NIS2 in Frankreich: Nationale Umsetzung, ANSSI und Pflichten

Frankreich ist einer der wichtigsten Handelspartner Deutschlands – 2025 lag es mit Warenexporten im Wert von 117,4 Milliarden Euro auf Rang 2 der Abnehmerländer deutscher Exporte (Destatis) – und ein zentraler Akteur in der europäischen Cybersicherheitsarchitektur. Mit der NIS-2-Richtlinie ((EU) 2022/2555) hat die EU verbindliche Mindeststandards für Cybersicherheit eingeführt, die alle Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht umzusetzen hatten. Frankreich hat diese Frist nicht eingehalten; Stand 10. Oktober 2026 ist das französische Umsetzungsgesetz noch nicht verabschiedet. Für deutsche Unternehmen mit Tochtergesellschaften oder Lieferanten in Frankreich ist das Thema dennoch von unmittelbarer strategischer Relevanz. Den Gesamtrahmen der NIS-2-Richtlinie und ihre Kernprinzipien erklärt der Leitfaden zu den NIS2-Grundlagen.

Stand der NIS2-Umsetzung in Frankreich

Frankreich gehörte zu den Mitgliedstaaten, die die Umsetzungsfrist der NIS-2-Richtlinie zum 17. Oktober 2024 versäumt haben. Die Europäische Kommission leitete daraufhin Vertragsverletzungsverfahren ein und hat Frankreich – zusammen mit Irland, Spanien und den Niederlanden – am 8. Juli 2026 vor dem Gerichtshof der EU verklagt. Die Umsetzung erfolgt nicht per Ordonnance, sondern über ein reguläres Gesetz: den Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Der Entwurf wurde am 15. Oktober 2024 im Senat eingebracht und setzt neben NIS2 (Titel II) auch die CER-Richtlinie (Titel I) und Vorgaben zur digitalen operationalen Resilienz des Finanzsektors (Titel III) um. Der Senat stimmte am 12. März 2025 zu, der Ausschuss der Nationalversammlung legte seine Fassung am 10. September 2025 vor. Die für den 7. Oktober 2026 angesetzte Plenardebatte in der Nationalversammlung wurde am 6. Oktober 2026 abgesetzt; ein neuer Termin steht nicht fest.

Die ANSSI (Agence nationale de la sécurité des systèmes d’information) begleitet den Prozess mit Informationsangeboten: Auf ihrer Plattform MonEspaceNIS2 (heute unter messervices.cyber.gouv.fr/nis2) können Einrichtungen per Online-Test prüfen, ob sie voraussichtlich erfasst sind, und sich vorregistrieren. Seit dem 17. März 2026 stellt die ANSSI zudem den Sicherheitsreferenzrahmen Référentiel Cyber France (ReCyF) bereit – eine Grundlage, um Vorbereitungen schon vor dem Inkrafttreten des Gesetzes zu beginnen.

Bis zur vollständigen Umsetzung gilt in Frankreich weiterhin das NIS1-Regime, eingeführt durch das Gesetz n° 2018-133 vom 26. Februar 2018 und das Dekret n° 2018-384 vom 23. Mai 2018. Es erfasst nach der Folgenabschätzung der Regierung rund 500 Betreiber in sechs Sektoren. Mit NIS2 soll die Zahl der regulierten Einrichtungen auf rund 15.000 in 18 Sektoren steigen – eine Ausweitung etwa um das Zwanzig- bis Dreißigfache.

ANSSI – die zuständige Cybersicherheitsbehörde Frankreichs

Die Agence nationale de la sécurité des systèmes d’information (ANSSI) ist Frankreichs zentrale Behörde für Informationssicherheit und die zuständige Aufsichtsbehörde für NIS2. Sie wurde 2009 per Regierungsdekret (Décret n° 2009-834) gegründet und ist dem Secrétariat général de la défense et de la sécurité nationale (SGDSN) unterstellt, das dem Premierminister direkt berichtet. Diese institutionelle Ansiedlung außerhalb der Fachministerien verleiht ANSSI ressortübergreifende Autorität und strukturelle Unabhängigkeit.

