Sie haben die ILR-Registrierungsfrist verpasst. Was jetzt?
Die Registrierung war bis zum 10. Juli 2026 fällig. Sie zu versäumen ist für sich ein Verstoß — sich freiwillig zu melden ist aber etwas anderes, als entdeckt zu werden.
Mit Inkrafttreten des Gesetzes vom 5. Mai 2026 hatten erfasste Einrichtungen zwei Monate Zeit, sich beim Institut Luxembourgeois de Régulation zu melden. Dieses Fenster schloss am 10. Juli 2026. Eine erhebliche Zahl luxemburgischer Unternehmen hat sich nicht registriert, die meisten aus demselben Grund: Sie wussten nicht, dass das Gesetz sie erfasst.
Trifft das auf Ihr Unternehmen zu, ist die Lage zu heilen. Mit der Zeit wird sie es weniger.
Warum eine verspätete Registrierung keine Kleinigkeit ist
Die Registrierung ist keine Verwaltungsformalität neben den eigentlichen Pflichten. Sie ist selbst eine Pflicht. Sie zu versäumen ist ein eigenständiger, für sich sanktionierbarer Verstoß — unabhängig davon, wie gut Ihre Sicherheitsmaßnahmen sind.
Das hat eine unangenehme Folge. Ein Unternehmen kann wirklich solide abgesichert sein — gepatchte Systeme, Mehrfaktor-Authentifizierung, getestete Backups — und dennoch im Verstoß sein, nur weil niemand ein Formular eingereicht hat. Die Aufsicht kann nicht wissen, dass es Sie gibt; genau dafür ist die Registrierungspflicht da.
Der Unterschied, auf den es ankommt
Zwischen zwei auf dem Papier ähnlichen Situationen liegt ein erheblicher Unterschied.
| Sich melden | Entdeckt werden |
|---|---|
| Sie registrieren sich verspätet, aus eigenem Antrieb | Das ILR findet Sie bei der Sektorkartierung oder nach einem Vorfall |
| Sie kommen mit einem dokumentierten Maßnahmenplan | Sie kommen mit einer Erklärung |
| Es geht um Ihren Zeitplan | Es geht um Ihren Verstoß |
Aufsichtsbehörden unterscheiden im Allgemeinen zwischen einer Einrichtung, die ihr eigenes Versäumnis erkannt und behoben hat, und einer, die entdeckt wurde. Nichts im Gesetz garantiert Milde für freiwillige Offenlegung, und wir würden das nicht versprechen. Aber mit Registrierung, Risikoanalyse und datiertem Maßnahmenplan zu erscheinen, ist eine deutlich stärkere Position, als nach einem Aufsichtsschreiben nichts davon vorweisen zu können.
Die schlimmste Variante. Eine nicht registrierte Einrichtung erleidet einen erheblichen Vorfall, muss ihn binnen 24 Stunden melden und offenbart der Aufsicht damit zugleich den Vorfall und die Tatsache, dass sie sich elf Monate früher hätte registrieren müssen. Zwei Verstöße treten gleichzeitig zutage, zum denkbar ungünstigsten Zeitpunkt.
Was zu tun ist, der Reihe nach
- Prüfen Sie, ob Sie tatsächlich erfasst sind. Registrieren Sie sich nicht vorsorglich. Eine nicht erfasste Einrichtung anzumelden schafft Pflichten, die Sie nicht haben. Gehen Sie zuerst Sektor- und Größenprüfung sauber durch.
- Tragen Sie zusammen, was die Registrierung verlangt. In der Regel: RCS-Nummer, NACE-Code, Beschäftigtenzahl und Umsatz, erbrachte Dienste, Standorte in Luxemburg und ein rund um die Uhr erreichbarer Sicherheitskontakt. Letzteres ist keine Formalie — das ist die Nummer, die die Behörde anruft.
- Reichen Sie ein. Über das Selbstregistrierungsformular des ILR.
- Haben Sie etwas dahinter. Die Registrierung bringt Sie ins Register; konform macht sie Sie nicht. Wer sich registriert und dann nichts tut, hat der Aufsicht gesagt, wo sie ihn findet, und ihr nichts zu finden gegeben. Halten Sie mindestens eine Risikoanalyse und einen datierten Maßnahmenplan in Arbeit.
Wenn Sie unsicher sind, ob Sie je erfasst waren
Viele Unternehmen haben die Frist in gutem Glauben verpasst. Die Sektoren aus Anhang II — verarbeitendes Gewerbe, Lebensmittel, Abfall, Postdienste, digitale Anbieter, Forschung — verstehen sich nicht als kritische Infrastruktur, und ihre Geschäftsführer hatten keinen besonderen Anlass, ein Cybersicherheitsgesetz zu lesen.
Den Anwendungsbereich zu klären ist eine kurze Übung: Ihr Sektor gegen die Anhänge, Beschäftigtenzahl und Umsatz gegen die Schwellen, dazu ein Blick auf die größenunabhängigen Kategorien. Das dauert etwa eine halbe Stunde und liefert eine schriftliche Antwort für die Akte — nützlich, wie sie auch ausfällt.
Hinweis zur Genauigkeit. Dies ist eine verständliche Zusammenfassung zu Informationszwecken und keine Rechtsberatung; sie sagt nichts darüber aus, wie das ILR einen Einzelfall behandeln wird. Maßgeblich sind das Gesetz vom 5. Mai 2026 (Mémorial A Nr. 225), die Richtlinie (EU) 2022/2555 und die Hinweise des Institut Luxembourgeois de Régulation.