News

Die EU-Vertragsverletzungsmaschinerie ist im Juli 2026 von Warnungen zu Gerichtsverweisungen übergegangen. Irland, Spanien, Frankreich und die Niederlande sehen sich nun finanziellen Sanktionen gegenüber, weil sie die NIS2-Umsetzungsfrist vom Oktober 2024 verpasst haben — tägliche Strafen laufen auf, bis jedes Land der Kommission die vollständige Umsetzung meldet.

Gleichzeitig nimmt die Durchsetzungsinfrastruktur Gestalt an. Das deutsche BSI prüft aktiv registrierte Einrichtungen. Die Niederlande haben ihr nationales Gesetz einen Tag vor der Gerichtsverweisung verabschiedet. Die NIS-Kooperationsgruppe hat das bisher detaillierteste Mapping-Dokument zu Artikel 21 veröffentlicht. Und die Kommission hat NIS2 erstmals explizit mit KI-gestützter Bedrohungserkennung verknüpft.

Dieser Artikel behandelt alle wesentlichen NIS2-Entwicklungen: was sich geändert hat, welche Fristen aktuell gelten und worauf Ihr Team jetzt reagieren muss. Für die Entwicklungen des Vormonats siehe Aktuelle NIS2-Nachrichten: Mai 2026.

Wichtigste Erkenntnisse

• Gerichtsverweisungen gegen vier Mitgliedstaaten eingereicht. Am 8. Juli 2026 hat die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der EU verwiesen, weil sie NIS2 nicht vollständig umgesetzt haben. Für jedes Land werden finanzielle Sanktionen beantragt.
• Das niederländische Cyberbeveiligingswet tritt am 15. August 2026 in Kraft. Der niederländische Senat hat das Gesetz am 7. Juli verabschiedet. Mehr als 8.000 Organisationen müssen sich beim NCSC registrieren, risikobasierte Sicherheitsmaßnahmen umsetzen und bis zu diesem Datum eine Aufsicht auf Vorstandsebene sicherstellen.
• Das deutsche BSI prüft jetzt aktiv, nicht nur Registrierungen. Die aktive Aufsichtsphase begann am 6. März 2026. Das BSI kann Nachweise über Sicherheitsmaßnahmen anfordern, ohne auf einen Vorfall zu warten. Eine sekundäre Registrierungsfrist vom 31. Juli gilt für den erheblichen Anteil der 29.000 betroffenen Einrichtungen, die den März-Termin verpasst haben.
• Die NIS-Kooperationsgruppe hat ihr Artikel-21-Mapping-Dokument veröffentlicht. Im Juni 2026 veröffentlicht, ordnet es NIS2-Pflichten und die Durchführungsverordnung 2024/2690 ISO 27001, NIST CSF 2.0, IEC 62443 und nationalen Rahmenwerken zu — die bisher konkreteste EU-weite Compliance-Orientierung.
• Irlands NCSC hat Leitlinien zur Cyber-Governance auf Vorstandsebene veröffentlicht. Am 7. Juli 2026 veröffentlicht, richtet sich das Dokument an CEOs, CIOs und CISOs in NIS2-regulierten Organisationen und basiert auf dem NIST-basierten CyFun-Framework.
• ENISA hat den Raumfahrtsektor auf hohe Kritikalität angehoben. Der NIS360-Bericht 2026 stellt Raumfahrt neben Banken, Elektrizität und Luftfahrt. Sieben Sektoren verbleiben in der Risikozone, wo die Reife hinter den Kritikalitätsanforderungen zurückbleibt.
• Der EU-Aktionsplan zu Cybersicherheit und KI wurde am 7. Juli 2026 veröffentlicht. Es ist das erste EU-Dokument, das NIS2-Compliance formal mit KI-gestützter Bedrohungserkennung als erwartete operative Praxis verknüpft.
• Das britische Cyber Security and Resilience Bill hat das Unterhaus am 16. Juni passiert. Es wurde am 17. Juni ins Oberhaus eingebracht und ist für eine zweite Lesung am 14. Juli vorgesehen. Managed-Service-Provider und Rechenzentrumsbetreiber fallen erstmals in den Geltungsbereich.

EU-Kommission verklagt Irland, Spanien, Frankreich und die Niederlande wegen NIS2-Verzögerungen

Am 8. Juli 2026 hat die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der EU verwiesen, weil sie die vollständige Umsetzung der NIS2-Richtlinie nicht gemeldet haben. Die Verweisungen beinhalten einen Antrag auf finanzielle Sanktionen: einen Pauschalbetrag plus tägliche Strafen, die auflaufen, bis jedes Land die vollständige Umsetzung meldet.

Die Umsetzungsfrist war der 17. Oktober 2024. Die Kommission sandte im November 2024 förmliche Mahnschreiben an nicht konforme Mitgliedstaaten und im Mai 2025 mit Gründen versehene Stellungnahmen. Die Gerichtsverweisung ist die dritte und letzte Stufe des EU-Vertragsverletzungsverfahrens.

Der Zeitpunkt ist für die Niederlande bemerkenswert. Der niederländische Senat hat das Cyberbeveiligingswet am 7. Juli verabschiedet — einen Tag bevor die Verweisung eingereicht wurde (mehr dazu unten). Das Gesetz tritt am 15. August 2026 in Kraft, aber die förmliche Mitteilung der Umsetzung an die Kommission war zum Zeitpunkt der Verweisung noch nicht eingereicht. Die täglichen Strafen werden nicht mehr auflaufen, sobald die Mitteilung abgeschlossen ist.

Für Spanien, Frankreich und Irland ist kein entsprechendes nationales Gesetz verabschiedet worden. Spaniens Umsetzung wird für Ende 2026 erwartet. Frankreich und Irland haben keine festen Zeitpläne angekündigt.

Die Vertragsverletzungsverfahren haben individuelle Fallnummern:

• Irland (INFR(2024)0279)
• Spanien (INFR(2024)0270)
• Frankreich (INFR(2024)0274)
• Niederlande (INFR(2024)0288)

Die Verweisungen bekräftigen einen Punkt, den Compliance-Teams in diesen Ländern bereits kennen sollten: Die Anforderungen der NIS2-Richtlinie sind unabhängig vom nationalen Umsetzungsstatus verbindlich. Gerichtsverfahren setzen die zugrunde liegenden Verpflichtungen nicht aus — sie erhöhen den finanziellen Druck auf Regierungen, die Lücke schneller zu schließen.

Quelle: Europäische Kommission, 2026

Niederlande: Cyberbeveiligingswet verabschiedet, tritt am 15. August in Kraft

Am 7. Juli 2026 hat der niederländische Senat sowohl das Cyberbeveiligingswet (die niederländische Umsetzung von NIS2) als auch das Critical Entities Resilience Act (Wwke) verabschiedet, das die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER) umsetzt. Beide Gesetze treten am 15. August 2026 in Kraft.

Mehr als 8.000 Organisationen fallen in den Geltungsbereich: Ministerien, Gemeinden, Wasserbehörden, Provinzen, unabhängige Verwaltungsorgane und interkommunale Partnerschaften. Ab dem 15. August müssen sie:

1. Sich beim National Cyber Security Centre (NCSC) über das Entitätenregister registrieren.
2. Angemessene technische, betriebliche und organisatorische Maßnahmen auf Basis einer Risikobewertung umsetzen — einschließlich Lieferkettenabhängigkeiten.
3. Schwerwiegende Cybersicherheitsvorfälle dem zuständigen CSIRT und der zuständigen Aufsichtsbehörde innerhalb der gesetzlichen Fristen melden.
4. Aufsicht auf Vorstandsebene sicherstellen: Mitglieder der Leitungsorgane müssen über ausreichende Cybersicherheitskenntnisse verfügen und entsprechende Schulungen absolvieren.

Die Durchsetzung liegt bei den benannten Aufsichtsbehörden, einschließlich der niederländischen Behörde für digitale Infrastruktur. Das Cyberbeveiligingswet führt eine Geschäftsführerhaftung ein: Aufsichtsbehörden können verbindliche Anweisungen erteilen, Inspektionen durchführen und Geschäftsführer bei Bedarf suspendieren.

Für Organisationen des öffentlichen Sektors zählt die Einhaltung des Standards Baseline Information Security Government (BIO) 2 zur Erfüllung der Sicherheitsanforderungen des Cbw.

Das Inkrafttreten am 15. August ist eine harte Frist. Die Registrierung beim NCSC sollte vor diesem Datum beginnen — das NCSC selbst empfiehlt, sich im Voraus vorzubereiten, um Engpässe im Registrierungsprozess zu vermeiden.

Quelle: NL Digital Government, 2026

EU-weit: Neues Referenzdokument zu Sicherheitsmaßnahmen veröffentlicht

Im Juni 2026 veröffentlicht, gibt das Referenzdokument zu Sicherheitsmaßnahmen der NIS-Kooperationsgruppe Organisationen die bisher konkreteste EU-weite Orientierung zur Einhaltung von NIS2 Artikel 21. Das Dokument etabliert einen gemeinsamen europäischen Rahmen für Cybersicherheitsziele und enthält eine Mapping-Tabelle, die NIS2-Pflichten und die Europäische Durchführungsverordnung 2024/2690 verknüpft mit:

• ISO/IEC 27001
• IEC 62443
• NIST Cybersecurity Framework 2.0
• nationalen Cybersicherheitsrahmenwerken
• dem CyberFundamentals Framework, CyFun®

Das Dokument ist nicht verbindlich. Es ersetzt weder nationale NIS2-Gesetzgebung noch sektorspezifische Leitlinien. Aber für Compliance-Teams, die bereits gegen ISO 27001 oder NIST CSF 2.0 arbeiten, beantwortet es eine Frage, die seit Verabschiedung der Richtlinie offen war: Wie genau ordnen sich meine bestehenden Kontrollen den NIS2-Anforderungen zu?

Das Mapping ist besonders nützlich für Organisationen, die in mehreren Mitgliedstaaten tätig sind. Anstatt separate Gap-Analysen pro Jurisdiktion zu pflegen, können Teams das Referenzdokument als gemeinsame Basis verwenden und dann nationale Abweichungen darüber legen.

Zugangskontrolle, Authentifizierung und Privileged Access Management erscheinen explizit in den gemappten Zielen — Bereiche, in denen sich die Orientierung des Referenzdokuments direkt mit NIS2 Artikel 21(2)(j) zur Verwendung von Multi-Faktor-Authentifizierung und sicheren Kommunikationssystemen deckt.