Im Vergleich zur deutschen Behördenstruktur gibt es für grenzüberschreitend tätige Unternehmen einige relevante Unterschiede:

Merkmal	ANSSI (Frankreich)	BSI (Deutschland)
Gründungsjahr	2009	1991
Unterstellung	SGDSN / Premierminister	Bundesinnenministerium (BMI)
Operativer CSIRT	CERT-FR (intern)	CERT-Bund (intern)
Zentrale NIS2-Behörde	ANSSI (laut Gesetzentwurf; Bußgelder verhängt eine Sanktionskommission)	BSI
Risikorahmenwerk	EBIOS Risk Manager	BSI-Grundschutz-Kompendium
Bußgeldmaximum (wesentliche Einrichtungen)	10 Mio. € / 2 % Umsatz (laut Gesetzentwurf)	10 Mio. € / 2 % Umsatz

Nach dem Gesetzentwurf soll die ANSSI als nationale Behörde für die Sicherheit der Informationssysteme für die Umsetzung und Kontrolle des NIS2-Regimes zuständig sein; Bußgelder bis 10 Mio. Euro bzw. 2 % (wesentliche Einrichtungen) und 7 Mio. Euro bzw. 1,4 % des weltweiten Jahresumsatzes (wichtige Einrichtungen) soll eine Sanktionskommission (commission des sanctions) verhängen. Bereits jetzt stellt die ANSSI mit MonEspaceNIS2 und dem ReCyF Informationen und einen Referenzrahmen zur Vorbereitung bereit.

CERT-FR – Anlaufstelle für Cyberfälle und Meldepflichten

CERT-FR (Computer Emergency Response Team – France) ist das nationale CSIRT Frankreichs und operiert als integraler Teil von ANSSI. Es fungiert gleichzeitig als nationale CSIRT-Stelle im Sinne von Artikel 10 NIS2 und als zentraler Ansprechpartner für Cybervorfallsmeldungen aus dem regulierten Bereich. CERT-FR ist Gründungsmitglied des europäischen CSIRT-Netzwerks und Mitglied von FIRST, dem internationalen Forum der Incident-Response-Teams.

Die Kernfunktionen von CERT-FR umfassen:

• Entgegennahme und Bearbeitung von Vorfallsmeldungen aus dem regulierten Sektor
• Technische Unterstützung bei der Analyse und Bewältigung von Cybersicherheitsvorfällen
• Warnmeldungen und Lageberichte über aktuelle Bedrohungen (Bulletins de sécurité)
• Koordination mit dem europäischen CSIRT-Netzwerk (Artikel 15 NIS2) und EU-CyCLONe
• Schwachstellenkoordination für französische Softwareprodukte und kritische Infrastrukturen

Für die Meldepflichten nach dem künftigen französischen NIS2-Gesetz dürfte CERT-FR die Erstanlaufstelle sein; schon heute behandelt es technisch die Vorfälle u. a. der Verwaltung und der Betreiber kritischer Infrastrukturen. Das dreistufige Meldeformat – Frühwarnung innerhalb von 24 Stunden, Erstmeldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat – entspricht dem europäischen Standard aus Artikel 23 NIS2. Vorfälle lassen sich heute über das Online-Meldeformular der ANSSI bzw. von CERT-FR melden.

Ein wichtiger praktischer Unterschied zu Deutschland: Während hierzulande Meldepflichten nach § 32 BSIG über das BSI-Portal erfüllt werden, laufen die Meldepflichten von in Frankreich ansässigen Einrichtungen über CERT-FR. Ist eine deutsche Muttergesellschaft durch einen Vorfall bei der französischen Tochter mitbetroffen, ist zu prüfen, ob eine parallele Meldepflicht gegenüber dem BSI ausgelöst wird. Klären Sie diesen Punkt in Ihrer Incident-Response-Planung frühzeitig, um keine Fristen zu versäumen.

Von NIS1 zu NIS2 – Ausweitung des Anwendungsbereichs in Frankreich

Frankreichs Erfahrung mit NIS1 hat den Boden für die NIS2-Transposition bereitet – der Vergleich verdeutlicht jedoch, wie dramatisch sich der Anwendungsbereich erweitern wird:

Merkmal	NIS1 (Gesetz n° 2018-133)	NIS2 (laut Gesetzentwurf)
Regulierte Einrichtungen	~500 Betreiber	rund 15.000 (Schätzung der Regierung)
Sektoren	6	18
Größenkriterien	Sektorale Einzelbestimmung, keine einheitlichen EU-Schwellenwerte	Erfasst ab mittlerer Unternehmensgröße (≥50 MA oder Umsatz und Bilanz je >10 Mio. €); große Unternehmen (≥250 MA oder Umsatz >50 Mio. € und Bilanz >43 Mio. €) in Anhang-I-Sektoren in der Regel wesentlich
Aufsichtsmodell	Reaktiv + proaktiv je Sektor	Proaktiv (wesentliche EE) / reaktiv (wichtige EE)
Bußgeldrahmen	Geldstrafen gegen die Leitung: bis 100.000 € (Sicherheitsregeln), 75.000 € (Vorfallsmeldung), 125.000 € (Behinderung von Kontrollen)	Bis 10 Mio. € / 2 % Umsatz (wesentliche EE); bis 7 Mio. € / 1,4 % (wichtige EE)
Neue Sektoren gegenüber NIS1	–	Hersteller, Raumfahrt, Post- und Kurierdienste, Abfallwirtschaft, öffentliche Verwaltung

