NIS2 in Luxemburg: Gesetz vom 5. Mai 2026, ILR-Frist und zwei Bußgeld-Stufen

Luxemburg hat die NIS2-Richtlinie mit dem Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus umgesetzt. Das Gesetz ist am 10. Mai 2026 in Kraft getreten, und die gesetzliche Selbstregistrierung beim Institut Luxembourgeois de Régulation (ILR) war binnen zwei Monaten fällig — also bis zum 10. Juli 2026 [1][3]. Das ILR rechnet mit 1.500 bis 2.000 betroffenen Einrichtungen [6]. Für deutsche Unternehmen mit luxemburgischen Tochtergesellschaften, Niederlassungen oder Rechenzentrumsverträgen ist das keine Randnotiz: Eine Registrierung beim BSI erfasst die luxemburgische Einheit nicht. Dieser Leitfaden erklärt, wer betroffen ist, welche vier Behörden zuständig sind, welche zwei Pflichten über die Richtlinie hinausgehen — und warum das luxemburgische Gesetz zwei völlig unterschiedliche Bußgeld-Stufen kennt. Den europäischen Rahmen dazu beschreibt der Leitfaden Was ist die NIS2-Richtlinie.

Wer unter das luxemburgische NIS2-Gesetz fällt

Kurzfassung: Es gilt die bekannte NIS2-Logik aus Sektor plus Größe. Luxemburg hat die Sektorlisten der Richtlinie eins zu eins übernommen — Anhang I des Gesetzes führt elf Sektoren, Anhang II sieben, zusammen also 18 [1]. Kein nationaler Zusatz-Sektor, keine gestrichene Branche.

Artikel 1 Abs. 1 erfasst Einrichtungen eines in Anhang I oder II genannten Typs, die mittlere Unternehmen im Sinne der Empfehlung 2003/361/EG sind oder deren Schwellen überschreiten. Artikel 11 teilt sie anschließend in zwei Klassen [1]:

Kategorie	Wer dazugehört (Art. 11)	Aufsichtsregime
Wesentliche Einrichtung	Anhang-I-Typen oberhalb der Mittelstandsschwellen; qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Anbieter unabhängig von der Größe; öffentliche Verwaltung; frühere NIS1-Betreiber wesentlicher Dienste; als kritisch eingestufte Einrichtungen	Proaktiv: Vor-Ort-Prüfungen, regelmäßige und anlassbezogene Sicherheitsaudits, Sicherheitsscans (Art. 22)
Wichtige Einrichtung	Alle übrigen Einrichtungen aus Anhang I und II, die in den Anwendungsbereich fallen	Ex post: Prüfung nur bei Hinweisen auf einen Verstoß; Kosten eines angeordneten Audits trägt in der Regel die geprüfte Einrichtung (Art. 23)

Für deutsche Konzerne ist Artikel 16 die entscheidende Norm. Die Zuständigkeit knüpft grundsätzlich an die Niederlassung an: Eine in Luxemburg errichtete Tochtergesellschaft unterliegt luxemburgischem Recht und luxemburgischer Aufsicht, unabhängig davon, wo die Muttergesellschaft sitzt oder wo das Konzern-ISMS betrieben wird. Anders liegt es bei Cloud-, Rechenzentrums-, CDN-, Managed-Service- und Plattformanbietern: Für sie gilt die Hauptniederlassungsregel — zuständig ist der Mitgliedstaat, in dem die Entscheidungen über die Risikomanagementmaßnahmen überwiegend getroffen werden [1]. Wer diese Entscheidungen faktisch in der deutschen Konzernzentrale trifft, verlagert damit die Zuständigkeit; wer sie dem luxemburgischen Standort überlässt, nicht. Das ist eine der wenigen Stellen, an denen die interne Governance-Architektur die Aufsichtszuständigkeit tatsächlich verschiebt — und ein Punkt, den eine konzernweite Betroffenheitsprüfung ausdrücklich dokumentieren sollte. Wie die Betroffenheitsprüfung nach deutschem Recht abläuft, zeigt der Leitfaden zum NIS2-Anwendungsbereich.