Quellen: Center for Cybersecurity Belgium, 2026; Europäische Kommission, 2026

Irland: NCSC veröffentlicht Leitlinien zur Cyber-Governance auf Vorstandsebene für NIS2-Einrichtungen

Am 7. Juli 2026 hat Irlands National Cyber Security Centre Leitlinien zur Cyber-Governance für Mitglieder von Leitungsorganen in NIS2-regulierten Organisationen veröffentlicht. Das Dokument richtet sich an CEOs, Geschäftsführer, CIOs und CISOs — die Führungskräfte, die unter NIS2 persönlich für das Cybersicherheits-Risikomanagement verantwortlich sind.

Die Leitlinien konzentrieren sich auf das Cyber Fundamentals Framework (CyFun), Irlands bevorzugtes nationales Framework für NIS2-Compliance. CyFun basiert auf dem NIST Cybersecurity Framework und gibt Vorständen einen strukturierten, risikobasierten Ansatz zur Erfüllung ihrer rechtlichen Verpflichtungen, ohne tiefes technisches Fachwissen zu erfordern.

Das Dokument deckt drei praktische Bereiche ab: Verständnis, welche Fragen Vorstände zu Cyberrisiken stellen sollten, Identifizierung und Management von Lieferkettenrisiken sowie Aufbau einer Organisationskultur, in der Cybersicherheit als Governance-Thema behandelt wird, nicht als Problem der IT-Abteilung.

Der Zeitpunkt ist bewusst gewählt. Irland ist derzeit Gegenstand eines EU-Vertragsverletzungsverfahrens wegen nicht vollständiger Umsetzung von NIS2 in nationales Recht — die Kommission hat das Land am 8. Juli 2026 an den Gerichtshof verwiesen. Die Veröffentlichung von Leitlinien auf Vorstandsebene vor der formellen Umsetzung signalisiert, dass das NCSC Organisationen unabhängig vom Stand des Gesetzgebungsverfahrens zur Compliance führt.

Quelle: Offizielles Portal der irischen Regierung, 2026

ENISA NIS360 2026: Raumfahrtsektor auf hohe Kritikalität angehoben

Der ENISA NIS360-Bericht 2026 ist die dritte jährliche Bewertung der Cybersicherheitsreife und Kritikalität aller Sektoren aus Anhang I der NIS2-Richtlinie. Die Haupterkenntnis: Der Raumfahrtsektor hat sich zu Banken, Elektrizität, Luftfahrt und digital-nativen Diensten im höchsten Kritikalitätsband gesellt.

Die Anhebung spiegelt die wachsende Rolle der Raumfahrtinfrastruktur als Abhängigkeitsschicht für andere Sektoren wider: Navigation, Kommunikation, Finanzabwicklung und Militärlogistik laufen alle über Satellitensysteme. Höhere Abhängigkeit bedeutet höhere Auswirkungen bei Störungen und höhere Zeitkritikalität bei der Wiederherstellung.

Sieben Sektoren fallen in die NIS360-Risikozone 2026, in der die Cybersicherheitsreife hinter dem Niveau zurückbleibt, das ihre Kritikalität erfordert:

1. Gesundheit
2. Schienenverkehr
3. Seeverkehr
4. IKT-Dienstleistungsmanagement
5. Raumfahrt
6. Öffentliche Verwaltung
7. Trink- und Abwasser

Drei Sektoren erreichten das hohe Reifeband: Vertrauensdienste, Luftfahrt und Finanzmarktinfrastrukturen. Der Gassektor hat begonnen, sich aus der Risikozone zu bewegen, angetrieben durch verbesserten Informationsaustausch und stärkere Umsetzung von Risikomanagementmaßnahmen.

Die Zusammensetzung der Risikozone ist operativ relevant. Aufsichtsbehörden nutzen NIS360-Daten zur Priorisierung ihrer Auditkalender. Wenn Ihre Organisation im Gesundheitswesen, Schienenverkehr oder der öffentlichen Verwaltung tätig ist, erwarten Sie in der zweiten Jahreshälfte 2026 erhöhte aufsichtliche Aufmerksamkeit.

Die ENISA NIS Investments 2025-Studie ergab, dass 70% der befragten Organisationen NIS2-, DORA- und CRA-Compliance als Haupttreiber der Cybersicherheitsausgaben nannten — eine Zahl, die wahrscheinlich steigen wird, wenn Aufsichtsbehörden von der Registrierung zur aktiven Prüfung übergehen.

Quelle: ENISA, 2026

Deutschland: BSI tritt in aktive Aufsichtsphase ein

Das deutsche BSI trat am 6. März 2026 in die aktive Aufsichtsphase ein — das Datum, an dem die Registrierungsfrist gemäß dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) ablief. Das Gesetz wurde am 6. Dezember 2025 erlassen. Bis Juni 2026 war es sechs Monate in Kraft.

Die Analyse von SecurityToday.de vom 16. Juni zum Aufsichtswechsel stellte fest, dass sich die Frage geändert hat: nicht mehr, ob eine Einrichtung registriert ist, sondern ob ihre gemeldeten Maßnahmen einer Prüfung standhalten.

Das BSI-Registrierungsportal wurde am 6. Januar 2026 eröffnet. Ein erheblicher Anteil der etwa 29.000 betroffenen Einrichtungen hat die März-Frist verpasst. Das BSI hat eine sekundäre Registrierungsfrist auf den 31. Juli 2026 gesetzt. Eine späte Registrierung bleibt möglich, schafft aber keinen sicheren Hafen — die Compliance-Pflichten gelten seit Dezember 2025, unabhängig vom Registrierungsstatus.

Was aktive Aufsicht in der Praxis bedeutet:

• Das BSI kann proaktiv Nachweise über Sicherheitsmaßnahmen anfordern — ohne auf einen Vorfall zu warten.
• Vor-Ort- und Fernprüfungen sind jetzt im Umfang enthalten.
• Bußgelder für wesentliche Einrichtungen erreichen bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Mitglieder von Leitungsorganen tragen persönliche Haftung, einschließlich möglicher vorübergehender Verbote zur Ausübung von Leitungsfunktionen.

Deutschlands Umsetzung geht bei der Geschäftsführerhaftung über das EU-Minimum hinaus. Das NIS2UmsuCG verlangt ausdrücklich, dass Leitungsorgane Cybersicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und persönliche Kompetenz nachweisen. Aufsichtsbehörden können einzelne Führungskräfte persönlich für systemische Versäumnisse zur Verantwortung ziehen.

Es gibt einen praktischen Vorteil von Deutschlands strengerem Standard. Organisationen, die die NIS2UmsuCG-Anforderungen erfüllen, erfüllen das EU-Minimum mit Spielraum. Für Unternehmen, die in mehreren Mitgliedstaaten tätig sind, wird eine Sicherheitslage, die der BSI-Prüfung standhält, in der Regel auch bei benachbarten Aufsichtsbehörden bestehen.

Für späte Registranten ist die Prioritätenreihenfolge klar: zuerst registrieren, dann dokumentierte Nachweise über Maßnahmen erstellen. Wenn ein meldepflichtiger Vorfall eintritt, bevor Maßnahmen nachweislich vorhanden sind, ist eine versäumte oder verspätete Registrierung ein erschwerender Faktor.

Quelle: SecurityToday.de, 2026

EU-Aktionsplan zu Cybersicherheit und KI veröffentlicht

Am 7. Juli 2026 hat die Europäische Kommission den EU-Aktionsplan zu Cybersicherheit und Künstlicher Intelligenz veröffentlicht. Das Dokument legt einen koordinierten EU-Ansatz für KI-gestützte Cybersicherheit über Mitgliedstaaten, Behörden und Unternehmen hinweg fest.

Der Plan ist auf drei Ziele ausgerichtet: Förderung einer sicheren und verantwortungsvollen Nutzung fortschrittlicher KI, Stärkung der EU-Cybersicherheit und -Resilienz sowie Ausbau der KI-Fähigkeiten Europas für Cybersicherheitszwecke.

Auf der NIS2-Seite nennt der Aktionsplan explizit die NIS2-Richtlinie als Teil des bestehenden Rechtsrahmens, auf dem er aufbaut, und ermutigt Organisationen, die NIS2 unterliegen, KI (einschließlich Open-Source-Modelle) zur schnelleren Erkennung und Behebung von Schwachstellen einzusetzen. Dies ist das erste EU-Dokument, das NIS2-Compliance formal mit KI-gestützter Bedrohungserkennung als erwartete operative Praxis verknüpft.

Konkrete Maßnahmen umfassen:

• Einen European Blueprint für sicheren Zugang zu fortschrittlichen KI-Systemen für Cybersicherheitszwecke, der mit ENISA entwickelt werden soll.
• Eine sichere Testplattform für Organisationen in kritischen Sektoren (Energie, Verkehr, Gesundheit, Finanzen und öffentliche Verwaltung) zum sicheren Testen und Einsetzen von KI-Lösungen.
• Eine EU Grand Challenge zu KI für Cybersicherheit, die Industrie, Forscher und Open-Source-Communities zusammenbringt.

Der Aktionsplan steht neben dem AI Act, dem Cyber Resilience Act, DORA und dem Cyber Solidarity Act. Er schafft selbst keine neuen verbindlichen Verpflichtungen, signalisiert aber, wohin die Kommission erwartet, dass Durchsetzungsschwerpunkte und Investitionen im nächsten Gesetzgebungszyklus gehen.

Quelle: Europäische Kommission, 2026

UK: Cyber Security and Resilience Bill passiert Unterhaus, geht ins Oberhaus

Am 16. Juni 2026 hat das Cyber Security and Resilience (Network and Information Systems) Bill seine dritte Lesung und Berichtsphase im House of Commons abgeschlossen. Es erhielt seine erste Lesung im House of Lords am 17. Juni und ist für eine zweite Lesung im Lords am 14. Juli 2026 vorgesehen.

Das Gesetz wurde am 12. November 2025 ins Parlament eingebracht und aktualisiert die bestehenden Network and Information Systems Regulations 2018 (NIS1). Es setzt NIS2 nicht um (das Vereinigte Königreich ist nicht mehr an EU-Recht gebunden), aber es nähert die UK-Anforderungen erheblich dem NIS2-Standard in Umfang und Durchsetzung an.

