Frankreichs NIS-2-Verzögerung ist kein Aufschub für die Compliance

Eine Verschiebung ist kein Aufschub, und französische Unternehmen, die die aktuellen Nachrichten als Freifahrtschein zum Abwarten deuten, unterschätzen ihr eigenes Risiko. Das Gesetz zur Umsetzung der NIS 2-Richtlinie in französisches Recht sollte am 7. Oktober 2026 im Plenum der Nationalversammlung behandelt werden. Das Gremium für die Tagesordnung der Versammlung hat es am Vortag abgesetzt, ohne einen neuen Termin zu nennen.

Das klingt nach guten Nachrichten, wenn Sie für die Sicherheit oder Compliance einer Krankenhausgruppe, eines Chemieunternehmens, eines Forschungsinstituts oder eines Auftragsfertigers verantwortlich sind, der bislang nie mit einer europäischen Cybersicherheitsbehörde zu tun hatte. Ist es aber nicht. Der Bericht von Silicon.fr zum Gesetz beschreibt einen Text, der den regulierten Bereich von 6 auf 18 Sektoren und von rund 500 auf fast 15.000 Unternehmen ausweitet. Wann immer die Abstimmung stattfindet, werden diese Organisationen eine Frage beantworten müssen, die sie nicht aus dem Gedächtnis beantworten können.

Die Frage ist einfach: Können Sie auf Abruf nachweisen, dass sensible Daten, die Ihr Unternehmen verlassen oder betreten, kontrolliert, protokolliert und im Zeitrahmen der Aufsichtsbehörde berichtsfähig waren? NIS 2 Compliance ist ebenso ein Nachweisprozess wie eine Sicherheitsaufgabe – und Nachweise zu erbringen dauert länger, als es jeder Gesetzgebungszeitplan erlaubt. Die sichere Datenübertragung von Kiteworks schließt genau diese Lücke. Deshalb ist diese Verzögerung für den CISO und den Chief Compliance Officer relevanter, als es die Schlagzeile vermuten lässt.

Wichtige Erkenntnisse

1. Die Verschiebung ist kein Aufschub.

Die Nationalversammlung hat das Gesetz am 6. Oktober 2026 abgesetzt, aber die Frist zur Umsetzung in der EU ist bereits im Oktober 2024 abgelaufen, und die Europäische Kommission fordert bereits gerichtlich finanzielle Sanktionen gegen Frankreich.

2. Der regulierte Bereich wächst um das Dreißigfache.

Das Gesetz sieht eine Ausweitung von etwa 500 regulierten Unternehmen auf fast 15.000 vor – über 18 Sektoren statt bisher 6.

3. Die Pflichten sind bereits bekannt.

Die Richtlinie selbst schreibt eine 24-stündige Frühwarnung, eine 72-stündige Vorfallmeldung, Pflichten zur Absicherung der Lieferkette und Bußgeldobergrenzen von mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für wesentliche Unternehmen vor.

4. Der Engpass ist der Nachweis, nicht das Tooling.

Verteilte Protokolle aus E-Mail, Filesharing und Managed File Transfer machen aus der 72-Stunden-Meldepflicht ein manuelles Forensikprojekt.

5. Erst den Umfang klären, dann Nachweise sichern, nie warten.

CISOs und Chief Compliance Officers sollten den Status des Unternehmens klären, den Austausch sensibler Daten mit Lieferanten abbilden und ein exportierbares Nachweispaket erstellen, bevor die französischen Dekrete formuliert sind.

Was diese Woche mit dem französischen NIS 2-Gesetz geschah

Der Text ist das Projet de loi Nummer 1112 zur Resilienz kritischer Infrastrukturen und zur Stärkung der Cybersicherheit. Er enthält auch die Umsetzung der Critical Entities Resilience Directive und der DORA-Begleitrichtlinie – NIS 2 ist also eines von drei Themen im selben Gesetzespaket. Die Regierung brachte es am 15. Oktober 2024 im Senat im beschleunigten Verfahren ein. Der Senat verabschiedete es am 12. März 2025 mit 181 zu 134 Stimmen. Ein Sonderausschuss der Nationalversammlung verabschiedete dann am 10. September 2025 eine eigene Version.