ILR, CSSF, HCPN und CIRCL — die vier Zuständigkeiten

Kurzfassung: Deutschland hat mit dem BSI im Kern eine Anlaufstelle. Luxemburg verteilt dieselben Aufgaben auf vier Institutionen. Wer aus Deutschland kommt, sollte die Zuordnung vor dem ersten Vorfall kennen, nicht während des ersten Vorfalls.

Institution	Rolle nach dem Gesetz vom 5. Mai 2026	Fundstelle
ILR	Zuständige Cybersicherheitsbehörde für die Sektoren der Anhänge I und II, einschließlich Aufsicht und Durchsetzung; nimmt Registrierungen und Vorfallmeldungen entgegen	Art. 3
CSSF	Zuständige Behörde für den Bankensektor und die Finanzmarktinfrastrukturen sowie — soweit die Tätigkeiten ihrer Aufsicht unterliegen — für digitale Infrastruktur und die Verwaltung von IKT-Diensten	Art. 3
HCPN	Zentrale Anlaufstelle für die grenzüberschreitende Zusammenarbeit (ENISA, andere Mitgliedstaaten) und Behörde für die Bewältigung großer Cyberkrisen; vertritt Luxemburg in EU-CyCLONe	Art. 5, Art. 6
GOVCERT.LU / CIRCL	CSIRT: GOVCERT.LU (Funktion des HCPN) für Staat, öffentliche Einrichtungen und kritische Einrichtungen — CIRCL für alle übrigen Fälle. CIRCL koordiniert zudem die Offenlegung von Schwachstellen	Art. 7 Abs. 1, Art. 9

Der praktisch wichtigste Punkt dieser Tabelle steht in der letzten Zeile. Für ein privatwirtschaftliches Unternehmen in Luxemburg ist nicht das staatliche CERT der technische Ansprechpartner, sondern CIRCL [10] — das CERT für den Privatsektor, die Gemeinden und nichtstaatliche Einrichtungen, betrieben von der Luxembourg House of Cybersecurity. Die Meldung eines erheblichen Vorfalls geht dabei trotzdem an die zuständige Behörde; diese leitet sie an das CSIRT und die zentrale Anlaufstelle weiter (Art. 10 Abs. 2) [1]. Wer in einer Krisensituation nur das CSIRT informiert und die Behördenmeldung für erledigt hält, hat die Meldepflicht aus Artikel 14 Abs. 1 nicht erfüllt.

Die Pflichten — und die zwei luxemburgischen Zusätze

Kurzfassung: Der Katalog der zehn Sicherheitsmaßnahmen in Artikel 12 Abs. 2 entspricht Artikel 21 Abs. 2 der Richtlinie und damit inhaltlich §30 NIS2UmsuCG: Risikoanalyse, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfung, Cyberhygiene und Schulung, Kryptografie, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentifizierung [1]. Zwei Bestimmungen gehen jedoch über die Richtlinie hinaus.

Erstens: Wesentliche Einrichtungen müssen ihre Maßnahmen der Behörde melden. Artikel 12 Abs. 3 verlangt, dass die nach Abs. 1 und 2 getroffenen Maßnahmen der zuständigen Behörde notifiziert werden; Modalitäten, Format und Frist legt die Behörde per Reglement oder Rundschreiben fest [1]. Eine solche aktive Nachweispflicht kennt das NIS2UmsuCG nicht — dort prüft das BSI, wenn es prüfen will. In Luxemburg ist die Dokumentation nicht nur vorzuhalten, sondern einzureichen. Da das Ausführungsreglement zum Zeitpunkt dieses Beitrags noch nicht vorlag, ist die praktische Ausgestaltung offen; die Pflicht selbst steht im Gesetz.

