NIS2 in Irland: Umsetzungsstand, NCSC-IE und Pflichten

Irland hat die NIS-2-Richtlinie (EU) 2022/2555 bis heute (Stand: Oktober 2026) nicht in nationales Recht umgesetzt. Das geplante Umsetzungsgesetz, der National Cyber Security Bill, ist noch nicht veröffentlicht und nicht im Parlament (Oireachtas) eingebracht; die Regierung führt ihn im Gesetzgebungsprogramm Herbst 2026 als vorrangig zu veröffentlichenden Entwurf. Die Europäische Kommission hat Irland deshalb am 8. Juli 2026 – zusammen mit Spanien, Frankreich und den Niederlanden – vor dem Gerichtshof der EU verklagt. Bis dahin gilt weiterhin das NIS1-Recht, die European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. Nr. 360 von 2018). Zentrale Stelle ist das National Cyber Security Centre Ireland (NCSC-IE) mit dem nationalen CSIRT. Für deutsche Unternehmen bleibt Irland dennoch von besonderer NIS2-Relevanz: Viele große US-Technologiekonzerne steuern ihr Europageschäft von dort aus, und Rechenzentren verbrauchten 2024 laut irischem Statistikamt CSO 22 Prozent des gemessenen Stroms. Den europäischen Rahmen der Richtlinie – Anwendungsbereich, Sicherheitsmaßnahmen und Governance – erläutert der Leitfaden zu den NIS2-Grundlagen.

Irlands NIS2-Umsetzung: Stand Oktober 2026

Die Umsetzungsfrist endete am 17. Oktober 2024; Irland hat sie verpasst, wie das NCSC-IE auf seiner NIS2-Seite selbst einräumt. Ein irisches NIS2-Umsetzungsinstrument gibt es bislang nicht. Die Nummer S.I. 559/2024 gehört zu den European Union (Resilience of Critical Entities) Regulations 2024, mit denen Irland die CER-Richtlinie (EU) 2022/2557 umgesetzt hat – nicht NIS2. Nach Aufforderungsschreiben (28. November 2024) und mit Gründen versehener Stellungnahme (7. Mai 2025) beantragt die Kommission mit ihrer Klage auch finanzielle Sanktionen (Pauschalbetrag und tägliches Zwangsgeld).

Der bisherige Gesetzgebungsweg im Überblick:

• 24. Juli 2024: Die Regierung genehmigt die vorrangige Ausarbeitung des National Cyber Security Bill auf Grundlage eines General Scheme (Eckpunkte-Entwurf).
• 30. August 2024: Veröffentlichung des General Scheme of the National Cyber Security Bill 2024.
• 1. Juni 2025: Die Zuständigkeit für Cybersicherheit, einschließlich der Ministerbefugnisse nach S.I. 360/2018, wechselt per S.I. Nr. 234/2025 vom Umweltministerium (DECC) zum Justizministerium.
• 16. September 2026: Das Gesetzgebungsprogramm Herbst 2026 führt den Entwurf unter „Legislation for Priority Publication“ mit dem Status „Work is ongoing“.
• Offen: Veröffentlichung, parlamentarische Beratung, Verabschiedung und Inkrafttreten – ein Termin ist nicht bekannt.

Nach dem General Scheme soll das künftige Gesetz die Kernelemente der Richtlinie übernehmen; der endgültige Text kann noch abweichen:

• Zweistufiges Einrichtungssystem: wesentliche und wichtige Einrichtungen nach den Anhängen I und II NIS2; nach NIS1 benannte Betreiber wesentlicher Dienste sollen als wesentliche Einrichtungen gelten
• Risikomanagementmaßnahmen entsprechend Artikel 21 NIS2, darunter Risikoanalyse, Incident-Handling, Business Continuity, Lieferkettensicherheit und Kryptografie
• Dreistufige Meldepflichten an das CSIRT: Frühwarnung (24 Stunden), Vorfallsmeldung (72 Stunden), Abschlussbericht (1 Monat)
• Verantwortung der Leitungsorgane nach Artikel 20 NIS2 einschließlich Schulungspflicht; bei Verstößen können Führungskräfte in der Ausübung ihrer Funktion beschränkt werden
• Bußgeldrahmen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (höherer Wert) für wesentliche, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen; schwerwiegende Sanktionen unter Einbindung des High Court
• Registrierung: über einen Mechanismus des NCSC-IE, der erst nach der Umsetzung bereitstehen soll