Dann folgte das Warten. Leto’s juristische Analyse zur Verschiebung hält fest, dass am 6. Oktober die Präsidentenkonferenz der Nationalversammlung das Gesetz von der Tagesordnung für die Sitzungen am 7. und 9. Oktober gestrichen hat. Offiziell ist der Kalender überfüllt; die Beratung eines separaten Gesetzes zu sexueller und sexistischer Gewalt dauert länger als geplant. Der Berichterstatter, Éric Bothorel, äußerte die Hoffnung, dass der Text in zwei bis drei Wochen zurückkehrt. Die nächste Präsidentenkonferenz tagt am 13. Oktober, ein zurückgezogener Text erhält seinen Platz aber nicht automatisch zurück.

Lesen Sie diese Abfolge noch einmal: Ein Gesetz, das den Senat im März 2025 passierte, ist nun bereits zweimal auf Ebene der Nationalversammlung verschoben worden, erstmals bis September 2026. Niemand rechnet ernsthaft damit, dass die französische Regierung auf die Umsetzung verzichtet. Jeder sollte aber mit einem weiterhin unvorhersehbaren Zeitplan rechnen.

Ein politisches Detail verdient Aufmerksamkeit, weil es zeigt, wo die Reibung liegt: Der Senat fügte einen Artikel 16 bis ein, der dem Staat verbieten würde, von Verschlüsselungsanbietern Backdoors oder die Herausgabe von Generalschlüsseln zu verlangen. NOVRISKs Analyse des Rückzugs berichtet, dass die Regierung am 3. Oktober – drei Tage vor der Rücknahme – einen Änderungsantrag zur Streichung dieses Artikels einbrachte, und merkt an, dass kein öffentliches Dokument beide Ereignisse direkt verknüpft. Es geht hier um Verschlüsselungspolitik, nicht um NIS 2-Pflichten. Die Verzögerung hat also politische Gründe – und politische Gründe sind nicht von Dauer.

Der Sprung im Geltungsbereich: Von 500 auf fast 15.000 Unternehmen

Diese Zahl sollte Ihre Prioritäten neu ordnen: Heute fallen rund 500 französische Unternehmen unter das bisherige NIS-Regime. Nach Umsetzung prognostiziert die Gesetzesbegründung fast 15.000. Das entspricht einer etwa dreißigfachen Ausweitung der Unternehmen, die Cybersicherheits-Governance gegenüber einer nationalen Behörde nachweisen müssen.

Die zuständige Behörde ist die ANSSI, Frankreichs nationale Cybersicherheitsagentur. Laut Silicon.fr erwartet der Kommissionsbericht, dass die ANSSI etwa 14.500 Unternehmen beaufsichtigen wird. Die Berichterstattung hebt hervor, dass der Geltungsbereich etwa 1.500 Gebietskörperschaften umfasst, darunter Kommunen mit mehr als 30.000 Einwohnern, zentrale Verwaltungen, mittelgroße und große Unternehmen sowie Akteure der Lieferkette.

Zwei Aspekte sind für privatwirtschaftliche Leser entscheidend: Erstens werden Unternehmen in „wesentliche“ und „wichtige“ Kategorien eingeteilt, mit entsprechend abgestuften Pflichten. Zweitens sind Staat, Gebietskörperschaften und ihre öffentlichen Verwaltungsstellen zwar von Bußgeldern ausgenommen, nicht aber von Sicherheits- und Meldepflichten. Wer für eine öffentliche Stelle arbeitet, riskiert kein Bußgeld – aber ein negatives Prüfergebnis.

Die Sektorenliste stammt aus der NIS 2-Richtlinie selbst, deren Anhänge weit über Energie, Transport und Banken hinausgehen, die bisher abgedeckt waren. Sie nennt unter anderem Gesundheitswesen, digitale Infrastruktur, Chemie, Post- und Kurierdienste, Forschung und die Herstellung bestimmter Produkte. Ein mittelständischer Medizintechnikhersteller, ein regionales Labornetzwerk, ein Chemie-Auftragsfertiger oder ein Managed Hosting Provider können alle in den Geltungsbereich fallen, ohne je einen Cybersicherheitsbericht bei einer Aufsichtsbehörde eingereicht zu haben.

Ein hypothetisches Beispiel: Ein Präzisionsfertiger mit 600 Mitarbeitern in der Region Auvergne-Rhône-Alpes liefert Komponenten an einen Luftfahrtkonzern und tauscht Konstruktionsdateien, Lieferantenqualitätsnachweise und Mitarbeiterdaten mit elf Partnern per E-Mail, SFTP und einem Filesharing-Dienst aus, den jemand aus dem Betrieb vor vier Jahren eingeführt hat. Niemand im Unternehmen musste je einem Prüfer zeigen, wer was, an wen und unter welcher Richtlinie gesendet hat. Unter dem neuen Regime wird diese Frage zur Routine. Der Hersteller braucht am Montag keine neuen Produkte – sondern muss wissen, was er am Dienstag vorlegen würde.