Zweitens: Die Behörde kann den Rahmen der Risikoanalyse vorgeben. Artikel 12 Abs. 1 Unterabs. 3 verpflichtet Einrichtungen, einen geeigneten Risikoanalyse-Rahmen zu verwenden, der von der zuständigen Behörde per Reglement oder Rundschreiben präzisiert werden kann [1]. Das ist kein theoretischer Vorbehalt: Das ILR betreibt mit SERIMA bereits eine kostenfreie, quelloffene Plattform für Risikoanalyse und Vorfallmeldung, deren Risikomodul auf der Methode MONARC aufsetzt und die auf Deutsch verfügbar ist [4]. Betroffene Einrichtungen erhalten nach Inkrafttreten und Selbstregistrierung einen Zugang. Deutsche Unternehmen, die ihr Risikoregister ausschließlich in einem Konzern-GRC-Tool führen, sollten früh klären, ob sie eine Exportfähigkeit in dieses Format brauchen — die NIS2-Risikobewertung selbst bleibt inhaltlich dieselbe.

Bei Geschäftsleitung und Meldefristen folgt Luxemburg der Richtlinie ohne Abweichung. Artikel 13 verpflichtet die Leitungsorgane, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen; sie können für Verstöße gegen Artikel 12 haftbar gemacht werden und müssen regelmäßig an Schulungen teilnehmen [1]. ILR-Direktor Luc Tapella hat diesen Punkt bei der Vorstellung des Gesetzes ausdrücklich betont: Die Verantwortung liege nun bei den Leitungsorganen [6]. Für Vorfälle gilt die Staffel aus Artikel 14 Abs. 4 — Frühwarnung binnen 24 Stunden, Vorfallmeldung mit erster Bewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats nach der 72-Stunden-Meldung; Vertrauensdiensteanbieter melden abweichend stets binnen 24 Stunden [1]. Die Systematik entspricht den deutschen NIS2-Meldepflichten, die Adresse ist eine andere.

Zwei Bußgeld-Stufen: warum 250.000 Euro oft die relevantere Zahl ist

Kurzfassung: Fast jede Darstellung nennt für Luxemburg 10 Millionen Euro beziehungsweise 2 Prozent des weltweiten Umsatzes. Das ist richtig — aber nur für zwei Verstöße. Das Gesetz enthält daneben eine zweite, gedeckelte Sanktionsstufe, und sie erfasst genau jene Pflichten, an denen eine neu registrierte Tochtergesellschaft realistischerweise zuerst scheitert.

Verstoß gegen	Rechtsfolge	Fundstelle
Art. 12 (Sicherheitsmaßnahmen) oder Art. 14 Abs. 1–4 (Meldepflichten) — wesentliche Einrichtung	Bis 10.000.000 € oder 2 % des weltweiten Jahresumsatzes des Unternehmens, zu dem die Einrichtung gehört — der höhere Betrag	Art. 26 Abs. 4
Art. 12 oder Art. 14 Abs. 1–4 — wichtige Einrichtung	Bis 7.000.000 € oder 1,4 % des weltweiten Jahresumsatzes — der höhere Betrag	Art. 26 Abs. 5
Art. 11 Abs. 4 (Registrierung), Art. 13 Abs. 1 und 2 (Geschäftsleitung, Schulung), Art. 15, Art. 17 (Daten digitaler Anbieter), Art. 18 (Domainnamendaten)	Verwarnung, Rüge oder Geldbuße — höchstens 250.000 €	Art. 25 Abs. 1
Fortdauernder Verstoß (Beugemittel)	Zwangsgeld bis 1.250 € pro Tag, insgesamt höchstens 25.000 €	Art. 26 Abs. 7
Durchsetzung gegenüber wesentlichen Einrichtungen	Zusätzlich: befristete Aussetzung einer Zulassung oder Zertifizierung und befristetes Tätigkeitsverbot für Personen auf Geschäftsführungs- oder Vertretungsebene	Art. 22 Abs. 4–5

Diese Trennung hat eine praktische Konsequenz, die in den gängigen Übersichten untergeht. Die versäumte Registrierung, die nicht geschulte Geschäftsführung und die nicht gemeldeten Stammdaten fallen nicht unter die Zehn-Millionen-Norm, sondern unter die gedeckelte Stufe des Artikels 25. Umgekehrt gilt: Sobald ein tatsächlicher Vorfall nicht fristgerecht gemeldet oder ein Maßnahmenkatalog nicht umgesetzt wurde, greift die volle Umsatzkopplung. Wer Budgets nach Risikoexposition priorisiert, sollte diese Grenze kennen — sie verläuft nicht zwischen „Formalie“ und „Substanz“, sondern exakt zwischen Artikel 12/14 und dem Rest.