Eine strukturelle Besonderheit: Irland plant kein Ein-Behörden-Modell. Nach Head 17 des General Scheme werden sektorale Regulierer zuständig – etwa die Commission for Regulation of Utilities (Energie, Wasser), die ComReg (digitale Infrastruktur, IKT-Dienste, digitale Anbieter, Weltraum), die Central Bank of Ireland (Banken, Finanzmarktinfrastrukturen) sowie die Verkehrs- und Gesundheitsbehörden. Laut NCSC-FAQ beaufsichtigen sie die wesentlichen Einrichtungen ihres Sektors; das NCSC-IE ist für alle übrigen erfassten Einrichtungen zuständig und koordiniert als Lead Competent Authority. In Deutschland liegt die NIS2-Aufsicht dagegen weitgehend zentral beim BSI. Den direkten Vergleich bietet der Leitfaden zu NIS2 in Deutschland.

Das NCSC-IE – Irlands nationale Cybersicherheitsbehörde und CSIRT

Das National Cyber Security Centre Ireland (NCSC-IE) wurde 2011 gegründet und ist seit dem 1. Juni 2025 dem Justizministerium (Department of Justice, Home Affairs and Migration) zugeordnet; zuvor gehörte es zum Umweltministerium (DECC). Zum NCSC-IE gehört das nationale CSIRT (CSIRT-IE). Nach S.I. 360/2018 ist formal der zuständige Minister Aufsichtsbehörde und zentrale Anlaufstelle – mit Ausnahme von Bankwesen und Finanzmarktinfrastrukturen (Central Bank of Ireland); operativ arbeitet das NCSC-IE. Der General Scheme soll es erstmals gesetzlich verankern und ihm die Rollen als CSIRT, zentrale Anlaufstelle, Cyberkrisenbehörde und federführende Behörde zuweisen.

Zu den Aufgaben des NCSC-IE gehören:

• Aufsicht nach NIS1: über benannte Betreiber wesentlicher Dienste und erfasste Anbieter digitaler Dienste (Cloud-Computing, Online-Marktplätze, Suchmaschinen), einschließlich Sicherheitsprüfungen
• Vorfallsmeldungen: Das CSIRT-IE nimmt Pflichtmeldungen nach NIS1 entgegen und betreibt eine allgemeine Meldestelle
• Warnungen und Lagebild: Warnungen, Sicherheitshinweise, Leitfäden und ein Frühwarndienst
• Europäische Koordination: Mitarbeit im CSIRTs-Netzwerk und Kontakt zur NIS-Kooperationsgruppe; darüber laufen auch Abstimmungen mit dem BSI
• NIS2-Vorbereitung: Leitfaden, FAQ, ein Entwurf von Leitlinien zu Risikomanagementmaßnahmen (Juni 2025) und die Empfehlung des CyberFundamentals-Frameworks (CyFun), an dem Irland als Mitinhaber beteiligt ist

Wichtig für die Praxis: Solange das Gesetz fehlt, gibt es weder ein NIS2-Registrierungs- noch ein NIS2-Meldeportal. Laut NCSC-FAQ besteht derzeit keine Pflicht zur Registrierung nach NIS2, bis das Gesetz erlassen ist und neue Registrierungstermine veröffentlicht wurden.

Irland als europäische Technologie- und Rechenzentrumsdrehscheibe

Irland nimmt in der europäischen digitalen Infrastruktur eine Sonderstellung ein, die die NIS2-Relevanz für deutsche Unternehmen weit über die Größe des Landes hinaus steigert. Drei strukturelle Faktoren sind dabei entscheidend:

Rechenzentren und Cloud-Regionen: Große Cloud-Anbieter betreiben in Irland bedeutende europäische Rechenzentrumskapazitäten. Der Anteil der Rechenzentren am gemessenen Stromverbrauch stieg laut CSO von 5 Prozent (2015) auf 22 Prozent (2024). Deutsche Unternehmen, die europäische Cloud-Regionen nutzen, verarbeiten Daten daher häufig auch in irischer Infrastruktur.

