NIS2 · LUXEMBURG
NIS2 in Luxemburg: das Gesetz vom 5. Mai 2026
Lesezeit etwa 12 Minuten · Stand Juli 2026
Seit dem 10. Mai 2026 gilt in Luxemburg das Gesetz vom 5. Mai 2026 zur Cybersicherheit. Eine allgemeine Übergangsfrist gibt es nicht. Die Frist zur Selbstregistrierung endete am 10. Juli 2026, sie ist bereits verstrichen. Wer sie versäumt hat, bleibt verpflichtet und sollte die Registrierung umgehend nachholen. Stand: Juli 2026.
Was regelt das Gesetz vom 5. Mai 2026?
Das Gesetz vom 5. Mai 2026 setzt die Richtlinie (EU) 2022/2555 in luxemburgisches Recht um. Die amtliche Zitierweise legt Art. 32 des Gesetzes selbst fest: loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. Veröffentlicht wurde der Text am 6. Mai 2026 im Mémorial A No. 225, die parlamentarischen Vorarbeiten laufen unter Doc. parl. 8364. Ein Hinweis zur Recherche: Unter demselben Datum wurden in Luxemburg mehrere Gesetze ausgefertigt, darunter eines zum Finanzsektor sowie das Gesetz über die Resilienz kritischer Einrichtungen, auf das die NIS2-Umsetzung in Art. 11 ausdrücklich verweist. Eindeutig ist nur die vollständige Bezeichnung.
Aufgebaut ist der Text in 8 Kapiteln: Anwendungsbereich und Begriffe, Behörden, wesentliche und wichtige Einrichtungen, Zuständigkeit und Registrierung, Informationsaustausch, Aufsicht und Durchsetzung, Änderungsbestimmungen sowie Zitierweise. Welche Branchen erfasst sind, steht in 2 Anlagen: Anlage I führt 11 Sektoren als hochkritisch, Anlage II weitere 7 Sektoren als sonstige kritische Sektoren. Den amtlichen Volltext stellt das ILR bereit.
Mit dem Inkrafttreten ist das NIS1-Gesetz vom 28. Mai 2019 aufgehoben, geregelt in Art. 30. Ebenfalls aufgehoben sind Art. 42 sowie Art. 43 des Gesetzes vom 17. Dezember 2021 über elektronische Kommunikationsnetze und -dienste. Wer unter dem alten Recht als Betreiber wesentlicher Dienste identifiziert war, gilt nach Art. 11 Abs. 1 Nr. 7 unmittelbar als wesentliche Einrichtung. Eine erneute Einstufung braucht es dafür nicht. Für die Praxis heißt das: Wer sich seit 2019 auf NIS1 eingerichtet hat, kann die alten Nachweise nicht einfach fortschreiben. Der Pflichtenkatalog ist breiter geworden. Art. 12 Abs. 1 erfasst die Netz- und Informationssysteme, die eine Einrichtung im Rahmen ihrer Tätigkeit oder für die Erbringung ihrer Dienste nutzt, nicht mehr nur die Systeme hinter einem einzelnen wesentlichen Dienst.
Eine allgemeine Übergangsfrist fehlt. Das Gesetz enthält kein Kapitel mit Übergangsbestimmungen. Zwischen Veröffentlichung und Inkrafttreten lagen 4 Tage. Die Pflichten zum Risikomanagement nach Art. 12 sowie zur Meldung erheblicher Vorfälle nach Art. 14 gelten deshalb seit dem 10. Mai 2026 in vollem Umfang. Auch Aufsicht und Durchsetzung nach Kapitel 6 sind seit demselben Tag anwendbar. Eine Schonfrist für den Aufbau der Maßnahmen sieht der Text nicht vor. Wie die europäische Vorgabe dahinter aufgebaut ist, erklärt unsere NIS2-Übersicht.
Welche Termine gelten und welcher ist bereits verstrichen?
Verstrichen ist der 10. Juli 2026, das Ende der Registrierungsfrist. Alle übrigen Termine des Gesetzes laufen dauerhaft weiter.
