Reglyze
← Zurück zu Reglyze
Umgesetzt und anwendbar

NIS 2 in Luxemburg: Art. 12 des Gesetzes vom 5. Mai 2026

Risikomanagementmaßnahmen in Luxemburg: Art. 12 des Gesetzes vom 5. Mai 2026. Kein nationaler Kontrollkatalog: Art. 12 Abs. 2 zählt zehn Maßnahmen in allgemeinen Worten auf, von Richtlinien zur Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Luxemburger Besonderheit: wesentliche Einrichtungen melden der zuständigen Behörde die Maßnahmen, die sie treffen (Art. 12 Abs. 3).

Status: in Kraft seit 10. Mai 2026; die in Art. 12 und 14 vorgesehenen Verordnungen des ILR wurden 2026 konsultiert und waren am 28. Oktober 2026 nicht erlassen

Das Wichtigste auf einen Blick

Umsetzungsgesetz

Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus; amtliche Fassung nur auf Französisch)

In Kraft seit: 2026-05-10

Zuständige Behörde

Institut luxembourgeois de régulation (ILR)

https://www.ilr.lu/secteurs-activites/niss/nis-2/
Risikomanagementmaßnahmen

Art. 12 des Gesetzes vom 5. Mai 2026

Zehn Maßnahmen (Art. 12 Abs. 2 Nr. 1 bis 10). Von wesentlichen Einrichtungen verlangt das ILR jährlich drei Unterlagen: eine Beschreibung der bestehenden Maßnahmen, eine Analyse der wichtigsten Cyberrisikoszenarien und einen mehrjährigen Aktionsplan.

Bußgelder
  • wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
  • wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Wer ist betroffen?

wesentliche Einrichtungen (entités essentielles)

Einrichtungen des Anhangs I oberhalb der Schwellen für mittlere Unternehmen; unabhängig von der Größe qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter; mittlere Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste; Einrichtungen der öffentlichen Verwaltung; per Entscheidung eingestufte Einrichtungen; kritische Einrichtungen; nach dem Gesetz vom 28. Mai 2019 ermittelte Betreiber wesentlicher Dienste (Art. 11 Abs. 1).

wichtige Einrichtungen (entités importantes)

Jede andere Einrichtung einer in Anhang I oder II genannten Art im Anwendungsbereich, insbesondere mittlere Unternehmen, einschließlich der von der Behörde als wichtig eingestuften (Art. 11 Abs. 2).

Früheres Regime: Gesetz vom 28. Mai 2019 (NIS 1), aufgehoben durch Art. 30. Es wird keine Zahl betroffener Einrichtungen genannt: keine gelesene amtliche Quelle gibt eine an.

Wichtige Fristen

2026-05-06

Veröffentlichung des Gesetzes vom 5. Mai 2026 im Mémorial A n° 225.

2026-05-10

Inkrafttreten am vierten Tag nach der Veröffentlichung (Art. 4 des Gesetzes vom 23. Dezember 2016 über das Amtsblatt). Seitdem gelten die Pflichten.

2026-07-10

Abgelaufene Frist der Selbstregistrierung: zwei Monate ab Inkrafttreten (Art. 11 Abs. 4). Jede Änderung ist binnen zwei Wochen zu melden.

Meldung von Vorfällen: 24 h (notification préliminaire) / 72 h (notification d'incident) / 1 Monat nach der Vorfallmeldung (rapport final), an die zuständige Behörde (das ILR über SERIMA oder die CSSF in ihrem Bereich), die an das CSIRT weiterleitet (Art. 14 Abs. 1).

Prioritäre Sektoren

Finanzsektor und Tätigkeiten unter Aufsicht der CSSF

Für das Bankwesen und die Finanzmarktinfrastrukturen ist die CSSF zuständig, nicht das ILR; ebenso für digitale Infrastruktur und die Verwaltung von IKT-Diensten, soweit es um Tätigkeiten unter ihrer Aufsicht geht (Art. 3). Wo ein sektoraler Rechtsakt der Union mindestens gleichwertige Anforderungen stellt, gelten die entsprechenden Bestimmungen des Gesetzes nicht (Art. 1 Abs. 8).

