NIS2 an Är Software-Liwweranten: wat béid Säite musse maachen

01Stand vun NIS2 am Hierscht 2026

D’NIS2-Direktiv (mécht eng extern Websäit op), d’Direktiv (EU) 2022/2555, gouf de 27. Dezember 2022 am Amtsblat publizéiert an ass de 16. Januar 2023 a Kraaft getrueden. D’Memberstaaten hu missen hir national Moossname bis de 17. Oktober 2024 unhuelen a publizéieren a se vum 18. Oktober 2024 un uwenden, dem Dag, wou déi éischt NIS-Direktiv opgehuewe gouf.

Well NIS2 eng Direktiv ass, ass fir eng Organisatioun d’national Gesetz bindend, dat se ëmsetzt. D’Ëmsetzung war ongläich: verschidde Memberstaaten hunn hiert Gesetz pünktlech ugewannt, anerer eréischt 2025 oder 2026, an d’Europäesch Kommissioun huet Infraktiounsprozedure géint Memberstaate lancéiert, déi d’Frist verpasst hunn. Zu Lëtzebuerg ass d’Gesetz vum 5. Mee 2026 zënter dem 10. Mee 2026 a Kraaft. Registréierungsflichten, Meldeportaler an Opsiichtsautoritéite sinn dofir vu Land zu Land verschidden.

02Wesentlech a wichteg Entitéiten

NIS2 gëllt fir ëffentlech a privat Entitéiten an de Secteuren aus dem Annex I (héich Kritikalitéit: Energie, Transport, Banken, Finanzmaartinfrastrukturen, Gesondheet, Drénkwaasser, Ofwaasser, digital Infrastruktur, Gestioun vun IKT-Servicer, ëffentlech Verwaltung a Weltraum) an dem Annex II (aner kritesch Secteuren: Post- a Kurierdéngschter, Offallgestioun, Chimie, Liewensmëttel, Produktioun, digital Ubidder a Fuerschung). Als Reegel deckt se mëttelgrouss a grouss Organisatiounen of. Verschiddener falen onofhängeg vun hirer Gréisst drënner, wéi Vertrauensdéngschtubidder, DNS-Déngschtubidder an Entitéite vun der Zentralverwaltung.

Den Artikel 3 deelt dës Organisatiounen dann an zwou Kategorien an:

• Wesentlech Entitéiten: haaptsächlech grouss Organisatiounen an de Secteuren aus dem Annex I, plus Entitéiten, déi onofhängeg vun hirer Gréisst wesentlech sinn, wéi qualifizéiert Vertrauensdéngschtubidder, Registere vun Top-Level-Domainen, DNS-Déngschtubidder an Entitéite vun der Zentralverwaltung. Si gi proaktiv iwwerwaacht, och mat Auditen an Inspektiounen op der Plaz.
• Wichteg Entitéiten: déi aner Organisatiounen, déi ënner den Annex I an II falen. D’Opsiicht ass ex post: d’Autoritéit gräift an, wann et Hiweiser gëtt, datt d’Entitéit net konform ass.

Béid Kategorien hunn déi selwecht Kärflichten: Risikomanagement-Moossnamen (Artikel 21), Meldung vun Tëschefäll (Artikel 23) an d’Verantwortung vun der Leedung (Artikel 20). Den Ënnerscheed läit bei der Opsiicht an de Geldstrofen. Fir Verstéiss géint d’Artikelen 21 oder 23 muss d’national Recht Maximalstrofe vun op d’mannst 10 Milliounen Euro oder 2 % vum weltwäite Joresëmsaz fir wesentlech Entitéiten erlaben, a vun op d’mannst 7 Milliounen Euro oder 1,4 % fir wichteg Entitéiten, jee nodeem wat méi héich ass. D’Memberstaaten decidéieren, ob a wéi wäit Geldstrofe fir Entitéite vun der ëffentlecher Verwaltung gëllen.

Fält Äre Software-Liwwerant selwer drënner?

Software schreiwen ass als sou keen NIS2-Secteur. E Liwwerant kann awer direkt drënner falen. Den Annex I deckt Managed-Service-Provider of, an NIS2 definéiert se breet: Entitéiten, déi fir Clienten IKT-Produkter, Netzwierker, Infrastruktur oder Applikatiounen installéieren, geréieren, bedreiwen oder ënnerhalen, op der Plaz oder op Distanz. E mëttelgroussen oder méi grousse Liwwerant, deen Applikatioune fir seng Clientë bedreift oder ënnerhält, kann dofir selwer ënner NIS2 falen, genee wéi Ubidder vu Cloud-Computing- an Datezenter-Déngschter. Fir dës Ubidder beschreift d’Ëmsetzungsreglement (EU) 2024/2690 (mécht eng extern Websäit op) déi technesch Ufuerderungen am Detail.

