Am 5. Mai 2026 hat Luxemburg das Gesetz über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus verabschiedet und damit die Richtlinie (EU) 2022/2555, besser bekannt als NIS2[1], in nationales Recht umgesetzt.
Inhaltsverzeichnis
Das neue Gesetz trat am 10. Mai 2026 in Kraft und erweitert den luxemburgischen Cybersicherheitsrahmen erheblich. Es ersetzt das eng gefasste NIS1-Regime durch einen umfassenderen Rechtsrahmen, der für eine deutlich größere Zahl von Unternehmen in Luxemburg Anforderungen an Cybersicherheits-Governance, Risikomanagement, Vorfallsmeldungen und Aufsichtspflichten vorsieht.
Besonders wichtig: Potenziell betroffene Unternehmen haben nur noch einen Monat Zeit, bis zum 10. Juli 2026 die erforderlichen Informationen an ihre zuständige Behörde zu übermitteln.
1. Ein umfassenderer Cybersicherheitsrahmen
NIS2 gilt für einen deutlich größeren Kreis von Unternehmen als das bisherige Regelwerk. Nach Angaben des ILR findet das luxemburgische NIS2-Gesetz Anwendung auf Unternehmen, die in einem oder mehreren der in den Anhängen I und II genannten Sektoren tätig sind. Dazu zählen unter anderem Energie, Verkehr, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, ICT-Service-Management, öffentliche Verwaltung, Raumfahrt, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung[2].
Das luxemburgische Gesetz unterscheidet zwischen:
- wesentlichen Einrichtungen (essential entities), die in der Regel größere Unternehmen in besonders kritischen Sektoren umfassen; und
- wichtigen Einrichtungen (important entities), die andere Unternehmen in den vom Gesetz erfassten Sektoren betreffen.
Grundsätzlich fällt ein Unternehmen in den Anwendungsbereich, wenn es in einem relevanten Sektor tätig ist und die entsprechenden Größenkriterien erfüllt. Die Größenbewertung erfolgt anhand der KMU-Definition und kann eine Analyse auf Gruppenebene erfordern, bei der verbundene Unternehmen und Partnerunternehmen berücksichtigt werden.
Bestimmte Unternehmen fallen jedoch unabhängig von ihrer Größe in den Anwendungsbereich. Dazu gehören beispielsweise Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, Registrierungsstellen für Top-Level-Domains sowie DNS-Dienstleister.
Darüber hinaus kann ein Unternehmen aufgrund besonderer Kriterien als wesentliche oder wichtige Einrichtung eingestuft werden, etwa wenn es bereits als kritische Einrichtung identifiziert wurde oder als einziger Anbieter in seinem Tätigkeitsbereich fungiert.
Zuständige Behörde ist grundsätzlich das Institut Luxembourgeois de Régulation (ILR), mit Ausnahme der Unternehmen, die der Aufsicht der Commission de Surveillance du Secteur Financier (CSSF) unterliegen. Das Haut-Commissariat à la Protection nationale (HCPN) spielt zudem eine zentrale Rolle bei der Koordinierung der Cybersicherheitspolitik und dem Management von Cyberkrisen.
2. Zentrale Pflichten für betroffene Unternehmen
Unternehmen, die in den Anwendungsbereich fallen, müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Steuerung von Cybersicherheitsrisiken für ihre Netz- und Informationssysteme implementieren.
Diese Maßnahmen müssen insbesondere folgende Bereiche abdecken:
- Risikoanalyse und Informationssicherheit;
- Vorfallmanagement;
- Business Continuity, Backup-Management, Disaster Recovery und Krisenmanagement;
- Sicherheit der Lieferkette;
- sichere Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen;
- Umgang mit Schwachstellen und Offenlegung von Sicherheitslücken;
- Cybersicherheitsschulungen und Cyber-Hygiene;
- Zugriffskontrollen, Asset Management und personelle Sicherheit;
- Kryptografie und Verschlüsselung, soweit angemessen; sowie
- Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, soweit angemessen.
Cybersicherheit wird zudem ausdrücklich zur Managementaufgabe. Die Leitungsorgane müssen Cybersicherheits-Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und selbst angemessene Cybersicherheitsschulungen absolvieren.
3. Vorfallsmeldungen: 24 Stunden, 72 Stunden und ein Monat
Bei erheblichen Sicherheitsvorfällen verlangt das luxemburgische NIS2-Gesetz ein schnelles Vorgehen von der Erkennung bis zur Meldung an die zuständige Behörde. Der Meldeprozess erfolgt gestuft: Erste Warnmeldung innerhalb von 24 Stunden; detailliertere Meldung innerhalb von 72 Stunden; Abschlussbericht innerhalb eines Monats.
Betroffene Unternehmen sollten daher über ein erprobtes Eskalationsverfahren verfügen, das festlegt, wer einen Vorfall als meldepflichtig einstuft, wer die Meldung freigibt, wer die zuständige Behörde informiert und wie technische Erkenntnisse, rechtliche Bewertungen und Managemententscheidungen dokumentiert werden. In der Praxis hängt die Wirksamkeit des Meldeprozesses weniger von der Existenz einer Richtlinie als vielmehr von der Fähigkeit des Unternehmens ab, unmittelbar nach einem Vorfall die richtigen Funktionen einzubinden.
4. Zusammenspiel mit anderen Regulierungen
Das luxemburgische NIS2-Gesetz ist Teil eines umfassenderen regulatorischen Umfelds, insbesondere vor dem Hintergrund der starken Nutzung ausgelagerter Technologien, cloudbasierter Infrastrukturen und grenzüberschreitender Dienstleister. In der Praxis müssen Cybersicherheitsanforderungen häufig gemeinsam mit anderen Regelwerken betrachtet werden, insbesondere mit der Datenschutz-Grundverordnung (DSGVO), dem Digital Operational Resilience Act (DORA) sowie dem luxemburgischen Gesetz vom 17. Dezember 2021 über elektronische Kommunikationsnetze und -dienste.
Daher kann ein und derselbe Vorfall mehrere Melde- und Eskalationspflichten auslösen. Ein Cyberangriff, der die Systemverfügbarkeit, Kundendaten oder ausgelagerte ICT-Dienstleistungen betrifft, kann beispielsweise gleichzeitig unter das luxemburgische NIS2-Gesetz, die DSGVO, DORA und vertragliche Meldepflichten fallen. Die praktische Herausforderung besteht daher nicht nur darin festzustellen, ob eine Meldung erforderlich ist, sondern auch darin zu bestimmen, an wen, bis wann, auf welcher Grundlage und mit welchem Detaillierungsgrad die Meldung erfolgen muss.
Für Unternehmen des Finanzsektors wird DORA regelmäßig den zentralen Referenzrahmen für ICT-Risikomanagement, ICT-Drittparteirisiken und die Meldung schwerwiegender ICT-Vorfälle bilden. Fällt ein Finanzunternehmen in den Anwendungsbereich von DORA, sollte sein Meldeprozess daher primär an dem harmonisierten DORA-Rahmenwerk ausgerichtet sein. Dennoch kann NIS2 weiterhin relevant bleiben, wenn ein Sachverhalt außerhalb des spezifischen DORA-Anwendungsbereichs liegt[3].
Finanzunternehmen sollten daher nicht davon ausgehen, dass die Umsetzung von DORA die NIS2-Prüfung automatisch ersetzt. Vielmehr empfiehlt sich eine Mapping-Analyse, um verbleibende Verpflichtungen zu identifizieren und sicherzustellen, dass Governance-, Melde- und Incident-Response-Prozesse über beide Regelwerke hinweg konsistent ausgestaltet sind.
5. Nächste Schritte
Mit Blick auf die bevorstehende Frist am 10. Juli 2026 sollten potenziell betroffene Unternehmen:
- prüfen, ob sie in den Anwendungsbereich des luxemburgischen NIS2-Gesetzes fallen;
- feststellen, ob sie als wesentliche oder wichtige Einrichtung einzustufen sind;
- ermitteln, ob das ILR oder die CSSF ihre zuständige Behörde ist;
- die erforderlichen Informationen bis zum 10. Juli 2026 vorbereiten und übermitteln;
- ihre Cybersicherheits-Governance und die Einbindung der Leitungsorgane überprüfen;
- ihre Incident-Response-Prozesse an die Fristen von 24 Stunden, 72 Stunden und einem Monat anpassen; sowie
- ihre NIS2-, DORA-, DSGVO- und vertraglichen Meldeprozesse aufeinander abstimmen.
Fazit
Das luxemburgische NIS2-Gesetz führt zu einer erheblichen Ausweitung der Cybersicherheitsregulierung. Es erweitert den Anwendungsbereich, erhöht die Anforderungen an Governance und Risikomanagement, führt verbindliche Meldepflichten ein und stärkt die Aufsichtsbefugnisse der Behörden.
Die unmittelbare Priorität ist jedoch praktischer Natur: Unternehmen, die möglicherweise in den Anwendungsbereich fallen, sollten die verbleibende Zeit nutzen, um ihre Betroffenheit zu prüfen und gegebenenfalls die erforderlichen Informationen bis zum 10. Juli 2026 an die zuständige Behörde zu übermitteln.
Weitere Informationen zur Umsetzung von NIS2 in Deutschland finden Sie hier.
[1] Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148.
[2] https://www.ilr.lu/en/sectors/niss/nis-2/scope-and-field-of-application/. The ILR guidance summarises the sectors falling within the scope of the Luxembourg NIS2 law, explains the size-cap rule and the relevance of group-level assessment under the SME definition, identifies certain entities that are in scope by default or regardless of size, and refers to the self-registration process.
[3] For example in relation to broader cyber-resilience coordination, certain supply-chain dependencies, cross-sector cooperation or risks affecting non-ICT infrastructure.
