Land und Sprache getrennt wählen
Eine englische Seite über Deutschland bleibt eine Deutschland-Seite. Wählen Sie den Rechtsraum anhand der Einrichtung, ihrer Tätigkeiten und der Zuständigkeitsregeln. Sprache, Domainendung und der Sitz eines einzelnen Kunden ersetzen diese Prüfung nicht.
Nationale Veröffentlichung, Inkrafttreten, einzelne Übergangsfristen und persönliche Behördenmitteilungen sind verschiedene Ereignisse. Ein Land mit geltendem Umsetzungsgesetz hat deshalb nicht für jede Einrichtung denselben Stichtag. EU-Zuständigkeit nach Art. 26 verstehen.
Deutschland und Österreich
Deutschland: BSIG und BSI
Die Umsetzung gilt grundsätzlich seit 6. Dezember 2025. Die eigene Länderseite ordnet Betroffenheit, Zuständigkeit, Pflichten und Registrierung ein und führt zu den vier deutschen Fachratgebern. Der Schnellcheck hat einen begrenzten BSIG-Regelweg; der Readiness-Check bezieht sich ausschließlich auf Deutschland.
Österreich: NISG 2026 und BCS
Das NISG 2026 ist seit 1. Oktober 2026 in Kraft. Die Länderseite trennt Zuständigkeit, Einstufung und Fristen einschließlich der BCS-Information zur Erstregistrierung. Der österreichische Schnellcheck nutzt eigene Regeln; der deutsche Readiness-Wert wird nicht auf Österreich übertragen.
Frankreich: Gesetzgebungsverfahren und geltende Regeln trennen
Beim Abgleich am 8. Oktober 2026 führen die konsultierten Seiten der Assemblée nationale das Vorhaben zur Resilienz kritischer Infrastrukturen und Cybersicherheit weiterhin als Gesetzgebungsverfahren. Die aktuelle Kommissionsseite nennt eine weitere Beratung für den 14. Oktober. Eine frühere Ankündigung für den 7. Oktober belegt weder eine abgeschlossene Verabschiedung noch ein Inkrafttreten.
Für die Vorbereitung sind ANSSI-Informationen nützlich. Entwürfe und Arbeitsstände dürfen aber nicht als geltender nationaler NIS2-Pflichtenkatalog erscheinen. Bereits geltende sektorale Sicherheits- und Datenschutzpflichten sind unabhängig davon zu prüfen. Auch ein französischer Quellenkontext im technischen Report entscheidet keine französische NIS2-Betroffenheit.
Nächster Prüfschritt: Den aktuellen Verfahrensstand und eine tatsächliche Verkündung prüfen; danach Geltungsbeginn, untergesetzliche Konkretisierung und Einrichtung getrennt betrachten. Hier gibt es noch keinen französischen Einstufungsrechner.
Assemblée nationale: Gesetzgebungsdossier · Sonderkommission und Tagesordnung · ANSSI: NIS2
Italien: Gesetz, ACN-Regeln und individuelle Mitteilung
Das Decreto legislativo 4 settembre 2024, n. 138 wurde am 1. Oktober 2024 veröffentlicht und trat am 16. Oktober 2024 in Kraft. Die Agenzia per la cybersicurezza nazionale (ACN) ist die nationale zuständige NIS-Behörde. Geltungsbereich, Registrierung und die Einteilung in wesentliche oder wichtige Einrichtungen haben eigene nationale Regeln.
Das Inkrafttreten des Gesetzes ist nicht der Beginn jeder einzelnen Pflicht. Die ACN unterscheidet Umsetzungsphasen und knüpft Grundpflichten an die Mitteilung über die Aufnahme in die NIS-Liste. Ihre aktuelle Normenseite führt unter anderem die Basisspezifikationen 379907/2025 und die Fristenbestimmung 127434/2026 für die 2026 erfassten Einrichtungen. Alte allgemeine Zeitachsen sind deshalb nicht ohne Weiteres auf einen neuen Fall übertragbar.
Nächster Prüfschritt: Einrichtungsart, Registrierung, erhaltene ACN-Mitteilung und die zugehörigen aktuellen Durchführungsbestimmungen zusammen prüfen. Ein DE-/AT-Ergebnis liefert dafür keine italienische Klasse oder Frist.
Gazzetta Ufficiale: D.Lgs. 138/2024 · ACN: Gesetz und aktuelle Durchführungsakte · ACN: Registrierung
Niederlande: Cyberbeveiligingswet und Konkretisierung
Die Cyberbeveiligingswet wurde als Staatsblad 2026, 187 veröffentlicht. Art. 35 des Cyberbeveiligingsbesluit (Staatsblad 2026, 189) setzt Gesetz und Verordnung zum 15. August 2026 in Kraft. Eine ältere Aussage „noch nicht umgesetzt“ wäre für diesen Quellenstand überholt.
Einrichtungsart, Größe und besondere Erfassungsregeln bestimmen den Geltungsbereich. Die gesetzlichen Sicherheits- und Meldepflichten werden durch Verordnung und gegebenenfalls sektorale Vorgaben konkretisiert. Für bestimmte digitale Dienste sind zusätzlich die unmittelbar anwendbaren EU-Durchführungsregeln relevant.
Nächster Prüfschritt: Über die NCSC-Informationen den Registrierungskanal und die für den Sektor zuständige Aufsicht bestimmen; danach die konkreten Maßnahmen- und Meldevorgaben prüfen. Unser Länderhinweis ersetzt diesen nationalen Prüfweg nicht.
