Begegnen Sie der NIS-2-Richtlinie mit Zuversicht. ObsidianCorps begleitet luxemburgische Unternehmen durch Gap-Analyse, Behebung und fortlaufende Compliance mit der bedeutendsten Cybersicherheitsregulierung der EU.
Zuletzt aktualisiert: August 2026
Die NIS-2-Richtlinie (EU 2022/2555) ist die überarbeitete und verstärkte Cybersicherheitsgesetzgebung der Europäischen Union, die die ursprüngliche NIS-Richtlinie von 2016 ersetzt. NIS-2 erweitert den Geltungsbereich der erfassten Organisationen erheblich, führt strengere Sicherheitsanforderungen ein und sieht wesentlich höhere Strafen bei Nichteinhaltung vor. Luxemburg setzte NIS 2 mit dem Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus um. Das Gesetz trat am 10. Mai 2026 in Kraft.
Die Richtlinie legt ein gemeinsames Cybersicherheitsniveau in allen EU-Mitgliedstaaten fest und verlangt von den erfassten Organisationen die Umsetzung umfassender Risikomanagementmaßnahmen, die zeitnahe Meldung von Sicherheitsvorfällen und die Gewährleistung der Rechenschaftspflicht auf Führungsebene für die Cybersicherheits-Governance. In Luxemburg dient das Institut Luxembourgeois de Régulation (ILR) als primäre zuständige Behörde für die Durchsetzung und Beaufsichtigung von NIS-2.
NIS-2 stellt einen grundlegenden Wandel in der EU-Cybersicherheitsregulierung dar. Anders als der Vorgänger, der sich hauptsächlich auf Betreiber wesentlicher Dienste und Anbieter digitaler Dienste konzentrierte, erfasst NIS-2 ein wesentlich breiteres Spektrum. Die Richtlinie führt einen größenbasierten Schwellenwert ein, der mittlere und große Unternehmen in den erfassten Sektoren automatisch in den Geltungsbereich einbezieht und das bisherige Ermessensverfahren zur Benennung abschafft. Für Luxemburg mit seiner Konzentration an Finanzdienstleistungen, digitaler Infrastruktur und grenzüberschreitenden Unternehmen sind die Auswirkungen erheblich.
NIS-2 gilt für Ihr luxemburgisches Unternehmen, wenn Sie in einem der von der Richtlinie bezeichneten Sektoren tätig sind und bestimmte Größenschwellen erfüllen. Zu verstehen, ob Ihre Organisation als „wesentliche Einrichtung" oder „wichtige Einrichtung" eingestuft wird, ist der entscheidende erste Schritt zur Compliance.
Wesentliche Einrichtungen umfassen Organisationen in den Bereichen: Energie (Strom, Öl, Gas, Wasserstoff, Fernwärme), Verkehr (Luft, Schiene, Wasser, Straße), Banken und Finanzmarktinfrastrukturen, Gesundheit (Krankenhäuser, Labore, Pharmaunternehmen), Trinkwasserversorgung und -verteilung, Abwasserentsorgung, digitale Infrastruktur (IXPs, DNS-Anbieter, TLD-Register, Cloud Computing, Rechenzentren, CDNs), IKT-Dienstverwaltung (Managed Service Provider, Managed Security Service Provider), öffentliche Verwaltung und Raumfahrt.
Wichtige Einrichtungen umfassen Organisationen in den Bereichen: Post- und Kurierdienste, Abfallwirtschaft, Herstellung von Chemikalien und Medizinprodukten, Lebensmittelproduktion und -vertrieb, digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerkplattformen) und Forschungseinrichtungen.
Größenschwellen: NIS-2 gilt im Allgemeinen für mittlere Unternehmen (50+ Mitarbeiter oder 10 Millionen EUR+ Jahresumsatz) und große Unternehmen in den erfassten Sektoren. Bestimmte Einrichtungen sind jedoch unabhängig von ihrer Größe erfasst, darunter alleinige Anbieter eines kritischen Dienstes, Einrichtungen, deren Störung systemische Auswirkungen haben könnte, und von nationalen Behörden bezeichnete Einrichtungen. In Luxemburg führt das ILR das Register der NIS-2-pflichtigen Einrichtungen und kann eine formelle Bestimmung der Anwendbarkeit vornehmen.
NIS-2 legt den erfassten Einrichtungen in Luxemburg vier übergeordnete Pflichtkategorien auf. ObsidianCorps hilft Organisationen, jede Anforderung durch gezielte Beratung, technische Umsetzung und fortlaufende Unterstützung zu erfüllen.
Organisationen müssen angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen zur Bewältigung von Cybersicherheitsrisiken umsetzen. Dies umfasst Richtlinien zur Risikoanalyse, Informationssystemsicherheit, Vorfallsbehandlung, Geschäftskontinuität, Backup-Management, Disaster Recovery, Lieferkettensicherheit, Schwachstellenmanagement und -offenlegung, Kryptografie- und Verschlüsselungsrichtlinien, Personalsicherheit, Zugriffskontrolle und Asset-Management.
NIS-2 führt strenge Fristen für die Vorfallsmeldung ein. Organisationen müssen innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls eine Frühwarnung an das ILR übermitteln, gefolgt von einer Vorfallsmeldung innerhalb von 72 Stunden mit einer ersten Bewertung von Schweregrad und Auswirkung sowie einem Abschlussbericht innerhalb eines Monats mit Details zur Ursache, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen. Die Nichteinhaltung dieser Fristen kann zu gesonderten Strafen führen.