Europäische Niederlassungen großer Technologieunternehmen: Viele US-Technologiekonzerne haben ihre Europazentrale oder wesentliche Europafunktionen in Irland. Für Cloud-, Rechenzentrums- und CDN-Anbieter, verwaltete (Sicherheits-)Dienste, Online-Marktplätze, Suchmaschinen und soziale Netzwerke gilt nach Artikel 26 NIS2 die Hauptniederlassungsregel: Zuständig ist der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Liegt dieser in Irland, unterliegen die Anbieter nach der Umsetzung der irischen Aufsicht; bis dahin gelten für Cloud-Anbieter, Marktplätze und Suchmaschinen mit Hauptsitz in Irland die NIS1-Pflichten für Anbieter digitaler Dienste. Für deutsche Kunden und Lieferanten dieser Anbieter entstehen Berührungspunkte über die Lieferkettensicherheit nach Artikel 21 Abs. 2 lit. d NIS2.

Finanzdienstleister und Konzerngesellschaften im IFSC: Viele internationale Finanzinstitute und Industriekonzerne – auch aus Deutschland – unterhalten Tochtergesellschaften im International Financial Services Centre (IFSC) in Dublin; Software- und Dienstleistungsunternehmen nutzen Irland als Brückenkopf für den englischsprachigen Markt. Solche Einheiten können nach der irischen Umsetzung bei Erfüllung der Schwellenwerte eigenständig NIS2-pflichtig werden. Wer generell in den Anwendungsbereich fällt, erläutert der Leitfaden zum NIS2-Anwendungsbereich.

Betroffene Einrichtungen und Schwellenwerte in Irland

Da Irland noch kein Umsetzungsgesetz hat, gelten die NIS2-Schwellenwerte dort noch nicht als nationale Pflicht. Der General Scheme übernimmt die Systematik der Richtlinie: Erfasst wären Organisationen in Sektoren nach Anhang I oder II ab mittlerer Unternehmensgröße – mindestens 50 Beschäftigte oder sowohl Jahresumsatz als auch Jahresbilanzsumme über 10 Millionen Euro (Empfehlung 2003/361/EG). Die Übersicht zeigt die Einstufung nach Richtlinie und Entwurf, vorbehaltlich des endgültigen irischen Gesetzes:

Einrichtungstyp	Schwellenwert	Aufsichtsmodus	Max. Bußgeld
Wesentliche Einrichtung (Anhang I)	Großunternehmen: ≥250 MA oder >50 Mio. EUR Umsatz und >43 Mio. EUR Bilanzsumme	Proaktiv (ex ante) durch NCSC-IE oder sektorale Behörde	bis zu 10 Mio. EUR / 2 % Jahresumsatz (höherer Wert)
Wichtige Einrichtung (Anhang II sowie mittlere Anhang-I-Einrichtungen)	≥50 MA oder >10 Mio. EUR Umsatz und >10 Mio. EUR Bilanzsumme	Reaktiv (ex post) durch NCSC-IE oder sektorale Behörde	bis zu 7 Mio. EUR / 1,4 % Jahresumsatz (höherer Wert)
Größenunabhängige Einrichtungen	Qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter	Proaktiv, unabhängig von der Größe	Gelten als wesentliche Einrichtung

Wichtig für den irischen Markt: Cloud-Anbieter, Rechenzentrumsbetreiber und CDN gehören zwar zur digitalen Infrastruktur nach Anhang I, sind aber nicht größenunabhängig erfasst – die großen Hyperscaler überschreiten die Schwellen für Großunternehmen jedoch deutlich. Für wesentliche Einrichtungen dieses Sektors soll nach dem General Scheme die ComReg zuständig werden, nicht das NCSC-IE. Bis zum Inkrafttreten bleibt es bei der Einzelbenennung von Betreibern wesentlicher Dienste nach NIS1.