Was das Gesetz hinzufügt:

• Managed-Service-Provider fallen erstmals in den Geltungsbereich. Relevant Managed Service Providers (RMSPs) müssen sich beim ICO registrieren, Risikomanagementmaßnahmen umsetzen und einen UK-Vertreter benennen, wenn sie nicht im UK ansässig sind.
• Rechenzentrumsbetreiber werden ebenfalls in den Geltungsbereich aufgenommen.
• Fristen für die Vorfallsmeldung werden verschärft: 24-Stunden-Erstmeldung, 72-Stunden-Vollmeldung — entsprechend der NIS2-Artikel-23-Struktur.
• Bezeichnung kritischer Lieferanten: Das ICO erhält die Befugnis, Lieferanten zu bezeichnen, deren Kompromittierung wesentliche Dienste oder RMSPs beeinträchtigen würde.
• Strafen steigen auf bis zu 17 Millionen Pfund oder 4% des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen; bis zu 10 Millionen Pfund oder 2% bei weniger schwerwiegenden.

Die Vorfallsdefinition wird ebenfalls erweitert: Das Gesetz erfasst Vorfälle, die „geeignet sind, eine nachteilige Auswirkung" auf regulierte Dienste zu haben, nicht nur solche mit einer nachgewiesenen tatsächlichen Auswirkung. Dies ist eine bedeutsame Änderung für Organisationen, die derzeit ihre Meldeschwellen kalibrieren.

63 Änderungsanträge wurden während der Gesetzespassage vorgeschlagen. Zwei im Juni eingereichte Änderungsanträge, darunter einer zur Aufnahme der Lebensmittellieferkette als regulierten wesentlichen Dienst, erhielten in der Berichtsphase keine Entscheidung.

Die Regierung erwartet, 2026 eine Konsultation zu sekundärer Gesetzgebung durchzuführen, die spezifische Risikomanagementmaßnahmen und Meldepflichten abdeckt. Einige Bestimmungen werden ab dem ersten Tag oder zweiten Monat nach der königlichen Zustimmung in Kraft treten; andere werden durch sekundäre Gesetzgebung folgen.

Quellen: UK Parliament, 2026; Parallel Parliament, 2026

Zusammenfassung

Der Zeitraum von Juni bis Anfang Juli 2026 markiert den Punkt, an dem die NIS2-Durchsetzung von politischem Druck zu aktiven rechtlichen und aufsichtlichen Maßnahmen übergegangen ist. Gerichtsverweisungen sind eingereicht. Nationale Gesetze treten in Kraft. Aufsichtsbehörden fordern Nachweise über Sicherheitsmaßnahmen an, nicht nur Registrierungsbestätigungen.

Für Organisationen in Irland, Spanien, Frankreich und den Niederlanden ändern die Vertragsverletzungsverfahren nichts an den zugrunde liegenden Verpflichtungen. NIS2-Anforderungen sind seit Oktober 2024 verbindlich, unabhängig vom nationalen Umsetzungsstatus. Die Verfahren fügen finanzielle Konsequenzen für Regierungen hinzu — sie schaffen keine Schonfrist für regulierte Einrichtungen.

Für Organisationen in Deutschland und den Niederlanden ist der Compliance-Kalender jetzt festgelegt. Das BSI prüft. Das Cyberbeveiligingswet tritt am 15. August in Kraft. Das im Juni 2026 von der NIS-Kooperationsgruppe veröffentlichte Artikel-21-Mapping-Dokument ist das umsetzbarste Ergebnis dieses Zeitraums: Wenn Ihr Team bereits gegen ISO 27001 oder NIST CSF 2.0 arbeitet, bietet es einen direkten Weg, Ihre NIS2-Gap-Analyse abzuschließen, bevor eine Aufsichtsbehörde dies für Sie übernimmt.

NIS2-Zugangskontrollen für Lieferkettensicherheit

48% der Sicherheitsverletzungen betreffen mittlerweile Dritte. NIS2 Artikel 21 macht Lieferanten-Zugangs-Governance zu einer rechtlichen Verpflichtung. Hier erfahren Sie, wie Sie Lieferantenzugriffe erfassen, MFA und Least Privilege durchsetzen und Audit-Nachweise führen, die Ihre Kontrollen belegen.

Passwork BlogAlex Muntyan

Schatten-IT vs. Schatten-KI: Warum KI die größere Bedrohung ist

Mitarbeiter nutzen KI-Tools, die Sie nicht genehmigt haben, auf Konten, die Sie nicht überwachen können, mit Daten, die Sie nicht wiederherstellen können. Hier erfahren Sie, wie das Risiko tatsächlich aussieht und was Governance adressieren muss.

Passwork BlogAlex Muntyan

Mitarbeiter-Offboarding: Leitfaden zur sicheren Zugangsentziehung 2026

Das Deaktivieren eines SSO-Kontos entzieht nicht den Zugang. API-Schlüssel, KI-Agenten-Credentials und geteilte Passwörter überleben es. Dieser Leitfaden behandelt das vollständige Offboarding-Playbook — von Zero-Hour-Triggern bis zur NHI-Bereinigung.

Passwork BlogAlex Muntyan

El mecanismo de infracción de la UE pasó de las advertencias a las remisiones judiciales en julio de 2026. Irlanda, España, Francia y los Países Bajos enfrentan ahora sanciones económicas por incumplir el plazo de transposición de NIS2 de octubre de 2024 — con penalizaciones diarias que se acumulan hasta que cada país notifique la transposición completa a la Comisión.

Al mismo tiempo, la infraestructura de aplicación se está consolidando. La BSI de Alemania está auditando activamente a las entidades registradas. Los Países Bajos aprobaron su ley nacional un día antes de que se presentara la remisión. El Grupo de Cooperación NIS publicó el documento de mapeo del Artículo 21 más detallado hasta la fecha. Y la Comisión vinculó explícitamente NIS2 con la detección de amenazas asistida por IA por primera vez.

Este artículo cubre todos los desarrollos materiales de NIS2: qué cambió, qué plazos están vigentes y qué necesita abordar su equipo ahora. Para los desarrollos del mes anterior, consulte Últimas noticias de NIS2: mayo de 2026.

Puntos clave

• Remisiones judiciales presentadas contra cuatro Estados miembros. El 8 de julio de 2026, la Comisión Europea remitió a Irlanda, España, Francia y los Países Bajos al Tribunal de Justicia de la UE por no transponer completamente NIS2. Se solicitan sanciones económicas para cada país.
• La Cyberbeveiligingswet de los Países Bajos entra en vigor el 15 de agosto de 2026. El Senado neerlandés aprobó la ley el 7 de julio. Más de 8.000 organizaciones deben registrarse ante el NCSC, implementar medidas de seguridad basadas en riesgos y garantizar la supervisión a nivel de consejo directivo para esa fecha.
• La BSI de Alemania ahora audita, no solo registra. La fase de supervisión activa comenzó el 6 de marzo de 2026. La BSI puede solicitar evidencia de medidas de seguridad sin esperar a que ocurra un incidente. Un plazo de registro secundario del 31 de julio se aplica a la parte significativa de las 29.000 entidades dentro del ámbito que no cumplieron en marzo.
• El Grupo de Cooperación NIS publicó su documento de mapeo del Artículo 21. Publicado en junio de 2026, mapea las obligaciones de NIS2 y el Reglamento de Implementación 2024/2690 con ISO 27001, NIST CSF 2.0, IEC 62443 y marcos nacionales — la guía de cumplimiento más concreta a nivel de la UE publicada hasta la fecha.
• El NCSC de Irlanda publicó orientación sobre gobernanza cibernética a nivel de consejo directivo. Publicado el 7 de julio de 2026, el documento está dirigido a CEO, CIO y CISO en organizaciones reguladas por NIS2 y se basa en el marco CyFun basado en NIST.
• ENISA elevó el sector espacial a alta criticidad. El informe NIS360 2026 coloca el espacio junto con la banca, la electricidad y la aviación. Siete sectores permanecen en la zona de riesgo, donde la madurez no alcanza las demandas de criticidad.
• El Plan de Acción de la UE sobre Ciberseguridad e IA se publicó el 7 de julio de 2026. Es el primer documento a nivel de la UE que vincula formalmente el cumplimiento de NIS2 con la detección de amenazas asistida por IA como práctica operativa esperada.
• El proyecto de ley de Ciberseguridad y Resiliencia del Reino Unido fue aprobado por los Comunes el 16 de junio. Ingresó a los Lores el 17 de junio y está programado para una segunda lectura el 14 de julio. Los proveedores de servicios gestionados y los operadores de centros de datos entran en el ámbito por primera vez.

La Comisión de la UE lleva a Irlanda, España, Francia y los Países Bajos ante los tribunales por retrasos en NIS2

El 8 de julio de 2026, la Comisión Europea remitió a Irlanda, España, Francia y los Países Bajos al Tribunal de Justicia de la UE por no notificar la transposición completa de la Directiva NIS2. Las remisiones incluyen una solicitud de sanciones económicas: una suma global más penalizaciones diarias que se acumulan hasta que cada país notifique la transposición completa.

El plazo de transposición fue el 17 de octubre de 2024. La Comisión envió notificaciones formales a los Estados miembros incumplidores en noviembre de 2024 y dictámenes motivados en mayo de 2025. La remisión judicial es la tercera y última etapa del procedimiento de infracción de la UE.

El momento es notable para los Países Bajos. El Senado neerlandés aprobó la Cyberbeveiligingswet el 7 de julio — un día antes de que se presentara la remisión (más información al respecto a continuación). La ley entra en vigor el 15 de agosto de 2026, pero la notificación formal de transposición a la Comisión aún no se había presentado en el momento de la remisión. Las penalizaciones diarias dejarán de acumularse una vez que se complete la notificación.

Para España, Francia e Irlanda, no se ha aprobado ninguna ley nacional equivalente. Se espera que la transposición de España se realice a finales de 2026. Francia e Irlanda no han anunciado plazos firmes.

Los casos de infracción tienen números de caso individuales:

• Irlanda (INFR(2024)0279)
• España (INFR(2024)0270)
• Francia (INFR(2024)0274)
• Países Bajos (INFR(2024)0288)

Las remisiones refuerzan un punto que los equipos de cumplimiento en estos países ya deberían conocer: los requisitos de la Directiva NIS2 son vinculantes independientemente del estado de transposición nacional. Los procedimientos judiciales no suspenden las obligaciones subyacentes — añaden presión financiera sobre los gobiernos para cerrar la brecha más rápidamente.

Fuente: Comisión Europea, 2026

Países Bajos: Cyberbeveiligingswet aprobada, entra en vigor el 15 de agosto

El 7 de julio de 2026, el Senado neerlandés aprobó tanto la Cyberbeveiligingswet (la transposición neerlandesa de NIS2) como la Ley de Resiliencia de Entidades Críticas (Wwke), que implementa la Directiva de Resiliencia de Entidades Críticas (CER) de la UE. Ambas leyes entran en vigor el 15 de agosto de 2026.