Erfasste Einrichtungen müssen Cybersicherheitsrisiken in ihren Lieferketten und Lieferantenbeziehungen bewerten und steuern. Dies umfasst die Bewertung der Sicherheitspraktiken direkter Lieferanten und Dienstleister, die Implementierung vertraglicher Sicherheitsanforderungen und die Überwachung von Lieferkettenschwachstellen. Für luxemburgische Unternehmen mit umfangreichen grenzüberschreitenden Lieferketten in der Großregion erfordert diese Verpflichtung besondere Aufmerksamkeit.
NIS-2 verlangt, dass Leitungsorgane (Vorstände, Geschäftsführung) Maßnahmen zum Cybersicherheits-Risikomanagement genehmigen, deren Umsetzung überwachen und für Nichteinhaltung zur Verantwortung gezogen werden können. Geschäftsführer und oberes Management müssen Cybersicherheitsschulungen absolvieren. Die persönliche Haftung der Geschäftsleitung ist ein wesentliches neues Element, das Cybersicherheit von einem IT-Thema zu einer Vorstandsverantwortung erhebt.
ObsidianCorps bietet End-to-End-NIS-2-Compliance-Dienstleistungen für luxemburgische Unternehmen, von der Erstbewertung über die Umsetzung bis zur fortlaufenden Überwachung. Unser Ansatz ist pragmatisch, kosteneffizient und auf die spezifischen Bedürfnisse von Organisationen im Großherzogtum und der Großregion zugeschnitten.
Wir führen eine gründliche Bewertung Ihrer aktuellen Cybersicherheitslage anhand der NIS-2-Anforderungen durch, identifizieren Lücken, priorisieren Risiken und erstellen eine Compliance-Roadmap mit klaren Meilensteinen und Ressourcenschätzungen. Dies dauert in der Regel 2 bis 4 Wochen.
Unser Team arbeitet gemeinsam mit Ihrem an der Implementierung der technischen Kontrollen, Richtlinien, Verfahren und Governance-Strukturen, die NIS-2 erfordert. Dies umfasst Risikomanagement-Frameworks, Verfahren zur Vorfallsreaktion, Maßnahmen zur Lieferkettensicherheit und Schulungsprogramme für die Geschäftsleitung.
Wir validieren die Compliance durch Penetrationstests, Planübungen, Vorfallsreaktionsübungen und interne Audits. Dies stellt sicher, dass Ihre NIS-2-Maßnahmen nicht nur dokumentiert, sondern in der Praxis tatsächlich wirksam sind.
NIS-2-Compliance ist kein einmaliges Projekt. ObsidianCorps bietet fortlaufende Überwachung, vierteljährliche Reviews, jährliche Neubewertungen und Verfolgung regulatorischer Änderungen, um sicherzustellen, dass Ihre Organisation compliant bleibt, während sich die Regulierungslandschaft weiterentwickelt.
Das Luxemburger NIS-2-Gesetz gilt seit dem 10. Mai 2026. Diese vier Arbeitsstränge machen aus Anforderungen prüfbare Nachweise für das ILR.
Die Frist zur Selbstregistrierung war der 10. Juli 2026. Eine verspätete Registrierung hebt die NIS-2-Pflichten nicht auf: Geltungsbereich bestätigen, das offizielle ILR-Formular einreichen und Daten aktuell halten.
Nutzen Sie die vier ILR-Vorlagen vom 3. August 2026: bestehende Maßnahmen, wichtigste Cyber-Risikoszenarien, mehrjähriger Aktionsplan und Abhängigkeitsliste. Verknüpfen Sie jede Aussage mit Verantwortlichen und prüfbaren Nachweisen.
Legen Sie fest, wer einen Vorfall als erheblich einstuft, wer Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden über SERIMA übermittelt und wer den Abschlussbericht freigibt. Testen Sie den Ablauf vor einem Vorfall.
Luxemburg setzte im Mai 2026 auch die Richtlinie über die Resilienz kritischer Einrichtungen (CER) um. NIS 2 behandelt Cyberrisiken; CER umfasst breitere physische und operative Resilienz. Nutzen Sie Governance, Abhängigkeiten, Übungen und Kontinuitätsnachweise gemeinsam, ohne die Rahmenwerke gleichzusetzen.
"NIS-2 ist nicht nur ein weiteres regulatorisches Kontrollkästchen -- es ist eine grundlegende Neustrukturierung der Cybersicherheits-Governance in Europa. Für luxemburgische Unternehmen, insbesondere im Bereich Finanzdienstleistungen und digitale Infrastruktur, verlangt die Richtlinie ein Maß an Cybersicherheitsreife, das viele Organisationen noch nicht erreicht haben. Die gute Nachricht ist, dass NIS-2-Compliance mit der richtigen Begleitung Ihre tatsächliche Sicherheitslage stärkt, nicht nur Ihren Papierkram."
Häufige Fragen zur NIS-2-Compliance in Luxemburg
ObsidianCorps bietet fachkundige NIS-2-Compliance-Dienstleistungen für luxemburgische Unternehmen. Von der Gap-Analyse bis zur fortlaufenden Überwachung begleiten wir Sie bei jedem Schritt des Compliance-Prozesses.
Unverbindlich. Kostenlose NIS-2-Erstbewertung für luxemburgische Unternehmen.
Bei Obsidiancorps verbinden wir innovative Technologie mit bewährten Sicherheitspraktiken, um maßgeschneiderte Lösungen zu schaffen, die Ihr Unternehmen schützen und voranbringen. Kontaktieren Sie uns und lassen Sie uns gemeinsam eine sicherere Zukunft gestalten.
Differdange, Luxembourg
Wir antworten in der Regel innerhalb von 24 Stunden
Wir freuen uns, von Ihnen zu hören! Füllen Sie das folgende Formular aus und unser Team wird sich so schnell wie möglich bei Ihnen melden.