Auf einen Blick
- NIS2 gilt grundsätzlich dort, wo eine Gesellschaft niedergelassen ist – jede Landesgesellschaft prüft, registriert und meldet nach dem Recht ihres Landes.
- Die Umsetzungsgesetze ähneln sich im Kern, unterscheiden sich aber bei Behörden, Fristen, Portalen und Nachweisen.
- Ein Group-CISO setzt einheitliche Standards, schafft ein Lagebild für die Konzernleitung und entlastet die Landesgesellschaften.
- Die Geschäftsleitung jeder Gesellschaft bleibt verantwortlich – Governance muss das abbilden, nicht ersetzen.
Ein Konzern, viele Zuständigkeiten
Nach Art. 26 der NIS2-Richtlinie unterliegt eine Einrichtung grundsätzlich der Rechtshoheit des Mitgliedstaats, in dem sie niedergelassen ist. Für einen Konzern bedeutet das: Jede Landesgesellschaft wird nach dem Recht ihres Landes geprüft – mit eigener Betroffenheitsanalyse, eigener Registrierung und eigenen Meldewegen. Eine Registrierung der Konzernmutter deckt die Töchter nicht ab.
Ausnahmen gelten für bestimmte digitale Anbieter wie Cloud-Dienste, Rechenzentren, Managed Service Provider und Online-Marktplätze: Sie unterliegen in der Regel nur dem Land ihrer Hauptniederlassung in der EU.
Hinzu kommt: Die Größe wird konzernweit berechnet. Eine kleine Landesgesellschaft eines großen Konzerns kann deshalb selbst unter NIS2 fallen – wie das funktioniert, zeigt unser Beitrag NIS2: Ist mein Unternehmen betroffen?
Stand der Umsetzung in ausgewählten Ländern
Die meisten Mitgliedstaaten haben NIS2 inzwischen umgesetzt – teils mit erheblicher Verspätung. Eine Auswahl (Stand: Oktober 2026):
| Land | Umsetzung | Hinweise für die Praxis |
|---|---|---|
| Deutschland | NIS2UmsuCG, in Kraft seit 6. Dezember 2025 | Registrierung im BSI-Portal; Meldungen an das BSI |
| Österreich | NISG 2026, in Kraft seit 1. Oktober 2026 | Registrierung beim Bundesamt für Cybersicherheit über das Unternehmensserviceportal bis Ende 2026; Selbstdeklaration der Risikomanagementmaßnahmen bis 30. September 2027 |
| Belgien | NIS2-Gesetz, in Kraft seit 18. Oktober 2024 | Zentrum für Cybersicherheit (CCB); CyberFundamentals (CyFun) oder ISO/IEC 27001 als anerkannte Nachweisrahmen |
| Italien | Decreto Legislativo 138/2024, in Kraft seit 16. Oktober 2024 | Registrierung bei der nationalen Cybersicherheitsbehörde ACN |
| Rumänien | Dringlichkeitsverordnung OUG 155/2024, seit Ende 2024 | Nationales Direktorat für Cybersicherheit (DNSC) |
| Niederlande | Cyberbeveiligingswet, 2026 verabschiedet | Späte Umsetzung – Fristen und Durchführungsbestimmungen laufend prüfen |
| Spanien | Gesetz zur Koordinierung und Steuerung der Cybersicherheit noch im Verfahren | Pflichten aus der Richtlinie absehbar – Vorbereitung lohnt sich jetzt |
Die Unterschiede liegen weniger in den Grundpflichten als im Detail: zuständige Behörde, Registrierungsportal und -frist, Form der Nachweise, Sprache der Meldungen, Höhe und Verfahren der Bußgelder. Genau diese Details entscheiden im Ernstfall, ob eine Meldung rechtzeitig bei der richtigen Stelle ankommt.
Das Modell: Group-CISO und lokale Verantwortung
Bewährt hat sich ein Hub-and-Spoke-Modell: Ein Group-CISO in der Konzernzentrale setzt den Rahmen, lokale Informationssicherheitsbeauftragte setzen ihn in den Landesgesellschaften um.
| Ebene | Aufgaben |
|---|---|
| Konzernleitung | Sicherheitsstrategie und Risikobereitschaft festlegen, Lagebild bewerten, Budget und Ressourcen freigeben |
| Group-CISO | Konzernweites Sicherheits-Framework und Richtlinien, Abgleich mit den nationalen Gesetzen, Monitoring des Umsetzungsstands, konzernweite Lieferanten- und Vorfallsteuerung, Berichte an die Konzernleitung |
| Landesgesellschaft | Betroffenheit, Registrierung und Meldungen nach nationalem Recht, Umsetzung der Maßnahmen, Schulung und Billigung durch die lokale Geschäftsleitung |
Der entscheidende Punkt: Die Geschäftsleitung jeder Landesgesellschaft bleibt nach ihrem nationalen Recht verantwortlich und haftbar. Der Group-CISO entlastet sie mit Standards, Werkzeugen und Expertise – er kann ihre Pflichten aber nicht übernehmen. Gute Governance macht diese Arbeitsteilung schriftlich und prüfbar.