Meldepflichten heute und nach NIS2: Rolle des CSIRT-IE

Nach geltendem NIS1-Recht melden benannte Betreiber wesentlicher Dienste Vorfälle mit erheblichen Auswirkungen auf die Kontinuität ihrer Dienste an das CSIRT – unverzüglich, spätestens 72 Stunden nach Kenntnisnahme; für Anbieter digitaler Dienste gilt ebenfalls eine 72-Stunden-Frist. Ein dreistufiges NIS2-Melderegime gilt in Irland noch nicht. Der General Scheme sieht es entsprechend Artikel 23 NIS2 vor, jeweils ab Kenntnis eines erheblichen Vorfalls:

• Frühwarnung (innerhalb von 24 Stunden): Erste Meldung, gegebenenfalls mit Angabe, ob rechtswidriges oder böswilliges Handeln vermutet wird und grenzüberschreitende Auswirkungen möglich sind.
• Vorfallsmeldung (innerhalb von 72 Stunden): Aktualisierung und erste Bewertung von Schweregrad und Auswirkungen, soweit verfügbar mit Kompromittierungsindikatoren.
• Abschlussbericht (1 Monat nach der Vorfallsmeldung): Beschreibung des Vorfalls, wahrscheinliche Ursache, ergriffene Abhilfemaßnahmen und gegebenenfalls grenzüberschreitende Auswirkungen.

Auf Anfrage des CSIRT ist ein Zwischenbericht vorgesehen. Als erheblich gilt ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder anderen Personen erhebliche materielle oder immaterielle Schäden zufügt oder zufügen kann. Grenzüberschreitend arbeiten die CSIRTs über das europäische CSIRTs-Netzwerk zusammen. Unternehmensgruppen mit Einheiten in Deutschland und Irland sollten parallele Meldewege einplanen.

Deutschland und Irland im NIS2-System: Direkter Vergleich

Merkmal	Deutschland (NIS2UmsuCG)	Irland (NIS1 geltend, NIS2 geplant)
Zuständige Behörde (NCA)	BSI (untersteht Bundesinnenministerium)	Heute: Minister bzw. NCSC-IE (Justizministerium), Central Bank für Banken/FMI; geplant: NCSC-IE als federführende Behörde plus Sektorregulierer
Nationales CSIRT	CERT-Bund (BSI-Abteilung)	CSIRT-IE (Teil des NCSC-IE)
Umsetzungsgesetz	NIS2UmsuCG (BGBl. 2025 I Nr. 301), BSIG	Noch keines; National Cyber Security Bill in Vorbereitung. Geltend: S.I. Nr. 360/2018 (NIS1)
Sektorale Regulierungsstruktur	Weitgehend zentral beim BSI, mit Sonderregeln für einzelne Sektoren	Geplant: Mehrbehördenmodell (u. a. CRU, ComReg, Central Bank, IAA, NCSC-IE)
Inkrafttreten	6. Dezember 2025	Offen (EuGH-Klage seit 8. Juli 2026)
Max. Bußgeld (wesentliche E.)	bis zu 10 Mio. EUR / 2 % Umsatz	Geplant: bis zu 10 Mio. EUR / 2 % Umsatz; nach NIS1 heute Strafverfahren mit Geldstrafen bis zu 500.000 EUR für juristische Personen
Max. Bußgeld (wichtige E.)	bis zu 7 Mio. EUR / 1,4 % Umsatz	Geplant: bis zu 7 Mio. EUR / 1,4 % Umsatz
Parallelregime	KRITIS-Dachgesetz (in Kraft seit 17. März 2026)	S.I. Nr. 559/2024 (Resilienz kritischer Einrichtungen, CER-Umsetzung)

Was deutsche Unternehmen mit Irland-Bezug jetzt prüfen sollten

Aus der verzögerten Umsetzung folgen für deutsche Gruppen in Irland noch keine NIS2-Pflichten nach irischem Recht – wohl aber NIS1-Pflichten für bestimmte Einheiten, Anforderungen aus deutschem Recht und Vorbereitungsbedarf für das kommende Gesetz.

