA und CER.
Die schnellste erste Prüfung ist der NIS2-Check zum Geltungsbereich, der Sektor und Größe in drei Klicks abfragt. Die Logik des Anwendungsbereichs erklärt Anwendungsbereich von NIS2, was sie für kleinere Unternehmen bedeutet, Gilt NIS2 für KMU.
Ist Ihr Unternehmen eine wesentliche oder eine wichtige Einrichtung?
Artikel 11 entscheidet über die Kategorie, und die Kategorie entscheidet, wie Sie beaufsichtigt werden.
Wesentliche Einrichtungen (Artikel 11(1)) sind unter anderem:
- Einrichtungen nach Anhang I, die die Schwellenwerte für mittlere Unternehmen überschreiten, also große Unternehmen in den elf Sektoren mit hoher Kritikalität;
- qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter, unabhängig von ihrer Größe;
- Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, die mittlere Unternehmen sind;
- Einrichtungen der öffentlichen Verwaltung;
- Einrichtungen, die die zuständige Behörde als wesentlich einstuft, Einrichtungen, die nach dem Resilienzgesetz als kritisch eingestuft sind, und ehemalige Betreiber wesentlicher Dienste nach NIS1.
Wichtige Einrichtungen (Artikel 11(2)) sind alle übrigen betroffenen Einrichtungen einer in Anhang I oder II genannten Art, einschließlich derer, die die Behörde als wichtig einstuft. In der Praxis sind die meisten betroffenen mittleren Unternehmen wichtige Einrichtungen.
Den Vergleich von Pflichten und Aufsicht finden Sie unter wesentliche und wichtige Einrichtungen im Vergleich.
Wer beaufsichtigt NIS2 in Luxemburg?
Das Gesetz benennt jede Stelle und ihre Rolle. Damit wissen Sie genau, mit wem Sie es zu tun haben.
| Stelle | Rolle nach dem Gesetz |
|---|---|
| Institut luxembourgeois de régulation (ILR), die luxemburgische Regulierungsbehörde | Zuständige Behörde für die Sektoren der Anhänge I und II und für kritische Einrichtungen (Artikel 3): führt Inspektionen und Audits durch, erteilt Anweisungen und verhängt Bußgelder |
| Commission de surveillance du secteur financier (CSSF), die luxemburgische Finanzaufsicht | Zuständige Behörde für Bankwesen und Finanzmarktinfrastrukturen sowie für Tätigkeiten in den Bereichen digitale Infrastruktur und Verwaltung von IKT-Diensten, die sie bereits beaufsichtigt (Artikel 3) |
| Haut-Commissariat à la Protection nationale (HCPN) | Zentrale Anlaufstelle für die grenzüberschreitende Zusammenarbeit (Artikel 5) und Behörde für das Cyberkrisenmanagement, die Luxemburg in EU-CyCLONe vertritt (Artikel 6) |
| GOVCERT.LU | CSIRT für staatliche Verwaltungen und Dienststellen, öffentliche Anstalten und kritische Einrichtungen (Artikel 7(1)), betrieben vom HCPN |
| CIRCL | CSIRT für alle übrigen Fälle (Artikel 7(1)) und Koordinator für die Offenlegung von Schwachstellen (Artikel 9), betrieben vom Luxembourg House of Cybersecurity |
Die NIS2-Seite des ILR finden Sie unter ilr.lu/en/sectors/niss/nis-2. Das EU-weite Muster hinter diesen Rollen erläutert die institutionelle Architektur von NIS2.
Das Gesetz ändert außerdem das HCPN-Gesetz und schreibt eine nationale Cybersicherheitsstrategie vor, die mindestens alle fünf Jahre überprüft wird, sowie einen nationalen Reaktionsplan für Cyberkrisen großen Ausmaßes. Hintergründe liefern nationale Cybersicherheitsstrategien nach Artikel 7 und die Kooperationsgruppe, EU-CyCLONe und das CSIRTs-Netzwerk.
Wie registrieren Sie sich beim ILR?