Digitale Infrastruktur, Cloud und verwaltete IKT-Dienste

Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter fallen unabhängig von ihrer Größe unter das Gesetz. Anbieter von Cloud-Diensten, Rechenzentren, Content-Delivery-Netzen und verwalteten Diensten übermitteln zusätzlich eigene Angaben (Art. 17) und melden Änderungen binnen drei Monaten. Ein Vertrauensdiensteanbieter meldet Vorfälle binnen 24 Stunden statt 72.

Energie, Verkehr, Gesundheit und Wasser: die früheren Betreiber wesentlicher Dienste

Die nach dem Gesetz vom 28. Mai 2019 ermittelten Betreiber wesentlicher Dienste bleiben wesentliche Einrichtungen (Art. 11 Abs. 1 Nr. 7). Sie melden ihre Maßnahmen der zuständigen Behörde, und das ILR verlangt jährlich eine Beschreibung der Maßnahmen, eine Analyse der Cyberrisikoszenarien und einen mehrjährigen Aktionsplan.

Häufige Fragen

Gilt NIS 2 in Luxemburg bereits?
Ja. Das Gesetz vom 5. Mai 2026 (loi concernant des mesures destinées à assurer un niveau élevé de cybersécurité) wurde am 6. Mai 2026 im Mémorial A n° 225 veröffentlicht und gilt seit dem 10. Mai 2026, dem vierten Tag nach der Veröffentlichung. Es hat das Gesetz vom 28. Mai 2019 aufgehoben, und die Europäische Kommission hat ihr Vertragsverletzungsverfahren am 8. Juli 2026 eingestellt.
Wer ist zuständig: das ILR oder die CSSF?
Das ILR für die Sektoren der Anhänge I und II und für kritische Einrichtungen. Abweichend davon die CSSF für das Bankwesen und die Finanzmarktinfrastrukturen sowie für digitale Infrastruktur und die Verwaltung von IKT-Diensten, soweit es um Tätigkeiten unter ihrer Aufsicht geht (Art. 3). Zentrale Anlaufstelle ist das Haut-Commissariat à la Protection nationale (Art. 5).
Wo und wie schnell wird ein erheblicher Vorfall gemeldet?
Der zuständigen Behörde, nicht dem CSIRT: dem ILR über SERIMA (serima.lu/notification) oder der CSSF für die Einrichtungen in ihrem Bereich. Die Behörde leitet die Meldung an CIRCL oder GOVCERT.LU und an die zentrale Anlaufstelle weiter (Art. 14 Abs. 1). Ab Kenntnisnahme: Erstmeldung (notification préliminaire) binnen 24 Stunden, Vorfallmeldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Vorfallmeldung (Art. 14 Abs. 4).
Was müssen wesentliche Einrichtungen zu ihren Sicherheitsmaßnahmen übermitteln?
Sie melden ihre Maßnahmen der zuständigen Behörde (Art. 12 Abs. 3). Das ILR verlangt von ihnen jährlich eine Beschreibung der bestehenden Maßnahmen, eine Analyse der wichtigsten Cyberrisikoszenarien und einen mehrjährigen Aktionsplan; wichtige Einrichtungen sind davon befreit, sofern keine Hinweise auf Verstöße vorliegen. Format und Fristen regeln Verordnungen des ILR, die am 28. Oktober 2026 nicht erlassen waren.
Wie hoch sind die Geldbußen?
Es sind Höchstbeträge. Bis zu 10.000.000 EUR oder 2 % des gesamten weltweiten Jahresumsatzes für eine wesentliche Einrichtung, bis zu 7.000.000 EUR oder 1,4 % für eine wichtige, je nachdem, welcher Betrag höher ist, bei Verstößen gegen das Risikomanagement oder die Vorfallmeldung (Art. 26). Hinzu kommen ein Zwangsgeld von höchstens 1.250 Euro pro Tag und 25.000 Euro insgesamt und, für Registrierung oder Schulung, eine Geldbuße von höchstens 250.000 Euro (Art. 25).

Offizielle Quellen

Zuletzt geprüft: 2026-10-28 · nächste Überprüfung nach 2027-01-28.

Bereit für die NIS-2-Konformität in Luxemburg?

Reglyze führt Sie mit Hilfe von KI Schritt für Schritt durch die Anforderungen von NIS 2: Prüfung der Anwendbarkeit und Gap-Analyse nach den Anforderungen der Richtlinie, danach Dokumente, die das Gesetz vom 5. Mai 2026, seine Fristen und den richtigen Empfänger der Meldungen nennen.