Besonders relevant für deutsche Unternehmen ist die Einbeziehung neuer Sektoren: NIS2 erfasst in Anhang II nun auch Hersteller (manufacturing), digitale Anbieter sowie Post- und Kurierdienste; in Anhang I kommt unter anderem die Raumfahrt hinzu. Französische Tochtergesellschaften oder Lieferanten in diesen Branchen werden künftig erstmals Cybersicherheitspflichten unterliegen, die dem deutschen NIS2UmsuCG-Standard entsprechen. Welche Einrichtungen konkret in den Anwendungsbereich fallen, beschreibt der Leitfaden zum NIS2-Anwendungsbereich detailliert.

Relevanz für deutsche Unternehmen mit französischen Töchtern

Für deutsche Unternehmensgruppen mit Tochtergesellschaften in Frankreich entstehen aus NIS2 spezifische Compliance-Herausforderungen, die über das rein nationale BSIG-Regime hinausgehen.

Jurisdiktionsregel nach Artikel 26 NIS2: Grundsätzlich unterliegt eine NIS2-Einrichtung dem Mitgliedstaat, in dem sie niedergelassen ist (Art. 26 Abs. 1). Das Kriterium der „Hauptniederlassung“ – der Ort, an dem überwiegend die Entscheidungen über Cybersicherheitsmaßnahmen getroffen werden – gilt nur für bestimmte digitale Anbieter wie DNS-Diensteanbieter, TLD-Registries, Cloud- und Rechenzentrumsdienste, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen und soziale Netzwerke (Art. 26 Abs. 1 lit. b, Abs. 2). Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste unterliegen dem Mitgliedstaat, in dem sie ihre Dienste erbringen. Eine in Frankreich niedergelassene Tochtergesellschaft unterliegt danach in der Regel dem französischen NIS2-Recht und der ANSSI – auch wenn die deutsche Muttergesellschaft unter das BSIG fällt.

Duale Regulierung bei konzerninterner Kritikalität: Wenn sowohl Mutter- als auch Tochtergesellschaft jeweils eigenständig als wesentliche oder wichtige Einrichtung einzustufen sind, entstehen parallele Compliance-Pflichten – getrennte Registrierungen, getrennte Aufsichtsgespräche, potenziell abweichende nationale Anforderungen über den NIS2-Mindeststandard hinaus. Artikel 37 NIS2 (Amtshilfe) verpflichtet die zuständigen Behörden – hier BSI und ANSSI – in grenzüberschreitenden Konstellationen zur Zusammenarbeit und gegenseitigen Unterstützung. In der Praxis bedeutet dies: Getrennte Registrierungs- und Meldeprozesse, aber eine einheitliche Sicherheitsarchitektur, die beide Anforderungen erfüllt.

Einheitliches Sicherheitsniveau in der Gruppe: Viele deutsche Konzerne streben ein gruppenweites ISMS nach ISO 27001 an, das sowohl den deutschen als auch den französischen NIS2-Anforderungen genügt. ISO 27001 ist ein international verbreiteter Referenzrahmen; welche Nachweise die ANSSI künftig konkret akzeptiert, hängt vom endgültigen Gesetz und den Durchführungsbestimmungen ab. Entscheidend ist, dass das ISMS die spezifischen nationalen Umsetzungsdetails beider Länder abdeckt – insbesondere unterschiedliche Registrierungsanforderungen und behördliche Ansprechpartner. Einen Überblick über die deutsche Umsetzung bietet der Leitfaden zur NIS2-Umsetzung in Deutschland.

Lieferkettensicherheit im deutsch-französischen Kontext

Artikel 21 Absatz 2 Buchstabe d NIS2 verpflichtet regulierte Einrichtungen, Sicherheitsmaßnahmen für die Lieferkette – einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern – zu ergreifen. Für deutsche NIS2-regulierte Unternehmen mit französischen Lieferanten hat dies folgende praktische Konsequenzen:

Vor der französischen NIS2-Transposition: Solange Frankreich NIS2 noch nicht vollständig umgesetzt hat, können sich deutsche Abnehmer nicht auf einen gleichwertigen regulatorischen Mindeststandard bei französischen Lieferanten verlassen. Die Sorgfaltspflicht nach Artikel 21 Absatz 2 Buchstabe d verlangt, die Cybersicherheitspraktiken des Lieferanten aktiv zu überprüfen – unabhängig davon, ob dieser selbst reguliert ist oder nicht.