Brüssel ist längst weiter

Die Umsetzungsfrist für NIS 2 war der 17. Oktober 2024. Wenn die französische Nationalversammlung den Text wieder aufnimmt, ist Frankreich bereits zwei Jahre im Rückstand.

Die EU betrachtet das nicht als Bagatelle. Am 8. Juli 2026 gab die Europäische Kommission bekannt, dass sie Irland, Spanien, Frankreich und die Niederlande vor den Europäischen Gerichtshof bringt, weil sie keine nationalen Umsetzungsmaßnahmen gemeldet haben – einschließlich des Antrags auf finanzielle Sanktionen. Die Kommission fordert Strafen, die bis zur vollständigen Umsetzung laufen. Die Verschiebung stoppt also nicht die Uhr – sie lässt sie weiterlaufen.

Auch der Vergleich ist relevant, denn die Erzählung, Frankreich sei nur eines von vielen Nachzüglern, stimmt nicht. Der NIS 2-Transpositionstracker der ECSO zählt 23 der 27 Mitgliedstaaten als bereits mit nationalem Gesetz, wobei er das Primärrecht zählt, nicht die strengere Prüfung der Kommission. Damit gehört Frankreich zu den vier Ländern, die die Kommission verklagt hat – und nicht zu einem halb umgesetzten Europa. Unternehmen mit Niederlassungen in Italien oder Belgien unterliegen bereits nationalen Vorgaben, und eine französische Tochter, die an einen gruppenweiten CISO berichtet, wird bereits nach NIS 2-Readiness gefragt.

Die praktische Folge ist eine Compliance-Landschaft mit zwei Geschwindigkeiten: Ihre Gruppe wird wahrscheinlich schon an NIS 2-Maßstäben gemessen, Ihre französische Einheit wartet auf ein Gesetz. Diese beiden Positionen halten dem ersten Kundenfragebogen oder grenzüberschreitenden Audit nicht stand.

Pflichten warten nicht auf das finale Gesetz

Die französischen Durchführungsdekrete sind noch nicht geschrieben, und laut ANSSI, zitiert von Silicon.fr, gilt NIS 2 in Frankreich erst, wenn Gesetz, Dekrete und Verordnungen veröffentlicht sind. Ein offizielles Compliance-Datum gibt es nicht. Das ist das stärkste Argument fürs Abwarten – aber es ist schwächer, als es scheint, denn die Richtlinie gibt bereits vor, was die Dekrete konkretisieren werden.

Beginnen wir mit der Rechenschaftspflicht: Nach der Richtlinie muss das Leitungsorgan eines Unternehmens die Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen und deren Umsetzung überwachen. Die Mitglieder können für Verstöße haftbar gemacht werden – das macht der Richtlinientext explizit. Damit wird NIS 2 vom IT- zum Vorstandsthema – und deshalb müssen Chief Compliance Officer und General Counsel neben dem CISO am Tisch sitzen.

Dann die Uhr: Die Richtlinie verlangt eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden eines schwerwiegenden Vorfalls, eine Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Ein Unternehmen, das eine Woche braucht, um herauszufinden, welche Dateien über welchen Kanal das Haus verlassen haben, kann diese Fristen nicht einhalten. Der Incident Response Plan ist in den meisten Unternehmen nicht die Schwachstelle – es sind die Daten, die ihn speisen.

Als nächstes: Lieferkettensicherheit. Die Richtlinie verlangt Risikomanagement-Maßnahmen, die die Sicherheit der Beziehungen zu direkten Lieferanten und Dienstleistern abdecken. Wenn Ihr Supply Chain Risk Management nur aus einer Lieferantenliste und einem Fragebogen besteht, haben Sie eine Inventur – aber keinen Nachweis über Kontrolle. Ein Prüfer wird fragen, wie sensible Daten zwischen Ihnen und dem Lieferanten fließen, wer das genehmigt hat und wo der Nachweis liegt.

Schließlich die Sanktionen: Silicon.fr berichtet, dass der französische Text die Verwaltungsstrafen für wesentliche Unternehmen auf 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes begrenzt – entsprechend dem Mindestwert der Richtlinie. Für wichtige Unternehmen liegt die Grenze bei mindestens 7 Millionen Euro oder 1,4 Prozent. Für ein mittelständisches Unternehmen ist das eine Obergrenze, die man nie erreichen möchte. Die größere Gefahr sind ein negatives Audit, eine behördliche Anordnung und ein Großkunde, der den Vertrag nicht verlängert, bis Sie nachbessern. Der Hintergrund zu NIS 2 Audit und Enforcement zeigt, wie diese Kette typischerweise abläuft.