Allgemeine Registrierung (Artikel 11(4)). Einrichtungen mussten der zuständigen Behörde innerhalb von zwei Monaten nach Inkrafttreten des Gesetzes, also bis zum 10. Juli 2026, Folgendes übermitteln:
- den Namen der Einrichtung;
- ihre Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adressen, IP-Adressbereichen und Telefonnummern;
- gegebenenfalls ihren Sektor und Teilsektor nach Anhang I oder II;
- gegebenenfalls die EU-Mitgliedstaaten, in denen sie Dienste erbringt, die in den Anwendungsbereich fallen;
- ihre Größe und gegebenenfalls die Größe ihrer Gruppe.
Jede Änderung ist innerhalb von zwei Wochen zu melden. Das Gesetz verpflichtet die Behörden, eine Selbstregistrierung anzubieten, und das ILR veröffentlicht sein Registrierungsformular auf seiner NIS2-Seite. Die Behörde bestätigt anschließend, ob Sie eine wesentliche oder eine wichtige Einrichtung sind. Die Schritte im Einzelnen finden Sie in NIS2-Registrierung beim ILR.
Wenn Sie betroffen sind und sich nicht registriert haben, holen Sie das jetzt nach. Die Frist ist abgelaufen, und Artikel 25 ahndet einen Verstoß gegen Artikel 11(4) mit einer Verwarnung, einem Verweis oder einem Bußgeld von bis zu 250.000 EUR.
Registrierung im digitalen Sektor (Artikel 17). DNS-Diensteanbieter, Namenregister der Domäne oberster Stufe, Anbieter von Domänennamen-Registrierungsdiensten, Anbieter von Cloud-Computing-Diensten und Rechenzentren, Betreiber von Content-Delivery-Netzwerken, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für soziale Netzwerke übermitteln einen umfangreicheren Datensatz und melden Änderungen daran innerhalb von drei Monaten. Die zentrale Anlaufstelle leitet ihn ohne die IP-Adressbereiche für das EU-Register an die ENISA weiter. Siehe Werden MSPs und MSSPs unter NIS2 reguliert und NIS2 für Cloud und Rechenzentren.
Welche Sicherheitsmaßnahmen verlangt Artikel 12?
Artikel 12 ist der operative Kern. Wesentliche und wichtige Einrichtungen ergreifen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf der Grundlage eines gefahrenübergreifenden Ansatzes. Die zehn Kategorien sind identisch mit Artikel 21(2) der Richtlinie:
- Konzepte in Bezug auf die Risikoanalyse und die Sicherheit von Informationssystemen;
- Bewältigung von Sicherheitsvorfällen;
- Aufrechterhaltung des Betriebs, einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement;
- Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern;
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen;
- Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
- grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit;
- Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
- Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen;
- gegebenenfalls Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme.
Zwei Luxemburger Besonderheiten:
- Wesentliche Einrichtungen melden ihre Maßnahmen. Nach Artikel 12(3) müssen wesentliche Einrichtungen der zuständigen Behörde die ergriffenen Maßnahmen melden, in einer Form und innerhalb einer Frist, die das ILR oder die CSSF per Verordnung oder Rundschreiben festlegt. Rechnen Sie mit einer strukturierten Einreichung, nicht mit einer einzeiligen Bestätigung.
- Bewertungen der Lieferkette zählen. Nach Artikel 12(4) müssen Einrichtungen die Ergebnisse der koordinierten EU-Risikobewertungen kritischer Lieferketten nach Artikel 22 der Richtlinie berücksichtigen.
Jede Maßnahme erläutert die zehn Maßnahmen nach Artikel 21 NIS2. Den gefahrenübergreifenden Ansatz behandelt der All-Hazards-Ansatz, Lieferanten Lieferkettensicherheit unter NIS2. Wenn Sie bereits nach ISO 27001 zertifiziert sind, lässt sich der größte Teil der Arbeit übertragen, wie ISO 27001 vs. NIS2 zeigt.
Was muss das Leitungsorgan tun?
Artikel 13 ist kurz und folgenreich. Die Leitungsorgane wesentlicher und wichtiger Einrichtungen:
- billigen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
- überwachen ihre Umsetzung;
- können für Verstöße gegen Artikel 12 verantwortlich gemacht werden;
- müssen regelmäßig an Schulungen teilnehmen, und die Einrichtung muss ihren Beschäftigten ähnliche Schulungen anbieten.
