Eine ungleichmäßige Landkarte
Im Mai 2026 hatten 23 von 27 Mitgliedstaaten NIS2 in nationales Recht umgesetzt. Zur verbleibenden Gruppe gehören Spanien mit einer teilweisen Umsetzung sowie Bulgarien, Polen und Slowenien. Die Europäische Kommission hat sieben Mitgliedstaaten wegen fehlender Umsetzung vor dem Gerichtshof verklagt.
Für eine Organisation, die in einem Land tätig ist, ist das eine Randnotiz. Für eine, die in sechs Ländern tätig ist, ist es ein Planungsproblem ohne saubere Lösung, denn die Pflichtenlage unterscheidet sich tatsächlich je nachdem, wohin man schaut, und sie ändert sich nach einem Zeitplan, den niemand kontrolliert.
Die drei möglichen Positionen und was jede kostet
Multinationale Einrichtungen entscheiden sich im Großen und Ganzen für einen von drei Ansätzen, und jeder hat sein eigenes Fehlerbild.
Auf das nationale Gesetz warten. Vertretbar und zunehmend unbequem. Die Pflichten der Richtlinie entstehen nicht aus dem Nichts, wenn ein nationales Gesetz verabschiedet wird - sie kommen mit Umsetzungsfristen, und Organisationen, die erst mit der Umsetzung begonnen haben, mussten durchweg feststellen, dass die Vorlaufzeit kürzer war als erwartet. Zudem haben Sie nichts vorzuweisen, wenn sich in der Zwischenzeit ein Vorfall in einer Rechtsordnung ereignet, in der die Inhalte der Richtlinie politisch hochaktuell sind, auch wenn das Gesetz noch nicht in Kraft ist.
Überall die Basis der Richtlinie erfüllen. Operativ am einfachsten und leicht überschießend. Sie setzen die Anforderungen der Richtlinie unionsweit um und akzeptieren, dass einige Rechtsordnungen am Ende etwas mehr oder etwas weniger verlangen werden. Die meisten großen Organisationen, die wir sehen, stehen hier.
Überall den strengsten nationalen Standard erfüllen. Am sichersten und am teuersten. Sinnvoll für eine kleine Zahl stark regulierter Einrichtungen und ansonsten schwer zu rechtfertigen, denn die strengste Umsetzung zu einem bestimmten Punkt stammt nicht bei jedem Punkt aus demselben Land.
Wo sich die Umsetzungen tatsächlich unterscheiden
Die Richtlinie harmonisiert mehr, als man ihr zutraut, und die Abweichungen konzentrieren sich auf eine vorhersehbare Reihe von Punkten. Wenn Sie ein Programm für mehrere Rechtsordnungen aufbauen, sind dies die Felder, die Sie pro Land verfolgen sollten, statt von einer einzigen Antwort auszugehen.
Die Identifizierung von Einrichtungen und die Registrierungsmodalitäten unterscheiden sich erheblich - wer sich registriert, auf welcher Plattform, innerhalb welcher Frist und ob die Aufsichtsbehörde die Einrichtungen identifiziert oder die Einrichtung sich selbst identifiziert. Meldewege und Schwellenwerte für Sicherheitsvorfälle variieren rund um einen gemeinsamen Takt. Die Aufsichtsstrukturen unterscheiden sich: Einige Staaten bündeln die Aufsicht bei einer nationalen Cybersicherheitsbehörde, andere verteilen sie auf die Sektoraufsichtsbehörden. Sanktionsverfahren und die praktische Umsetzung der Haftung der Leitungsorgane variieren deutlich. Und mehrere Staaten haben den Anwendungsbereich über das Minimum der Richtlinie hinaus erweitert und Sektoren oder Größenschwellen einbezogen, die die Richtlinie nicht verlangte.
Die gute Nachricht: Die zugrunde liegenden Erwartungen an die Kontrollen sind weitgehend einheitlich. Die Unterschiede liegen in der Schnittstelle zur Aufsichtsbehörde, nicht in der Substanz dessen, was Sie tun müssen.
Warum eine einzige Nachweisbasis die Unterschiede übersteht
Die praktische Schlussfolgerung ergibt sich aus diesem letzten Punkt. Wenn die Kontrollen weitgehend einheitlich sind und sich die Schnittstellen unterscheiden, dann ist die Schnittstelle das, was pro Rechtsordnung aufwendig aufzubauen ist, und die Nachweisbasis das, was einmal aufwendig aufzubauen ist.
Das bedeutet, dem natürlichen organisatorischen Sog hin zu länderspezifischen Compliance-Silos zu widerstehen. Eine polnische Tochtergesellschaft, die ihren eigenen Nachweisspeicher aufbaut, weil das polnische Gesetz noch nicht in Kraft ist, und eine portugiesische Tochtergesellschaft, die einen weiteren aufbaut, weil das CNCS mit Audits begonnen hat, ergeben zwei unvollständige Bilder und eine Konzernfunktion, die zu keinem von beiden eine Frage beantworten kann.
Eine einzige Nachweisbasis, die festhält, was wann und unter wessen Autorität geschah - abfragbar pro Einrichtung, pro Rechtsordnung und pro Aufsichtsbehörde -, beantwortet heute die Fragen Portugals und die Polens, sobald Polen so weit ist. Ein strukturell identisches Argument zu sich überschneidenden Regelwerken statt sich überschneidenden Rechtsordnungen haben wir in eine einzige Nachweisschicht für doppelt regulierte Finanzunternehmen aufbauen dargelegt.
- Führen Sie pro Rechtsordnung ein Statusblatt zu Umsetzungsstand, Aufsichtsbehörde, Registrierungsmodalitäten und Meldeweg, und überprüfen Sie es monatlich statt jährlich
- Bauen Sie die Kontrollen auf der Basis der Richtlinie auf und behandeln Sie nationale Abweichungen als Konfiguration darüber, nicht als separate Programme
- Halten Sie Nachweise zentral vor, mit der Rechtsordnung als Attribut, damit sich die Anfrage einer Aufsichtsbehörde ohne Datensammelaktion beantworten lässt
- Ermitteln Sie, welche Ihrer Einrichtungen als erste mit Aufsicht konfrontiert wäre, und nutzen Sie diese Rechtsordnung als Belastungstest für das Konzernmodell
- Beobachten Sie die Vertragsverletzungsverfahren, denn eine Anrufung des Gerichtshofs geht schnellem Handeln auf nationaler Ebene meist voraus
- Portugal ist derzeit die aufschlussreichste Rechtsordnung zum Beobachten, da Registrierung und Aufsichtstätigkeit dort bereits laufen - siehe unsere Berichterstattung zu Portugal
- Die Durchsetzungshaltung Deutschlands liefert das deutlichste Signal dafür, wie eine gereifte Aufsichtsbeziehung aussieht - siehe die NIS2-Durchsetzungswelle in Deutschland
- Das Durchsetzungsgeschehen auf Unionsebene, einschließlich der ersten Bußgelder, wird im NIS2-Durchsetzungs-Tracker verfolgt
Wenn die Nachweise Ihres Konzerns derzeit an so vielen Orten liegen, wie Sie Tochtergesellschaften haben, ist ihre Konsolidierung weniger Arbeit, als es klingt. Sie können mit einer Einrichtung und einer Rechtsordnung beginnen oder auf der Enterprise-Seite von ROOTKey sehen, wie Bereitstellungen für mehrere Einrichtungen aufgebaut sind.