1. Irische Tochtergesellschaft oder Niederlassung: Eine NIS2-Registrierung ist in Irland derzeit weder möglich noch vorgeschrieben. Prüfenswert ist, ob die irische Einheit bereits nach NIS1 als Betreiber wesentlicher Dienste benannt ist oder als Anbieter digitaler Dienste unter S.I. 360/2018 fällt. Nach der Umsetzung unterliegt eine in Irland niedergelassene Einheit grundsätzlich irischer Zuständigkeit; die BSI-Registrierung der deutschen Muttergesellschaft erstreckt sich nicht auf sie. Sinnvoll ist schon jetzt eine vorläufige Betroffenheitsanalyse anhand des NCSC-Leitfadens und eine konzernweite Vorbereitung der Maßnahmen nach Artikel 21 NIS2.

2. Rechenzentren und Cloud-Infrastruktur in Irland: Wer Cloud-Dienste aus AWS-, Azure- oder Google-Cloud-Regionen in Irland bezieht, wird dadurch nicht selbst in Irland NIS2-pflichtig. In Deutschland NIS2-pflichtige Einrichtungen haben jedoch die Lieferkettensicherheit nach deutschem Recht zu berücksichtigen und sollten Sicherheitsnachweise ihrer Cloud-Lieferanten vertraglich absichern – unabhängig vom irischen Umsetzungsstand.

3. IFSC-Finanzeinheiten: Für Banken, Versicherungen und andere Finanzunternehmen gilt seit dem 17. Januar 2025 die unmittelbar anwendbare EU-Verordnung DORA (Verordnung (EU) 2022/2554) – auch in Irland. Nach dem General Scheme gehen deren IKT-Risikomanagement- und Meldevorschriften als sektorspezifisches Unionsrecht den NIS2-Pflichten vor, soweit sie gleichwertig sind; zuständig für Banken und Finanzmarktinfrastrukturen bleibt die Central Bank of Ireland. Der Schwerpunkt liegt für diese Einheiten daher regelmäßig bei DORA, nicht bei einem doppelten NIS2-Regime.

4. IT-Dienstleister als Lieferant irischer Einrichtungen: Deutsche IT-Unternehmen, die irische Betreiber wesentlicher Dienste, Finanzunternehmen oder künftige NIS2-Einrichtungen beliefern, können über Verträge mit erhöhten Sicherheitsanforderungen konfrontiert werden – bei Finanzkunden schon heute über DORA. Eine proaktive Dokumentation der eigenen Sicherheitsmaßnahmen kann Vertragsverhandlungen erleichtern.

5. Grenzüberschreitende Vorfallsmeldungen koordinieren: Ein Angriff auf eine deutsche NIS2-Einrichtung und ihre irische Tochter kann Meldungen in beiden Ländern auslösen: an das BSI (Frühwarnung innerhalb von 24 Stunden) und – sofern die irische Einheit unter NIS1 fällt – an das CSIRT-IE innerhalb von 72 Stunden; andere Einheiten können freiwillig an das NCSC-IE melden. Meldewege und Ansprechpartner gehören vorab in die Incident-Response-Dokumentation und sollten nach Inkrafttreten des irischen Gesetzes auf das 24/72-Stunden-Regime umgestellt werden.

6. Gesetzgebung beobachten: Empfehlenswert ist ein fester Prozess zur Verfolgung des National Cyber Security Bill, der NIS2-Seite des NCSC-IE und des EuGH-Verfahrens. Erst das verabschiedete Gesetz legt Registrierungsfristen, Behördenzuordnung und Sanktionen verbindlich fest.

Häufig gestellte Fragen

Hat Irland die NIS2-Richtlinie fristgerecht umgesetzt?

