NIS 2 Status in Irland
Was die Richtlinie fordert, wo Irland mit der Umsetzung steht, und wer im Übergang die Aufsicht trägt.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Irland, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Irland muss dieses Niveau in irisches Recht überführen und eine Aufsicht darunter aufstellen.
Irland hat die Umsetzungsfrist vom 17. Oktober 2024 verpasst. Das General Scheme of the National Cyber Security Bill 2024 wurde im September 2024 vom federführenden Department veröffentlicht. Der eigentliche Gesetzestext liegt zum Stand dieser Seite noch nicht im Oireachtas zur Verabschiedung. Bis das Gesetz in Kraft tritt, bleibt die irische NIS 1 Umsetzung in Form der European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018) weiter anwendbar.
Das National Cyber Security Centre (NCSC-IE) ist nationales CSIRT und ist als zuständige Behörde und Single Point of Contact für NIS 2 vorgesehen. Das federführende Department ist das frühere Department of the Environment, Climate and Communications, heute Department of Climate, Energy and the Environment. Sektorale Regulatoren bleiben dort zuständig, wo es sie schon gibt, vor allem ComReg im Bereich elektronische Kommunikation und die Central Bank of Ireland im Finanzsektor, wo DORA als Lex specialis greift.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen. Sie gilt für Irland unabhängig vom Stand der nationalen Umsetzung.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Irland unmittelbar anwendbar, ohne nationale Umsetzung.
Irische Umsetzung
General Scheme of the National Cyber Security Bill 2024 (entwurfsstadium); bis zum Inkrafttreten: S.I. No. 360/2018 (NIS 1)
Das General Scheme wurde im September 2024 veröffentlicht und befindet sich im pre-legislative scrutiny. Das eigentliche Bill und die spätere Verordnungspraxis werden den operativen Rahmen setzen. Bis dahin bleibt die NIS 1 Umsetzung in Kraft, ergänzt durch Leitlinien des NCSC-IE.
National Cyber Security Bill
Soll die NIS 2 Pflichten in irisches Recht bringen, die Kategorien essential und important entities festlegen, die Aufsichts- und Sanktionsbefugnisse benennen und Meldepflichten verankern. Der operative Detail wird über nachgelagerte Regulations und NCSC-IE Guidance geregelt. Stand jetzt: Heads of Bill veröffentlicht, finaler Text noch nicht beschlossen.
NCSC-IE als zuständige Behörde
Das National Cyber Security Centre ist nationales CSIRT (CSIRT-IE) und wird als zuständige Behörde und Single Point of Contact für NIS 2 designiert. Es veröffentlicht bereits jetzt Vorab-Leitlinien, etwa den Entwurf zu Risk Management Measures aus Juni 2025, und referenziert den belgischen CyFun Rahmen als praktische Orientierung.
Registrierung und Meldung
Die Richtlinie verlangt, dass Einrichtungen ab dem 17. April 2025 für die Mitgliedstaaten identifizierbar sind. In Irland sind das Registrierungsportal und das Incident-Reporting-Portal zum Stand dieser Seite noch nicht produktiv. Erhebliche Sicherheitsvorfälle folgen, sobald das Gesetz steht, der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Irland gilt irisches Recht
Aktivitäten auf irischem Staatsgebiet folgen der irischen Umsetzung. Eine deutsche Geschäftsführerin mit irischer Tochter liest für diese Tochter das künftige National Cyber Security Act und bis dahin die NIS 1 Regulations 2018, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen stehen aber im irischen Recht.
Irland darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Irland darf strenger werden. Irland darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans. Eine verspätete Umsetzung entlastet ein Unternehmen im Geltungsbereich nicht von der Richtlinienlogik.
NCSC-IE
National Cyber Security Centre. Nationales CSIRT (CSIRT-IE) und vorgesehene zuständige Behörde sowie Single Point of Contact für NIS 2. Veröffentlicht Vorab-Leitlinien, betreibt die Vorbereitung des Registrierungs- und Meldeportals und koordiniert mit ENISA und anderen Mitgliedstaaten.
Department of Climate, Energy and the Environment
Federführendes Ministerium für die Umsetzung. Zuvor Department of the Environment, Climate and Communications (DECC), nach Regierungsumbildung umbenannt. Hat das General Scheme of the National Cyber Security Bill 2024 vorgelegt und treibt den weiteren Gesetzgebungsweg im Oireachtas voran.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für irische Einrichtungen. Die liegt beim NCSC-IE und gegebenenfalls bei sektoralen Regulatoren.
Solange Irland nicht umgesetzt hat, gelten die deutschen Regeln, weil unsere Konzernmutter in Deutschland sitzt.
Das ist falsch. NIS 2 folgt dem Niederlassungsprinzip. Eine irische Tochter wird in Irland reguliert, eine deutsche in Deutschland. Die deutsche Konzernmutter darf die irische Tochter intern unterstützen, die rechtliche Pflicht zur Registrierung, Meldung und Aufsicht liegt aber bei der irischen Einrichtung gegenüber dem NCSC-IE, sobald das Bill in Kraft ist. Bis dahin gilt die NIS 1 Logik aus S.I. No. 360/2018 für die Sektoren, die schon dort erfasst sind.
Solange das Portal nicht läuft, muss ich nichts tun.
Auch ohne produktives Registrierungsportal läuft die Vorbereitung weiter. Die Geltung der Richtlinie hängt nicht am Portal. Wer im Geltungsbereich ist, sollte den Anwendbarkeitstest jetzt machen, Risikomanagement, Vorfallprozess, Lieferkettenklauseln und die Schulung des Leitungsorgans aufsetzen und die Belege bereithalten. Sobald das Bill in Kraft tritt und das NCSC-IE freischaltet, wird die Frist zur Registrierung sehr kurz.
Nur die alten OES nach NIS 1 sind unter NIS 2 betroffen.
Falsch. NIS 2 erweitert den Sektor- und Größenkatalog deutlich. Operators of Essential Services nach NIS 1 sind in der Regel auch unter NIS 2 erfasst, der Perimeter ist aber breiter und kennt jetzt die Kategorien essential und important entities. Mittlere und große Unternehmen in den Annexen I und II der Richtlinie fallen darunter, ebenso einzelne kleine Anbieter mit besonderer Rolle, sowie Teile der öffentlichen Verwaltung.
Die meisten irischen Mittelstandsbetreiber, die uns begegnen, lesen das Thema NIS 2 noch wie eine angekündigte Verzögerung und warten auf das Inkrafttreten des National Cyber Security Bill. Die Richtlinie wirkt aber unabhängig davon, weil sie das Pflichtenheft der EU vorgibt und Auftraggeber, Versicherer und Konzernmütter sie schon jetzt in Verträgen referenzieren. Wer wartet, verschiebt nicht die Pflicht, er verschiebt nur die eigene Vorbereitung.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, die NCSC-IE Vorab-Leitlinien (Risk Management Measures Entwurf, CyFun) als Orientierung nehmen, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Sobald das Bill in Kraft ist, ist die Aufgabe vor allem, die fertige Dokumentation an die irischen Verfahren anzudocken.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine irische Tochter unter dem künftigen National Cyber Security Act, eine deutsche Mutter unter BSIG und eine niederländische Schwester unter dem Cyberbeveiligingswet. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den irischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo das NCSC-IE Leitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- General Scheme of the National Cyber Security Bill 2024: Department of Climate, Energy and the Environment (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, NIS 2 Status und Leitlinien (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (Juni 2025)
- ComReg: sektorale Aufsicht im Bereich elektronische Kommunikation
- Central Bank of Ireland: zuständige Behörde für DORA im Finanzsektor