Monitoring: ein Lagebild für ganz Europa
Ohne Monitoring bleibt Governance Papier. Ein konzernweites Lagebild beantwortet für jede Landesgesellschaft dieselben Fragen:
- Pflichtenstatus: Betroffen? Registriert? Nachweise fristgerecht eingereicht?
- Reifegrad: Umsetzungsstand je Maßnahmenbereich, gemessen am gemeinsamen Framework – vergleichbar über alle Länder.
- Risiken und Findings: offene Lücken, Audit-Feststellungen und ihre Behebung.
- Vorfälle: gemeldete Sicherheitsvorfälle, Fristeinhaltung, Lehren daraus.
- Lieferkette: Bewertung kritischer Dienstleister – idealerweise einmal für den Konzern statt in jedem Land neu.
Ein gemeinsames ISMS-Werkzeug mit länderspezifischen Anforderungen macht das Lagebild aktuell, statt es quartalsweise per Tabelle einzusammeln.
In fünf Schritten zur Konzern-Governance
- Landkarte erstellenAlle Gesellschaften, Sektoren und Länder erfassen; Betroffenheit und Kategorie je Gesellschaft klären.
- Rechtsrahmen abgleichenNationale Anforderungen, Behörden, Fristen und Meldewege je Land in einer Matrix zusammenführen.
- Framework festlegenEin gemeinsames Sicherheits-Framework, etwa auf Basis von ISO/IEC 27001 oder CyFun, mit nationalen Ergänzungen.
- Organisation aufbauenGroup-CISO, lokale Verantwortliche, Berichtswege, Eskalation und Schulung der Geschäftsleitungen.
- Monitoring einführenLagebild, Kennzahlen und regelmäßige Berichte an Konzern- und Landesleitungen; kontinuierliche Verbesserung.
Aus der Praxis
Für die Konzernmutter eines europäischen Mobilitätsdienstleisters bauen wir die Group-CISO-Organisation auf: mit Governance-Modell, gemeinsamem Framework und Monitoring für die Landesgesellschaften – unter anderem in Deutschland, Österreich, den Niederlanden, Spanien, Italien und Rumänien. Für die österreichischen Gesellschaften sind wir als offizielle NIS2-Verantwortliche bei der zuständigen Behörde eingetragen. Wir erarbeiten Analysen und Handlungsempfehlungen, koordinieren die juristische Bewertung und betreuen die Umsetzung laufend als Managed Service; entschieden und verantwortet wird auf Kundenseite auf Basis unserer Empfehlung.
Was wir dabei sehen: Die größte Hürde ist selten die Technik, sondern die Abstimmung zwischen Zentrale und Ländern. Ein klares Mandat für den Group-CISO, eine gemeinsame Sprache für Risiken und ein Lagebild, das alle sehen, lösen mehr Probleme als jede zusätzliche Richtlinie.
Häufige Fragen
Reicht es, wenn sich die Konzernmutter registriert?
Nein. Jede betroffene Gesellschaft muss sich in ihrem Niederlassungsland registrieren. Nur bestimmte digitale Anbieter unterliegen allein dem Land ihrer Hauptniederlassung.
Kann ein externer Dienstleister die NIS2-Betreuung einer Landesgesellschaft übernehmen?
Ja. Ein Dienstleister kann Umsetzung, Nachweise, Fristen und die Kommunikation mit der Behörde übernehmen. Die Verantwortung der Geschäftsleitung bleibt bestehen – sie wird durch regelmäßige Berichte und klare Freigaben abgesichert.
Wie gehen wir mit Ländern um, die NIS2 noch nicht umgesetzt haben?
Die Inhalte der Richtlinie stehen fest. Wer dort heute nach dem konzernweiten Framework arbeitet, muss nach Inkrafttreten des nationalen Gesetzes meist nur noch Registrierung und Formalien ergänzen.
Welches Framework eignet sich für einen Konzern?
ISO/IEC 27001 ist international verbreitet und bei Kunden bekannt; CyberFundamentals bietet gestufte, gut messbare Niveaus. Häufig ist eine Kombination sinnvoll – mit einer Zuordnung zu den nationalen Anforderungen.
Hinweis: Dieser Beitrag gibt einen fachlichen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens arbeiten wir auf Wunsch mit Ihrer Rechtsberatung zusammen.
Passende Leistung