| Termin | Was passiert | Status |
|---|---|---|
| 5. Mai 2026 | Ausfertigung des Gesetzes, Umsetzung der Richtlinie (EU) 2022/2555 | erledigt |
| 6. Mai 2026 | Veröffentlichung im Mémorial A No. 225 | erledigt |
| 10. Mai 2026 | Inkrafttreten. Das NIS1-Gesetz vom 28. Mai 2019 ist aufgehoben (Art. 30) | Pflichten gelten seither |
| 10. Juli 2026 | Ende der 2-Monats-Frist für die Übermittlung der Stammdaten an die zuständige Behörde (Art. 11 Abs. 4) | verstrichen |
| binnen 2 Wochen | Meldung jeder Änderung der übermittelten Angaben (Art. 11 Abs. 4) | laufend |
| 24 Stunden | Erstmeldung eines erheblichen Vorfalls (Art. 14 Abs. 4 Nr. 1) | laufend |
| 72 Stunden | Vorfallsmeldung mit erster Bewertung von Schwere und Auswirkung (Art. 14 Abs. 4 Nr. 2) | laufend |
| 1 Monat | Abschlussbericht nach der 72-Stunden-Meldung (Art. 14 Abs. 4 Nr. 4) | laufend |
| mindestens alle 2 Jahre | Überprüfung der Einrichtungslisten durch die Behörden (Art. 11 Abs. 3) | laufend |
Hinter dem 10. Juli 2026 steht Art. 11 Abs. 4. Die Vorschrift gibt den erfassten Einrichtungen 2 Monate ab Inkrafttreten, um der zuständigen Behörde ihre Stammdaten zu übermitteln: Name, aktuelle Adresse und Kontaktdaten samt E-Mail-Adressen, IP-Bereichen und Telefonnummern, Sektor und Untersektor nach Anlage I oder II, die Mitgliedstaaten mit Leistungserbringung sowie die Größe der Einrichtung. Die Selbstregistrierung läuft für die meisten Sektoren über das ILR. Art. 3 Abs. 2 macht davon eine Ausnahme: Für den Bankensektor sowie die Finanzmarktinfrastrukturen, die Punkte 3 und 4 der Tabelle in Anlage I, ist die CSSF zuständige Behörde. Dasselbe gilt für die Sektoren digitale Infrastruktur sowie Verwaltung von IKT-Diensten, die Punkte 8 und 9 derselben Tabelle, soweit die Tätigkeit unter der Aufsicht der CSSF steht. Wer dort einzuordnen ist, registriert sich nicht beim ILR.
Die Frist ist abgelaufen, das Thema damit aber nicht erledigt. Das ILR stellt klar, dass eine unterbliebene Selbstregistrierung keine Einrichtung von ihren Pflichten nach dem Gesetz befreit. Wer die Registrierung nachholt, sollte das dokumentieren und zugleich prüfen, ob die übrigen Pflichten stehen. Praktisch wichtiger als das eine Datum sind ohnehin die dauerhaft laufenden Termine: Änderungen an den gemeldeten Angaben sind binnen 2 Wochen nachzureichen und bei einem erheblichen Vorfall läuft die Kette aus 24 Stunden, 72 Stunden sowie einem Monat. Was bei einer versäumten Frist konkret gilt, steht weiter unten in diesem Beitrag.
Welche Behörde ist in Luxemburg zuständig?
Zuständig ist nicht eine einzige Stelle, sondern 5. Das Gesetz vom 5. Mai 2026 verteilt Aufsicht, Krisenmanagement sowie technische Vorfallbearbeitung auf verschiedene Häuser. Wer sich nur eine Adresse merkt, meldet im Ernstfall an der falschen.
Hauptregulator ist das Institut Luxembourgeois de Régulation (ILR). Nach Art. 3 Abs. 1 ist es die zuständige Behörde für Cybersicherheit sowie für die Aufsichts- und Durchsetzungsaufgaben nach Kapitel 6, dies für die Sektoren der Anhänge I und II sowie für die kritischen Einrichtungen nach dem Resilienz-Gesetz vom 5. Mai 2026. Fachlich liegt das Thema in der Abteilung NISS.
Für den Finanzbereich gilt eine ausdrückliche Abweichung. Nach Art. 3 Abs. 2 ist die CSSF zuständige Behörde für den Bankensektor sowie für den Sektor der Finanzmarktinfrastrukturen (Anhang I Nr. 3 und 4). Darüber hinaus ist sie zuständig für die Sektoren digitale Infrastruktur sowie Verwaltung von IKT-Diensten (Anhang I Nr. 8 und 9), soweit es um Tätigkeiten geht, die unter ihrer Aufsicht stehen. Der pauschale Satz „Die Registrierung läuft über das ILR“ trifft für diese Einrichtungen also nicht zu.
Das HCPN (Haut-Commissariat à la Protection nationale) ist nach Art. 5 die zentrale Anlaufstelle für die grenzüberschreitende Zusammenarbeit. Nach Art. 6 ist es zugleich die Behörde für das Management großer Cybersicherheitsvorfälle sowie für Cyberkrisen. In dieser Rolle vertritt es Luxemburg im europäischen Netzwerk EU-CyCLONe.
Bei den CSIRTs lohnt ein genauer Blick. Art. 7 Abs. 1 bestimmt das HCPN in seiner Funktion als GOVCERT.LU zum CSIRT für die staatlichen Verwaltungen und Dienststellen, die öffentlichen Anstalten sowie für die nach dem Resilienz-Gesetz vom 5. Mai 2026 erfassten kritischen Einrichtungen. Die letzte Gruppe umfasst vielfach private Betreiber, etwa in Energie oder Verkehr. Die Zuordnung folgt also nicht der Trägerschaft, sondern der Funktion. CIRCL ist nach Art. 7 Abs. 1 das CSIRT für alle übrigen Fälle, für die GOVCERT.LU nicht zuständig ist.