Cybersicherheit ist damit Chefsache, mit dokumentierter Billigung, Überwachung und Schulungsnachweisen. Wie eine belastbare Governance-Dokumentation aussieht, zeigt Verantwortung der Leitung unter NIS2.
Wie melden Sie einen Sicherheitsvorfall nach dem luxemburgischen NIS2-Gesetz?
Artikel 14 übernimmt die drei Fristen der Richtlinie für erhebliche Sicherheitsvorfälle, die der zuständigen Behörde gemeldet werden:
| Schritt | Frist | Inhalt |
|---|---|---|
| Frühwarnung | Innerhalb von 24 Stunden nach Kenntniserlangung | Ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht, und ob er grenzüberschreitende Auswirkungen haben könnte |
| Meldung | Innerhalb von 72 Stunden | Eine Aktualisierung mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie, soweit verfügbar, Kompromittierungsindikatoren |
| Abschlussbericht | Innerhalb eines Monats nach der Meldung | Ausführliche Beschreibung, Grundursache, ergriffene und laufende Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Wird der Vorfall nach einem Monat noch bearbeitet, übermitteln Sie einen Fortschrittsbericht und dann innerhalb eines Monats nach Abschluss der Bearbeitung den Abschlussbericht. Für Vertrauensdiensteanbieter gilt eine einzige Meldefrist von 24 Stunden. Das ILR bittet die Einrichtungen, Sicherheitsvorfälle über seine Plattform SERIMA zu melden. Was jeder Bericht enthalten muss, samt Vorlage, finden Sie in NIS2-Meldepflicht in Luxemburg.
Ein Sicherheitsvorfall ist nach Artikel 14(3) erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder anderen erhebliche materielle oder immaterielle Schäden zugefügt hat oder zufügen kann. Die Behörde leitet Meldungen an das CSIRT und die zentrale Anlaufstelle weiter und gibt nach Möglichkeit innerhalb von 24 Stunden eine erste Rückmeldung.
Wie Sie die Fristen einhalten, erklärt der NIS2-Zeitplan für die Meldung von Sicherheitsvorfällen, die schwierigste Entscheidung in den ersten 24 Stunden wann ein Sicherheitsvorfall erheblich ist.
Verlangt das luxemburgische Gesetz eine Zertifizierung?
Noch nicht. Artikel 15 erlaubt der zuständigen Behörde, per Verordnung die Verwendung von IKT-Produkten, -Diensten oder -Prozessen vorzuschreiben, die nach europäischen Schemata auf Grundlage des Cybersecurity Act (Verordnung (EU) 2019/881) zertifiziert sind, und fördert qualifizierte Vertrauensdienste. Die Vorschrift zeigt eine Richtung an, begründet heute aber noch keine Pflicht. Wie ISO 27001 hineinpasst, behandelt NIS2, ISO 27001 und Zertifizierungsschemata.
Wie wird NIS2 in Luxemburg beaufsichtigt und durchgesetzt?
Das Gesetz zieht eine klare Linie zwischen den beiden Kategorien.
- Wesentliche Einrichtungen (Artikel 22) unterliegen einer Aufsicht vorab und im Nachhinein: Vor-Ort-Kontrollen, Fernaufsicht einschließlich Stichproben, regelmäßige und gezielte Audits, Ad-hoc-Audits nach erheblichen Sicherheitsvorfällen, Sicherheitsscans und Auskunftsersuchen. Die Behörde kann ein Audit durch eine unabhängige Stelle auf Kosten der Einrichtung verlangen.
- Wichtige Einrichtungen (Artikel 23) unterliegen einer nachträglichen Aufsicht, die in der Regel durch Hinweise auf Verstöße ausgelöst wird.
Beiden drohen Verwarnungen, verbindliche Anweisungen, Anordnungen, Mängel zu beheben oder die Empfänger ihrer Dienste zu informieren, Anordnungen, Auditempfehlungen umzusetzen, die Veröffentlichung von Verstößen und Bußgelder. Bei wesentlichen Einrichtungen kann zudem ein Überwachungsbeauftragter eingesetzt werden, der die Einhaltung der Pflichten überwacht. Nur bei wesentlichen Einrichtungen kann die Behörde, wenn diese Maßnahmen nicht greifen, beim Präsidenten des Bezirksgerichts (Tribunal d’arrondissement) die vorübergehende Aussetzung einer Zertifizierung oder Genehmigung beantragen oder ein vorübergehendes Verbot für den CEO oder gesetzlichen Vertreter, Leitungsaufgaben wahrzunehmen.