Más de 8.000 organizaciones están dentro del ámbito: ministerios, municipios, autoridades del agua, provincias, organismos administrativos independientes y asociaciones intermunicipales. A partir del 15 de agosto, deben:

1. Registrarse ante el Centro Nacional de Ciberseguridad (NCSC) a través del Registro de Entidades.
2. Implementar medidas técnicas, operativas y organizativas apropiadas basadas en una evaluación de riesgos — incluyendo dependencias de la cadena de suministro.
3. Notificar incidentes de ciberseguridad importantes al CSIRT correspondiente y a la autoridad de supervisión competente dentro de los plazos legales.
4. Garantizar la supervisión a nivel de consejo directivo: los miembros del órgano de dirección deben tener conocimientos suficientes de ciberseguridad y completar la formación adecuada.

La aplicación recae en las autoridades de supervisión designadas, incluyendo la Autoridad Neerlandesa para la Infraestructura Digital. La Cyberbeveiligingswet introduce la responsabilidad de los directores: los supervisores pueden emitir instrucciones vinculantes, realizar inspecciones y suspender a los directores cuando sea necesario.

Para las organizaciones del sector público, el cumplimiento del estándar Baseline Information Security Government (BIO) 2 cuenta para cumplir los requisitos de seguridad de la Cbw.

La fecha de entrada en vigor del 15 de agosto es un plazo estricto. El registro ante el NCSC debería comenzar antes de esa fecha — el propio NCSC recomienda prepararse con antelación para evitar cuellos de botella en el proceso de registro.

Fuente: NL Digital Government, 2026

A nivel de la UE: Publicado nuevo documento de referencia sobre medidas de seguridad

Publicado en junio de 2026, el documento de referencia sobre medidas de seguridad del Grupo de Cooperación NIS ofrece a las organizaciones la guía más concreta a nivel de la UE sobre el cumplimiento del Artículo 21 de NIS2 hasta la fecha. El documento establece un marco europeo común para objetivos de ciberseguridad e incluye una tabla de mapeo que vincula las obligaciones de NIS2 y el Reglamento de Implementación Europeo 2024/2690 con:

• ISO/IEC 27001
• IEC 62443
• NIST Cybersecurity Framework 2.0
• marcos nacionales de ciberseguridad
• el CyberFundamentals Framework, CyFun®

El documento no es vinculante. No reemplaza la legislación nacional de NIS2 ni las directrices específicas del sector. Pero para los equipos de cumplimiento que ya trabajan con ISO 27001 o NIST CSF 2.0, responde a una pregunta que ha estado abierta desde que se aprobó la directiva: ¿cómo se mapean exactamente mis controles existentes con los requisitos de NIS2?

El mapeo es particularmente útil para organizaciones que operan en múltiples Estados miembros. En lugar de mantener análisis de brechas separados por jurisdicción, los equipos pueden usar el documento de referencia como una línea base compartida y luego añadir las desviaciones nacionales encima.

El control de acceso, la autenticación y la gestión de acceso privilegiado aparecen explícitamente en los objetivos mapeados — áreas donde la guía del documento de referencia se alinea directamente con el Artículo 21(2)(j) de NIS2 sobre el uso de autenticación multifactor y sistemas de comunicación seguros.

Fuentes: Centro de Ciberseguridad de Bélgica, 2026; Comisión Europea, 2026

Irlanda: El NCSC publica orientación sobre gobernanza cibernética a nivel de consejo directivo para entidades NIS2

El 7 de julio de 2026, el Centro Nacional de Ciberseguridad de Irlanda publicó orientación sobre gobernanza cibernética para miembros de consejos de administración en organizaciones reguladas por NIS2. El documento está dirigido a CEO, directores generales, CIO y CISO — los ejecutivos que asumen responsabilidad personal por la gestión de riesgos de ciberseguridad bajo NIS2.

La orientación se centra en el Cyber Fundamentals Framework (CyFun), el marco nacional preferido de Irlanda para el cumplimiento de NIS2. CyFun está basado en el NIST Cybersecurity Framework y proporciona a los consejos un enfoque estructurado y basado en riesgos para cumplir sus obligaciones legales sin requerir experiencia técnica profunda.

El documento cubre tres áreas prácticas: comprender qué preguntas deberían hacer los consejos sobre el riesgo cibernético, identificar y gestionar los riesgos de la cadena de suministro, y construir una cultura organizacional donde la ciberseguridad se trate como un tema de gobernanza, no como un problema del departamento de TI.

El momento es deliberado. Irlanda está actualmente sujeta a procedimientos de infracción de la UE por no transponer completamente NIS2 a la legislación nacional — la Comisión remitió al país al Tribunal de Justicia el 8 de julio de 2026. Publicar orientación a nivel de consejo directivo antes de la transposición formal señala que el NCSC está moviendo a las organizaciones hacia el cumplimiento independientemente de dónde se encuentre el proceso legislativo.

Fuente: Portal oficial del Gobierno de Irlanda, 2026

ENISA NIS360 2026: El sector espacial elevado a alta criticidad

El informe ENISA NIS360 2026 es la tercera evaluación anual de madurez y criticidad en ciberseguridad en todos los sectores del Anexo I bajo la Directiva NIS2. El hallazgo principal: el sector espacial se ha unido a la banca, la electricidad, la aviación y los servicios digitales por defecto en la banda de mayor criticidad.

La elevación refleja el creciente papel de la infraestructura espacial como capa de dependencia para otros sectores: la navegación, las comunicaciones, la liquidación financiera y la logística militar funcionan con sistemas satelitales. Mayor dependencia significa mayor impacto ante una interrupción y mayor criticidad temporal en la recuperación.

Siete sectores caen en la zona de riesgo de NIS360 2026, donde la madurez en ciberseguridad está por debajo del nivel que exige su criticidad:

1. Salud
2. Ferrocarril
3. Marítimo
4. Gestión de servicios TIC
5. Espacio
6. Administración pública
7. Agua potable y residual

Tres sectores alcanzaron la banda de alta madurez: servicios de confianza, aviación e infraestructuras del mercado financiero. El sector del gas ha comenzado a salir de la zona de riesgo, impulsado por una mejor compartición de información y una implementación más sólida de medidas de gestión de riesgos.

La composición de la zona de riesgo importa operativamente. Las autoridades de supervisión utilizan los datos de NIS360 para priorizar los calendarios de auditoría. Si su organización opera en salud, ferrocarril o administración pública, espere mayor atención supervisora en la segunda mitad de 2026.

El estudio ENISA NIS Investments 2025 encontró que el 70% de las organizaciones encuestadas citaron el cumplimiento de NIS2, DORA y CRA como el principal impulsor del gasto en ciberseguridad — una cifra que probablemente aumentará a medida que los supervisores pasen del registro a la revisión activa.

Fuente: ENISA, 2026

Alemania: La BSI entra en fase de supervisión activa

La BSI de Alemania entró en la fase de supervisión activa el 6 de marzo de 2026 — la fecha en que expiró el plazo de registro bajo la NIS2-Umsetzungsgesetz (NIS2UmsuCG). La ley se promulgó el 6 de diciembre de 2025. Para junio de 2026, había estado en vigor durante seis meses.

El análisis del 16 de junio de SecurityToday.de sobre el cambio de supervisión señaló que la pregunta ha cambiado: ya no se trata de si una entidad está registrada, sino de si las medidas declaradas resisten el escrutinio.

El portal de registro de la BSI abrió el 6 de enero de 2026. Una parte significativa de las aproximadamente 29.000 entidades dentro del ámbito no cumplió el plazo de marzo. La BSI estableció un plazo de registro secundario del 31 de julio de 2026. El registro tardío sigue siendo posible pero no crea ningún puerto seguro — las obligaciones de cumplimiento se aplican desde diciembre de 2025, independientemente del estado de registro.

Lo que significa la supervisión activa en la práctica:

• La BSI puede solicitar proactivamente evidencia de medidas de seguridad — sin esperar a que ocurra un incidente.
• Las auditorías presenciales y remotas están ahora dentro del ámbito.
• Las multas para entidades esenciales alcanzan hasta 10 millones de euros o el 2% de la facturación anual global, lo que sea mayor.
• Los miembros del órgano de dirección enfrentan responsabilidad personal, incluyendo posibles prohibiciones temporales para ejercer funciones de gestión.

La implementación de Alemania va más allá del mínimo de la UE en cuanto a responsabilidad ejecutiva. La NIS2UmsuCG requiere explícitamente que los órganos de dirección aprueben las medidas de ciberseguridad, supervisen su implementación y demuestren competencia personal. Los supervisores pueden responsabilizar personalmente a ejecutivos individuales por fallos sistémicos.

Hay una ventaja práctica en el estándar más estricto de Alemania. Las organizaciones que cumplen los requisitos de la NIS2UmsuCG satisfacen el mínimo de la UE con margen. Para las empresas que operan en múltiples Estados miembros, una postura de seguridad que pase el escrutinio de la BSI generalmente también se sostendrá ante las autoridades de supervisión vecinas.

Para los que se registran tarde, el orden de prioridades es claro: registrarse primero, luego establecer evidencia documentada de las medidas. Si ocurre un incidente notificable antes de que las medidas estén demostrablemente implementadas, un registro omitido o retrasado es un factor agravante.

Fuente: SecurityToday.de, 2026

Publicado el Plan de Acción de la UE sobre Ciberseguridad e IA

El 7 de julio de 2026, la Comisión Europea publicó el Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial. El documento establece un enfoque coordinado de la UE para la ciberseguridad impulsada por IA en los Estados miembros, autoridades públicas y empresas.

El plan se construye en torno a tres objetivos: promover el uso seguro y responsable de la IA avanzada, reforzar la ciberseguridad y la resiliencia de la UE, y ampliar las capacidades de IA de Europa para fines de ciberseguridad.

En cuanto a NIS2, el Plan de Acción nombra explícitamente la Directiva NIS2 como parte del marco legal existente sobre el que se construye, y alienta a las organizaciones sujetas a NIS2 a utilizar IA (incluyendo modelos de código abierto) para detectar y abordar vulnerabilidades más rápidamente. Este es el primer documento a nivel de la UE que vincula formalmente el cumplimiento de NIS2 con la detección de amenazas asistida por IA como práctica operativa esperada.