| Stelle | Rolle nach dem Gesetz | Zuständig für |
|---|---|---|
| ILR, Abteilung NISS | Zuständige Behörde, Aufsicht und Durchsetzung nach Kapitel 6 (Art. 3 Abs. 1) | Sektoren der Anhänge I und II sowie kritische Einrichtungen, soweit nicht die CSSF zuständig ist |
| CSSF | Zuständige Behörde abweichend von Art. 3 Abs. 1 (Art. 3 Abs. 2) | Bankensektor und Finanzmarktinfrastrukturen (Anhang I Nr. 3 und 4); digitale Infrastruktur sowie Verwaltung von IKT-Diensten, soweit die Tätigkeit ihrer Aufsicht unterliegt |
| HCPN | Zentrale Anlaufstelle (Art. 5) sowie Behörde für Cyberkrisen (Art. 6) | Grenzüberschreitende Zusammenarbeit, EU-CyCLONe, große Vorfälle sowie Krisen |
| GOVCERT.LU (Funktion des HCPN) | CSIRT (Art. 7 Abs. 1) | Staatliche Verwaltungen und Dienststellen, öffentliche Anstalten sowie kritische Einrichtungen nach dem Resilienz-Gesetz, darunter private Betreiber |
| CIRCL | CSIRT (Art. 7 Abs. 1) sowie Koordinator für die Offenlegung von Schwachstellen (Art. 9) | Alle übrigen Einrichtungen, für die GOVCERT.LU nicht zuständig ist |
Die Selbstregistrierung des ILR läuft über das Portal zum Auto-Enregistrement. Die Rechtsgrundlagen sammelt das ILR auf seiner Seite zur Loi NIS2. Einrichtungen unter Aufsicht der CSSF klären den Meldeweg dort.
Gilt für Finanzunternehmen in Luxemburg NIS2 oder DORA?
Für die meisten Finanzunternehmen in Luxemburg ist DORA maßgeblich. Der Weg dorthin führt aber nicht über eine pauschale Bereichsausnahme, sondern über 2 Vorschriften, die man auseinanderhalten sollte.
Praktisch am wichtigsten ist Art. 1 Abs. 8. Wo sektorale Rechtsakte der EU wesentlichen oder wichtigen Einrichtungen Risikomanagementmaßnahmen für die Cybersicherheit oder die Meldung erheblicher Vorfälle auferlegen und diese Anforderungen mindestens gleichwertig wirken, sind die entsprechenden Vorschriften des luxemburgischen Gesetzes auf diese Einrichtungen nicht anwendbar. Das schließt die Aufsicht und Durchsetzung nach Kapitel 6 ausdrücklich ein. DORA ist ein solcher sektoraler Rechtsakt. Gleichwertigkeit liegt nach dem Gesetz vor, wenn die Risikomanagementmaßnahmen mindestens so weit reichen wie die des Art. 12 Abs. 1 und 2 oder wenn CSIRTs und Behörden unmittelbaren Zugang zu den Vorfallmeldungen erhalten und die Meldeanforderungen denen des Art. 14 Abs. 1 bis 6 mindestens entsprechen.
Die zweite Vorschrift ist enger, als sie auf den ersten Blick wirkt. Art. 1 Abs. 5 nimmt Einrichtungen aus, die vom Geltungsbereich der Verordnung (EU) 2022/2554 ausgenommen sind. Der Wortlaut verweist dabei ausdrücklich auf Art. 2 Abs. 4 dieser Verordnung. Art. 2 Abs. 4 DORA ist die Mitgliedstaatenoption: Ein Mitgliedstaat darf die in Art. 2 Abs. 5 Nr. 4 bis 23 der Richtlinie 2013/36/EU aufgeführten Stellen in seinem Hoheitsgebiet aus DORA herausnehmen. Nur diese Gruppe ist gemeint.
Nicht erfasst ist damit Art. 2 Abs. 3 DORA. Dort steht eine ganz andere Liste: kleine Verwalter alternativer Investmentfonds, Versicherungs- und Rückversicherungsunternehmen im Sinne von Art. 4 der Richtlinie 2009/138/EG, Einrichtungen der betrieblichen Altersversorgung mit weniger als 15 Versorgungsanwärtern, bestimmte nach der Richtlinie 2014/65/EU ausgenommene Personen, Versicherungsvermittler in der Größe von Kleinst-, kleinen sowie mittleren Unternehmen und schließlich Postgiroämter. Wer nach Art. 2 Abs. 3 DORA aus DORA herausfällt, fällt deshalb nicht automatisch aus dem luxemburgischen Gesetz heraus. Die verkürzte Aussage „nach DORA ausgenommen, also raus aus NIS2“ ist zu weit gefasst.
Vor beiden Vorschriften steht ohnehin die Vorfrage: Entspricht die Einrichtung überhaupt einem Typ nach Anhang I oder Anhang II? Der Bankensektor steht dort unter Nr. 3, die Finanzmarktinfrastrukturen unter Nr. 4. Versicherer als solche stehen nicht in den Anhängen. Die saubere Reihenfolge lautet daher: erst Typ nach Anhang, dann Art. 1 Abs. 5, dann Art. 1 Abs. 8. Wie DORA im Detail wirkt, beschreiben wir in unserem Überblick zu DORA.
