NIS2 Luxemburg KMU: Wer betroffen ist, was jetzt zu tun ist

Mehr zur KI-Implementierung in Luxemburg, und zu KI-gestützten Sicherheitswerkzeugen in unserem Leitfaden KI-Cybersicherheit für Luxemburger Unternehmen.

Seit das ILR das neue Gesetz im Juli vorgestellt hat, fragen mich Luxemburger KMU-Inhaber nicht mehr „Was ist NIS2?", sondern „Betrifft uns das, und wenn nicht, warum schickt mir ein Kunde einen Sicherheitsfragebogen mit 60 Fragen?" Beide Fragen haben eine kurze Antwort, und die Arbeit danach ist vor allem organisatorisch: wissen, was man hat, wer dafür verantwortlich ist, und es belegen können.

Ein Wort dazu, wer hier schreibt. 20 More ist ein Studio für KI-Automatisierung, keine Sicherheitsfirma. Wir betreiben keine Security Operations und machen keine Penetrationstests. Was wir bauen, ist die Compliance-Mechanik drumherum: Nachweissammlung, Lieferantenfragebögen, Richtlinien- und Asset-Register. Dieser Leitfaden ist die einfache Fassung, die ich Kunden gebe, bevor sie mit ihrem IT-Dienstleister oder Anwalt sprechen. Es handelt sich um praktische Informationen, nicht um Rechtsberatung.

Gilt NIS2 für mein Unternehmen?

Drei Fragen entscheiden. Beantworten Sie sie der Reihe nach.

Drei Details, über die viele stolpern:

• Die Gruppengröße zählt. Die KMU-Definition rechnet Beschäftigte und Finanzzahlen von Partner- und verbundenen Unternehmen hinzu (Empfehlung 2003/361/EG, Anhang Art. 3 und 6). Eine Luxemburger Tochter mit 30 Personen eines großen Konzerns ist meist nicht „klein".
• Wesentlich oder wichtig. Einrichtungen aus Anhang I oberhalb der Schwellen für mittlere Unternehmen (250 oder mehr Beschäftigte, oder Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. €) sind in der Regel wesentliche Einrichtungen; andere betroffene Einrichtungen sind in der Regel wichtige (Richtlinie, Art. 3 Abs. 1 und 2). Die Pflichten sind dieselben; Aufsicht und Höchstbußgelder unterscheiden sich.
• IT-Dienstleister sind betroffen. Managed Service Provider und Managed Security Service Provider stehen in Anhang I unter „Verwaltung von IKT-Diensten (Business-to-Business)". Ein Luxemburger IT-Dienstleister mit 60 Personen ist sehr wahrscheinlich selbst eine betroffene Einrichtung.

Das ILR bietet einen online NIS-2-Simulator zur Prüfung der Anwendbarkeit (ILR-Simulator). Er ist nur indikativ und ersetzt keine rechtliche Prüfung, aber er ist der schnellste erste Check.

Und wenn wir eine Bank, ein Fonds oder ein anderes Finanzunternehmen sind?

Für Finanzunternehmen, die unter DORA fallen, ist DORA der sektorspezifische Rechtsakt, der für IKT-Risikomanagement und Vorfallmeldungen Vorrang vor NIS2 hat (Verordnung (EU) 2022/2554, Art. 1 Abs. 2; NIS2, Art. 4). In Luxemburg ist die CSSF die zuständige NIS2-Behörde für das Bankwesen und die Finanzmarktinfrastrukturen sowie für digitale Infrastruktur und IKT-Dienstverwaltung im Rahmen ihrer Aufsicht (NIS2-FAQ des ILR). Geht es Ihnen um die Cyberanforderungen der CSSF, ist unser Leitfaden zu DORA und AI Act für den Luxemburger Finanzsektor der bessere Einstieg.

Was verlangt das Luxemburger NIS2-Gesetz?

Das Gesetz vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau (loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité) wurde am 6. Mai 2026 veröffentlicht und trat am 10. Mai 2026 in Kraft; es ersetzt das NIS1-Gesetz von 2019. Zuständige Behörde, auch für Aufsicht und Durchsetzung, ist das ILR (ILR, Rechtsrahmen; ILR, Inkrafttreten). In der Abgeordnetenkammer war es der Gesetzentwurf Nr. 8364 (Ausschussbericht).

1. Beim ILR registrieren. Die Selbstregistrierung war innerhalb von zwei Monaten nach Inkrafttreten fällig, also bis zum 10. Juli 2026; Änderungen sind binnen zwei Wochen zu melden. Wer sich nicht registriert, ist dadurch nicht von den Pflichten befreit (ILR, Selbstregistrierung). Wenn Sie betroffen sind und es versäumt haben, holen Sie es jetzt nach.

