NIS2 in Europa: Kommission verklagt vier Mitgliedstaaten vor dem EuGH
Am 9. Juli 2026 hat die Europäische Kommission Klage vor dem Europäischen Gerichtshof gegen Irland, Spanien, Frankreich und die Niederlande erhoben – wegen fehlender Umsetzung der NIS2-Richtlinie. Die Umsetzungsfrist war am 17. Oktober 2024 abgelaufen, zum Zeitpunkt der Klage also seit mehr als 20 Monaten. Der Schritt ist die letzte Stufe des Vertragsverletzungsverfahrens und zeigt, wie zäh die Harmonisierung der europäischen Cybersicherheitsregeln verläuft.
Immerhin bewegt sich etwas: In den Niederlanden hat der Senat das Umsetzungsgesetz am 7. Juli 2026 verabschiedet, das Inkrafttreten war für Mitte August vorgesehen. In Frankreich lief die parlamentarische Beratung zum Klagezeitpunkt, in Irland war die Vorlage frühestens für September angekündigt, in Spanien lag ein Entwurf ohne festen Zeitplan vor. Deutschland gehört seit dem 6. Dezember 2025 zu den Staaten mit geltendem Umsetzungsgesetz.
Folgen für Unternehmensgruppen
Für Unternehmen mit Standorten in mehreren Mitgliedstaaten entsteht dadurch eine unbequeme Zwischenlage. Die Richtlinie selbst bindet grundsätzlich nur die Staaten, nicht die Unternehmen; maßgeblich ist das jeweilige nationale Gesetz. Eine Gruppe mit Gesellschaften in Deutschland und Spanien unterliegt also in Deutschland bereits der vollen BSIG-Pflicht, während am spanischen Standort formal noch kein Umsetzungsgesetz gilt. Einheitliche Konzernstandards nach dem strengsten geltenden Recht sind in dieser Lage meist günstiger als ein Flickenteppich – zumal die Nachzüglerstaaten inhaltlich kaum vom Richtlinientext abweichen können.
Hinzu kommt die Zuständigkeitsfrage: Für Einrichtungen, die in mehreren Staaten tätig sind, knüpft die Richtlinie die Aufsicht regelmäßig an die Hauptniederlassung. Wer seine Betroffenheit und Einstufung je Gesellschaft dokumentiert hat, kann solche Fragen beantworten, bevor eine Behörde sie stellt.
Für deutsche Unternehmen ändert das Verfahren in Luxemburg nichts an den eigenen Pflichten – es unterstreicht eher, dass die Kommission die Durchsetzung ernst nimmt. Den strukturierten Einstieg in Betroffenheitsprüfung und Pflichtenkatalog beschreibt unsere Seite zum Modul NIS2.