Las medidas concretas incluyen:

• Un Plan Europeo para el acceso seguro a sistemas de IA avanzados para fines de ciberseguridad, a desarrollar con ENISA.
• Una plataforma de pruebas segura para organizaciones en sectores críticos (energía, transporte, salud, finanzas y administración pública) para probar e implementar soluciones de IA de forma segura.
• Un Gran Desafío de la UE sobre IA para ciberseguridad, que reúne a la industria, investigadores y comunidades de código abierto.

El Plan de Acción se sitúa junto con la Ley de IA, la Ley de Ciberresiliencia, DORA y la Ley de Cibersolidaridad. No crea nuevas obligaciones vinculantes por sí solo, pero señala dónde espera la Comisión que se concentren el énfasis en la aplicación y la inversión durante el próximo ciclo legislativo.

Fuente: Comisión Europea, 2026

Reino Unido: El proyecto de ley de Ciberseguridad y Resiliencia es aprobado por los Comunes, ingresa a los Lores

El 16 de junio de 2026, el proyecto de ley de Ciberseguridad y Resiliencia (Sistemas de Redes e Información) completó su tercera lectura y etapa de informe en la Cámara de los Comunes. Recibió su primera lectura en los Lores el 17 de junio y está programado para una segunda lectura en los Lores el 14 de julio de 2026.

El proyecto de ley se presentó al Parlamento el 12 de noviembre de 2025 y actualiza los Reglamentos de Sistemas de Redes e Información de 2018 (NIS1) existentes. No transpone NIS2 (el Reino Unido ya no está vinculado por la legislación de la UE) pero acerca significativamente los requisitos del Reino Unido al estándar NIS2 en alcance y aplicación.

Lo que añade el proyecto de ley:

• Los proveedores de servicios gestionados entran en el ámbito por primera vez. Los Proveedores de Servicios Gestionados Relevantes (RMSP) deben registrarse ante el ICO, implementar medidas de gestión de riesgos y designar un representante en el Reino Unido si no están establecidos en el país.
• Los operadores de centros de datos también se incluyen en el ámbito.
• Los plazos de notificación de incidentes se acortan: informe inicial de 24 horas, notificación completa de 72 horas — coincidiendo con la estructura del Artículo 23 de NIS2.
• Designación de proveedores críticos: El ICO obtiene la facultad de designar proveedores cuyo compromiso afectaría a servicios esenciales o RMSP.
• Las sanciones aumentan hasta 17 millones de libras o el 4% de la facturación anual global por infracciones graves; hasta 10 millones de libras o el 2% por las menos graves.

La definición de incidente también se amplía: el proyecto de ley cubre incidentes «capaces de tener un efecto adverso» en los servicios regulados, no solo aquellos con un efecto real demostrado. Este es un cambio significativo para las organizaciones que actualmente calibran sus umbrales de notificación.

Se han propuesto 63 enmiendas durante el trámite del proyecto de ley. Dos enmiendas presentadas en junio, incluyendo una para añadir la cadena de suministro alimentario como servicio esencial regulado, no recibieron decisión en la etapa de informe.

El gobierno espera consultar en 2026 sobre la legislación secundaria que cubra medidas específicas de gestión de riesgos y requisitos de notificación. Algunas disposiciones entrarán en vigor desde el primer día o segundo mes después de la sanción real; otras seguirán mediante legislación secundaria.

Fuentes: Parlamento del Reino Unido, 2026; Parallel Parliament, 2026

Resumen

El período de junio a principios de julio de 2026 marca el punto en que la aplicación de NIS2 pasó de la presión política a la acción legal y de supervisión activa. Se presentaron remisiones judiciales. Las leyes nacionales están entrando en vigor. Las autoridades de supervisión están solicitando evidencia de medidas de seguridad, no solo confirmaciones de registro.

Para las organizaciones en Irlanda, España, Francia y los Países Bajos, los procedimientos de infracción no cambian nada sobre las obligaciones subyacentes. Los requisitos de NIS2 han sido vinculantes desde octubre de 2024 independientemente del estado de transposición nacional. Los procedimientos añaden consecuencias financieras para los gobiernos — no crean un período de gracia para las entidades reguladas.

Para las organizaciones en Alemania y los Países Bajos, el calendario de cumplimiento ya está establecido. La BSI está auditando. La Cyberbeveiligingswet entra en vigor el 15 de agosto. El documento de mapeo del Artículo 21 publicado por el Grupo de Cooperación NIS en junio de 2026 es el resultado más accionable de este período: si su equipo ya trabaja con ISO 27001 o NIST CSF 2.0, proporciona un camino directo para cerrar su análisis de brechas de NIS2 antes de que una autoridad de supervisión lo haga por usted.

Controles de acceso NIS2 para la seguridad de la cadena de suministro

El 48% de las brechas ahora involucran a terceros. El Artículo 21 de NIS2 convierte la gobernanza del acceso de proveedores en una obligación legal. Aquí se explica cómo mapear el acceso de proveedores, aplicar MFA y privilegio mínimo, y mantener la evidencia de auditoría que demuestra que sus controles funcionan.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Por qué la IA es la mayor amenaza

Los empleados están usando herramientas de IA que usted no aprobó, en cuentas que no puede monitorear, con datos que no puede recuperar. Aquí se muestra cómo es realmente el riesgo y qué debe abordar la gobernanza.

Passwork BlogAlex Muntyan

Offboarding de empleados: Guía de revocación segura de accesos 2026

Desactivar una cuenta SSO no revoca el acceso. Las claves API, las credenciales de agentes de IA y las contraseñas compartidas sobreviven. Esta guía cubre el playbook completo de offboarding — desde disparadores de hora cero hasta limpieza de NHI.

Passwork BlogAlex Muntyan

The EU infringement machine moved from warnings to court referrals in July 2026. Ireland, Spain, France, and the Netherlands now face financial sanctions for missing the October 2024 NIS2 transposition deadline — daily penalties accruing until each country notifies complete transposition to the Commission.

At the same time, enforcement infrastructure is filling in. Germany's BSI is actively auditing registered entities. The Netherlands passed its national law one day before the referral landed. The NIS Cooperation Group published the most detailed Article 21 mapping document to date. And the Commission tied NIS2 explicitly to AI-assisted threat detection for the first time.

This article covers every material NIS2 development: what changed, which deadlines are live, and what your team needs to act on now. For the previous month's developments, see NIS2 latest news: May 2026.

Key takeaways

• Court referrals filed against four member states. On July 8, 2026, the European Commission referred Ireland, Spain, France, and the Netherlands to the Court of Justice of the EU for failing to fully transpose NIS2. Financial sanctions are requested for each country.
• Netherlands' Cyberbeveiligingswet enters force August 15, 2026. The Dutch Senate approved the law on July 7. More than 8,000 organizations must register with the NCSC, implement risk-based security measures, and ensure board-level oversight by that date.
• Germany's BSI is now auditing, not just registering. The active supervision phase began March 6, 2026. The BSI can request evidence of security measures without waiting for an incident. A secondary registration deadline of July 31 applies to the significant share of the 29,000 in-scope entities that missed March.
• The NIS Cooperation Group published its Article 21 mapping document. Released in June 2026, it maps NIS2 obligations and Implementing Regulation 2024/2690 to ISO 27001, NIST CSF 2.0, IEC 62443, and national frameworks — the most concrete EU-level compliance guidance published to date.
• Ireland's NCSC published board-level cyber governance guidance. Released July 7, 2026, the document targets CEOs, CIOs, and CISOs in NIS2-regulated organizations and is built around the NIST-based CyFun framework.
• ENISA elevated the space sector to high criticality. The NIS360 2026 report places space alongside banking, electricity, and aviation. Seven sectors remain in the risk zone, where maturity falls below criticality demands.
• The EU Action Plan on Cybersecurity and AI was published July 7, 2026. It is the first EU-level document to formally link NIS2 compliance with AI-assisted threat detection as an expected operational practice.
• The UK's Cyber Security and Resilience Bill passed the Commons on June 16. It entered the Lords on June 17 and is scheduled for a second reading on July 14. Managed service providers and data centre operators come into scope for the first time.

EU Commission takes Ireland, Spain, France, and the Netherlands to court over NIS2 delays

On July 8, 2026, the European Commission referred Ireland, Spain, France, and the Netherlands to the Court of Justice of the EU for failing to notify full transposition of the NIS2 Directive. The referrals include a request for financial sanctions: a lump sum plus daily penalties accruing until each country notifies complete transposition.

The transposition deadline was October 17, 2024. The Commission sent formal notices to non-compliant member states in November 2024 and reasoned opinions in May 2025. Court referral is the third and final stage of the EU infringement procedure.

The timing is notable for the Netherlands. The Dutch Senate approved the Cyberbeveiligingswet on July 7 — one day before the referral was filed (more on this below). The law enters into force on August 15, 2026, but formal notification of transposition to the Commission had not yet been submitted at the time of the referral. Daily penalties will stop accruing once notification is complete.

For Spain, France, and Ireland, no equivalent national law has passed. Spain's transposition is expected in late 2026. France and Ireland have not announced firm timelines.

The infringement cases carry individual case numbers:

• Ireland (INFR(2024)0279)
• Spain (INFR(2024)0270)
• France (INFR(2024)0274)
• Netherlands (INFR(2024)0288)

The referrals reinforce a point compliance teams in these countries should already know: the NIS2 Directive's requirements are binding regardless of national transposition status. Court proceedings do not suspend the underlying obligations — they add financial pressure on governments to close the gap faster.

Source: European Commision, 2026

Netherlands: Cyberbeveiligingswet approved, enters force August 15

On July 7, 2026, the Dutch Senate approved both the Cyberbeveiligingswet (the Dutch transposition of NIS2) and the Critical Entities Resilience Act (Wwke), which implements the EU's Critical Entities Resilience (CER) Directive. Both laws enter into force on August 15, 2026.

More than 8,000 organizations fall in scope: ministries, municipalities, water authorities, provinces, independent administrative bodies, and inter-municipal partnerships. From August 15, they must:

1. Register with the National Cyber Security Centre (NCSC) via the Entities Register.
2. Implement appropriate technical, operational, and organizational measures based on a risk assessment — including supply chain dependencies.
3. Report major cybersecurity incidents to the relevant CSIRT and competent supervisory authority within statutory deadlines.
4. Ensure board-level oversight: governing body members must have sufficient cybersecurity knowledge and complete appropriate training.

Enforcement sits with designated supervisory authorities, including the Dutch Authority for Digital Infrastructure. The Cyberbeveiligingswet introduces director liability: supervisors can issue binding instructions, conduct inspections, and suspend directors where necessary.