Nein. Irland hat die Frist vom 17. Oktober 2024 verpasst und die Richtlinie auch bis Oktober 2026 nicht umgesetzt. Der National Cyber Security Bill ist noch nicht veröffentlicht; das Gesetzgebungsprogramm Herbst 2026 führt ihn als vorrangig. Am 8. Juli 2026 hat die Kommission Irland vor dem EuGH verklagt. Bis zum Inkrafttreten gilt das NIS1-Recht (S.I. 360/2018) weiter.

Was sind die Aufgaben des NCSC-IE?

Das NCSC-IE ist Irlands nationales Zentrum für Cybersicherheit; zu ihm gehört das nationale CSIRT (CSIRT-IE). Nach NIS1 nimmt es Vorfallsmeldungen entgegen und erfüllt operativ die Aufgaben der Aufsichtsbehörde und zentralen Anlaufstelle (außer für Banken und Finanzmarktinfrastrukturen: Central Bank of Ireland). Unter NIS2 soll es laut General Scheme CSIRT, zentrale Anlaufstelle, Cyberkrisenbehörde und federführende Behörde werden und alle Einrichtungen beaufsichtigen, die keinem Sektorregulierer zugewiesen sind – grob vergleichbar mit BSI und CERT-Bund, aber mit stärker verteilter Fachaufsicht.

Müssen deutsche Unternehmen mit irischen Tochtergesellschaften zweifach Compliance betreiben?

Derzeit bestehen in Irland nur die NIS1-Pflichten für benannte Betreiber wesentlicher Dienste und erfasste Anbieter digitaler Dienste. Nach der Umsetzung wird eine irische Tochter, die die Kriterien erfüllt, grundsätzlich irischem Recht und der zuständigen irischen Behörde unterliegen – unabhängig von den Pflichten der deutschen Muttergesellschaft gegenüber dem BSI. Die Sicherheitsmaßnahmen nach Art. 21 NIS2 werden sich weitgehend decken; Unterschiede liegen bei Registrierung, Meldewegen und Behörde. Konzernweite Rahmenwerke (ISO 27001, BSI IT-Grundschutz oder das vom NCSC-IE empfohlene CyFun) bieten erhebliche Synergien.

Was gilt für deutsche Unternehmen, die irische Rechenzentren oder Cloud-Dienste nutzen?

Die Nutzung irischer Cloud-Dienste oder Rechenzentren macht ein deutsches Unternehmen nicht selbst in Irland NIS2-pflichtig. Anbieter mit Hauptniederlassung in Irland werden nach der Umsetzung irischer Aufsicht unterliegen; heute gelten für Cloud-Anbieter mit Hauptsitz in Irland die NIS1-Pflichten für Anbieter digitaler Dienste. Deutsche NIS2-Einrichtungen sollten ihre irischen Cloud-Lieferanten im Lieferketten-Risikomanagement prüfen und Nachweise vertraglich verankern.

Rechtshinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Aussagen zur NIS2-Compliance empfehlen wir die Konsultation eines qualifizierten Rechtsanwalts oder Datenschutzbeauftragten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie) — EUR-Lex, Dezember 2022
2. European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 — S.I. No. 360 of 2018 — Irish Statute Book, September 2018
3. General Scheme of the National Cyber Security Bill 2024 — gov.ie, veröffentlicht 30. August 2024
4. Government Legislation Programme Autumn 2026 — Government of Ireland, September 2026
5. Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity — Europäische Kommission, 8. Juli 2026
6. NIS2 — National Cyber Security Centre Ireland (NCSC-IE) — Umsetzungsstand, Leitfäden und Entwurf der Risikomanagement-Leitlinien
7. NIS2 Frequently Asked Questions — NCSC-IE, u. a. zu zuständigen Behörden und Registrierung
8. Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025 — S.I. No. 234 of 2025 — Irish Statute Book, Mai 2025
9. European Union (Resilience of Critical Entities) Regulations 2024 — S.I. No. 559 of 2024 — Irish Statute Book, Oktober 2024 (CER-Umsetzung, nicht NIS2)
10. Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) — EUR-Lex, Dezember 2022
11. Data Centres Metered Electricity Consumption 2024 — Key Findings — Central Statistics Office (CSO), 10. Juni 2025