Aufsichtlich fällt beides zusammen. Für den Bankensektor sowie die Finanzmarktinfrastrukturen ist die CSSF nach Art. 3 Abs. 2 auch die Behörde nach diesem Gesetz. Art. 10 verpflichtet die Behörden nach dem NIS2-Gesetz sowie die Behörden nach DORA zum regelmäßigen Austausch über Vorfälle und Cyberbedrohungen.
Wer fällt in Luxemburg unter das Gesetz?
Unter das Gesetz fällt, wer einem Einrichtungstyp aus Anhang I oder Anhang II entspricht sowie mindestens ein mittleres Unternehmen im Sinne der Empfehlung 2003/361/EG ist (Art. 1 Abs. 1). Anhang I führt 11 hochkritische Sektoren, Anhang II weitere 7. Eine Besonderheit steht gleich im ersten Artikel: Eine Besonderheit steht gleich im ersten Artikel: Art. 3 Abs. 4 des Anhangs der Empfehlung, der einem Unternehmen den KMU-Status nimmt, sobald 25 % oder mehr des Kapitals oder der Stimmrechte von öffentlichen Stellen kontrolliert werden, gilt für dieses Gesetz ausdrücklich nicht.
Daneben steht eine Reihe größenunabhängiger Fälle. Nach Art. 1 Abs. 2 erfasst sind Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, Registries für Domänen oberster Stufe sowie DNS-Diensteanbieter. Ebenfalls erfasst sind Einrichtungen der öffentlichen Verwaltung im Sinne von Art. 2 Nr. 34. Unabhängig von der Größe gelten außerdem Art. 1 Abs. 3 für kritische Einrichtungen nach dem Resilienz-Gesetz sowie Art. 1 Abs. 4 für Anbieter von Domänennamen-Registrierungsdiensten.
An 2 Stellen wird häufig zu grob zusammengefasst. Erstens: Der alleinige Anbieter eines Dienstes, der für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten wesentlich ist, wird nicht kraft Gesetzes zur wesentlichen Einrichtung. Art. 11 Abs. 1 Nr. 5 verlangt dafür eine Entscheidung der zuständigen Behörde. Dasselbe gilt für die übrigen Fälle des Art. 1 Abs. 2 Nr. 2 bis 5. Ohne diese Entscheidung bleibt es bei der Einstufung als wichtige Einrichtung nach Art. 11 Abs. 2. Zweitens: Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher Kommunikationsdienste sind nach Art. 11 Abs. 1 Nr. 3 bereits als mittlere Unternehmen wesentliche Einrichtungen. In anderen Sektoren führt dieselbe Größe zunächst nur zur Einstufung als wichtige Einrichtung.
Auch die Ausnahmen für den Sicherheitsbereich sind schmaler als oft dargestellt. Für den Service de renseignement de l’État, die Dienststellen des Verteidigungsministers sowie die luxemburgische Armee gelten nach Art. 1 Abs. 6 lediglich die Artikel 12, 13, 14 und 15 sowie Kapitel 6 nicht. Das betrifft Risikomanagement, Verantwortung der Leitungsorgane, Meldepflicht sowie Aufsicht und Durchsetzung. Im Übrigen bleiben diese Stellen im Anwendungsbereich, etwa bei der Erfassung nach Art. 11. Vollständig ausgenommen sind nach Art. 1 Abs. 7 nur Kommunikations- und Informationssysteme, in denen Verschlusssachen im Sinne des Gesetzes vom 15. Juni 2004 gespeichert oder verarbeitet werden.
| Kategorie | Einstufung nach dem Gesetz | Fundstelle |
|---|---|---|
| Typ nach Anhang I oberhalb der Schwellen für mittlere Unternehmen | Wesentliche Einrichtung | Art. 11 Abs. 1 Nr. 1 |
| Qualifizierte Vertrauensdiensteanbieter, Registries für Domänen oberster Stufe, DNS-Diensteanbieter | Wesentliche Einrichtung, unabhängig von der Größe | Art. 11 Abs. 1 Nr. 2 |
| Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher Kommunikationsdienste | Wesentliche Einrichtung bereits als mittleres Unternehmen | Art. 11 Abs. 1 Nr. 3 |
| Einrichtungen der öffentlichen Verwaltung | Wesentliche Einrichtung | Art. 11 Abs. 1 Nr. 4, Art. 2 Nr. 34 |
| Alleiniger Anbieter eines kritischen Dienstes sowie die weiteren Fälle des Art. 1 Abs. 2 Nr. 2 bis 5 | Wesentliche Einrichtung erst durch Entscheidung der zuständigen Behörde, sonst wichtige Einrichtung | Art. 11 Abs. 1 Nr. 5, Art. 11 Abs. 2 |
| Kritische Einrichtungen nach dem Resilienz-Gesetz vom 5. Mai 2026 | Wesentliche Einrichtung, unabhängig von der Größe | Art. 11 Abs. 1 Nr. 6, Art. 1 Abs. 3 |
| Vor Inkrafttreten benannte Betreiber wesentlicher Dienste nach dem Gesetz vom 28. Mai 2019 | Wesentliche Einrichtung | Art. 11 Abs. 1 Nr. 7 |
| Alle übrigen Einrichtungen eines Typs nach Anhang I oder II | Wichtige Einrichtung | Art. 11 Abs. 2 |
| Nachrichtendienst, Dienststellen des Verteidigungsministers, Armee | Im Anwendungsbereich, jedoch ohne die Artikel 12 bis 15 sowie ohne Kapitel 6 | Art. 1 Abs. 6 |
| Systeme mit Verschlusssachen | Vollständig ausgenommen | Art. 1 Abs. 7 |
Wer den europäischen Rahmen hinter der luxemburgischen Umsetzung nachlesen will, findet ihn in unserem NIS2-Überblick. Stand dieser Darstellung: Juli 2026, auf Grundlage des im Mémorial A Nr. 225 veröffentlichten Wortlauts. Die Darstellung ist informierend und ersetzt keine Rechtsberatung nach luxemburgischem Recht.