For public sector organizations, compliance with the Baseline Information Security Government (BIO) 2 standard counts toward meeting the Cbw's security requirements.

The August 15 entry-into-force date is a hard deadline. Registration with the NCSC should begin before that date — the NCSC itself recommends preparing in advance to avoid bottlenecks in the registration process.

Source: NL Digital Government, 2026

EU-wide: New security measures reference document released

Published on June, 2026, the NIS Cooperation Group's reference document on security measures gives organizations the most concrete EU-level guidance on NIS2 Article 21 compliance to date. The document establishes a common European framework for cybersecurity objectives and includes a mapping table that links NIS2 obligations and the European Implementing Regulation 2024/2690 to:

• ISO/IEC 27001
• IEC 62443
• NIST Cybersecurity Framework 2.0
• national cybersecurity frameworks
• the CyberFundamentals Framework, CyFun®

The document is non-binding. It does not replace national NIS2 legislation or sector-specific guidelines. But for compliance teams already working against ISO 27001 or NIST CSF 2.0, it answers a question that has been open since the directive passed: how exactly do my existing controls map to NIS2 requirements?

The mapping is particularly useful for organizations operating across multiple member states. Rather than maintaining separate gap analyses per jurisdiction, teams can use the reference document as a shared baseline and then layer national deviations on top.

Access control, authentication, and privileged access management appear explicitly in the mapped objectives — areas where the reference document's guidance aligns directly with NIS2 Article 21(2)(j) on the use of multi-factor authentication and secure communication systems.

Sources: Center for Cybersecurity Belgium, 2026; European Commission, 2026

Ireland: NCSC publishes board-level cyber governance guidance for NIS2 entities

On July 7, 2026, Ireland's National Cyber Security Centre published guidance on cyber governance for management board members in NIS2-regulated organizations. The document targets CEOs, Managing Directors, CIOs, and CISOs — the executives who bear personal accountability for cybersecurity risk management under NIS2.

The guidance centers on the Cyber Fundamentals Framework (CyFun), Ireland's preferred national framework for NIS2 compliance. CyFun is built on the NIST Cybersecurity Framework and gives boards a structured, risk-based approach to meeting their legal obligations without requiring deep technical expertise.

The document covers three practical areas: understanding what questions boards should be asking about cyber risk, identifying and managing supply chain risks, and building an organizational culture where cybersecurity is treated as a governance issue, not an IT department problem.

The timing is deliberate. Ireland is currently subject to EU infringement proceedings for failing to fully transpose NIS2 into national law — the Commission referred the country to the Court of Justice on July 8, 2026. Publishing board-level guidance ahead of formal transposition signals that the NCSC is moving organizations toward compliance regardless of where the legislative process stands.

Source: The Irish Government's official portal, 2026

ENISA NIS360 2026: Space sector elevated to high criticality

The ENISA NIS360 2026 report is the third annual assessment of cybersecurity maturity and criticality across all Annex I sectors under the NIS2 Directive. The headline finding: the space sector has joined banking, electricity, aviation, and digital-by-default services in the highest criticality band.

The elevation reflects space infrastructure's growing role as a dependency layer for other sectors: navigation, communications, financial settlement, and military logistics all run on satellite systems. Higher dependency means higher impact from disruption, and higher time criticality in recovery.

Seven sectors fall into the NIS360 2026 risk zone, where cybersecurity maturity falls below the level their criticality demands:

1. Health
2. Railway
3. Maritime
4. ICT service management
5. Space
6. Public administration
7. Drinking and waste water

Three sectors reached the high maturity band: trust services, aviation, and financial market infrastructures. The gas sector has begun moving out of the risk zone, driven by improved information sharing and stronger implementation of risk management measures.

The risk zone composition matters operationally. Supervisory authorities use NIS360 data to prioritize audit calendars. If your organization operates in health, railway, or public administration, expect increased supervisory attention in the second half of 2026.

ENISA NIS Investments 2025 study found that 70% of surveyed organizations cited NIS2, DORA, and CRA compliance as the main driver of cybersecurity spending — a figure that will likely climb as supervisors shift from registration to active review.

Source: ENISA, 2026

Germany: BSI enters active supervision phase

Germany's BSI entered the active supervision phase on March 6, 2026 — the date the registration deadline under the NIS2-Umsetzungsgesetz (NIS2UmsuCG) expired. The law was enacted on December 6, 2025. By June 2026, it had been in force for six months.

SecurityToday.de's June 16 analysis of the supervisory shift noted that the question has changed: no longer whether an entity is registered, but whether its reported measures hold up under scrutiny.

The BSI registration portal opened January 6, 2026. A significant share of the approximately 29,000 in-scope entities missed the March deadline. The BSI set a secondary registration deadline of July 31, 2026. Late registration remains possible but creates no safe harbor — the compliance obligations have applied since December 2025, regardless of registration status.

What active supervision means in practice:

• The BSI can proactively request evidence of security measures — without waiting for an incident.
• On-site and remote audits are now within scope.
• Fines for essential entities reach up to €10 million or 2% of global annual turnover, whichever is higher.
• Management body members face personal liability, including potential temporary bans from exercising management functions.

Germany's implementation goes beyond the EU minimum on executive accountability. The NIS2UmsuCG explicitly requires management bodies to approve cybersecurity measures, supervise their implementation, and demonstrate personal competence. Supervisors can hold individual executives personally responsible for systemic failures.

There is a practical upside to Germany's stricter standard. Organizations that meet the NIS2UmsuCG requirements satisfy the EU minimum with margin. For companies operating across multiple member states, a security posture that passes BSI scrutiny will generally hold up with neighboring supervisory authorities as well.

For late registrants, the priority order is clear: register first, then establish documented evidence of measures. If a reportable incident occurs before measures are demonstrably in place, a missed or delayed registration is an aggravating factor.

Source: SecurityToday.de, 2026

EU Action Plan on Cybersecurity and AI published

On July 7, 2026, the European Commission published the EU Action Plan on Cybersecurity and Artificial Intelligence. The document sets out a coordinated EU approach to AI-driven cybersecurity across member states, public authorities, and businesses.

The plan is built around three objectives: promoting safe and responsible use of advanced AI, reinforcing EU cybersecurity and resilience, and scaling up Europe's AI capabilities for cybersecurity purposes.

On the NIS2 side, the Action Plan explicitly names the NIS2 Directive as part of the existing legal framework it builds on, and encourages organizations subject to NIS2 to use AI (including open-source models) to detect and address vulnerabilities faster. This is the first EU-level document to formally link NIS2 compliance with AI-assisted threat detection as an expected operational practice.

Concrete measures include:

• A European Blueprint for secure access to advanced AI systems for cybersecurity purposes, to be developed with ENISA.
• A secure testing platform for organizations in critical sectors (energy, transport, health, finance, and public administration) to safely test and deploy AI solutions.
• An EU Grand Challenge on AI for cybersecurity, bringing together industry, researchers, and open-source communities.

The Action Plan sits alongside the AI Act, the Cyber Resilience Act, DORA, and the Cyber Solidarity Act. It does not create new binding obligations on its own, but it signals where the Commission expects enforcement emphasis and investment to go over the next legislative cycle.

Source: European Commision, 2026

UK: Cyber Security and Resilience Bill passes Commons, enters Lords

On June 16, 2026, the Cyber Security and Resilience (Network and Information Systems) Bill completed its third reading and report stage in the House of Commons. It received its first reading in the Lords on June 17 and is scheduled for a Lords second reading on July 14, 2026.

The Bill was introduced to Parliament on November 12, 2025, and updates the existing Network and Information Systems Regulations 2018 (NIS1). It does not transpose NIS2 (the UK is no longer bound by EU law) but it moves UK requirements significantly closer to the NIS2 standard in scope and enforcement.

What the Bill adds:

• Managed service providers come into scope for the first time. Relevant Managed Service Providers (RMSPs) must register with the ICO, implement risk management measures, and nominate a UK representative if not established in the UK.
• Data centre operators are also brought into scope.
• Incident reporting timelines tighten: 24-hour initial report, 72-hour full notification — matching NIS2's Article 23 structure.
• Critical supplier designation: The ICO gains power to designate suppliers whose compromise would affect essential services or RMSPs.
• Penalties increase to up to £17 million or 4% of global annual turnover for serious breaches; up to £10 million or 2% for less serious ones.

The incident definition is also broadened: the Bill covers incidents "capable of having an adverse effect" on regulated services, not just those with a demonstrated actual effect. This is a meaningful change for organizations currently calibrating their reporting thresholds.

63 amendments have been proposed during the Bill's passage. Two amendments tabled in June, including one to add the food supply chain as a regulated essential service, received no decision at report stage.

The government expects to consult in 2026 on secondary legislation covering specific risk management measures and notification requirements. Some provisions will take effect from the first day or second month after Royal Assent; others will follow via secondary legislation.

Sources: UK Parliament, 2026; Parallel Parliament, 2026

Recap

The period from June to early July 2026 marks the point where NIS2 enforcement moved from political pressure to active legal and supervisory action. Court referrals are filed. National laws are entering force. Supervisory authorities are requesting evidence of security measures, not just registration confirmations.

For organizations in Ireland, Spain, France, and the Netherlands, the infringement proceedings change nothing about the underlying obligations. NIS2 requirements have been binding since October 2024 regardless of national transposition status. The proceedings add financial consequences for governments — they do not create a grace period for regulated entities.

For organizations in Germany and the Netherlands, the compliance calendar is now set. The BSI is auditing. The Cyberbeveiligingswet enters force August 15. The Article 21 mapping document published by the NIS Cooperation Group in June 2026 is the most actionable output from this period: if your team is already working against ISO 27001 or NIST CSF 2.0, it provides a direct path to closing your NIS2 gap analysis before a supervisory authority does it on your behalf.

NIS2 access controls for supply chain security

48% of breaches now involve third parties. NIS2 Article 21 makes supplier access governance a legal obligation. Here’s how to map vendor access, enforce MFA and least privilege, and keep the audit evidence that proves your controls work.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Why AI is the bigger threat

Employees are using AI tools you didn’t approve, on accounts you can’t monitor, with data you can’t recover. Here’s what the risk actually looks like and what governance needs to address.

Passwork BlogAlex Muntyan

Employee offboarding: Secure access revocation guide 2026

Disabling an SSO account doesn’t revoke access. API keys, AI agent credentials, and shared passwords survive it. This guide covers the full offboarding playbook — from zero-hour triggers to NHI cleanup.

