NIS 2 Status in Luxemburg
Was die Richtlinie fordert, wie Luxemburg sie umsetzt, und welche Behörde wo zuständig ist.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch Luxemburg, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Luxemburg muss dieses Niveau in nationales Recht überführen und darunter Aufsicht führen.
Luxemburg hat die Umsetzungsfrist am 17. Oktober 2024 verfehlt. Die Europäische Kommission hat am 7. Mai 2025 eine begründete Stellungnahme wegen fehlender vollständiger Mitteilung der Umsetzung verschickt. Das nationale Gesetz folgte später: das Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau, in Kraft seit dem 15. Mai 2026.
Das Institut Luxembourgeois de Régulation (ILR) ist federführende Aufsichtsbehörde und nationale Anlaufstelle nach NIS 2. Die CSSF behält die Aufsicht im Finanzsektor unter DORA als Lex specialis. GOVCERT.LU ist das CSIRT für den öffentlichen Sektor. CIRCL (Computer Incident Response Center Luxembourg) ist das CSIRT für den privaten Sektor, Gemeinden und nichtstaatliche Einrichtungen.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Luxemburg unmittelbar anwendbar, ohne nationale Umsetzung.
Luxemburgische Umsetzung
Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau
Die luxemburgische NIS 2 Umsetzung. In Kraft seit dem 15. Mai 2026. Der Text bestimmt die zuständige Behörde und die CSIRTs, regelt Meldewege, Sanktionen und Registrierungspflichten. Ausführungsdokumente des ILR füllen den operativen Detailrahmen.
Gesetz vom 5. Mai 2026
Bringt die NIS 2 Pflichten ins luxemburgische Recht. Definiert wesentliche und wichtige Einrichtungen, die Aufsichtsbefugnisse des ILR, Meldepflichten und Sanktionen. Der operative Detail wird über ILR Regeln und sektorale Texte geregelt.
ILR als federführende Aufsicht
Das Institut Luxembourgeois de Régulation führt die NIS 2 Aufsicht über die meisten Sektoren und ist nationale Anlaufstelle gegenüber der EU Kooperationsgruppe. Die CSSF behält die Aufsicht über den Finanzsektor unter DORA. Die Vorfallreaktion ist geteilt: GOVCERT.LU für den öffentlichen Sektor und CIRCL für alle anderen.
Späte Umsetzung, aber die Pflichten gelten
Luxemburg hat die EU Frist am 17. Oktober 2024 verfehlt. Die Kommission hat ein Vertragsverletzungsverfahren eingeleitet und am 7. Mai 2025 eine begründete Stellungnahme abgegeben. Das Gesetz vom 5. Mai 2026 hat die formelle Lücke geschlossen. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Luxemburg gilt luxemburgisches Recht
Aktivitäten auf luxemburgischem Staatsgebiet folgen der luxemburgischen Umsetzung. Eine deutsche Konzernmutter mit luxemburgischer Tochter liest für diese Tochter das Gesetz vom 5. Mai 2026, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen stehen aber im luxemburgischen Recht.
Luxemburg darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Luxemburg darf strenger werden. Luxemburg darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
ILR
Institut Luxembourgeois de Régulation. Federführende Aufsicht für NIS 2, nationale Anlaufstelle und Betreiber des Portals myilr.lu, über das regulierte Einrichtungen mit dem ILR interagieren. Sektorale Regulatoren wie die CSSF bleiben dort zuständig, wo Lex specialis gilt.
GOVCERT.LU und CIRCL
Luxemburg betreibt zwei CSIRTs. GOVCERT.LU beim Haut-Commissariat à la Protection nationale ist für den öffentlichen Sektor zuständig. CIRCL beim Luxembourg House of Cybersecurity ist für den privaten Sektor, Gemeinden und nichtstaatliche Einrichtungen zuständig. Welches CSIRT man anspricht, hängt davon ab, wer man ist.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht über luxemburgische Einrichtungen. Die liegt beim ILR.
Wir folgen der deutschen Konzernmutter, also greift das BSIG.
Die luxemburgische Tochter wird unter dem Gesetz vom 5. Mai 2026 vom ILR beaufsichtigt, nicht vom BSI unter dem BSIG. Konzerninterne Richtlinien dürfen geteilt werden, aber Registrierung, Vorfallmeldung und Freigabe durch das Leitungsorgan laufen gegenüber der luxemburgischen Behörde auf luxemburgischem Boden.
Es gibt noch keine luxemburgische Registrierung, also greifen die Regeln noch nicht.
Das Gesetz vom 5. Mai 2026 ist seit dem 15. Mai 2026 in Kraft. Das ILR wickelt die Interaktion mit regulierten Einrichtungen über myilr.lu ab. Selbst wo Ausführungstexte noch nachgereicht werden, gelten die Richtlinienpflichten zu Risikomanagement, Vorfallmeldung und Verantwortung des Leitungsorgans bereits jetzt.
Das ILR reguliert nur die elektronische Kommunikation, also liegt NIS 2 woanders.
Das ILR ist zuständig für elektronische Kommunikation, Strom, Gas, Postdienste, Verkehr, Funkfrequenzen und jetzt NIS 2 über die meisten Sektoren. Der Finanzsektor ist der wichtigste Carve-out, dort beaufsichtigt die CSSF unter DORA. Für alle anderen im Anwendungsbereich läuft der NIS 2 Kanal über das ILR.
Die meisten luxemburgischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als künftige Pflicht. Die Frist ist zweimal verstrichen, zuerst auf EU Ebene am 17. Oktober 2024, dann im nationalen Gesetz, das erst am 15. Mai 2026 in Kraft trat. Das hat den Eindruck erzeugt, dass noch nichts bindet. Falsch. Die Richtlinienpflichten zu Risikomanagement und Vorfallmeldung greifen ab dem Inkrafttreten des nationalen Gesetzes, und das ILR führt darunter Aufsicht.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, bei der zuständigen Behörde registrieren (hier ILR über myilr.lu), die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Der Finanzsektor liest DORA parallel unter Aufsicht der CSSF.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine luxemburgische Tochter unter dem Gesetz vom 5. Mai 2026, eine deutsche Mutter unter dem BSIG und eine niederländische Schwester unter dem Cyberbeveiligingswet. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den luxemburgischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo das ILR Sektorleitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau, Legilux
- Europäische Kommission, begründete Stellungnahme an Luxemburg zur NIS 2 Umsetzung, 7. Mai 2025
- ILR, Institut Luxembourgeois de Régulation, offizielle Seite und Portal myilr.lu
- GOVCERT.LU, staatliches CSIRT beim Haut-Commissariat à la Protection nationale
- CIRCL, Computer Incident Response Center Luxembourg, Luxembourg House of Cybersecurity
- CSSF, Commission de Surveillance du Secteur Financier, DORA Aufsicht im Finanzsektor