Luxemburgische Einheit im Konzern?
ILR, CSSF oder ein Sonderweg über DORA: Die Zuordnung entscheidet über Registrierung, Meldeweg sowie Aufsicht. Im Strategiegespräch ordnen wir Ihre luxemburgische Einheit ein und zeigen, welche Schritte anstehen.
Welche Pflichten bringt das Gesetz konkret mit?
Das Gesetz verlangt 4 Dinge: die Registrierung bei der zuständigen Behörde, ein dokumentiertes Risikomanagement, die Einbindung der Leitungsorgane sowie die Meldung erheblicher Vorfälle in einem festen Zeitraster. Alle 4 Pflichten gelten seit dem 10. Mai 2026.
Registrierung. Art. 11 Abs. 4 verpflichtet die erfassten Einrichtungen, der zuständigen Behörde binnen 2 Monaten ab Inkrafttreten mindestens den Namen, die aktuellen Kontaktdaten einschließlich E-Mail-Adressen, IP-Bereichen und Telefonnummern, den betroffenen Sektor sowie Teilsektor, die Mitgliedstaaten mit Leistungserbringung und die Größe der Einrichtung zu übermitteln. Änderungen sind unverzüglich, spätestens binnen 2 Wochen, nachzumelden. Vorher ist allerdings die Zuständigkeit zu klären. Für die meisten Sektoren ist das ILR mit seiner Abteilung NISS die Adresse, die Selbstregistrierung läuft über das Portal guichet.ilr.lu. Für den Bankensektor sowie den Sektor der Finanzmarktinfrastrukturen ist nach Art. 3 dagegen die CSSF zuständige Behörde. Sie beaufsichtigt denselben Sektor auch unter DORA. Dasselbe gilt für digitale Infrastruktur und IKT-Servicemanagement, soweit die Tätigkeiten unter der Aufsicht der CSSF stehen. Für diese Einrichtungen ist der pauschale Hinweis auf das ILR-Portal gegenstandslos.
Risikomanagement. Art. 12 verlangt geeignete und verhältnismäßige technische, operative sowie organisatorische Maßnahmen nach einem Allgefahrenansatz. Das Gesetz zählt 10 Mindestbereiche auf: Risikoanalyse und Sicherheit der Informationssysteme, Behandlung von Vorfällen, Betriebskontinuität einschließlich Backup und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung sowie Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulung, Kryptografie, Personalsicherheit mit Zugriffskontrolle sowie Asset-Management und schließlich Mehrfaktor-Authentifizierung mit gesicherter Kommunikation. Eine luxemburgische Besonderheit steht in Art. 12 Abs. 3: Wesentliche Einrichtungen zeigen ihre Maßnahmen der zuständigen Behörde an. Modalitäten, Format und Frist legt die Behörde per Reglement oder Rundschreiben fest. Art. 13 bindet die Leitungsorgane ein. Sie billigen die Maßnahmen, überwachen die Umsetzung, nehmen regelmäßig an Schulungen teil und können für Verstöße gegen Art. 12 haftbar gemacht werden. Eine Übersicht der Rechtsgrundlagen hält das ILR bereit.
Meldung erheblicher Vorfälle. Die Meldung geht nach Art. 14 an die zuständige Behörde, die sie unverzüglich an das CSIRT sowie an den Single Point of Contact weiterleitet. Praktisch läuft sie über SERIMA, die Meldeplattform des ILR. Das ILR stellt sie den erfassten Einrichtungen zur Verfügung und entwickelt sie nach eigenen Angaben in einer Partnerschaft mit dem belgischen Regulator IBPT sowie dem NC3. Das Raster: binnen 24 Stunden ab Kenntnis eine Frühwarnung mit der Angabe, ob ein rechtswidriger oder böswilliger Akt vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind. Binnen 72 Stunden die eigentliche Vorfallsmeldung mit einer ersten Bewertung von Schwere und Auswirkungen sowie mit Kompromittierungsindikatoren, soweit vorhanden. Binnen 1 Monats nach dieser Meldung der Abschlussbericht. Dauert der Vorfall dann noch an, tritt ein Fortschrittsbericht an dessen Stelle. Der Abschlussbericht folgt binnen 1 Monats nach Bewältigung. Das ILR beschreibt diesen Fall als Verlängerung um bis zu 1 Monat, die zu beantragen ist. Zwischenberichte kann ein CSIRT oder die Behörde jederzeit anfordern. Vertrauensdiensteanbieter melden abweichend bereits binnen 24 Stunden vollständig.