Nach der französischen NIS2-Transposition: Sobald ein französischer Zulieferer selbst als wichtige oder wesentliche Einrichtung eingestuft ist und der ANSSI-Aufsicht unterliegt, erhöht sich das Vertrauen in dessen Sicherheitsstandards. Dennoch entbindet dies den deutschen Abnehmer nicht von der eigenen Sorgfaltspflicht – er muss vertraglich und technisch sicherstellen, dass die Schnittstellen zwischen beiden Unternehmen angemessen abgesichert sind.

Empfohlene Maßnahmen im Beschaffungsprozess mit französischen Lieferanten:

• Aufnahme von NIS2-Compliance-Klauseln in Lieferantenverträge
• Einholung von Sicherheitsfragebögen oder ISO-27001-Zertifizierungsnachweisen
• Klärung der Vorfallsmeldeverfahren des Lieferanten (Meldestelle: CERT-FR)
• Prüfung, welche Daten und Systeme des deutschen Unternehmens beim französischen Lieferanten verarbeitet werden
• Berücksichtigung einschlägiger ANSSI-Veröffentlichungen, etwa des Référentiel Cyber France (ReCyF), als Referenz

Compliance-Fahrplan für Unternehmen mit Frankreich-Bezug

Schritt 1: Betroffenheitsanalyse für französische Einheiten. Prüfen Sie anhand der einheitlichen EU-Schwellenwerte (erfasst ab mittlerer Größe: ≥ 50 Mitarbeiter oder Umsatz und Bilanzsumme von jeweils mehr als 10 Mio. €; große Unternehmen mit ≥ 250 Mitarbeitern oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme sind in Anhang-I-Sektoren in der Regel wesentliche Einrichtungen), ob Ihre französischen Tochtergesellschaften von NIS2 erfasst werden. Berücksichtigen Sie dabei die Sektorzugehörigkeit nach Anhängen I und II der NIS2-Richtlinie.

Schritt 2: Zuständige Behörde und Meldestelle bestimmen. Stellen Sie für jede Einrichtung fest, welchem Mitgliedstaat sie nach der Jurisdiktionsregel des Artikels 26 NIS2 zugeordnet ist. Für in Frankreich ansässige Einheiten ist nach dem Gesetzentwurf die ANSSI zuständig, CERT-FR voraussichtlich die Meldestelle für Sicherheitsvorfälle. Benennen Sie frühzeitig eine ANSSI-Kontaktperson in Ihrer Organisation.

Schritt 3: Sicherheitsanforderungen nach Artikel 21 NIS2 abstimmen. Die zehn Sicherheitsmaßnahmenkategorien des Artikels 21 NIS2 gelten in allen EU-Mitgliedstaaten einheitlich. Prüfen Sie, ob Ihr bestehendes ISMS (z. B. nach ISO 27001) beide Länderanforderungen abdeckt. Die ANSSI hat mit EBIOS Risk Manager eine eigene Methode zur Risikoanalyse veröffentlicht; wie sie sich mit dem BSI-Grundschutz-Ansatz kombinieren lässt, sollte im Einzelfall geprüft werden.

Schritt 4: Incident-Response-Prozesse dual ausrichten. Richten Sie Incident-Response-Prozesse ein, die sowohl den deutschen Meldepflichten (BSI-Portal) als auch den künftigen französischen Meldepflichten (CERT-FR) entsprechen. Die Meldefristen sind in der Richtlinie EU-weit einheitlich vorgegeben: Frühwarnung 24 Stunden, Erstmeldung 72 Stunden, Abschlussbericht 1 Monat. Definieren Sie intern, wer bei einem Vorfall bei der französischen Tochter zuständig ist und über welchen Kanal die Meldung erfolgt.

Schritt 5: Französische Lieferanten in die Sorgfaltspflicht einbeziehen. Integrieren Sie NIS2-Cybersicherheitsanforderungen in Ihre Lieferantenqualifizierung für französische Anbieter. Fordern Sie bereits jetzt Sicherheitsnachweise an – auch wenn das französische NIS2-Gesetz noch aussteht. Der Référentiel Cyber France (ReCyF) der ANSSI kann dabei als Orientierung dienen.