Déi meescht Software-Liwwerante begéinen NIS2 awer iwwer hir Clienten, déi hir eege Flicht fir d’Liwwerketten a Kontraktklauselen, Questionnairen an Auditen ëmsetzen. Software-Produkter falen och ënner de Cyber Resilience Act (mécht eng extern Websäit op), d’Reglement (EU) 2024/2847: seng Meldeflichte fir aktiv ausgenotzt Vulnerabilitéiten a schwéier Tëschefäll gëlle vum 11. September 2026 un, seng aner Flichte vum 11. Dezember 2027 un.

03Déi zéng Mindest­moossnamen aus dem Artikel 21

Den Artikel 21 verlaangt passend a proportional technesch, operationell an organisatoresch Moossnamen, op Basis vun enger Approche, déi all Geforen ofdeckt. Si mussen dem Stand vun der Technik an de relevanten europäeschen an internationalen Normen entspriechen, a proportional zu der Exposéierung vun der Entitéit un d’Risiken, hirer Gréisst an der warscheinlecher Gravitéit vun Tëschefäll sinn. Op d’mannst decke se of:

1. 01Politike fir d’Risikoanalys an d’Sécherheet vun Informatiounssystemer;
2. 02d’Behandlung vun Tëschefäll;
3. 03d’Kontinuitéit vum Betrib, wéi d’Gestioun vu Backuppen an d’Restauratioun no enger Katastroph, an d’Krisemanagement;
4. 04d’Sécherheet vun der Liwwerketten, dorënner d’Sécherheetsaspekter vun de Bezéiunge mat den direkte Liwweranten a Prestatairen;
5. 05d’Sécherheet beim Akaf, bei der Entwécklung a beim Ënnerhalt vun Netz- an Informatiounssystemer, dorënner d’Behandlung an d’Publikatioun vu Vulnerabilitéiten;
6. 06Politiken a Prozedure fir ze bewäerten, ob dës Moossnamen effektiv sinn;
7. 07grondleeënd Cyberhygiène a Formatiounen zur Cybersécherheet;
8. 08Politiken a Prozeduren iwwer Kryptographie an, wou et ugemooss ass, Verschlësselung;
9. 09Sécherheet beim Personal, Politike fir d’Zougangskontroll a Gestioun vun den Assets;
10. 10Multifaktor- oder kontinuéierlech Authentifikatioun, a geséchert Sprooch-, Video- an Textkommunikatioun an Noutfallkommunikatioun, wou et ugemooss ass.

Bei de Punkte 4 a 5 kommen d’Liwweranten an d’Spill. Den Artikel 21 Paragraf 3 freet d’Entitéiten, déi spezifesch Vulnerabilitéite vun all direkte Liwwerant, d’Gesamtqualitéit vu senge Produkter a senge Cybersécherheetspraktiken, a seng Prozedure fir sécher Entwécklung ze berécksiichtegen. Är Clientë sollen ukucken, wéi Dir Software baut, net nëmmen, wat Dir liwwert.

04D’Leedung approuvéiert, iwwerwaacht an ass verantwortlech

No Artikel 20 mussen d’Leedungsorgane vu wesentlechen a wichtegen Entitéiten d’Moossname vum Cybersécherheets-Risikomanagement approuvéieren, hir Ëmsetzung iwwerwaachen, a si kënne fir Verstéiss verantwortlech gemaach ginn. Hir Membere musse Formatioune maachen, an d’Entitéite ginn encouragéiert, och hir Mataarbechter reegelméisseg ze formen. Fir ëffentlech Organisme gëllen déi national Reegelen iwwer d’Verantwortlechkeet vun ëffentlechen Institutiounen a Beamte weider.

Dat ännert d’Gespréich mat de Liwweranten. E Verwaltungsrot, deen d’Moossnamen approuvéiere muss, wëll Beweiser, déi en noverfollege kann: wéi eng Liwwerante wéi eng Déngschter ënnerstëtzen, wéi eng Risike bleiwen a wat wierklech getest gouf.