Wie Behörden diese Instrumente einsetzen, zeigt NIS2-Durchsetzungsbefugnisse.
Wie hoch sind die NIS2-Bußgelder in Luxemburg?
| Verstoß | Höchstbetrag |
|---|---|
| Maßnahmen nach Artikel 12 oder Meldung nach Artikel 14, wesentliche Einrichtung (Artikel 26) | 10.000.000 EUR oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
| Maßnahmen nach Artikel 12 oder Meldung nach Artikel 14, wichtige Einrichtung (Artikel 26) | 7.000.000 EUR oder 1,4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
| Registrierung (Art. 11(4)), Leitungsorgan (Art. 13(1) und (2)), Zertifizierung (Art. 15), Registrierung im digitalen Sektor (Art. 17), DNS-Daten (Art. 18) (Artikel 25) | 250.000 EUR oder eine Verwarnung oder ein Verweis |
| Zwangsgeld zur Beendigung eines Verstoßes (Artikel 26(7)) | 1.250 EUR pro Tag, begrenzt auf 25.000 EUR je Verstoß |
Die Administration de l’enregistrement, des domaines et de la TVA (AED), die luxemburgische Registrierungs-, Domänen- und Mehrwertsteuerverwaltung, treibt die Bußgelder ein, und vor dem Verwaltungsgericht (tribunal administratif) steht eine Abänderungsklage (recours en réformation) offen. Das Verfahren ist kontradiktorisch: Sie können die Akte einsehen, Stellungnahmen einreichen und sich vertreten lassen.
Bei der Festsetzung eines Bußgelds berücksichtigt die Behörde Schwere und Dauer des Verstoßes, frühere Verstöße, verursachte Schäden, Vorsatz oder Fahrlässigkeit, ergriffene Abhilfemaßnahmen, Zertifizierungen und die Zusammenarbeit. Wiederholte Verstöße, das Versäumnis, erhebliche Sicherheitsvorfälle zu melden oder zu beheben, die Behinderung von Audits und falsche Angaben gelten stets als schwerwiegend (Artikel 22(7)). Die Obergrenzen von 10 Mio. EUR und 7 Mio. EUR erläutert Bußgelder nach NIS2.
Wie greifen das NIS2-Gesetz, die DSGVO und DORA ineinander?
- DSGVO (Artikel 24). Deutet die Aufsicht auf eine Verletzung des Schutzes personenbezogener Daten hin, informiert die NIS2-Behörde unverzüglich die CNPD (Commission nationale pour la protection des données, die luxemburgische Datenschutzbehörde). Verhängt die CNPD für dasselbe Verhalten ein Bußgeld nach Artikel 58(2)(i) DSGVO, können ILR oder CSSF kein zusätzliches NIS2-Bußgeld verhängen, ihre übrigen Maßnahmen aber weiterhin einsetzen. Siehe NIS2 und DSGVO.
- DORA. Für Finanzunternehmen, die unter DORA fallen, gelten die Vorschriften von DORA nach Artikel 1(8) als gleichwertig, sodass die entsprechenden NIS2-Bestimmungen nicht anwendbar sind; für Einrichtungen oder Tätigkeiten, die DORA nicht abdeckt, gilt das NIS2-Gesetz weiter.
- Gleichwertige sektorale Vorschriften (Artikel 1(8)). Wenn ein anderer EU-Rechtsakt mindestens gleichwertige Pflichten zum Risikomanagement und zur Meldung von Sicherheitsvorfällen auferlegt, gelten die entsprechenden Bestimmungen des NIS2-Gesetzes, einschließlich der Aufsicht nach Kapitel 6, nicht.
Branchenleitfäden: Energie, Verkehr, Gesundheitswesen, Cloud und Rechenzentren und MSPs und MSSPs.
Was sollten Sie jetzt tun?
- Klären Sie Anwendungsbereich und Kategorie. Nutzen Sie den NIS2-Check zum Geltungsbereich oder lassen Sie Artikel 1 und Artikel 11 von einem Rechtsbeistand mit Ihren Tätigkeiten abgleichen.