Passwork BlogAlex Muntyan

Die Vorfälle dieser Woche haben einen gemeinsamen Nenner: Zugangsdaten, die vor Wochen oder Monaten gestohlen wurden, öffnen noch immer Türen. Das Patchen der Schwachstelle, die den Diebstahl ermöglichte, macht bereits gestohlene Daten nicht ungültig. Drei Fälle dieser Woche verdeutlichen dies auf unterschiedliche Weise:

• FortiBleed bestätigte, dass über 15.000 verifizierte Fortinet-Admin- und VPN-Zugangsdaten (aus Firewall-Konfigurationsdateien in über 100 Ländern gesammelt) bereits im Umlauf sind. Die Botschaft von CISA war eindeutig: Nach einer Kompromittierung ist die Rotation von Zugangsdaten nicht optional, und Software-Updates allein schließen das Zeitfenster nicht.
• Operation Endgame störte die Infrastruktur hinter Amadey und StealC, zwei der aktivsten Infostealer-Familien. Europol stellte rund 27 Millionen gestohlene Zugangsdaten sicher und beschlagnahmte Hunderte von Servern. Die Infrastruktur ist abgeschaltet; die bereits im Umlauf befindlichen Zugangsdaten sind es nicht.
• Frankreichs FICOBA-Breach erforderte überhaupt keinen Exploit. Ein Angreifer nutzte einen einzigen kompromittierten Beamten-Account, um über zwei Wochen 3,5 Millionen Bankdatensätze zu durchsuchen: keine Software-Schwachstelle, nur ein nicht überwachtes Zugangsdatum, das aktiv blieb.

Die Woche brachte außerdem einen Supply-Chain-Breach bei LastPass über eine Drittanbieter-SaaS-Plattform, einen aktiv ausgenutzten Cisco-SD-WAN-Zero-Day, der Angreifern über zwei Monate Root-Zugriff und versteckte Admin-Konten ermöglichte, sowie eine mutmaßliche 200-GB-Exfiltration vom Europarat, die von ShinyHunters beansprucht wird. 

Auf Branchenseite sammelte das tschechische Unternehmen Wultra 3,5 Mio. € für Post-Quantum-Authentifizierung, und WALLIX kooperierte mit Inria, um das wachsende Problem der Maschinenidentitäten anzugehen: API-Schlüssel, Token und Servicekonten, die die meisten Organisationen noch immer nicht vollständig inventarisieren können.

Dieser Digest behandelt 8 bedeutende Ereignisse vom 22. bis 29. Juni 2026.

FortiBleed: Über 15.000 Fortinet-Admin-Zugangsdaten in über 100 Ländern gestohlen, CISA fordert sofortige Rotation

Sicherheitsforscher deckten eine groß angelegte Credential-Harvesting-Kampagne namens FortiBleed auf, die mehr als 15.000 verifizierte Administrator- und SSL-VPN-Zugangsdaten für Fortinet-FortiGate-Firewalls in über 100 Ländern offenlegte. Die Zugangsdaten, die über mehrere Jahre durch kompromittierte Firewall-Konfigurationsdateien gesammelt wurden, wurden mit Organisationen wie Siemens, DHL und einem türkischen Rüstungsunternehmen in Verbindung gebracht. 

Warum es wichtig ist: FortiBleed verdeutlicht eine kritische Unterscheidung: Das Patchen einer Schwachstelle beseitigt nicht das Risiko, sobald Zugangsdaten bereits gestohlen wurden. Nach der Offenlegung forderte CISA Organisationen auf, sofort zu handeln:

• Sitzungen beenden und Zugangsdaten zurücksetzen. Alle aktiven SSL-VPN- und Admin-Sitzungen beenden. Alle Fortinet-VPN- und Admin-Passwörter zurücksetzen, insbesondere auf internetexponierten Systemen.
• Sichere Speicherung von Zugangsdaten gewährleisten. Die Verwendung von PBKDF2 zur Speicherung von Administrator-Zugangsdaten bestätigen und schwächere Legacy-Hashes gemäß Fortinets Anleitung entfernen.
• Logs überprüfen. Firewall-, VPN-, Authentifizierungs- und Domain-Controller-Logs auf laterale Bewegungen, verdächtige Konten oder nicht autorisierte Konfigurationsänderungen prüfen.
• Phishing-resistente MFA aktivieren. Phishing-resistente MFA für alle Remote-Zugriffs- und Admin-Konten erforderlich machen, einschließlich aller externen Gateways und administrativen Schnittstellen.
• Angriffsfläche reduzieren und Verwaltungszugriff sperren. Die Firewall-Administration vom öffentlichen Internet fernhalten, Verwaltungsschnittstellen auf vertrauenswürdige interne Netzwerke beschränken und unnötige Konten deaktivieren.

Quellen: Dark Reading – 23. Juni 2026

LastPass-Kundensupport-Daten durch Klue-Supply-Chain-Breach gestohlen

LastPass informierte Benutzer, dass Kundensupport- und Vertriebsdaten gestohlen wurden, nachdem Angreifer Klue, eine Drittanbieter-Marktforschungsplattform, kompromittiert hatten. Die Erpressergruppe Icarus missbrauchte Berichten zufolge OAuth-Token, um auf Salesforce-Daten von rund 20 Cybersicherheitsunternehmen zuzugreifen, darunter LastPass, HackerOne und Recorded Future. LastPass erklärte, dass Passwort-Tresore nicht betroffen waren, aber die gestohlenen Daten enthielten Kundennamen, Telefonnummern, E-Mail- und physische Adressen, Support-Fall-Details und Vertriebsunterlagen. 

Warum es wichtig ist: Der Vorfall zeigt, wie SaaS-Integrationen sensible Kundendaten offenlegen können, selbst wenn Kernsysteme sicher bleiben. Für Unternehmen unterstreicht der Vorfall die Notwendigkeit, den SaaS-Zugriff von Drittanbietern zu bewerten, OAuth-Berechtigungen einzuschränken, Integrationsaktivitäten zu überwachen und Lieferanten-Governance als Teil der Identitätssicherheit zu behandeln. Im Rahmen von Regelwerken wie NIS2 werden Lieferantenrisiko und Zugangskontrolle zu Sicherheitsthemen auf Vorstandsebene.

Quellen: TechCrunch – 23. Juni 2026

Operation Endgame: Europol beschlagnahmt Hunderte von Servern, stellt 27 Millionen gestohlene Zugangsdaten aus Amadey- und StealC-Netzwerken sicher

Eine internationale Strafverfolgungsoperation unter Führung von Europol störte die Infrastruktur hinter den Malware-Familien Amadey und StealC, zwei der aktivsten Credential-Stealing-Plattformen. Die Behörden beschlagnahmten Hunderte von Servern und Domains, froren Kryptowährungen der Betreiber ein und stellten rund 27 Millionen gestohlene Zugangsdaten sicher. An der Operation waren mehrere europäische Länder beteiligt, darunter Deutschland, Frankreich, die Niederlande und Großbritannien. Microsoft schätzte, dass diese Malware-Familien während der jüngsten Kampagnen weltweit Hunderttausende von Geräten infizierten.

Warum es wichtig ist: Dies ist eine der größten Störungen des Infostealer-Ökosystems in jüngster Zeit. Organisationen sollten jedoch nicht davon ausgehen, dass das Risiko verschwunden ist. Millionen von gestohlenen Passwörtern und Sitzungstoken sind bereits auf kriminellen Märkten im Umlauf und werden weiterhin Account-Takeover-Angriffe befeuern. 

Quelle: The Hacker News / Europol – 24. Juni 2026

Cisco-SD-WAN-Zero-Day über 2+ Monate ausgenutzt: Angreifer erlangten Root-Zugriff und erstellten versteckte Admin-Konten

Cisco gab bekannt, dass Angreifer eine Zero-Day-Schwachstelle im Catalyst SD-WAN Manager mindestens zwei Monate vor der Offenlegung ausgenutzt hatten. Laut Mandiant erlangten die Angreifer Root-Privilegien, modifizierten Administrator-Zugangsdaten, erstellten versteckte privilegierte Konten und entfernten forensische Beweise, um langfristige Persistenz zu gewährleisten. Cisco veröffentlichte auch Informationen über eine verwandte Authentication-Bypass-Schwachstelle, die dieselbe Plattform betrifft.

Warum es wichtig ist: Viele Organisationen behandeln Netzwerkgeräte als vertrauenswürdige Infrastruktur, doch diese Geräte halten oft hoch privilegierte Zugangsdaten. Einmal kompromittiert, bieten sie Angreifern persistenten administrativen Zugriff über das gesamte Netzwerk. Patching sollte mit kontinuierlicher Überwachung privilegierter Identitäten kombiniert werden.

Quelle: The Hacker News / Google Mandiant – 25. Juni 2026

Kompromittierte Regierungszugangsdaten legen 3,5 Millionen Bankkonten bei französischem FICOBA-Registerbreach offen

Französische Behörden gaben bekannt, dass Angreifer kompromittierte Regierungszugangsdaten nutzten, um auf FICOBA, das nationale Bankkontoverzeichnis des Landes, zuzugreifen. Über einen Zeitraum von etwa zwei Wochen sahen Angreifer Informationen ein, die mit rund 3,5 Millionen Bankkonten verknüpft waren, darunter Namen, Adressen und IBAN-Nummern. Die Behörden berichteten, dass der Angreifer ein bestehendes Beamtenkonto missbrauchte, anstatt eine Software-Schwachstelle auszunutzen.

Warum es wichtig ist: Der Vorfall verdeutlicht, dass kompromittierte Zugangsdaten selbst in Regierungssystemen eine große Bedrohung bleiben. Starke Identitätskontrollen sind genauso wichtig wie Infrastruktursicherheit. Da die NIS2-Durchsetzung in Europa ausgeweitet wird, zeigen Vorfälle wie dieser, warum Identitätssicherheit zu einem Compliance-Thema auf Vorstandsebene wird.

Quelle: Shattered.io – 23. Juni 2026

ShinyHunters beansprucht 200 GB Diebstahl aus HR- und Gehaltsabrechnungssystemen des Europarats

Die Gruppe ShinyHunters übernahm die Verantwortung für den Einbruch in interne Systeme des Europarats und den Diebstahl von mehr als 200 GB an HR- und Gehaltsabrechnungsinformationen. Die Organisation bestätigte einen Cybersicherheitsvorfall, schränkte den Zugriff auf betroffene Systeme ein und leitete eine forensische Untersuchung ein. Zum Zeitpunkt der Veröffentlichung war das volle Ausmaß der Kompromittierung noch nicht bestätigt.