05Meldung vun Tëschefäll: 24 Stonnen, 72 Stonnen, ee Mount

Den Artikel 23 verlaangt, datt Entitéite bedeitend Tëschefäll hirem CSIRT oder hirer zoustänneger Autoritéit mellen. En Tëschefall ass bedeitend, wann en eng schwéier Stéierung vum Betrib oder e finanzielle Verloscht fir d’Entitéit verursaacht huet oder verursaache kann, oder däitleche materiellen oder immaterielle Schued fir anerer. D’Meldung leeft an Etappen:

Wou et ugemooss ass, mussen d’Entitéiten och d’Clientë vun hire Servicer ouni onnéidege Retard iwwer bedeitend Tëschefäll informéieren, déi dës Servicer warscheinlech beaflossen. Zu Lëtzebuerg schécken d’Entitéiten d’éischt Warnung bannent 24 Stonnen (Artikel 14 vum Gesetz vum 5. Mee 2026). D’Gesetz mécht den HCPN (Haut-Commissariat à la Protection nationale) zum eenzege Kontaktpunkt an zur Autoritéit fir Cyberkrisen. GOVCERT.LU, eng Funktioun vum HCPN, ass den CSIRT fir d’Administratioune vum Staat, d’établissements publics an déi kritesch Entitéiten. De CIRCL ass den CSIRT fir all aner Fäll.

D’Auer leeft vum Moment un, wou d’Entitéit vum Tëschefall Kenntnis kritt. Wann en an engem System vun engem Liwwerant ufänkt, kann de Client d’Frist vu 24 Stonnen nëmmen anhalen, wann de Liwwerant en entdeckt, als esou erkennt a bannent e puer Stonne weidergëtt. Detektioun, Logging an en ofgemaachten Notifikatiounskanal sinn dofir Kontraktbedéngungen, net just technesch Detailer.

06Wat en NIS2-Client vu sengem Software-Liwwerant freet

An der Praxis gëtt den Artikel 21 zu technesche Moossnamen a Beweiser, déi e Liwwerant soll weise kënnen, ouni e Projet unzefänken. Déi, déi mir am dackste gesinn:

• E sécheren Entwécklungszyklus. Threat Modelling bei bedeitenden Ännerungen, Peer Review, automatesch Sécherheetstester an Dependency-Scanning an der Pipeline, signéiert Builds an eng Software Bill of Materials (SBOM) fir all Release.
• Behandlung a Publikatioun vu Vulnerabilitéiten. E publizéierte Wee, fir Vulnerabilitéiten ze mellen, Reaktiounszäiten no Gravitéit ofgemaach, an eng Informatioun un de Client, wann eng Vulnerabilitéit seng Ëmgéigend betrëfft.
• Zougangskontroll fir d’Mataarbechter vum Liwwerant. Nominativ Konten, Multifaktor-Authentifikatioun, minimal Rechter, zäitlech begrenzten erweiderten Zougang an e Logbuch vun all administrativer Aktioun an der Ëmgéigend vum Client.
• Logging a Beweiser bei Tëschefäll. Sécherheetsrelevant Evenementer, déi mat zouverlässegen Zäitstempele protokolléiert, eng ofgemaacht Zäit gehale ginn an exportéiert kënne ginn, sou datt de Client d’Froe vun der éischter Warnung an dem Schlussbericht beäntwere kann.
• Zesummenaarbecht bei Tëschefäll. E benannte Kontakt an e Kanal, eng Notifikatiounszäit kloer bannent de 24 Stonne vum Client, an Ënnerstëtzung bei der Ursaachenanalys.
• Kontinuitéit a Restauratioun. Backuppen, déi duerch Restauratioun bewise sinn, Restauratiounsziler, déi op déi vum Client ofgestëmmt sinn, an eng getest Prozedur.
• Dokumentatioun vun der Liwwerketten. Eng aktuell Lëscht vun Ënnerprestatairen an Hosting-Plazen, a vun den Haaptkomponenten an -déngschter vun Drëtten, op déi d’Léisung opbaut.
• En Exitplang. Export vun den Donnéeën a benotzbare Formater, Dokumentatioun a Support bei der Iwwergab, sou datt de Client de Liwwerant wiessele kann, ouni d’Kontroll iwwer de Service ze verléieren.

Näischt dovun ass nei fir erfuerenen Engineering-Equippen. Wat NIS2 ännert, ass, datt de Client et muss noweise kënnen. Eis Säit Vertrauen a Compliance beschreift, wéi mir als Liwwerant schaffen, och eist Informatiounssécherheets-Managementsystem, dat no ISO/IEC 27001 zertifizéiert ass.

