NIS2 in Luxemburg: was Einrichtungen und ihre Software­lieferanten jetzt tun müssen

01Wo Luxemburg im Herbst 2026 steht

Die NIS2-Richtlinie (öffnet externe Website) trat am 16. Januar 2023 in Kraft. Bis zum 17. Oktober 2024 sollten die Mitgliedstaaten sie umsetzen. Luxemburg hat das mit dem Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau getan, hervorgegangen aus dem Gesetzentwurf Nr. 8364. Es wurde am 6. Mai 2026 im Amtsblatt Mémorial A (Nr. 225) veröffentlicht und gilt seit dem 10. Mai 2026.

Zuständige Behörde für die meisten Sektoren ist das Institut Luxembourgeois de Régulation (öffnet externe Website) (ILR), unter anderem für Energie, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung. Das ILR betreibt das Portal, über das sich Einrichtungen registrieren, und stellt einen Simulator bereit, mit dem Unternehmen prüfen können, ob sie erfasst sind. Wer in mehreren Ländern tätig ist, muss daneben die Umsetzung in Belgien, Deutschland oder Frankreich im Blick behalten, denn Registrierung, Meldewege und Aufsicht unterscheiden sich von Land zu Land.

02Wesentliche und wichtige Einrichtungen

Erfasst sind öffentliche wie private Organisationen aus zwei Gruppen von Sektoren. Anhang I nennt die besonders kritischen: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten im B2B-Bereich, öffentliche Verwaltung und Weltraum. Anhang II nennt weitere: Post und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung. Grundsätzlich geht es um mittlere und große Organisationen. Einige Einrichtungen sind ohne Rücksicht auf ihre Größe erfasst, zum Beispiel Vertrauensdiensteanbieter, DNS-Anbieter und Stellen der zentralen Verwaltung.

Artikel 3 der Richtlinie teilt die erfassten Organisationen in zwei Gruppen:

• Wesentliche Einrichtungen: vor allem große Organisationen der Sektoren aus Anhang I sowie Einrichtungen, die unabhängig von ihrer Größe als wesentlich gelten, etwa qualifizierte Vertrauensdiensteanbieter, Registrierungsstellen für Top-Level-Domains, DNS-Diensteanbieter und die zentrale Verwaltung. Die Aufsicht ist proaktiv und kann Prüfungen vor Ort einschließen.
• Wichtige Einrichtungen: die übrigen erfassten Organisationen aus Anhang I und II. Die Behörde wird nachträglich tätig, wenn es Hinweise auf Verstöße gibt.

Inhaltlich haben beide Gruppen dieselben Pflichten: Risikomanagement nach Artikel 21, Meldung von Vorfällen nach Artikel 23, Verantwortung der Leitung nach Artikel 20. Verschieden sind Aufsicht und Bußgeldrahmen. Für Verstöße gegen Artikel 21 oder 23 schreibt die Richtlinie Obergrenzen von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) und mindestens 7 Millionen Euro oder 1,4 % (wichtige Einrichtungen) vor, maßgeblich ist jeweils der höhere Wert. Welche Sanktionen Luxemburg konkret vorsieht und ob sie für öffentliche Stellen gelten, steht im Gesetz vom 5. Mai 2026.

Für den Finanzplatz gilt eine Besonderheit: Für Banken, Versicherer und andere Finanzunternehmen ersetzt DORA die NIS2-Regeln zu IKT-Risikomanagement, Vorfallmeldung und Aufsicht. Dort sind die CSSF (Commission de Surveillance du Secteur Financier) und das Commissariat aux Assurances (CAA) die zuständigen Behörden; mehr dazu in unserem Beitrag zu DORA und IKT-Drittdienstleistern.

Fällt Ihr Software­lieferant selbst unter NIS2?

