NIS2 2026: Frankreichs Verzögerung bei der Umsetzung ändert nichts an Ihrer Risikoexposition

Die Richtlinie (EU) 2022/2555, bekannt als NIS2, ist seit dem 16. Januar 2023 in Kraft. Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie in nationales Recht umzusetzen. Mitte September 2026 hat Frankreich diese Umsetzung noch immer nicht abgeschlossen.

Das französische Gesetzesvorhaben, ein Gesetz zur Resilienz kritischer Infrastrukturen und zur Stärkung der Cybersicherheit, bündelt drei europäische Instrumente in einem einzigen Text: NIS2, die CER-Richtlinie zur Resilienz kritischer Einrichtungen und Bestimmungen im Zusammenhang mit DORA für den Finanzsektor. Der Senat verabschiedete es im März 2025. Seit einer Ausschussabstimmung im September 2025 ist es blockiert, wurde wiederholt verschoben und wird nun im Herbst wieder vor der Nationalversammlung erwartet.

Am 8. Juli 2026 hat die Europäische Kommission Frankreich zusammen mit Spanien, Irland und den Niederlanden wegen Nichtumsetzung der Richtlinie vor den Gerichtshof der EU gebracht. Die Kommission fordert finanzielle Sanktionen.

Diese Verzögerung ändert für betroffene Organisationen fast nichts. Hier ist der Grund.

Die Pflichten sind auf europäischer Ebene bereits wirksam

NIS2 ist eine Richtlinie, das heisst, sie erfordert eine nationale Umsetzung, um vor französischen Gerichten unmittelbar gegenüber einzelnen Unternehmen verbindlich zu werden. Aber drei Dinge treffen bereits zu, unabhängig vom französischen Gesetzgebungskalender.

• Wenn Ihre Organisation in einem anderen EU-Mitgliedstaat tätig ist, und zwanzig der siebenundzwanzig haben bereits umgesetzt, sind Sie dort bereits gebunden.
• Die ANSSI veröffentlicht seit März 2026 das Cyber-France-Referenzwerk (ReCyF), und von jeder ernsthaften betroffenen Organisation wird erwartet, sich jetzt daran auszurichten, nicht erst, wenn ein Dekret es formalisiert.
• Käufer, Versicherer, Investoren und Grosskunden warten nicht auf das französische Gesetz. Cybersicherheitsklauseln und Sicherheitsfragebögen zirkulieren bereits in Lieferketten, in der Automobilbranche, der Logistik und der Industrie, weit vor jeder gesetzlichen Frist.

Der Anwendungsbereich ist gross und umfasst Unternehmen, die sich nicht betroffen fühlen

Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung und Raumfahrt, plus jeder digitale Anbieter, der diese Sektoren bedient. Die ANSSI schätzt, dass zwischen 15 000 und 18 000 Einrichtungen in Frankreich betroffen sein werden, gegenüber rund 500 unter dem ursprünglichen NIS1-Regime. Der eigentliche Punkt ist der Massstabswechsel. NIS2 zielt nicht mehr nur auf grosse kritische Betreiber. Sie reicht tief in das KMU- und Mid-Cap-Ökosystem hinein, allein durch die Lieferkettenpflicht.

Was verlangt wird, sobald das Gesetz voll in Kraft ist

• Dokumentiertes Risikomanagement: schriftliche Cybersicherheitsrichtlinien, Verfahren zur Vorfallsbehandlung und Business-Continuity-Pläne, geprüft und genehmigt von der Geschäftsleitung. Dies ist eine Governance-Pflicht auf Vorstandsebene, keine an die IT delegierte Aufgabe.
• Vorfallsmeldung: Frühwarnung an die zuständige nationale Behörde innerhalb von 24 Stunden nach Entdeckung eines erheblichen Vorfalls, sowie ein vollständiger Bericht innerhalb von 72 Stunden. Fast keine Organisation hat diese Abfolge unter realen Bedingungen geübt.
• Sicherheit der Lieferkette: Pflicht, die Cybersicherheitslage von Lieferanten und Subunternehmern zu bewerten und zu dokumentieren. Die Sicherheitslücke eines Lieferanten wird zu Ihrer Compliance-Exposition, nicht theoretisch, sondern im Text der Richtlinie selbst.
• Haftung der Geschäftsleitung: leitende Führungskräfte können persönlich für Non-Compliance haftbar gemacht werden. Bussgelder erreichen 10 Mio. Euro oder 2 % des weltweiten Umsatzes. Das ist für das zweite Halbjahr 2026 keine Hypothese. Es ist der Mechanismus, um den herum die Richtlinie aufgebaut wurde.

