NIS2 et loi Résilience : was Webagenturen und digitale Dienstleister erwartet

Seit fast zwei Jahren von den Fachleuten der Digitalbranche erwartet: das Gesetz, das die europäische Richtlinie NIS2 umsetzt, soll im September 2026 im Plenum beraten werden. Für Webagenturen, Hosting-Anbieter und Anbieter digitaler Dienste weitet dieser Text den Kreis der Unternehmen mit Cybersicherheitsverpflichtungen stark aus — weit über die großen Konzerne hinaus.

Ein Text, der die Zahl der betroffenen Unternehmen um das Dreißigfache erhöht

Die Richtlinie NIS2, Ende 2022 auf europäischer Ebene verabschiedet, hätte bis zum 17. Oktober 2024 in französisches Recht umgesetzt werden müssen. Wie die Mehrheit der Mitgliedstaaten hat Frankreich diese Frist verpasst: der Text, getragen von der loi relative à la résilience des infrastructures critiques, wurde im Ausschuss erst im ersten Halbjahr 2026 geprüft, mit einer erwarteten Debatte im Plenum im September. Nach seiner Verabschiedung wird er die Zahl der französischen Einheiten, die Cyberpflichten unterliegen, von rund 500 auf fast 15 000 le nombre d'entités françaises erhöhen, so Schätzungen mehrerer spezialisierter Kanzleien. Der Text benennt die ANSSI als Aufsichtsbehörde für nahezu alle betroffenen Sektoren, während der Finanzsektor weiterhin durch die europäische Verordnung DORA geregelt bleibt.

Digitale Dienstleister in vorderster Linie

Im Gegensatz zur ersten NIS-Richtlinie, die vor allem große kritische Infrastrukturen (Energie, Gesundheit, Verkehr) anvisierte, erweitert NIS2 ihren Geltungsbereich auf prestataires de services numériques: Hosting-Anbieter, Anbieter von Cloud-Computing, Online-Marktplätze, aber auch, je nach Größe, Webagenturen und Entwicklungsfirmen, die Infrastruktur im Auftrag Dritter betreiben. Als maßgeblicher Schwellenwert gilt meist 50 Beschäftigte oder 10 millions d'euros Umsatz, wodurch eine große Zahl von KMU des Sektors in den Anwendungsbereich des Gesetzes fällt, als „wichtige“ oder „essentielle“ Einheiten je nach ihrer Tätigkeit.

Für diese B2B-Anbieter umfasst die Compliance die Bestandsaufnahme der digitalen Vermögenswerte, die Absicherung privilegierter Zugänge, die Überprüfung der Isolierung von Sicherungen und die Dokumentation der Verfahren zur Wiederherstellung nach Zwischenfällen — ein Projekt, das viele Strukturen mit weniger als 200 Beschäftigten gerade erst für sich entdecken.

Ein von der ANSSI bereits veröffentlichtes Referenzwerk

Vor der Abstimmung hat die ANSSI am 17. März 2026 das Référentiel Cyber France (ReCyF) veröffentlicht, das die Anforderungen von NIS2 in konkrete Sicherheitsziele übersetzt: 20 Ziele für essenzielle Einheiten, 15 für wichtige Einheiten. Dieses Referenzdokument hat noch keine verbindliche Wirkung; es wird verbindlich, sobald die Anwendungsverordnungen des Gesetzes veröffentlicht sind. Es bietet den Unternehmen des IT-Sektors dennoch eine Arbeitsgrundlage, um ihre Konformität bereits vor dem tatsächlichen Inkrafttreten der Kontrollen vorzubereiten.

• Environ 15 000 entités françaises concernées, contre 500 sous l'ancienne directive NIS
• Sanctions prévues jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial
• Enregistrement des entités concernées attendu fin 2026, premiers contrôles en 2027
• ANSSI désignée autorité de contrôle pour la quasi-totalité des secteurs, hors finance (DORA)

Der von Branchenfachleuten genannte vorläufige Zeitplan sieht eine Übergangsphase vor, bevor die Sanktionen ab etwa 2028 voll anwendbar werden. Das verschafft Agenturen und digitalen Dienstleistern einen gewissen Zeitraum, aber einen Zeitraum, der sich verengt, je weiter der Text im parlamentarischen Verfahren voranschreitet.

Häufig gestellte Fragen

Sind alle Webagenturen von NIS2 betroffen?

Nein, nur diejenigen, die die festgelegten Größenschwellen überschreiten (etwa 50 Beschäftigte oder 10 millions d'euros Umsatz) oder die im Auftrag Dritter sensible digitale Infrastrukturen verwalten, fallen in den Anwendungsbereich des Gesetzes.

Wann tritt die loi Résilience in Kraft ?

Ihre Behandlung im Plenum wird für September 2026 erwartet; im Falle einer Verabschiedung folgt eine Übergangsphase mit einer Registrierung der betroffenen Einheiten Ende 2026 und ersten Kontrollen im Jahr 2027.

Welche Sanktionen drohen Unternehmen, die sich nicht konform verhalten ?

Der Text sieht finanzielle Sanktionen von bis zu 10 millions d'euros oder 2 % des weltweiten Umsatzes vor, je nach Schwere des festgestellten Verstoßes.

Quellen

• Legiscope
• Forge Agency
• Cyberini

Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale