NIS 2 Status in Frankreich
Was die Richtlinie fordert, wie Frankreich sie umsetzt, und wo die ANSSI im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Frankreich, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Frankreich muss dieses Niveau in französisches Recht überführen und eine Aufsicht darunter führen.
Frankreich setzt NIS 2 über die Ordonnance n° 2024-1093 vom 2. Dezember 2024 und ihre Ausführungsdekrete um. Der Text legt sich über das bestehende OIV Regime (Opérateurs d'Importance Vitale) und das NIS 1 OSE Regime (Opérateurs de Services Essentiels). Er ersetzt sie nicht vollständig.
Die ANSSI (Agence nationale de la sécurité des systèmes d'information) ist Aufsichtsbehörde und nationales CSIRT. Die Registrierung läuft über das Portal MonEspaceNIS2. Sektorale Regulatoren bleiben dort zuständig, wo es sie schon gab, vor allem im Finanzsektor, wo DORA als Lex specialis greift.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Frankreich unmittelbar anwendbar, ohne nationale Umsetzung.
Französische Umsetzung
Ordonnance n° 2024-1093 vom 2. Dezember 2024
Die französische NIS 2 Umsetzung. Ausführungsdekrete und ANSSI Leitlinien füllen den operativen Detailrahmen. Der Text ändert den Code de la défense (Artikel L.1332-x zu OIV) und weitet ihn auf den breiteren NIS 2 Perimeter aus.
Ordonnance n° 2024-1093
Bringt die NIS 2 Pflichten in französisches Recht. Definiert die EEI Kategorie (Entités essentielles importantes), die Aufsichtsbefugnisse der ANSSI, Meldepflichten und Sanktionen. Der operative Detail wird über Ausführungsdekrete (décrets d'application) geregelt.
ANSSI als Aufsicht und CSIRT
Die ANSSI führt Aufsicht, Audits und Sanktionsvorschläge. Sie betreibt das nationale CSIRT und das Portal MonEspaceNIS2. Sektorregulatoren wie ACPR für den Finanzsektor behalten ihre Zuständigkeit dort, wo Lex specialis gilt.
Registrierung und Meldung
Die Richtlinie verlangt, dass Einrichtungen ab dem 17. April 2025 für die Mitgliedstaaten identifizierbar sind. In Frankreich passiert das über MonEspaceNIS2. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Frankreich gilt französisches Recht
Aktivitäten auf französischem Staatsgebiet folgen der französischen Umsetzung. Ein deutscher Geschäftsführer mit französischer Tochter liest für diese Tochter die Ordonnance n° 2024-1093, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen stehen aber im französischen Recht.
Frankreich darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Frankreich darf strenger werden, und ist es historisch über das OIV Regime auch. Frankreich darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans.
ANSSI
Federführende zuständige Behörde, Aufsicht und nationales CSIRT. Betreibt MonEspaceNIS2, veröffentlicht Leitlinien, führt Audits durch und schlägt dem Premier ministre Sanktionen vor. Trägt die historische OIV Doktrin, die jetzt in die NIS 2 Aufsicht einfließt.
CNIL
Die französische Datenschutzbehörde. Nicht der NIS 2 Regulator. Bleibt zuständig für Meldepflichten bei Verletzungen personenbezogener Daten nach DSGVO. Ein NIS 2 Vorfall mit Personenbezug ist oft eine Doppelmeldung an ANSSI und CNIL.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für französische Einrichtungen. Die liegt bei der ANSSI.
Wir sind schon OIV, also ist NIS 2 abgedeckt.
OIV und OSE Einstufungen aus dem Code de la défense und dem NIS 1 Rahmen werden nicht automatisch zur EEI Einstufung unter NIS 2. Perimeter und Sektorenschwellen sind anders. Jede Einrichtung muss ihren Status gegen die neuen Kriterien prüfen. Viele OIV sind zugleich wesentliche Einrichtungen unter NIS 2, das Pflichtenheft und der Meldekanal verändern sich aber.
NIS 2 in Frankreich trifft nur große Betreiber.
Der Größentest deckelt standardmäßig bei mittleren und großen Unternehmen, die Richtlinie fängt aber auch kleine Einrichtungen, wenn sie einziger Anbieter sind, grenzüberschreitend wirken oder das französische Recht sie zusätzlich nennt. Öffentliche Verwaltungen und bestimmte digitale Anbieter sind unabhängig von der Größe drin. Die Anwendbarkeitsprüfung muss Fall für Fall passieren, nicht über die reine Unternehmensgröße.
MonEspaceNIS2 und die ANSSI akzeptieren nur Französisch.
Portal und offizielle Leitlinien sind zuerst auf Französisch, die ANSSI nimmt aber technische Meldungen und Belege in definierten Fällen auch auf Englisch entgegen, im Einklang mit der EU Kooperation. Eine ausländische Konzernmutter braucht nicht jede interne Richtlinie auf Französisch, um sich zu registrieren oder einen Vorfall zu melden.
Die meisten französischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als Erweiterung des alten OIV und OSE Regimes. Das stimmt nur zur Hälfte. Aufsicht und Meldekanal liegen wie vorher bei der ANSSI, der Scope ist aber breiter und die Verantwortung des Leitungsorgans schwerer. Der président, directeur général oder gérant haftet persönlich für die Freigabe des Risikomanagements und die eigene Schulung.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, über das nationale Portal (hier MonEspaceNIS2) registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Der OIV Apparat hilft, ersetzt aber das NIS 2 Pflichtenregister nicht.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine französische Tochter unter Ordonnance n° 2024-1093, eine deutsche Mutter unter BSIG und eine niederländische Schwester unter dem Cyberbeveiligingswet. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den französischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo die ANSSI Sektorleitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Ordonnance n° 2024-1093 vom 2. Dezember 2024: Légifrance
- Code de la défense, Artikel L.1332-1 ff. (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, offizielle Seite
- MonEspaceNIS2: französisches NIS 2 Registrierungsportal (ANSSI)
- ACPR / Banque de France: zuständige Behörde für DORA im Finanzsektor