Schritt 6: ANSSI-Publikationen kontinuierlich monitoren. Wann das französische Gesetz verabschiedet wird, ist offen: Die für den 7. Oktober 2026 angesetzte Plenardebatte wurde abgesetzt, ein neuer Termin steht nicht fest. Registrieren Sie sich für ANSSI-Newsletter und CERT-FR-Warnmeldungen (Bulletins de sécurité) und nutzen Sie die Vorregistrierung auf MonEspaceNIS2. Sobald Gesetz und Durchführungsbestimmungen veröffentlicht sind, dürften die Registrierungsfristen anlaufen – wer jetzt vorbereitet ist, vermeidet Fristdruck.

Häufig gestellte Fragen

Ist die NIS-2-Richtlinie in Frankreich bereits geltendes Recht?

Nein, noch nicht. Frankreich hat die Umsetzungsfrist zum 17. Oktober 2024 versäumt. Die Umsetzung erfolgt durch ein reguläres Gesetz (Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité), das der Senat am 12. März 2025 angenommen hat; die für den 7. Oktober 2026 angesetzte Plenardebatte in der Nationalversammlung wurde am 6. Oktober 2026 ohne neuen Termin abgesetzt. Bis zum Inkrafttreten gilt weiterhin das NIS1-Regime (Gesetz n° 2018-133 und Dekret n° 2018-384). Die Europäische Kommission hat Frankreich am 8. Juli 2026 wegen der fehlenden Umsetzung vor dem Gerichtshof der EU verklagt.

Welche Behörde ist in Frankreich für NIS2 zuständig?

Nach dem Gesetzentwurf soll die ANSSI (Agence nationale de la sécurité des systèmes d’information) die zuständige Behörde für NIS2 in Frankreich werden. CERT-FR – als operativer Arm von ANSSI – nimmt Meldungen über Cybersicherheitsvorfälle entgegen und koordiniert die Incident-Response. ANSSI entspricht in ihrer Funktion dem deutschen BSI, ist jedoch dem Premierminister über das SGDSN zugeordnet statt dem Innenministerium.

Was gilt, wenn unsere Unternehmensgruppe sowohl in Deutschland als auch in Frankreich Einrichtungen betreibt?

Grundsätzlich unterliegt jede Einrichtung dem Mitgliedstaat, in dem sie niedergelassen ist (Artikel 26 NIS2); auf die Hauptniederlassung kommt es nur bei bestimmten digitalen Anbietern an. Eine in Deutschland ansässige Muttergesellschaft fällt unter das BSIG / BSI-Aufsicht; eine in Frankreich ansässige Tochter fällt unter das künftige französische NIS2-Gesetz / ANSSI-Aufsicht. Beide können parallel als wesentliche oder wichtige Einrichtungen reguliert sein. BSI und ANSSI sind nach Artikel 37 NIS2 zur gegenseitigen Amtshilfe verpflichtet. Empfehlung: ein gruppenweites ISMS nach ISO 27001, das beide nationalen Anforderungen abbildet.

Wie läuft die Cybervorfallmeldung in Frankreich ab?

Nach dem Inkrafttreten des Gesetzes soll der dreistufige Meldeprozess aus Artikel 23 NIS2 gelten: Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat danach. Meldestelle dürfte CERT-FR (operativer Arm der ANSSI) sein. Bis dahin gelten die NIS1-Meldepflichten; Vorfälle lassen sich über das Online-Meldeformular der ANSSI bzw. von CERT-FR melden. Die ANSSI-Plattform MonEspaceNIS2 (messervices.cyber.gouv.fr/nis2) bietet bereits einen Betroffenheitstest und eine Vorregistrierung.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen können je nach Unternehmenstyp, Branche und dem endgültigen Inhalt des französischen Umsetzungsgesetzes variieren. Für eine auf Ihr Unternehmen zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie) — EUR-Lex, insbesondere Artikel 2, 3, 10, 23 und 26 sowie Anhänge I und II
2. Directives NIS, NIS 2 et dispositif SAIV — ANSSI (Agence nationale de la sécurité des systèmes d’information), offizielle Informationsseite
3. Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité – Dossier législatif — Assemblée nationale
4. Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice — Europäische Kommission, 8. Juli 2026
5. CERT-FR – Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques — Computer Emergency Response Team Frankreich, nationale CSIRT-Stelle und Meldestelle für Cybervorfälle
6. Loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité — Légifrance, aktuell geltendes NIS1-Umsetzungsgesetz in Frankreich