2. Die zehn Risikomanagementmaßnahmen nach Artikel 21 Abs. 2 umsetzen, verhältnismäßig zu Größe, Risikoexposition und Kosten der Maßnahme (Art. 21 Abs. 1, Richtlinie):

3. Erhebliche Sicherheitsvorfälle nach festem Zeitplan melden (Art. 23 Abs. 4, Richtlinie):

• Frühwarnung binnen 24 Stunden nach Kenntnisnahme;
• Vorfallmeldung binnen 72 Stunden mit einer ersten Bewertung;
• Abschlussbericht spätestens einen Monat nach der Vorfallmeldung.

In Luxemburg laufen die Meldungen über das SERIMA-Vorfallportal des ILR (ILR, SERIMA).

4. Die Geschäftsleitung in die Pflicht nehmen. Das Leitungsorgan muss die Maßnahmen billigen, ihre Umsetzung überwachen und kann für Verstöße haftbar gemacht werden; seine Mitglieder müssen an Schulungen teilnehmen (Art. 20, Richtlinie). Wer die technische Arbeit auslagert, lagert diese Verantwortung nicht mit aus.

5. Mit Aufsicht und Bußgeldern rechnen. Wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen nachträglich, typischerweise nach einem Vorfall oder einer Beschwerde (Art. 32 und 33). Die Höchstbußgelder betragen mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche und 7 Mio. € oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist (Art. 34 Abs. 4 und 5, Richtlinie). Das ILR beschreibt Sanktionen von der Verwarnung bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes (ILR).

Nicht betroffen? Ihre Kunden fragen trotzdem

Diesen Teil spüren die meisten kleinen Luxemburger Unternehmen zuerst. Artikel 21 Abs. 2 Buchst. d macht die Sicherheit der Lieferkette zur Pflicht jeder betroffenen Einrichtung, und Artikel 21 Abs. 3 verlangt, die spezifischen Schwachstellen jedes unmittelbaren Lieferanten und die Qualität seiner Cybersicherheitspraxis zu berücksichtigen (Richtlinie). Ihr betroffener Kunde kann das nicht, ohne Sie zu fragen.

In der Praxis kommt das als:

• Sicherheitsfragebogen beim Onboarding oder bei der Vertragsverlängerung (MFA, Backups, Patches, Vorfallprozess, Unterauftragnehmer);
• Vertragsklauseln: den Kunden binnen einer festen Frist über ihn betreffende Vorfälle informieren, bestimmte Maßnahmen aufrechterhalten, ein Audit zulassen oder Nachweise liefern;
• Anfrage nach einem Zertifikat oder Bericht (ISO/IEC 27001, Prüfbericht) oder ersatzweise nach Dokumenten.

Die gute Nachricht: Die 12-Punkte-Checkliste unten entspricht weitgehend dem, was diese Fragebögen abfragen. Bauen Sie die Nachweise einmal auf, und jeder neue Fragebogen wird zur Kopier- und Prüfaufgabe statt zu einer Woche E-Mail-Verkehr.

Die NIS2-Checkliste in 12 Punkten für ein Unternehmen mit 20 bis 200 Beschäftigten

Ob Sie selbst betroffen sind oder ein betroffenes Unternehmen beliefern: Das ist die Liste, mit der ich arbeite. „Gut" heißt verhältnismäßig für ein Unternehmen ohne eigenes Sicherheitsteam.

Keine dieser Maßnahmen braucht ein großes Budget. Die meisten brauchen jemanden, der sie verantwortet, und einen Ort für die Nachweise.

Zwei kostenlose nationale Einstiegspunkte: Fit4Cybersecurity, eine anonyme Online-Selbstbewertung des NC3 (Luxembourg House of Cybersecurity), die für Unternehmen mit Sitz in Luxemburg zu einer kostenlosen Expertendiagnose führen kann (NC3), und CIRCL, das CERT für Privatwirtschaft, Gemeinden und Nichtregierungsorganisationen in Luxemburg, das Sie bei einem Vorfall kontaktieren können (CIRCL).

Kann sich ein kleines Unternehmen ein SOC leisten?

NIS2 schreibt kein Security Operations Center vor. Verlangt werden Vorfallbewältigung und die Fähigkeit, einen erheblichen Vorfall binnen 24 Stunden zu melden (Art. 21 Abs. 2 Buchst. b und Art. 23 Abs. 4), verhältnismäßig zu Größe und Risiko (Art. 21 Abs. 1, Richtlinie). Die eigentliche Frage lautet: Wenn samstags um 2 Uhr nachts etwas passiert, wer bemerkt es, und wer handelt?