07Eng Checklëscht fir Kontrakter an Ausschreiwungen

1. 01Liwwerante mat Servicer verbannen. Notéiert, wéi eng Liwwerante wéi eng Servicer am Perimeter ënnerstëtzen, a wéi eng Zougang zu Äre Systemer oder Donnéeën hunn.
2. 02No Kritikalitéit klasséieren. Uwent déi stäerkst Ufuerderungen op Liwweranten, déi kritesch Systemer bedreiwen oder ännere kënnen.
3. 03D’Moossnamen an de Kontrakt schreiwen. Sécherheetsufuerderungen, Notifikatiounszäit a -kanal bei Tëschefäll, Behandlung vu Vulnerabilitéiten, Logging an Opbewahrung, Audit- oder Beweisrechter, Reegele fir Ënnerkontraktéierung a Plazen.
4. 04Beweiser froen, keng Erklärungen. Zertifikater mat hirem Perimeter, Testresultater, eng SBOM, den Datum vum leschte Restauratiounstest.
5. 05Den Exit am Viraus ofmaachen. Réckgab vun den Donnéeën, Ënnerstëtzung beim Iwwergang an d’Period, an där de Liwwerant de Service weiderbedreift.
6. 06Zesummen üben. Maacht mat Äre kritesche Liwweranten eng Tëschefallübung, och mat der éischter Warnung bannent 24 Stonnen.
7. 07Regelméisseg iwwerpréiwen. Liwweranten, Servicer a Bedroungen ännere sech; e Register vun de Liwweranten, deen eemol am Joer aktualiséiert gëtt, ass de gréissten Deel vum Joer net aktuell.

08Wat d’Lëtzebuerger Gesetz festleet

Registréierung, Meldeportaler, Formulairen, déi zoustänneg Autoritéit an all zousätzlech Ufuerderung kommen aus dem nationale Recht. Zu Lëtzebuerg ass dat d’Gesetz vum 5. Mee 2026 iwwer d’Cybersécherheet (loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité), dat zënter dem 10. Mee 2026 a Kraaft ass. Den ILR (Institut luxembourgeois de régulation) ass déi zoustänneg Autoritéit fir déi meescht Secteuren a féiert d’Selbstregistréierung vun den Entitéiten. D’CSSF ass zoustänneg fir de Bankesecteur an d’Finanzmaartinfrastrukturen, an, fir hir iwwerwaacht Aktivitéiten, fir digital Infrastruktur an d’Gestioun vun IKT-Servicer. Als Reegel fält eng Entitéit ënner de Memberstaat, an deem se etabléiert ass. Den Artikel 26 vun der Direktiv mécht Ausnamen: Ubidder vun ëffentlechen elektronesche Kommunikatiounsnetzer falen ënner all Land, an deem se Servicer ubidden, Cloud-, Datezenter- a Managed-Service-Provider an e puer aner digital Ubidder ënner d’Land vun hirem Haaptétablissement, an Entitéite vun der ëffentlecher Verwaltung ënner de Staat, dee se gegrënnt huet.

09Wat Dir an de kommende Méint am A behale sollt

• D’Ëmsetzung zu Lëtzebuerg an an anere Länner, wou Dir aktiv sidd: Hiweiser an Ausféierungstexter vun der zoustänneger Autoritéit.
• Den Digital-Omnibus-Virschlag (mécht eng extern Websäit op) vun der Kommissioun vum 19. November 2025, COM(2025) 837, duerch deen d’Meldunge vun Tëschefäll ënner NIS2, dem RGPD, DORA an anere Gesetzer iwwer en eenzegen Entréespunkt goe géifen, deen d’ENISA bedreift. Am Oktober 2026 louch en nach beim Europäesche Parlament (mécht eng extern Websäit op)); bis en ugeholl ass a gëllt, bleiwen déi aktuell Kanäl a Fristen.
• Koordinéiert EU-Risikobewäertunge vu kriteschen IKT-Liwwerketten no Artikel 22, déi d’Entitéite bei der Wiel vun hire Moossname fir d’Liwwerante berécksiichtege mussen.
• De Kalenner vum Cyber Resilience Act fir Software-Produkter, mat der voller Uwendung vum 11. Dezember 2027 un.

Fir Finanzentitéiten ersetzt den Digital Operational Resilience Act d’NIS2-Reegelen iwwer IKT-Risikomanagement, Meldung vun Tëschefäll an Opsiicht; kuckt eisen Artikel DORA an IKT-Prestatairen. D’Kommissioun gëtt op hirer NIS2-Säit (mécht eng extern Websäit op) en Iwwerbléck iwwer NIS2 a seng Ëmsetzungsakten.