Zusammenfassung

  • COM(2026) 13 würde das ENISA-Register auf wesentliche und wichtige Einrichtungen sowie Anbieter von Domain-Registrierungsdiensten ausweiten.
  • Die Zugangsklausel erlaubt Behörden auf Anfrage Informationen über bestimmte Dienstleistergruppen und Luftfahrtunternehmen. Wesentliche und wichtige Einrichtungen nennt sie nicht als eigene Gruppe.

Ein Register lässt sich mit einem Satz vergrößern. Wer die Akten lesen darf, braucht einen zweiten. Im NIS2-Vereinfachungsvorschlag der Kommission zeigen diese beiden Sätze nicht denselben Personenkreis.

Artikel 27 der geltenden Richtlinie führt ein ENISA-Register für bestimmte Kategorien: DNS-Dienste, Top-Level-Domain-Registries, Cloud- und Rechenzentrumsanbieter, Content-Delivery-Netzwerke, Managed Services und einige Online-Plattformen. Nationale zentrale Anlaufstellen übermitteln die nach diesem Artikel verlangten Angaben. Auf Anfrage erhalten zuständige Behörden Zugriff auf Informationen über die ausdrücklich genannten Kategorien; soweit erforderlich, muss die Vertraulichkeit gewahrt bleiben.

Wesentliche und wichtige Einrichtungen laufen derzeit über einen anderen Weg. Artikel 3 Absatz 4 verpflichtet die Mitgliedstaaten zu nationalen Listen und zu Angaben über diese Einrichtungen, darunter ihre IP-Adressbereiche. Der geltende Artikel 27 nimmt die IP-Angaben aus Absatz 2 Buchstabe f ausdrücklich von der Übermittlung an ENISA aus. Diese Ressource bleibt in diesem Meldeweg national.

Der Vorschlag verschiebt die Grenze. Der neue Artikel 27 Absatz 1 würde ENISA ein Register wesentlicher und wichtiger Einrichtungen sowie von Anbietern der Domain-Registrierung geben. Die nationalen Anlaufstellen sollen dafür Informationen nach Artikel 3 Absatz 4 liefern. Zugleich streicht die Kommission die bisherige separate Liste in Artikel 27 Absatz 2. Mit ihr verschwindet die Ausnahme, die IP-Bereiche bislang aus diesem Übermittlungsweg heraushält.

Damit ist geregelt, was in das Register gelangt. Die folgende Zugriffsklausel ist eine andere Entscheidung. Sie erlaubt zuständigen Behörden auf Anfrage Informationen über DNS-Anbieter, TLD-Registries, Domain-Registrierungsdienste, Cloud- und Rechenzentrumsanbieter, Content-Delivery-Netzwerke, Managed Services, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Luftfahrtunternehmen. Wesentliche und wichtige Einrichtungen tauchen in dieser Aufzählung nicht als eigene Kategorie auf.

Der Entwurf lässt eine konkrete Frage offen: Umfasst das Zugriffsrecht auch Akten wesentlicher und wichtiger Einrichtungen? Zugleich erhält ENISA Aufgaben bei grenzüberschreitender Zusammenarbeit und bei der Risikoanalyse für diese Einrichtungen. Eine Analyse durch ENISA, eine Aktenabfrage durch eine nationale Behörde und die nationale Aufsicht sind unterschiedliche Vorgänge. Artikel 27 sollte ihre Verbindung ausdrücklich festlegen.

Bei IP-Adressbereichen wird die Unterscheidung praktisch. Sie können Netzbeobachtungen einer Organisation zuordnen und grenzüberschreitende Sicherheitsarbeit unterstützen. Dafür müssen Zweck und Zugriff stimmen: Wer darf eine Akte abfragen, zu welcher Aufgabe, und wer korrigiert einen veralteten oder zu weit gefassten Bereich? Das RIPE NCC fragte die Kommission in seiner Stellungnahme vom 12. Mai bereits nach dem Sicherheitszweck, dem Umfang der Meldepflicht, der Vermeidung doppelter Arbeit und einer Kosten-Nutzen-Begründung. Die neue Klausel fügt die institutionelle Frage hinzu: Wer darf das zentralisierte Dossier öffnen?

Ein großes Register mit begrenztem Zugriff kann eine sinnvolle Architektur sein. ENISA könnte grenzüberschreitende Risiken auswerten, während Behörden nur auf die für ihre Aufgaben nötigen Akten zugreifen. Wenn das die Absicht ist, sollte der Text sie aussprechen. Er muss klären, ob Behörden Informationen über wesentliche und wichtige Einrichtungen anfordern dürfen, ENISAs Analyse von nationalen Anfragen trennen und jede Abfrage an einen benannten Zweck binden.

Laut einem Update von RIPE Labs vom 21. Oktober bevorzugt der Entwurf des Berichterstatters Datenminimierung und nationale Aufsicht über IP-Bereiche. Am 2. November führte das Legislativobservatorium des Europäischen Parlaments das Verfahren weiterhin als noch ohne Ausschussentscheidung. Es verzeichnet einen Berichtsentwurf vom 24. September und Änderungsanträge vom 13. Oktober. Der Ausschuss kann die beiden Sätze noch aufeinander abstimmen. Der Test ist einfach: Kann eine zuständige Behörde nach Artikel 27 Absatz 1 die Akte einer wesentlichen Einrichtung anfordern? Der endgültige Text sollte sagen, welche Behörde das darf und wozu. Wenn diese Antwort erst aus Vermutungen entsteht, ist die Zugriffsklausel nicht fertig.

Quellen: NIS2-Richtlinie · Kommissionsvorschlag COM(2026) 13 · Stellungnahme des RIPE NCC, 12. Mai 2026 · Verfahren des Europäischen Parlaments 2026/0012(COD)