Verfahrensseitig ist Luxemburg vergleichsweise präzise: Vor jeder Sanktion läuft ein kontradiktorisches Verfahren mit Akteneinsicht und Stellungnahmerecht, die Entscheidung ist zu begründen, und gegen sie steht der recours en réformation vor dem Verwaltungsgericht offen (Art. 25 Abs. 2 bis 4) [1]. Kommt für denselben Sachverhalt bereits ein DSGVO-Bußgeld zustande, verhängt die Cybersicherheitsbehörde kein zusätzliches Bußgeld nach Artikel 26 — andere Durchsetzungsmaßnahmen bleiben ihr aber erhalten (Art. 24 Abs. 2) [1]. Ein Vergleich mit dem deutschen Sanktionsrahmen findet sich unter NIS2-Sanktionen.

Was deutsche Unternehmen mit Luxemburg-Bezug jetzt tun sollten

Die Registrierungsfrist ist am 10. Juli 2026 abgelaufen. Das ILR stellt jedoch ausdrücklich klar, dass eine unterbliebene Selbstregistrierung eine Einrichtung nicht von ihren Pflichten befreit [3] — die Nachholung bleibt also der richtige Schritt, nicht das Abwarten. Sheila Becker vom ILR hat für die Aufsicht ein schrittweises Vorgehen angekündigt: Man könne nicht alles über Nacht zu hundert Prozent abdecken [6]. Das ist eine Aussage zur Aufsichtspraxis, keine Fristverlängerung.

Rolle	Nächster Schritt
Compliance / Recht	Für jede luxemburgische Einheit gesondert prüfen, ob sie unter Anhang I oder II fällt, und die Selbstregistrierung beim ILR nachholen. Der Simulator des ILR liefert nur eine Indikation und ersetzt die Registrierung nicht [3].
CISO / IT-Sicherheit	Meldewege doppeln: 24/72-Stunden-Kette getrennt für BSI und ILR, mit dem korrekten CSIRT (CIRCL statt GOVCERT.LU für privatwirtschaftliche Einheiten). Prüfen, ob das Risikoregister in ein SERIMA-taugliches Format überführbar ist.
Geschäftsführung	Schulungsnachweise nach Art. 13 Abs. 2 für die Leitungsorgane der luxemburgischen Gesellschaft dokumentieren — ein Konzernnachweis aus Deutschland genügt der Norm nicht ohne Weiteres. Beschlussfassung über die Maßnahmen nach Art. 13 Abs. 1 protokollieren.

Ein Detail für digitale Anbieter verdient dabei besondere Vorsicht: Artikel 17 Abs. 1 verlangt von Cloud-, Rechenzentrums-, CDN-, Managed-Service- und Plattformanbietern die Übermittlung ihrer Stammdaten „spätestens am 17. Januar 2025″ [1]. Dieses Datum stammt aus Artikel 27 der Richtlinie und war bereits verstrichen, als das luxemburgische Gesetz am 10. Mai 2026 in Kraft trat — ein Nebeneffekt der verspäteten Umsetzung. Praktisch führt der Weg über dasselbe Selbstregistrierungsportal des ILR; auf den Wortlaut sollte man sich in dieser Frage aber nicht verlassen, sondern die Übermittlung dokumentiert nachholen.

Der Vergleich mit der deutschen Lage fällt eindeutig aus: Deutschland hat mit dem NIS2UmsuCG früher umgesetzt, und das BSI weist inzwischen darauf hin, dass die gesetzliche Registrierungsfrist abgelaufen ist und Nachmeldungen unverzüglich erfolgen sollen [8]. In Luxemburg ist dieselbe Frist zwei Monate nach Inkrafttreten des Gesetzes verstrichen. Beide Aufsichtsbehörden befinden sich damit in derselben Phase — Bestandsaufnahme statt Sanktionswelle. Details zur deutschen Umsetzung stehen im Leitfaden NIS2UmsuCG; für Unternehmen mit Standorten außerhalb der EU ist der Vergleich mit der Schweizer Meldepflicht aufschlussreich, und die belgische Umsetzung zeigt unter NIS2 in Belgien einen dritten nationalen Weg.