Cyberbeveiligingswet · Cyberbeveiligingsbesluit, Art. 35 · NCSC: Registrierung
Belgien: nationale Aufsicht und Konformitätsbewertung
Das belgische NIS2-Gesetz vom 26. April 2024 ist seit 18. Oktober 2024 in Kraft (Art. 98). Es regelt unter anderem Geltungsbereich, Sicherheitsmaßnahmen und Vorfallmeldungen. Das Centre for Cybersecurity Belgium (CCB) ist die nationale Cybersicherheitsbehörde; sektorale Behörden können hinzukommen.
Ein wichtiger nationaler Unterschied: Art. 39 sieht für wesentliche Einrichtungen eine regelmäßige Konformitätsbewertung vor; wichtige Einrichtungen können den in Art. 41 vorgesehenen Weg freiwillig nutzen. Art. 42 verbindet die dort geregelte Bewertung mit einer widerlegbaren Vermutung zur Erfüllung der Pflichten aus Art. 30. Der Königliche Erlass vom 9. Juni 2024 regelt zulässige Rahmen, Prüfer und Verfahren, darunter einen Weg über ISO/IEC 27001.
Das ist keine pauschale Freistellung durch ein beliebiges ISO-Zertifikat. Umfang, anerkannter Prüfer und nationales Verfahren müssen passen; etwaige Registrierungs- und Meldepflichten verschwinden dadurch nicht. Der deutsche ISO-Ratgeber lässt sich deshalb nicht unverändert auf Belgien übertragen.
Nächster Prüfschritt: Die nationale Klasse, Registrierung und gegebenenfalls den passenden Bewertungsweg samt aktuellen CCB-Fristen bestimmen. Ein technischer Außencheck ist keine solche Konformitätsbewertung.
Justel: NIS2-Gesetz, insbesondere Art. 30 und 39–43 · Königlicher Erlass, Art. 4–13 · CCB
Schweiz: ISG und Meldepflicht, keine NIS2-Umsetzung
Die Schweiz hat eigenes Recht. Für die nach Art. 74b Informationssicherheitsgesetz (ISG) erfassten kritischen Infrastrukturen besteht seit 1. April 2025 eine Meldepflicht für die gesetzlich erfassten Cyberangriffe. Die Erstmeldung an das BACS erfolgt innerhalb von 24 Stunden nach Entdeckung. Erfasste Einrichtungen, meldepflichtige Angriffe und Ausnahmen nach ISG und Cybersicherheitsverordnung (CSV) sind getrennt zu prüfen.
Daneben können EU-Dienstleistungen einer Schweizer Einrichtung einen Bezug zu Art. 26 NIS2 und zur jeweiligen nationalen Umsetzung herstellen. Das ist von eigenen Schweizer Pflichten und bloßen Sicherheitsanforderungen eines Kunden zu unterscheiden.
Nächster Prüfschritt: Zuerst ISG-/CSV-Geltungsbereich und Vorfallkriterien beim BACS prüfen; einen möglichen EU-Bezug daneben klären. Der Schweiz-Zweig unseres Schnellchecks bietet nur Quellenhinweise.
ISG, Art. 74b–74e · CSV · BACS: Wer muss melden? · BACS: FAQ zur Meldepflicht
Vereinigtes Königreich: NIS Regulations und Reformverfahren
Im Vereinigten Königreich gelten die Network and Information Systems Regulations 2018 in ihrer geänderten Fassung. Sie sind eigenes britisches Recht und keine nationale Umsetzung der NIS2-Richtlinie. Erfasste wesentliche Dienste und digitale Dienste, zuständige Behörden und konkrete Pflichten ergeben sich aus diesem Regelwerk.
Die Cyber Security and Resilience (Network and Information Systems) Bill wird auf der konsultierten Parlamentsseite als laufendes Gesetzgebungsverfahren geführt. Vorschläge daraus werden hier nicht als bereits geltende Pflichten dargestellt. Das Cyber Assessment Framework des NCSC hilft bei der Bewertung von Cyberrisiken; es ist weder selbst ein Gesetz noch eine automatische Konformitätsbestätigung.
Nächster Prüfschritt: Die aktuelle Fassung der NIS Regulations und die zuständige Sektorbehörde prüfen. Für EU-Dienstleistungen zusätzlich die grenzüberschreitenden Anknüpfungen nach Art. 26 NIS2 betrachten. Wir bieten keinen britischen Einstufungsrechner.
NIS Regulations 2018 · UK Parliament: Reformvorhaben · NCSC: Cyber Assessment Framework
Was die Werkzeuge abdecken
Schnellcheck: begrenzte nationale Regeln für Deutschland und Österreich; Quellenorientierung für weitere Kontexte. Fehlende Angaben werden nicht durch eine Annahme ersetzt.
Readiness-Check: Deutschland, sieben Selbstauskünfte. Der Prozentwert ist kein Sicherheits- oder Konformitätsgrad.
Technische Checks: ausgewählte externe HTTP-, DNS- und Transportbefunde unabhängig von der Lesesprache. Ein Länderquellenkontext im Report erweitert weder die Messung noch die rechtliche Aussagekraft. Für weitere Länder zuerst amtliche Zuständigkeit und nationale Quellen bestimmen.