Softwareentwicklung allein macht ein Unternehmen nicht zur NIS2-Einrichtung. Direkt betroffen sein kann ein Lieferant dennoch, und zwar als Anbieter verwalteter Dienste (Managed Service Provider) aus Anhang I. Die Definition ist breit: Darunter fällt, wer für Kunden IKT-Produkte, Netze, Infrastruktur oder Anwendungen einrichtet, verwaltet, betreibt oder wartet, ob beim Kunden oder per Fernzugriff. Ein Dienstleister ab mittlerer Größe, der Anwendungen seiner Kunden betreibt, kann damit eigene NIS2-Pflichten haben; dasselbe gilt für Cloud- und Rechenzentrumsanbieter. Deren technische Pflichten konkretisiert die Durchführungsverordnung (EU) 2024/2690 (öffnet externe Website) sehr genau.

Häufiger kommt NIS2 beim Lieferanten indirekt an: Der Kunde muss seine Lieferkette absichern und reicht diese Pflicht über Vertragsklauseln, Sicherheitsfragebögen und Audits weiter. Ein Luxemburger Softwarehaus oder ein belgischer Dienstleister, der für einen Energieversorger oder ein Krankenhaus im Großherzogtum arbeitet, erlebt das genau so. Bei Softwareprodukten greift zusätzlich der Cyber Resilience Act (öffnet externe Website) (Verordnung (EU) 2024/2847). Seit dem 11. September 2026 verlangt er die Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle; seine weiteren Pflichten folgen am 11. Dezember 2027.

03Die zehn Mindest­maßnahmen nach Artikel 21

Gefordert sind angemessene technische, operative und organisatorische Maßnahmen, die alle Gefahren berücksichtigen, dem Stand der Technik und den einschlägigen Normen entsprechen und zur Größe, zum Risiko und zu den möglichen Folgen von Vorfällen passen. Den Mindestumfang zählt Artikel 21 auf:

1. 01Konzepte für Risikoanalyse und Sicherheit der Informationssysteme;
2. 02Bewältigung von Sicherheitsvorfällen;
3. 03Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement;
4. 04Sicherheit der Lieferkette, einschließlich der Sicherheitsaspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern;
5. 05Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Umgang mit und Offenlegung von Schwachstellen;
6. 06Konzepte und Verfahren, um die Wirksamkeit dieser Maßnahmen zu bewerten;
7. 07grundlegende Cyberhygiene und Schulungen zur Cybersicherheit;
8. 08Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung;
9. 09Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen;
10. 10gegebenenfalls Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation und gesicherte Notfallkommunikation.

Für Lieferanten zählen vor allem die Nummern 4 und 5. Artikel 21 Absatz 3 nennt, was die Einrichtung bei jedem direkten Lieferanten bewerten soll: dessen besondere Schwachstellen, die Qualität seiner Produkte, seine Sicherheitspraxis insgesamt und die Art, wie er Software sicher entwickelt. Geprüft wird also auch Ihr Entwicklungsprozess, nicht nur das Ergebnis.

04Die Leitung billigt, überwacht und haftet

Artikel 20 nimmt die Leitungsorgane in die Pflicht. Sie genehmigen die Maßnahmen zum Risikomanagement, kontrollieren, ob sie umgesetzt werden, und haften bei Verstößen. Wer dem Leitungsorgan angehört, muss sich schulen lassen; für die übrigen Mitarbeitenden empfiehlt die Richtlinie regelmäßige Schulungen. Bei öffentlichen Stellen gelten weiterhin die nationalen Vorschriften zur Haftung von Institutionen und Bediensteten.

Das verändert das Gespräch mit Lieferanten. Wer im Verwaltungsrat oder in der Geschäftsleitung die Maßnahmen billigen soll, will Nachweise, die er nachvollziehen kann: welcher Lieferant welchen Dienst trägt, welche Risiken bleiben und was tatsächlich getestet wurde.