Parallelmeldung an die CNPD. Sind personenbezogene Daten betroffen, bleibt die Meldepflicht aus Art. 33 DSGVO daneben bestehen: 72 Stunden an die Commission nationale pour la protection des données. Diese Frist folgt aus der DSGVO, nicht aus dem Gesetz vom 5. Mai 2026. Art. 24 verzahnt beide Wege. Die Cybersicherheitsbehörde informiert die Datenschutzaufsicht, wenn ein Verstoß gegen Art. 12 oder Art. 14 zu einer meldepflichtigen Datenschutzverletzung führen kann. Verhängt die Datenschutzaufsicht für dasselbe Verhalten bereits eine Geldbuße nach Art. 58 Abs. 2 Buchstabe i DSGVO, verhängt die Cybersicherheitsbehörde für denselben Sachverhalt keine zweite Geldbuße. Andere Durchsetzungsmaßnahmen bleiben ihr offen.
Proaktive Scans. Ein Punkt, der in der Praxis überrascht: Nach Art. 8 Abs. 2 dürfen die CSIRTs einen proaktiven, nicht-intrusiven Scan der öffentlich erreichbaren Netz- und Informationssysteme wesentlicher sowie wichtiger Einrichtungen durchführen. Eine vorherige Erlaubnis der betroffenen Einrichtung verlangt das Gesetz dafür nicht. Zweck ist, verwundbare oder unsicher konfigurierte Systeme zu erkennen und die Einrichtung darüber zu informieren. Der Scan darf den Betrieb der Dienste nicht beeinträchtigen. Davon zu unterscheiden ist der Scan nach Art. 8 Abs. 2 Nr. 5, den ein CSIRT nur auf Antrag der Einrichtung in deren eigenen Systemen durchführt.
Was gilt, wenn die Registrierungsfrist verpasst wurde?
Die Registrierung sollte umgehend nachgeholt werden. Die Frist des Art. 11 Abs. 4 endete am 10. Juli 2026 und ist Stand Juli 2026 verstrichen. Eine gesetzliche Nachfrist sieht der Text nicht vor. Das ILR hält das Verfahren zur Selbstregistrierung aber weiterhin offen und stellt auf dieser Seite klar, dass das Ausbleiben der Selbstregistrierung eine Einrichtung nicht von ihren Pflichten nach dem NIS2-Gesetz befreit.
Daraus folgt eine nüchterne Einordnung. Die Registrierung ist deklarativ. Sie begründet die Betroffenheit nicht, sondern macht sie sichtbar. Ob eine Einrichtung unter das Gesetz fällt, entscheidet sich nach Art. 1 sowie Art. 11 an Sektor, Größe und Tätigkeit, nicht an einem Eintrag im Portal. Die dahinterstehende Systematik der NIS2-Richtlinie ist in allen Mitgliedstaaten dieselbe. Risikomanagement nach Art. 12, die Pflichten der Leitungsorgane nach Art. 13 sowie die Meldepflicht nach Art. 14 gelten seit dem 10. Mai 2026. Sie ruhen nicht, solange eine Registrierung fehlt.
Zur Rechtsfolge: Art. 25 Abs. 1 nennt den Verstoß gegen Art. 11 Abs. 4 ausdrücklich. Möglich sind eine Verwarnung, ein Verweis oder eine Geldbuße bis 250.000 Euro, bemessen nach Schwere des Verstoßes, Lage des Betroffenen, Umfang des Schadens und daraus gezogenen Vorteilen. Ob und in welcher Höhe die Behörde davon Gebrauch macht, ist eine Einzelfallentscheidung. Vor jeder Sanktion steht nach Art. 25 Abs. 2 ein kontradiktorisches Verfahren mit Akteneinsicht und Gelegenheit zur Stellungnahme. Eine Zusicherung, dass eine verspätete Registrierung folgenlos bleibt, lässt sich dem Gesetz nicht entnehmen.
Praktisch bewährt sich diese Reihenfolge: zuerst die Zuständigkeit klären, denn ILR und CSSF führen getrennte Verfahren. Dann die Einstufung als wesentliche oder wichtige Einrichtung bestimmen, weil sie über Aufsichtsintensität und Bußgeldrahmen entscheidet. Dann registrieren. Parallel den Stand des Risikomanagements erheben, damit auf eine Rückfrage der Behörde eine belegbare Antwort möglich ist. Eine verspätete Registrierung mit dokumentiertem Sicherheitsniveau ist eine andere Ausgangslage als eine verspätete Registrierung ohne jede Grundlage.
Welche Sanktionen sieht das Gesetz vor?