Die Nachweislücke hinter jeder Frist

Die meisten Unternehmen scheitern nicht an fehlenden Kontrollen, sondern daran, dass sie deren Wirksamkeit nicht nachweisen können.

Das zeigt sich auch in den Umfragedaten, die Kiteworks im vierten Quartal 2025 unter 225 Security-, IT-, Compliance- und Risk-Leitern erhoben hat. Im Kiteworks 2026 Data Security and Compliance Risk: Annual Forecast Report gaben nur 39 Prozent der Befragten an, einen einheitlichen Ansatz für den Datenaustausch mit Durchsetzung zu verfolgen. Die übrigen 61 Prozent arbeiteten mit teilweisen, kanalspezifischen oder minimalen Ansätzen – und der Bericht führt diese Fragmentierung direkt auf verstreute Protokolle über verschiedene Plattformen mit jeweils eigenen Formaten und Aufbewahrungsfristen zurück.

Was bedeutet das bei einer 72-Stunden-Frist? Ein Vorfall tritt ein. Das Security-Team muss klären, welche Daten betroffen waren, wer darauf zugegriffen hat und über welchen Kanal. Die E-Mail-Protokolle liegen in einem System, die Managed File Transfer-Protokolle in einem anderen, das Filesharing-Audit-Trail in einem dritten und die Web-Formularübermittlungen sind nirgends eindeutig auffindbar. Niemand ist an der Sicherheit gescheitert – sondern an der Zusammenführung. Der gleiche Bericht fand, dass ein Drittel der Befragten überhaupt keine nachweisfähigen Audit-Trails besitzt.

Vendor-Umfragen sind mit Vorsicht zu genießen, auch unsere. Diese ist eine Kiteworks-Studie mit begrenzter Stichprobe – also als Richtwert betrachten. Aber das Muster ist das, was jeder Chief Compliance Officer kennt, und dieser Blickwinkel ist hier entscheidend. Die Protokolle existieren – sie sind aber kein Nachweis. Ein Prüfer will keine zwölf Exporte und eine mündliche Erklärung, sondern eine nachvollziehbare Chain of Custody, die das Unternehmen in Tagen vorlegen kann. Denn die Uhr der Aufsichtsbehörde läuft in Tagen, und das Nachweispaket braucht meist Wochen.

Man kann es die „Assembly Gap“ nennen: Die Lücke zwischen vorhandenen Protokollen und der Fähigkeit, deren Aussagekraft zu belegen. Genau hier entscheidet sich, ob eine NIS 2-Prüfung bestanden wird.

Wo der Austausch sensibler Daten auf NIS 2 trifft

Fokussieren wir auf den Arbeitsbereich, den die Richtlinie für die neu regulierten Unternehmen am direktesten betrifft: den Austausch sensibler Daten, die das Unternehmen verlassen oder betreten. Patientendaten und Forschungsdaten im Gesundheitswesen. Konstruktionszeichnungen, Rezepturen und Lieferantendaten in Industrie und Chemie. Personalakten überall. Jeder dieser Datenflüsse überschreitet eine Grenze, an der die Anforderungen der Richtlinie an Zugriffskontrolle, Verschlüsselung, Incident Handling und Lieferkettensicherheit zusammenkommen.

Das Architekturprinzip, das sich lohnt zu prüfen: eine zentrale Steuerungsebene für diesen Austausch statt separater Tools pro Kanal. Im Kiteworks Control Plane teilen sich Managed File Transfer, Secure Email und Secure File Sharing eine Policy Engine und ein konsolidiertes Audit-Log. So liefert eine Frage zu einer bestimmten Datei eine Antwort aus einer Quelle. Audit-Logs sind als unveränderbar konzipiert, und Log-Feeds können in Echtzeit an ein SIEM übertragen werden – entscheidend, wenn die 24-Stunden-Frist bereits läuft. Die Plattform ist zudem nach ISO 27001, ISO 27017, ISO 27018 und SOC 2 Typ II zertifiziert – ein Pluspunkt für die Lieferantensicherheit, die Ihre eigenen Kunden zunehmend abfragen werden.