Was die französische Rechtsunsicherheit in der Praxis tatsächlich bedeutet

Das Fehlen eines verkündeten französischen Gesetzes bedeutet nicht das Fehlen von Risikoexposition. Es bedeutet ab sofort drei konkrete Dinge.

• Der Zeitpunkt der Durchsetzung in Frankreich ist ungewiss. Das genaue Datum, ab dem Bussgelder vor französischen Gerichten rechtlich durchsetzbar werden, steht nicht fest.
• Der Inhalt der Pflichten ist hingegen nicht ungewiss. Der Inhalt der Richtlinie ist seit Dezember 2022 stabil, und das französische Gesetz wird ihn nicht abschwächen.
• Der Markt wartet nicht auf das Gesetz. Klauseln, Fragebögen und Due-Diligence-Anforderungen im Zusammenhang mit der NIS2-Bereitschaft sind bei Käufern, Versicherern und grösseren Gegenparteien bereits gängige Praxis.

Auf die Verkündung des französischen Gesetzes zu warten, bevor man mit der Compliance-Arbeit beginnt, ist keine Strategie. Es ist eine Wette darauf, dass die Durchsetzung langsamer kommt als Ihre nächste Transaktion, Ihr nächster Grosskundenvertrag oder Ihr nächstes Audit. Für die meisten betroffenen Organisationen geht diese Wette nicht auf.

Warum das in einem Transaktionskontext wichtig ist

Jede Organisation im NIS2-Anwendungsbereich wird irgendwann im Rahmen einer Kapitalbeschaffung, einer Akquisition oder einer Veräusserung gebeten werden, die Compliance nachzuweisen. Nicht zu beschreiben. Nachzuweisen, mit Dokumentation, mit Nachweisen zur Governance, mit dem Beweis, dass das Risikomanagement-Framework mehr ist als eine in der Schublade liegende Richtlinie.

Ein Käufer, der keine klare Antwort zur NIS2-Bereitschaft erhält, wird sich nicht zwangsläufig zurückziehen. Er wird die Unsicherheit in das Angebot einpreisen, den Deal an eine Nachbesserung knüpfen oder einfach zum nächsten Ziel wechseln, dessen Antwort bereits dokumentiert ist.

“Genau diese Lücke soll die Dimension Sicherheit & Souveränität des CIFSO-Zertifizierungsprotokolls schliessen.”

— Aegryn

Sie fragt nicht, ob Ihre Organisation eine Cybersicherheitsrichtlinie hat. Sie prüft, ob diese Richtlinie die operative Realität widerspiegelt: Bereitschaft zur Vorfallsreaktion, Risikokartierung der Lieferkette, Identitäts- und Zugriffsmanagement, bis zur Freigabe durch die Geschäftsleitung rückverfolgbare Governance.

Die Verzögerung der Umsetzung in Frankreich ist eine legislative Tatsache. Sie ist keine Compliance-Schonfrist. Organisationen, die sie so behandeln, werden das im ungünstigsten Moment feststellen, mitten in der Due Diligence, wenn die Antwort in Tagen, nicht in Monaten, erwartet wird.

Aegryn Advisory unterstützt Organisationen im NIS2-Anwendungsbereich bei der Dokumentation des Risikomanagements, der Bereitschaft zur Vorfallsreaktion und der Bewertung der Lieferkettensicherheit, und zertifiziert das Ergebnis unter der Dimension Sicherheit & Souveränität des CIFSO, noch bevor ein Käufer, Versicherer oder Regulator einen Nachweis verlangt.