Das Gesetz staffelt die Geldbußen nach Art des Verstoßes, nicht allein nach Art der Einrichtung. Kapitel 6 kennt 2 Bußgeldrahmen sowie ein Zwangsgeld.
| Grundlage | Betroffener Verstoß | Rahmen |
|---|---|---|
| Art. 25 Abs. 1 | Formelle Pflichten: Registrierungsangaben (Art. 11 Abs. 4), Pflichten der Leitungsorgane (Art. 13), Vorgaben zu zertifizierten IKT-Produkten (Art. 15), Meldung digitaler Dienste (Art. 17), Domänennamendaten (Art. 18) | Verwarnung, Verweis oder Geldbuße bis 250.000 Euro |
| Art. 26 Abs. 4 | Wesentliche Einrichtungen bei Verstoß gegen das Risikomanagement (Art. 12) oder die Meldepflicht (Art. 14 Abs. 1 bis 4) | bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist |
| Art. 26 Abs. 5 | Wichtige Einrichtungen bei denselben Verstößen | bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist |
| Art. 26 Abs. 7 | Zwangsgeld zur Beendigung eines fortdauernden Verstoßes | bis 1.250 Euro je Tag, insgesamt höchstens 25.000 Euro |
Die Umsatzgrenze bemisst sich am weltweiten Jahresumsatz des Unternehmens, zu dem die Einrichtung gehört, nicht am Umsatz der Einrichtung selbst. Für eine kleine luxemburgische Tochter in einem großen Konzern ist das der entscheidende Punkt.
Geldbußen stehen nicht für sich. Nach Art. 26 Abs. 2 treten sie zu den Aufsichtsmaßnahmen der Art. 22 und 23 hinzu. Dazu gehören verbindliche Anweisungen, die Anordnung, festgestellte Mängel binnen bestimmter Frist zu beheben, die Einsetzung eines Überwachungsbeauftragten für einen festgelegten Zeitraum sowie die Anordnung, Aspekte des Verstoßes öffentlich zu machen.
Bleiben diese Maßnahmen bei einer wesentlichen Einrichtung wirkungslos, setzt die Behörde nach Art. 22 Abs. 5 eine Frist. Verstreicht sie ergebnislos, kann die Behörde beim Präsidenten des Bezirksgerichts Luxemburg im Eilverfahren beantragen, eine Zertifizierung oder Zulassung für die betroffenen Dienste vorübergehend auszusetzen oder einer natürlichen Person mit Leitungsverantwortung auf Ebene des Geschäftsführers oder gesetzlichen Vertreters die Leitungstätigkeit in dieser Einrichtung vorübergehend zu untersagen. Beides ordnet also ein Gericht an, nicht die Behörde. Beides endet, sobald die Mängel behoben sind. Auf Stellen der öffentlichen Verwaltung sind diese Maßnahmen nicht anwendbar.
Rechtsschutz besteht. Gegen Entscheidungen aus dem kontradiktorischen Verfahren steht nach Art. 25 Abs. 4 ein recours en réformation vor dem Verwaltungsgericht offen. Das Gericht prüft dabei nicht nur die Rechtmäßigkeit, es kann die Entscheidung abändern. Eingezogen werden die Geldbußen von der Administration de l’enregistrement, des domaines et de la TVA.
Luxemburgische Einheit im Konzern?
ILR, CSSF oder ein Sonderweg über DORA: Die Zuordnung entscheidet über Registrierung, Meldeweg sowie Aufsicht. Im Strategiegespräch ordnen wir Ihre luxemburgische Einheit ein und zeigen, welche Schritte anstehen.
Häufige Fragen zu NIS2 in Luxemburg
Sind Finanzunternehmen wegen DORA vom luxemburgischen NIS2-Gesetz ausgenommen?
Nur zum Teil. Art. 1 Abs. 5 nimmt ausschließlich die Einrichtungen aus, die nach Art. 2 Abs. 4 DORA vom DORA-Geltungsbereich ausgenommen sind. Das ist die Mitgliedstaatenoption für bestimmte Einrichtungen im Sinne der Richtlinie 2013/36/EU. Die weiteren Ausnahmen des Art. 2 Abs. 3 DORA übernimmt das luxemburgische Gesetz nicht. Für Einrichtungen, die DORA unterliegen, greift daneben Art. 1 Abs. 8: Wo sektorspezifisches Unionsrecht mindestens gleichwertige Anforderungen stellt, treten die entsprechenden Vorschriften dieses Gesetzes zurück.
Wer ist in Luxemburg für die Registrierung zuständig, ILR oder CSSF?
Für die meisten Sektoren das ILR mit seiner Abteilung NISS, mit Selbstregistrierung über guichet.ilr.lu. Nach Art. 3 ist jedoch die CSSF zuständige Behörde für den Bankensektor sowie den Sektor der Finanzmarktinfrastrukturen. Hinzu kommen digitale Infrastruktur und IKT-Servicemanagement, soweit die Tätigkeiten unter der Aufsicht der CSSF stehen. Der pauschale Verweis auf das ILR-Portal trifft daher nicht auf alle Einrichtungen zu.
Wird ein alleiniger Anbieter eines kritischen Dienstes automatisch wesentliche Einrichtung?