- Bestimmen Sie Ihre Behörde. Im Regelfall das ILR, für Bankwesen, Finanzmarktinfrastrukturen und von der CSSF beaufsichtigte Tätigkeiten die CSSF.
- Registrieren Sie sich oder aktualisieren Sie Ihre Registrierung. Die Frist nach Artikel 11(4) lief am 10. Juli 2026 ab, und Änderungen sind innerhalb von zwei Wochen zu melden. Anbieter im digitalen Sektor übermitteln zusätzlich den Datensatz nach Artikel 17 und aktualisieren ihn innerhalb von drei Monaten nach jeder Änderung.
- Informieren Sie das Leitungsorgan. Dokumentieren Sie seine Billigung der Maßnahmen, seine Überwachung und seine Schulungen nach Artikel 13.
- Richten Sie die Meldung von Sicherheitsvorfällen ein. Bilden Sie Erkennung, Einstufung und Meldung auf die Fristen von 24 Stunden, 72 Stunden und einem Monat ab, und klären Sie, wie Sie SERIMA erreichen.
- Schließen Sie die Lücken nach Artikel 12. Gleichen Sie Ihre Controls mit den zehn Kategorien ab und beginnen Sie mit den schwächsten, meist Lieferanten und MFA.
- Sichern Sie die Nachweise. Zusammenarbeit und nachweisbare Sorgfalt fließen in die Bußgeldberechnung ein. Bauen Sie die Dokumentation deshalb vor dem ersten Audit auf.
Quellen
- Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau (amtlicher Titel: loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, Mémorial A 225), Legilux.
- ILR, NIS-2-Seite, ilr.lu/en/sectors/niss/nis-2.
- Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex, und die NIS2-Seite der Kommission.
- Verordnung (EU) 2022/2554 (DORA) und Empfehlung 2003/361/EG der Kommission zur Definition der KMU.
ILR und CSSF veröffentlichen nach und nach Durchführungsverordnungen und Rundschreiben. Prüfen Sie vor endgültigen operativen Entscheidungen die NIS2-Seite des ILR auf die aktuellen Leitlinien.
Häufige Fragen
Wann ist NIS2 in Luxemburg in Kraft getreten?
Am 10. Mai 2026. Luxemburg hat die Richtlinie mit dem Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau umgesetzt, veröffentlicht im Mémorial unter A 225. Es hebt das Gesetz vom 28. Mai 2019 auf, mit dem NIS1 umgesetzt wurde.
Welche Behörde ist in Luxemburg für NIS2 zuständig?
Für die meisten Sektoren das Institut luxembourgeois de régulation (ILR). Die CSSF ist für Bankwesen und Finanzmarktinfrastrukturen zuständig sowie für Tätigkeiten in den Bereichen digitale Infrastruktur und Verwaltung von IKT-Diensten, die sie bereits beaufsichtigt. CIRCL ist das CSIRT für die meisten privaten Einrichtungen; GOVCERT.LU ist für staatliche Stellen und kritische Einrichtungen zuständig.
Bis wann mussten sich Einrichtungen in Luxemburg für NIS2 registrieren?
Einrichtungen mussten ihre Angaben innerhalb von zwei Monaten nach Inkrafttreten des Gesetzes an die zuständige Behörde übermitteln, also bis zum 10. Juli 2026, und müssen jede Änderung innerhalb von zwei Wochen melden. Das ILR stellt ein Formular zur Selbstregistrierung bereit. Eine unterlassene Registrierung kann mit einem Bußgeld von bis zu 250.000 EUR geahndet werden.
Wie schnell müssen Sie einen Sicherheitsvorfall nach dem luxemburgischen NIS2-Gesetz melden?
Eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach der Meldung. Das ILR bittet die Einrichtungen, über seine Plattform SERIMA zu melden.
Wie hoch sind die NIS2-Bußgelder in Luxemburg?
Bei Verstößen gegen die Maßnahmen nach Artikel 12 oder die Meldepflichten nach Artikel 14 bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und bis zu 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist. Verstöße bei Registrierung, Pflichten des Leitungsorgans und Zertifizierung werden mit Bußgeldern von bis zu 250.000 EUR geahndet, und zusätzlich können Zwangsgelder von bis zu 1.250 EUR pro Tag verhängt werden.