Für die meisten betroffenen Luxemburger KMU ist eine ausgelagerte 24/7-Überwachung die realistische Antwort. Fragen Sie den Anbieter vor der Unterschrift: Welche Log-Quellen überwacht er; was darf er selbstständig tun (Laptop isolieren, Konto sperren); wie schnell ruft er an; hilft er bei der 24-Stunden-Frühwarnung; wo werden die Daten verarbeitet; und wie kommen Sie aus dem Vertrag heraus. Denken Sie daran: Der Anbieter ist Ihr Lieferant im Sinne von Artikel 21 Abs. 2 Buchst. d und kann als Managed Security Service Provider selbst eine NIS2-Einrichtung sein. Die Verantwortung bleibt beim Leitungsorgan (Art. 20).

Wo passt KI hinein?

An zwei Stellen. Auf der Angreiferseite nennt NIS2 Deepfakes nicht ausdrücklich, aber „CEO-Anrufe" mit geklonter Stimme und KI-geschriebenes Phishing sind genau das, wogegen die Maßnahmen g) Schulung und j) gesicherte Kommunikation gedacht sind: Eine Rückrufregel bei Zahlungsänderungen schlägt jedes Erkennungstool. Auf der Verteidigungsseite nutzen die meisten modernen E-Mail- und Endpoint-Sicherheitswerkzeuge bereits maschinelles Lernen; mehr dazu in unserem Leitfaden KI-Cybersicherheit in Luxemburg.

Die dritte Stelle ist die, an der 20 More arbeitet: die Compliance-Verwaltung. Inventar und Lieferantenregister aktuell halten, Kundenfragebögen aus dem Nachweisordner vorausfüllen, Wiederherstellungstests und Zugriffsprüfungen jedes Quartal nachhalten. Das ist Dokumenten- und Workflow-Automatisierung, dieselbe Arbeit, die unsere KI-Automatisierungsprojekte für Finanz- und Personalteams leisten.

Häufige Fragen

Gilt NIS2 für KMU in Luxemburg?

NIS2 gilt für mittlere und große Unternehmen (50 oder mehr Beschäftigte, oder Umsatz und Bilanzsumme beide über 10 Mio. €) in den Sektoren der Anhänge I und II der Richtlinie (EU) 2022/2555 sowie für einige Kategorien unabhängig von der Größe, etwa Telekommunikations-, Vertrauens- und DNS-Diensteanbieter. Kleine Unternehmen außerhalb dieser Kategorien sind nicht direkt betroffen, müssen aber als Lieferanten betroffener Kunden oft ähnliche Anforderungen erfüllen. Der Online-Simulator des ILR gibt eine erste Einschätzung.

Wer beaufsichtigt NIS2 in Luxemburg?

Das Institut Luxembourgeois de Régulation (ILR) ist die zuständige Behörde nach dem Gesetz vom 5. Mai 2026, das seit dem 10. Mai 2026 in Kraft ist. Für das Bankwesen und die Finanzmarktinfrastrukturen ist die CSSF zuständig, und viele Finanzunternehmen folgen für IKT-Risiken und Vorfallmeldungen DORA statt NIS2. Betroffene Einrichtungen mussten sich bis zum 10. Juli 2026 beim ILR selbst registrieren (ILR).

Welche Meldefristen gelten unter NIS2?

Nach Artikel 23 Abs. 4 der Richtlinie sendet eine betroffene Einrichtung binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls eine Frühwarnung, binnen 72 Stunden eine Vorfallmeldung und spätestens einen Monat nach der Meldung einen Abschlussbericht. In Luxemburg laufen die Meldungen über das SERIMA-Portal des ILR. Bereiten Sie den 24-Stunden-Schritt vorab vor, denn genau den verpassen die meisten kleinen Unternehmen.

Wie hoch sind die NIS2-Bußgelder?

Artikel 34 der Richtlinie sieht Höchstbußgelder von mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche und mindestens 7 Mio. € oder 1,4 % für wichtige Einrichtungen vor, je nachdem, welcher Betrag höher ist. Die Maßnahmen des ILR reichen von der Verwarnung bis zu diesen Höchstbeträgen. Mitglieder des Leitungsorgans können zudem nach Artikel 20 haftbar gemacht werden.

Gibt es eine NIS2-Checkliste für KMU?

Die Checkliste der Richtlinie selbst sind die zehn Maßnahmen aus Artikel 21 Abs. 2, angewendet im Verhältnis zu Größe und Risiko. Die 12-Punkte-Tabelle in diesem Leitfaden übersetzt sie in konkrete Schritte für ein Unternehmen mit 20 bis 200 Beschäftigten, samt aufzubewahrender Nachweise. Die kostenlose Selbstbewertung Fit4Cybersecurity des NC3 zeigt Ihnen vorab, wo Sie stehen.

Wenn Sie diese Checkliste in Register und einen Nachweisordner verwandeln möchten, die sich selbst aktuell halten, beschreiben Sie uns kurz, wie Sie es heute handhaben.