Nein. Art. 1 Abs. 2 Nr. 2 erfasst Einrichtungen, die in Luxemburg alleiniger Anbieter eines für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten wesentlichen Dienstes sind, unabhängig von ihrer Größe. Die Einstufung als wesentliche Einrichtung folgt daraus aber nicht kraft Gesetzes. Sie tritt nach Art. 11 Abs. 1 Nr. 5 erst durch Entscheidung der zuständigen Behörde ein. Ohne diese Entscheidung bleibt es bei der Einstufung als wichtige Einrichtung.
Gelten für Anbieter elektronischer Kommunikationsdienste in Luxemburg Sonderregeln?
Ja. Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste fallen nach Art. 1 Abs. 2 Nr. 1 unabhängig von ihrer Größe unter das Gesetz. Nach Art. 11 Abs. 1 Nr. 3 gelten sie bereits als mittlere Unternehmen als wesentliche Einrichtungen, nicht erst oberhalb der Größenschwellen. Für sie greift damit die strengere Aufsicht nach Art. 22 statt der nachgelagerten Aufsicht nach Art. 23.
Sind Armee, Verteidigungsressort und Nachrichtendienst in Luxemburg ausgenommen?
Nicht vollständig. Nach Art. 1 Abs. 6 gelten für den Service de renseignement de l’État, die Dienststellen des Verteidigungsministers sowie die luxemburgische Armee lediglich die Artikel 12, 13, 14 und 15 sowie Kapitel 6 nicht. Damit entfallen Risikomanagement, Leitungspflichten, Meldepflicht und Aufsicht. Im Übrigen bleiben sie im Anwendungsbereich, etwa bei der Erfassung nach Art. 11. Vollständig ausgenommen sind nach Art. 1 Abs. 7 nur Systeme mit Verschlusssachen.
Welches CSIRT ist in Luxemburg für ein privates Unternehmen zuständig?
In der Regel CIRCL. Nach Art. 7 Abs. 1 ist das HCPN in seiner Funktion als GOVCERT.LU das CSIRT für die staatlichen Verwaltungen und Dienststellen, die öffentlichen Anstalten sowie für die nach dem Gesetz vom 5. Mai 2026 über die Resilienz kritischer Einrichtungen erfassten kritischen Einrichtungen. Darunter sind vielfach private Betreiber. Die Zuordnung folgt also nicht der Trägerschaft. CIRCL ist CSIRT für alle übrigen Fälle.
Muss ein Vorfall in Luxemburg zusätzlich an die CNPD gemeldet werden?
Ja, sofern personenbezogene Daten betroffen sind. Diese Pflicht folgt aus Art. 33 DSGVO mit einer Frist von 72 Stunden, nicht aus dem Gesetz vom 5. Mai 2026. Die Wege sind getrennt: Der Vorfall geht über SERIMA an das ILR, die Datenschutzmeldung über das Formular der CNPD. Art. 24 Abs. 2 schließt eine zweite Geldbuße für dasselbe Verhalten aus, wenn die Datenschutzaufsicht bereits eine verhängt hat.
Was gilt, wenn die Registrierung beim ILR erst jetzt nachgeholt wird?
Die Frist des Art. 11 Abs. 4 endete am 10. Juli 2026, eine gesetzliche Nachfrist gibt es nicht. Das ILR hält die Selbstregistrierung weiterhin offen und weist darauf hin, dass eine fehlende Registrierung nicht von den Pflichten nach dem Gesetz befreit. Art. 25 Abs. 1 nennt den Verstoß als sanktionsfähig, mit Verwarnung, Verweis oder Geldbuße bis 250.000 Euro. Über die Folgen entscheidet die Behörde im Einzelfall.
Fakten auf einen Blick
| Aspekt | Kurzfakt |
|---|---|
| Gesetz | Gesetz vom 5. Mai 2026 (loi du 5 mai 2026), Umsetzung der Richtlinie (EU) 2022/2555 |
| Veröffentlichung | 6. Mai 2026, Mémorial A No. 225 |
| Inkrafttreten | 10. Mai 2026, keine allgemeine Übergangsfrist. Das NIS1-Gesetz vom 28. Mai 2019 ist aufgehoben |
| Hauptregulator | ILR, Abteilung NISS, Registrierung über guichet.ilr.lu |
| Finanzsektor | CSSF, zuständig auch für digitale Infrastruktur und Verwaltung von IKT-Diensten unter ihrer Aufsicht (Art. 3 Abs. 2) |
| CSIRTs | GOVCERT.LU (Staat, öffentliche Anstalten sowie kritische Einrichtungen), CIRCL (alle übrigen) |
| Registrierungsfrist | 10. Juli 2026, bereits verstrichen |
| Meldeweg | SERIMA: 24 Stunden, 72 Stunden, 1 Monat. DSGVO-Parallelmeldung an die CNPD binnen 72 Stunden |
| Sanktionen | wesentliche Einrichtungen bis 10 Mio. Euro oder 2 %, wichtige bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
Quelle: Gesetz vom 5. Mai 2026, veröffentlicht im Mémorial A No. 225 vom 6. Mai 2026 auf legilux.public.lu, sowie ILR. Alle Angaben sind am amtlichen Volltext geprüft. Stand der Auswertung: 28. Juli 2026. Dieser Beitrag informiert über ausländisches Recht und stellt keine Rechtsberatung dar.
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.