Häufig gestellte Fragen

Gilt eine Registrierung beim BSI auch für unsere luxemburgische Tochter?

Nein. Artikel 16 Abs. 1 des luxemburgischen Gesetzes knüpft die Zuständigkeit an die Niederlassung: Eine in Luxemburg errichtete Gesellschaft unterliegt luxemburgischer Aufsicht und muss sich gesondert beim ILR registrieren [1][3]. Eine Ausnahme gilt für Cloud-, Rechenzentrums-, CDN-, Managed-Service- und Plattformanbieter — für sie entscheidet die Hauptniederlassung, also der Ort, an dem die Entscheidungen über die Risikomanagementmaßnahmen überwiegend getroffen werden.

Was passiert, wenn wir die Frist zum 10. Juli 2026 versäumt haben?

Der Verstoß gegen die Registrierungspflicht aus Artikel 11 Abs. 4 fällt unter Artikel 25 Abs. 1: möglich sind eine Verwarnung, eine Rüge oder eine Geldbuße von höchstens 250.000 Euro, bemessen nach Schwere, Situation, Schadensumfang und erzieltem Vorteil [1]. Das ILR betont, dass die fehlende Registrierung nicht von den übrigen NIS2-Pflichten befreit [3] — Sicherheitsmaßnahmen und Meldepflichten laufen also unabhängig davon weiter.

An wen meldet eine luxemburgische Tochtergesellschaft einen erheblichen Vorfall?

An die zuständige Behörde — in der Regel das ILR, für Banken und Finanzmarktinfrastrukturen die CSSF (Art. 3) [1]. Die Behörde leitet die Meldung an das CSIRT und die zentrale Anlaufstelle weiter (Art. 10 Abs. 2). Zuständiges CSIRT ist für privatwirtschaftliche Einrichtungen CIRCL, für Staat und kritische Einrichtungen GOVCERT.LU (Art. 7 Abs. 1). Es gilt die Staffel 24 Stunden / 72 Stunden / ein Monat nach Artikel 14 Abs. 4.

Gibt es luxemburgische Pflichten, die es in Deutschland nicht gibt?

Zwei. Artikel 12 Abs. 3 verlangt von wesentlichen Einrichtungen, die getroffenen Sicherheitsmaßnahmen der Behörde zu melden — Modalitäten und Frist legt die Behörde per Reglement oder Rundschreiben fest. Und Artikel 12 Abs. 1 Unterabs. 3 erlaubt es der Behörde, den zu verwendenden Rahmen der Risikoanalyse vorzugeben; das ILR stellt dafür die Plattform SERIMA bereit [1][4]. Beides hat im NIS2UmsuCG keine unmittelbare Entsprechung.

Quellen

1. Journal officiel du Grand-Duché de Luxembourg: Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, Mémorial A n° 225, 6. Mai 2026
2. Institut Luxembourgeois de Régulation: NIS 2, ilr.lu
3. Institut Luxembourgeois de Régulation: Auto-enregistrement, ilr.lu
4. Institut Luxembourgeois de Régulation: SERIMA — Security Risk Management, ilr.lu (im Text verlinkt)
5. Le gouvernement luxembourgeois: Cybersécurité: l’ILR présente la nouvelle loi NIS 2, Pressemitteilung vom 6. Juli 2026
6. Paperjam: Jusqu’à 2.000 entités concernées par l’échéance NIS2, Juli 2026 (Angaben und Zitate des ILR)
7. Deloitte Luxembourg: NIS2 transposed into Luxembourgish law: What organizations need to know, deloitte.com
8. Bundesamt für Sicherheit in der Informationstechnik: NIS-2-regulierte Unternehmen, bsi.bund.de
9. Institut Luxembourgeois de Régulation: Entrée en vigueur de la Loi du 5 mai 2026 (NIS 2), ilr.lu
10. CIRCL — Computer Incident Response Center Luxembourg: Mission, circl.lu (im Text verlinkt)

Rechtshinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Aussagen zur NIS2-Compliance empfehlen wir die Konsultation eines qualifizierten Rechtsanwalts oder Datenschutzbeauftragten.