Ist Ihr Unternehmen von NIS2 in Luxemburg betroffen?

Seit das Gesetz vom 5. Mai 2026 in Kraft ist, versuchen sehr viele luxemburgische Unternehmen, eine trügerisch einfache Frage zu beantworten: Gilt das für uns? Die Antwort ist keine Ermessensfrage. Sie ist eine Abfolge von Prüfungen, die Sie in etwa zehn Minuten durchgehen können.

Prüfung eins: Ihr Sektor

Das Gesetz führt die Sektoren in zwei Anhängen auf. Anhang I umfasst die elf Sektoren hoher Kritikalität — Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Raumfahrt. Anhang II ergänzt Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe, digitale Anbieter und Forschung.

Diese zweite Liste überrascht in Luxemburg am häufigsten. Verarbeitendes Gewerbe und Lebensmittel fallen darunter. Ein Unternehmen, das im Süden des Landes Maschinenteile fertigt und keine Ahnung hatte, eine Cybersicherheitspflicht zu haben, kann sehr wohl eine wichtige Einrichtung sein.

Prüfung zwei: Ihre Größe

Der Sektor allein genügt nicht. Sie müssen zusätzlich einen Schwellenwert überschreiten, und dieser bestimmt, in welche der beiden Kategorien Sie fallen.

Die Sicherheitspflichten selbst sind für beide Kategorien identisch. Unterschiedlich ist, wie genau Sie beaufsichtigt werden und wie viel Sie unaufgefordert einreichen müssen.

Die Ausnahmen, die die Größe ignorieren

Eine kurze Liste von Tätigkeiten erfasst Sie unabhängig von der Beschäftigtenzahl. Wenn Sie in Luxemburg der einzige Anbieter einer Leistung sind, ein Vertrauensdiensteanbieter, ein DNS-Diensteanbieter, ein Register für Top-Level-Domains, ein Betreiber öffentlicher elektronischer Kommunikationsnetze oder bereits als kritische Einrichtung eingestuft, schützt Sie die Größe nicht. Ein Vertrauensdiensteanbieter mit vier Personen ist erfasst; eine Bäckerei mit vier Personen nicht.

Der Weg, den die meisten übersehen

Hier läuft die Analyse meistens schief. Unternehmen prüfen beide Tests, liegen unter den Schwellen und schließen daraus, dass nichts zu tun ist. Dann schickt ein Kunde einen Sicherheitsfragebogen.

Artikel 21 der Richtlinie verpflichtet erfasste Einrichtungen, die Sicherheitsrisiken ihrer Lieferkette zu steuern, einschließlich der Beziehungen zu direkten Lieferanten. Eine verpflichtete Einrichtung kann nicht einfach hoffen, dass ihr IT-Dienstleister sicher ist — sie muss Anforderungen vertraglich durchsetzen. Die Pflicht wandert also nach unten und erreicht Unternehmen, die das Gesetz nie nennt.

Dasselbe geschieht über DORA im Finanzsektor, das eigene vertragliche Anforderungen an IKT-Drittanbieter von Finanzunternehmen stellt. In einem Land mit Luxemburgs Dichte an Finanzinstituten betrifft das eine beachtliche Zahl kleiner Technologieunternehmen.

Was Sie mit der Antwort anfangen

Wenn beide Prüfungen auf Sie zutreffen, sind die unmittelbaren Pflichten: Registrierung beim ILR, die zehn Risikomanagementmaßnahmen aus Artikel 21, Genehmigung und Schulung des Leitungsorgans sowie Meldung von Vorfällen nach dem Schema 24 Stunden, 72 Stunden, ein Monat.

Gilt nur der Lieferkettenweg, haben Sie keine unmittelbare gesetzliche Pflicht — wohl aber eine kaufmännische, die sich fast genauso verhält. In das Verlängerungsgespräch eines Kunden ohne Nachweise zu gehen, ist ein teurer Weg, das herauszufinden.

Trifft keiner der drei Wege zu, liegen Sie tatsächlich außerhalb des Anwendungsbereichs, und wer Ihnen ein verpflichtendes Compliance-Audit verkauft, verkauft Ihnen etwas, das Sie nicht brauchen.