NIS2: Frankreich vor dem EuGH, 15.000 Einrichtungen ohne nationalen Rahmen

Die NIS2-Richtlinie hätte bis zum 17. Oktober 2024 umgesetzt werden müssen. Frankreich hat diese Frist verpasst, und zwar so deutlich, dass die Kommission am 8. Juli 2026 beschlossen hat, das Land gemeinsam mit Spanien, Irland und den Niederlanden vor den Europäischen Gerichtshof zu bringen, mit einem Antrag auf finanzielle Sanktionen. Das sogenannte Gesetz zur Resilienz, das die Richtlinie umsetzen soll, steht nicht auf der Tagesordnung der Julisitzung: Seine Beratung verschiebt sich auf den Herbst. Die europäische Verpflichtung läuft dagegen bereits seit Oktober 2024.

Ein Detail ändert alles für diejenigen, die vorankommen wollen: Der technische Referenzrahmen ist bereits öffentlich. Die ANSSI hat im März 2026 ihren Referenzrahmen Cyber France veröffentlicht, der die Anforderungen von NIS2 in Sicherheitsziele übersetzt, zwanzig für wesentliche Einrichtungen, fünfzehn für wichtige Einrichtungen. Das heißt: Der wesentliche Inhalt dessen, was verlangt wird, ist bereits bekannt, noch bevor das Gesetz verabschiedet ist. Wer mit dem Beginn wartet, bis der Text vorliegt, wartet auf die formale Fassung von Pflichten, deren Substanz er schon kennt.

Der eigentliche Punkt ist der Sprung in der Größenordnung: Von einigen Hundert Betreibern unter NIS1 wächst der Kreis in Frankreich auf 15.000 bis 18.000 betroffene Einrichtungen, aufgeteilt in »wesentliche Einrichtungen« und »wichtige Einrichtungen«. Mittelständische Industrieunternehmen, Kommunen, Akteure aus Gesundheit, Verkehr oder Agrarwirtschaft werden feststellen, dass sie in den Anwendungsbereich fallen, mit Pflichten zum Risikomanagement, zur Meldung von Vorfällen und unter Aufsicht der ANSSI.

Der konzeptionelle Umbruch gleicht dem, was seinerzeit die DSGVO bewirkt hat: Cybersicherheit hört auf, ein Thema für Experten und gute Absichten zu sein, und wird zu einem Verfahren, dessen Existenz und Funktionieren nachweisbar sein müssen. Governance, Risikoanalyse, Sicherheit der Lieferkette, Vorfallmanagement, Kontinuität: Jede Anforderung der Richtlinie verlangt Nachweise.

Und die Asymmetrie der Sanktionen lenkt die Aufmerksamkeit ganz konkret: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen, mit proaktiven Kontrollen; 7 Millionen oder 1,4 % für wichtige Einrichtungen, die erst nach einem Vorfall kontrolliert werden. In beiden Fällen zeigt sich am Tag der Kontrolle, ob improvisiert wurde.

NIS2 schreibt einen Mindeststandard an Maßnahmen vor: Sicherheitsrichtlinien und Risikoanalyse, Vorfallmanagement, Betriebskontinuität und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Bewertung der Wirksamkeit der Maßnahmen, IT-Hygiene und Schulung, Kryptografie, Sicherheit im Personalbereich und Zugangskontrolle, Multi-Faktor-Authentifizierung. Zehn Anforderungsfamilien, die de facto einen Referenzrahmen ergeben.

Hinzu kommt der Mechanismus zur Meldung erheblicher Vorfälle, in engen Stufen: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Diese Fristen einzuhalten, lässt sich am Tag des Vorfalls nicht improvisieren: Das setzt Erkennung, Einstufung und eine Entscheidungskette voraus, die bereits vorhanden und bereits erprobt sind.

Der tatsächliche Anwendungsbereich reicht über die 15.000 benannten Einrichtungen hinaus: Die Richtlinie verpflichtet sie, die Sicherheit ihrer Lieferkette zu beherrschen, und diese Anforderung sickert vertraglich weiter. Ein Softwaresubunternehmer, ein industrieller Wartungsdienstleister oder ein Logistikanbieter außerhalb des Anwendungsbereichs wird die Fragebögen und Vertragsklauseln seiner regulierten Kunden erhalten.

Für diese Zulieferer ist die kluge Lesart geschäftlicher Natur: Wer mit gemessener und nachweisbarer Cyber-Reife auftritt, verwandelt einen aufgezwungenen Zwang in ein Argument für die Listung. In den Ausschreibungen von 2027 wird das ein Auswahlkriterium sein, kein Bonus.

Für eine Organisation, die das Thema neu entdeckt, ergeben sich drei sinnvolle Schritte: klären, ob und in welcher Eigenschaft man betroffen ist; die tatsächliche Reife gegenüber den Anforderungen der Richtlinie messen, Einrichtung für Einrichtung, statt punktuelle Audits zu sammeln; und die Lücken in einen datierten Maßnahmenplan übersetzen, denn die Anpassung wird Monate dauern, und der Zeitplan wartet nicht.

Unser Katalog umfasst 11 Referenzrahmen für Cybersicherheit, um diese Messung zu unterstützen, und die Logik gilt auch für Konzerne: jede Tochtergesellschaft nach derselben Grundlage bewertet, eine Konsolidierung, die zeigt, wo der Aufwand zu konzentrieren ist. Die NIS2-Compliance wird ein verwalteter Marathon sein; besser, man tritt ihn mit einem Instrument an.