05Vorfälle melden: 24 Stunden, 72 Stunden, ein Monat

Das luxemburgische Gesetz verpflichtet wesentliche und wichtige Einrichtungen, erhebliche Sicherheitsvorfälle der zuständigen Behörde innerhalb von 24 Stunden zu melden. Der Ablauf folgt Artikel 23 der Richtlinie. Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder anderen Personen erheblichen materiellen oder immateriellen Schaden zugefügt hat oder zufügen kann. Die Meldung erfolgt in Stufen:

Wo es angebracht ist, informieren die Einrichtungen außerdem die Empfänger ihrer Dienste unverzüglich über erhebliche Vorfälle, die diese Dienste beeinträchtigen können. Formulare und Meldewege legt die zuständige Behörde fest, in Luxemburg für die meisten Sektoren das ILR.

Maßgeblich ist der Zeitpunkt, zu dem die Einrichtung von dem Vorfall erfährt. Startet er in der Umgebung eines Lieferanten, schafft der Kunde die 24 Stunden nur, wenn der Lieferant den Vorfall binnen weniger Stunden bemerkt, als solchen erkennt und weitermeldet. Überwachung, Logging und ein fest vereinbarter Meldekanal sind damit Vertragsinhalt und keine reine Technikfrage.

06Was ein NIS2-Kunde von seinem Software­lieferanten verlangt

In der Praxis wird Artikel 21 zu technischen Maßnahmen und Nachweisen, die ein Lieferant vorlegen können sollte, ohne erst ein Projekt aufzusetzen. Am häufigsten begegnen uns diese:

• Ein sicherer Entwicklungsprozess. Bedrohungsmodellierung bei wesentlichen Änderungen, Code-Reviews, automatische Sicherheitstests und Prüfung der Abhängigkeiten in der Pipeline, signierte Builds und eine Software-Stückliste (SBOM) für jedes Release.
• Umgang mit Schwachstellen. Ein veröffentlichter Meldeweg für Schwachstellen, nach Schweregrad vereinbarte Reaktionszeiten und eine Benachrichtigung des Kunden, wenn seine Umgebung betroffen ist.
• Zugriffskontrolle für Lieferantenpersonal. Persönliche Konten, Multi-Faktor-Authentifizierung, minimale Rechte, befristete erweiterte Zugriffe und ein Protokoll jeder administrativen Handlung in der Kundenumgebung.
• Spuren für den Ernstfall. Sicherheitsrelevante Ereignisse werden mit genauer Uhrzeit protokolliert, so lange wie vereinbart aufbewahrt und auf Anfrage exportiert. Damit kann der Kunde beantworten, was Frühwarnung und Abschlussbericht wissen wollen.
• Gemeinsam durch den Vorfall. Eine namentlich benannte Kontaktperson, ein vereinbarter Kanal, eine Meldezeit, die dem Kunden genug Luft für seine 24 Stunden lässt, und Hilfe bei der Suche nach der Ursache.
• Betriebskontinuität und Wiederherstellung. Backups, deren Rücksicherung erprobt ist, Wiederherstellungsziele, die zu denen des Kunden passen, und ein geübtes Verfahren.
• Dokumentation der Lieferkette. Eine aktuelle Liste der Unterauftragnehmer und Hosting-Standorte sowie der wichtigsten Komponenten und Dienste Dritter, von denen die Lösung abhängt.
• Exit-Strategie. Daten lassen sich in nutzbaren Formaten herausgeben, es gibt Dokumentation und Hilfe bei der Übergabe. So behält der Kunde die Kontrolle, auch wenn er den Anbieter wechselt.

Erfahrene Teams arbeiten ohnehin so. Was NIS2 ändert: Der Kunde muss es belegen können. Wie wir das als Lieferant halten, auch mit unserem nach ISO/IEC 27001 zertifizierten Informationssicherheits-Managementsystem, steht auf unserer Seite zu Vertrauen und Compliance.