Seien Sie präzise, was das leistet – und was nicht: Keine Software macht ein Unternehmen NIS 2-konform. Compliance ist eine Bewertung Ihrer Governance, Ihres Risikomanagements und Ihrer Berichterstattung durch die Aufsichtsbehörde. Was eine einheitliche Datenaustauschschicht liefert, ist die Nachweis-Seite – der Teil, der sich nach einem Vorfall am schwersten nachrüsten lässt. Deshalb regulieren Behörden Daten, nicht Tools. Die ANSSI interessiert nicht, welches Produkt Sie gekauft haben, sondern ob Sie zeigen können, wer wann worauf zugegriffen hat und mit welcher Berechtigung.

Für Gesundheitsorganisationen ist die Überlappung mit der DSGVO und nationalen Gesundheitsdatengesetzen besonders wertvoll, weil das gleiche Protokoll sowohl für den Data Protection Officer als auch für den CISO relevant ist. Für Industrie und Chemie betrifft es die lieferantenbezogene Hälfte der Richtlinie, bei der geistiges Eigentum und Betriebsdaten an Partner gehen, die Sie nicht kontrollieren.

Was vor den Dekreten zu tun ist

Auf die Dekrete zu warten, ist juristisch nachvollziehbar – aber für die Vorbereitung riskant. Folgendes können CISO und Chief Compliance Officer jetzt tun, in einer Reihenfolge, die zu einem normalen Planungszyklus passt:

Klären Sie den Geltungsbereich: Prüfen Sie, ob Ihr Unternehmen und jede Tochtergesellschaft voraussichtlich als „wesentlich“, „wichtig“ oder außerhalb des Geltungsbereichs eingestuft wird – anhand der Anhänge der Richtlinie und der veröffentlichten ANSSI-Leitlinien. Verlassen Sie sich nicht darauf, dass Kleinheit oder bisherige Nichtregulierung schützt. Der Geltungsbereich wächst um das Dreißigfache.

Benennen Sie einen Verantwortlichen: Die Richtlinie macht das Leitungsorgan verantwortlich – das sorgt in vielen Unternehmen für Unklarheit. Oft teilen sich CIO, CISO und Rechtsabteilung die Verantwortung, aber niemand hat festgelegt, wer welchen Schritt übernimmt. Legen Sie schriftlich fest, wer für die Vorfallmeldung, Lieferantensicherheit und die Nachweisdokumentation zuständig ist.

Kartieren Sie den Austausch sensibler Daten: Listen Sie alle Kanäle auf, über die regulierte oder vertrauliche Daten zu Lieferanten, Kunden und Partnern fließen – auch die Schattenkanäle. Stellen Sie für jeden Kanal die Assembly-Gap-Frage: Wenn heute Nacht ein Vorfall in diesem Kanal passiert, wie lange dauert es, einen vollständigen Nachweis über Datenfluss, Beteiligte und Richtlinie zu liefern?

Testen Sie die 24- und 72-Stunden-Übung: Nicht den Plan testen, sondern die Nachweise. Wählen Sie ein realistisches Szenario, starten Sie die Stoppuhr und prüfen Sie, wie lange die Zusammenstellung der Meldung dauert. Der erste Versuch wird ernüchternd sein – besser im Oktober als im Ernstfall.

Planen Sie das Nachweispaket: Entscheiden Sie jetzt, was Sie einem Prüfer übergeben würden und in welcher Form. Richtlinien, Zugriffsüberprüfungen, Verschlüsselungskonzept, Lieferantensicherheitsnachweise und ein abrufbarer Audit-Trail bilden den Kern. Nutzen Sie eine interne NIS 2 Gap Analysis, um Lücken zu identifizieren, und schätzen Sie den Aufwand realistisch gegen die NIS 2 Compliance-Kosten ab – damit die Budgetdiskussion vor der Frist stattfindet.

Für all das braucht es keine Nationalversammlung. Aber alles davon wird von der ANSSI gefordert werden – und zwar von dem, der als Erster geprüft wird.

Erfahren Sie mehr darüber, wie Sie auditfähige Nachweise für NIS 2 über E-Mail, Filesharing und Managed File Transfer aufbauen – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog Post Tauziehen um Ihre Daten: Wie CLOUD- und SHIELD-Acts Sicherheit und Datenschutz gegeneinander ausspielen
• Blog Post Sensible Daten schützen: So verknüpfen Sie DSPM mit Ihren Compliance-Zielen
• Brief Die drei häufigsten FERPA-Verstöße und wie Sie sie vermeiden
• Blog Post Executive Order 14117: Schutz sensibler personenbezogener Massendaten von US-Bürgern
• Blog Post NIS2-Compliance erforderlich? Starten Sie mit ISO 27001