NIS2 in Luxemburg: Was das neue Gesetz für KMU konkret bedeutet

Seit dem Gesetz vom 5. Mai 2026 ist die NIS2-Richtlinie in Luxemburg geltendes Recht. Ein typisches Szenario aus dem Mittelstand: ein Betrieb mit 60 Mitarbeitern, Zulieferer für die Industrie — und die Frage der Geschäftsführung lautet: „Betrifft uns das überhaupt, oder ist das nur etwas für Banken und Energieversorger?" Die Verunsicherung ist derzeit größer als das Wissen. Zeit, das sauber aufzudröseln — aus der Praxis, nicht aus dem Gesetzestext.

Schritt 1: Sind Sie überhaupt betroffen?

Die ehrliche Antwort: wahrscheinlich häufiger, als Sie denken. NIS2 trifft nicht nur die offensichtlichen Sektoren. Typische betroffene KMU-Bereiche in Luxemburg:

• Gesundheit — Einrichtungen ab einer gewissen Größe, Labore, medizintechnische Zulieferer
• Verarbeitendes Gewerbe — Hersteller von Geräten, Maschinen oder Elektronik
• Lebensmittel und Chemie — Hersteller und Distributoren
• Digitale Dienste — Cloud-Anbieter, Hoster, Managed-Service-Provider
• Logistik und Transport
• Zulieferer kritischer Infrastruktur — der Klassiker, den fast niemand auf dem Schirm hat

Faustregel: ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz in einem dieser Sektoren sind Sie sehr wahrscheinlich drin — bestimmte kritische Dienste sogar unabhängig von der Größe. Betroffene Einrichtungen müssen sich zudem selbst bei der Aufsichtsbehörde registrieren: für die meisten Sektoren beim ILR über das Portal guichet.ilr.lu, im Finanzsektor bei der CSSF. Im Zweifel: nicht spekulieren, sondern in 30 Minuten prüfen lassen.

Schritt 2: Was die Geschäftsführung jetzt persönlich verantwortet

Das ist der Teil, der bei vielen Mittelständlern schmerzt. NIS2 macht Cybersicherheit zur Chefsache mit persönlicher Verantwortung: Die Maßnahmen müssen vom Management formell genehmigt sein, und die Leitung kann bei groben Versäumnissen persönlich belangt werden. In der Praxis heißt das dreierlei: eine schriftlich genehmigte, aktuelle Sicherheitsstrategie (kein PDF von 2019); regelmäßige Schulung auch der Geschäftsführung selbst, nicht nur der IT; und der Nachweis, dass ausreichend Budget bereitsteht. Fehlen diese Basics, wird jedes Audit schnell ungemütlich.

Schritt 3: Die Meldepflicht — die unterschätzte Falle

Erhebliche Sicherheitsvorfälle müssen gemeldet werden — in Luxemburg über die SERIMA-Plattform des ILR (im Finanzsektor an die CSSF). Die Fristen sind gestaffelt: Frühwarnung binnen 24 Stunden, ausführlichere Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. 24 Stunden klingen nach viel — sind es aber nicht: Sie laufen ab Kenntnis, und in einer Ransomware-Nacht erfährt die Geschäftsführung oft erst am Morgen davon. Dann bleiben real wenige Stunden, in denen parallel die Forensik läuft, das Geschäft steht und Mitarbeiter Fragen stellen. Die Empfehlung aus der Praxis: Bauen Sie die Meldepflicht fest in Ihren Incident-Response-Plan ein — wer in der Krise erst die Vorlage sucht, hat verloren.

Schritt 4: Die Lieferkette — der blinde Fleck

NIS2 verlangt, dass Sie die Sicherheit Ihrer Zulieferer mitbewerten: Cloud-Provider, CRM-Anbieter, externer IT-Dienstleister — alle gehören vertraglich und faktisch mit ins Boot. Umgekehrt gilt dasselbe: Ein typisches Szenario ist der Mittelständler, der von seinem Großkunden plötzlich einen umfangreichen Sicherheitsfragebogen erhält — wer nicht antworten kann, fliegt aus der Lieferkette. NIS2 ist damit nicht nur Pflicht, sondern zunehmend Verkaufsvoraussetzung.

Was Strafen wirklich bedeuten

Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen. Was selten erwähnt wird: Die Behörde kann Verstöße öffentlich machen. Für einen Mittelständler, der von Vertrauen lebt, ist das oft schlimmer als die Geldstrafe.

Der Weg durch NIS2 — ohne 200-Seiten-PDFs

Kein Standard-Audit, sondern drei aufeinander aufbauende Schritte: Gap-Workshop (1 Tag) — NIS2-Anforderungen anhand Ihrer realen Systeme durchgehen und priorisieren. Roadmap (4–8 Wochen) — Quick Wins umsetzen (MFA, Backup-Härtung, Logging, Incident-Plan) und die längeren Themen planen. Laufender Betrieb — Monitoring, regelmäßige Tests und Management-Reports, die Sie auch im Audit vorlegen können.

In 30 Minuten Klarheit

Statt zu spekulieren, ob Sie betroffen sind: 30 Minuten am Telefon reichen meist, um die Richtung zu setzen. Oder Sie starten mit der kostenlosen NIS2-Checkliste. — 📞 +352 20 60 12 44 · 📧 mail@local-it-partner.lu