07Checkliste für Verträge und öffentliche Aufträge

1. 01Lieferanten den Diensten zuordnen. Halten Sie fest, welche Lieferanten welche erfassten Dienste tragen und welche Zugriff auf Ihre Systeme oder Daten haben.
2. 02Nach Kritikalität einstufen. Die strengsten Anforderungen gelten für Lieferanten, die kritische Systeme betreiben oder ändern können.
3. 03Die Maßnahmen in den Vertrag schreiben. Sicherheitsanforderungen, Meldefrist und Meldeweg für Vorfälle, Umgang mit Schwachstellen, Protokollierung und Aufbewahrung, Prüf- und Nachweisrechte, Regeln für Unterauftragnehmer und Standorte. Öffentliche Auftraggeber nehmen diese Punkte ins Lastenheft auf.
4. 04Nachweise statt Erklärungen verlangen. Zertifikate mit Geltungsbereich, Testergebnisse, eine SBOM, das Datum des letzten Wiederherstellungstests.
5. 05Den Ausstieg vorab regeln. Rückgabe der Daten, Unterstützung beim Übergang und die Zeit, in der der Lieferant den Dienst weiterbetreibt.
6. 06Gemeinsam üben. Spielen Sie mit Ihren kritischen Lieferanten einen Vorfall durch, einschließlich der Frühwarnung nach 24 Stunden.
7. 07Am Ball bleiben. Lieferanten wechseln, Dienste ändern sich, neue Bedrohungen kommen hinzu. Ein Register, das nur jährlich gepflegt wird, stimmt die meiste Zeit nicht.

08Das nationale Gesetz entscheidet die Details

Wie man sich registriert, wohin man meldet, welche Formulare gelten und welche Behörde zuständig ist, regelt jedes Land selbst; in Luxemburg das Gesetz vom 5. Mai 2026 zusammen mit den Vorgaben des ILR. Maßgeblich ist im Grundsatz der Staat der Niederlassung. Artikel 26 der Richtlinie kennt Ausnahmen. Betreiber öffentlicher elektronischer Kommunikationsdienste unterliegen jedem Staat, in dem sie tätig sind. Cloud-, Rechenzentrums- und Managed-Service-Anbieter und einige weitere digitale Anbieter richten sich nach dem Ort ihrer Hauptniederlassung, Stellen der öffentlichen Verwaltung nach dem Staat, der sie geschaffen hat. Ein Managed-Service-Anbieter mit Hauptniederlassung in Belgien, der Luxemburger Kunden betreut, fällt demnach in der Regel unter belgisches Recht, seine Kunden unter luxemburgisches.

09Was Sie in den nächsten Monaten verfolgen sollten

• Die Praxis des ILR: Registrierung, Meldeformulare und Leitfäden zum Gesetz vom 5. Mai 2026.
• Das Schicksal des Digital Omnibus (öffnet externe Website), COM(2025) 837, den die Kommission am 19. November 2025 vorgelegt hat. Er sieht vor, Meldungen aus NIS2, DSGVO, DORA und anderen Rechtsakten über einen einzigen, von der ENISA betriebenen Zugang abzuwickeln. Im Oktober 2026 befasste sich noch das Europäische Parlament (öffnet externe Website)) damit. Solange er nicht beschlossen und anwendbar ist, ändern sich weder Meldewege noch Fristen.
• Koordinierte Risikobewertungen kritischer IKT-Lieferketten auf EU-Ebene nach Artikel 22, die Einrichtungen bei der Wahl ihrer Lieferantenmaßnahmen berücksichtigen müssen.
• Den Zeitplan des Cyber Resilience Act für Softwareprodukte, der ab dem 11. Dezember 2027 vollständig gilt.

Die Europäische Kommission führt eine Übersicht über NIS2 und die Durchführungsrechtsakte auf ihrer NIS2-Themenseite (öffnet externe Website). Für Luxemburg sind das Gesetz auf Legilux (öffnet externe Website) und die Seiten des ILR die erste Adresse.