Warum es wichtig ist: Obwohl die Zuschreibung noch untersucht wird, folgt der Vorfall einem wachsenden Muster von Angriffen auf öffentliche Institutionen unter Verwendung gestohlener Zugangsdaten oder Phishing. Europäische Organisationen sollten erwarten, dass Angreifer weiterhin Identitätssysteme und nicht nur die Infrastruktur angreifen. Starke Zugangskontrollen und schnelle Incident Response bleiben sowohl für den öffentlichen als auch für den privaten Sektor unerlässlich.

Quelle: CyPro – 26. Juni 2026

Tschechisches Unternehmen Wultra sammelt 3,5 Mio. € für Post-Quantum-, Phishing-resistente Authentifizierung für europäische Banken

Das tschechische Cybersicherheitsunternehmen Wultra kündigte eine 3,5 Millionen Euro Series-A-Finanzierungsrunde an, um seine Authentifizierungsplattform in Europa zu erweitern. Das Unternehmen entwickelt Phishing-resistente Authentifizierungstechnologien für Banken, Finanzdienstleister und Anbieter digitaler Identität. Die Investition wird die Einführung von Post-Quantum-Kryptographie und Authentifizierungsmethoden unterstützen, die kommende europäische Vorschriften erfüllen sollen, darunter PSD3, PSR und eIDAS 2.0.

Warum es wichtig ist: Europäische Organisationen bereiten sich nicht nur auf heutige Identitätsbedrohungen vor, sondern auch auf zukünftige kryptographische Risiken. Da Regulierungsbehörden zunehmend stärkere Standards für digitale Identität fördern, verschieben sich Investitionen in Richtung Phishing-resistenter und Post-Quantum-Authentifizierung. Die Finanzierung spiegelt die wachsende Nachfrage nach Authentifizierungstechnologien wider, die langfristige Compliance unterstützen und gleichzeitig die Abhängigkeit von Passwörtern und Legacy-MFA-Methoden reduzieren können.

Quelle: The Recursive – 29. Juni 2026

WALLIX und Inria kooperieren zur Sicherung von Maschinenidentitäten

Der europäische IAM/PAM-Anbieter WALLIX und das französische Forschungsinstitut Inria haben eine Partnerschaft zur Entwicklung vertrauenswürdiger KI-Lösungen zur Sicherung von Maschinenidentitäten angekündigt. Die Zusammenarbeit zielt darauf ab, die strukturellen Risiken anzugehen, die durch das schnelle Wachstum von nicht-menschlichen Identitäten entstehen, einschließlich API-Schlüssel, Servicekonten, Token und Zertifikate, die in automatisierten Workflows und CI/CD-Pipelines verwendet werden. 

Warum es wichtig ist: Maschinenidentitäten übersteigen bereits die Zahl menschlicher Identitäten in den meisten Unternehmensumgebungen, und ihre Anzahl wächst mit jedem neuen Microservice und jeder Deployment-Pipeline weiter. Dennoch fehlt vielen Organisationen noch immer eine zentrale Kontrolle über diese Zugangsdaten, die über Konfigurationsdateien, Umgebungsvariablen und Source-Code-Repositories verstreut bleiben. Die wachsende Aufmerksamkeit großer europäischer Cybersicherheitsakteure bestätigt, dass das Management von Maschinenidentitäten zu einer der Top-Prioritäten für die Unternehmenssicherheit wird.

Quelle: Industrial Cyber – 26. Juni 2026

Zusammenfassung dieser Woche

Drei Dinge fallen als konsistente Lücken bei den Vorfällen dieser Woche auf:

• Credential Rotation wird als Post-Breach-Aufgabe behandelt, nicht als Routine. In allen drei Fällen hätte die Rotation von Zugangsdaten vor oder unmittelbar nach der initialen Kompromittierung den Schaden begrenzt.
• Der SaaS-Zugriff von Drittanbietern ist weitgehend ungeprüft. Der LastPass-Breach erfolgte über eine Marktforschungsplattform mit OAuth-Zugriff auf Salesforce. Die meisten Sicherheitsteams könnten nicht auf Anhieb jede OAuth-Integration in ihrer Umgebung auflisten.
• Maschinenidentitäten bleiben die am wenigsten kontrollierte Zugangsdatenklasse. Die WALLIX/Inria-Ankündigung und der Cisco-Fall weisen auf dieselbe Lücke hin: API-Schlüssel, Servicekonten und Token in Pipelines, die niemand aktiv überwacht.

Die guten Nachrichten von Operation Endgame sind real: Die Abschaltung der Amadey- und StealC-Infrastruktur ist bedeutsam. Aber Millionen von zuvor gestohlenen Zugangsdaten sind für Angreifer noch immer verfügbar.

Effektives Zugriffsmanagement begrenzt den Wert gestohlener Zugangsdaten, selbst nachdem der ursprüngliche Angriff vorbei ist. Passwork vereint Passwort- und Secrets-Management in einer einzigen Plattform — mit einer REST API, Python SDK und CLI für Teams, die eine zentrale Kontrolle über Maschinen-Zugangsdaten ohne den Overhead traditioneller PAM-Lösungen benötigen. Kontrollieren Sie Ihre Zugangsdaten, bevor Angreifer es tun.

Shadow IT in 2026: Risiken, Erkennung und Management

Shadow IT in 2026 umfasst KI-Agenten, verwaiste SaaS-Konten und unüberwachte LLM-Sitzungen — Risiken, die die meisten Organisationen nicht sehen können. Erfahren Sie, was sich geändert hat, was es kostet und wie ein 6-Schritte-Governance-Framework die Lücke schließt.

Passwork BlogAlex Muntyan

Secrets-Rotation-Lebenszyklus: Von der Erstellung bis zum Widerruf

Secret Rotation scheitert, wenn sie als geplante Aufgabe statt als Lebenszyklus behandelt wird. Dieser Leitfaden behandelt alle sieben Phasen — von der Erstellung und Zuständigkeit bis zur sicheren Rotation, Notfall-Widerruf und Audit-Nachweisen.

Passwork BlogAlex Muntyan

Leitfaden zur Supply-Chain-Sicherheit: Lieferantenrisiken, Vorschriften, Zugangskontrolle in 2026

48 % der Breaches betreffen mittlerweile einen Drittanbieter. Dieser Leitfaden behandelt die Angriffsmuster hinter SolarWinds, MOVEit und XZ Utils — sowie die Zugangskontrollen, Credential-Management-Praktiken und regulatorischen Anforderungen, die sie tatsächlich stoppen.

Passwork BlogAlex Muntyan

Los incidentes de esta semana comparten un hilo conductor: credenciales robadas hace semanas o meses siguen abriendo puertas. Parchear la vulnerabilidad que permitió el robo no invalida lo que ya fue sustraído. Tres casos de esta semana ilustran este punto de diferentes maneras:

• FortiBleed confirmó que más de 15.000 credenciales verificadas de administradores y VPN de Fortinet (recopiladas de archivos de configuración de firewalls en más de 100 países) ya están en circulación. El mensaje de CISA fue inequívoco: la rotación de credenciales no es opcional después de un compromiso, y las actualizaciones de software por sí solas no cierran la ventana.
• Operation Endgame desmanteló la infraestructura detrás de Amadey y StealC, dos de las familias de infostealers más activas. Europol recuperó alrededor de 27 millones de credenciales robadas y confiscó cientos de servidores. La infraestructura está caída; las credenciales que ya estaban en circulación no lo están.
• La brecha de FICOBA en Francia no requirió ningún exploit. Un atacante utilizó una única cuenta comprometida de un funcionario público para consultar 3,5 millones de registros bancarios durante dos semanas: ninguna vulnerabilidad de software, solo una credencial no monitoreada que permaneció activa.

La semana también trajo una brecha en la cadena de suministro de LastPass a través de una plataforma SaaS de terceros, un zero-day de Cisco SD-WAN explotado activamente que dio a los atacantes acceso root y cuentas de administrador ocultas durante más de dos meses, y una supuesta exfiltración de 200 GB del Consejo de Europa reclamada por ShinyHunters. 

En el ámbito industrial, la empresa checa Wultra recaudó 3,5 millones de euros para autenticación post-cuántica, y WALLIX se asoció con Inria para abordar el creciente problema de las identidades de máquinas: claves API, tokens y cuentas de servicio que la mayoría de las organizaciones todavía no pueden inventariar completamente.

Este resumen cubre 8 eventos significativos del 22 al 29 de junio de 2026.

FortiBleed: más de 15.000 credenciales de administrador de Fortinet robadas en más de 100 países, CISA exige rotación inmediata

Investigadores de seguridad descubrieron una campaña de recolección de credenciales a gran escala denominada FortiBleed, que expuso más de 15.000 credenciales verificadas de administrador y SSL VPN de firewalls FortiGate de Fortinet en más de 100 países. Las credenciales, recopiladas durante varios años a través de archivos de configuración de firewalls comprometidos, se han vinculado a organizaciones como Siemens, DHL y un contratista de defensa turco. 

Por qué es importante: FortiBleed destaca una distinción crítica: parchear una vulnerabilidad no elimina el riesgo una vez que las credenciales ya han sido robadas. Tras la divulgación, CISA instó a las organizaciones a actuar de inmediato:

• Terminar sesiones y restablecer credenciales. Finalice todas las sesiones activas de SSL VPN y administración. Restablezca todas las contraseñas de VPN y administrador de Fortinet, especialmente en sistemas expuestos a internet.
• Garantizar el almacenamiento seguro de credenciales. Confirme el uso de PBKDF2 para almacenar credenciales de administrador y elimine los hashes heredados más débiles según las directrices de Fortinet.
• Revisar registros. Verifique los registros de firewall, VPN, autenticación y controlador de dominio en busca de movimiento lateral, cuentas sospechosas o cambios de configuración no autorizados.
• Habilitar MFA resistente al phishing. Exija MFA resistente al phishing en todas las cuentas de acceso remoto y administración, incluyendo todas las puertas de enlace externas e interfaces administrativas.
• Reducir la superficie de ataque y restringir el acceso de gestión. Mantenga la administración del firewall fuera de internet público, restrinja las interfaces de gestión a redes internas de confianza y deshabilite las cuentas innecesarias.

Fuentes: Dark Reading – 23 jun 2026

Datos de soporte al cliente de LastPass robados a través de la brecha en la cadena de suministro de Klue

LastPass notificó a los usuarios que se robaron datos de soporte al cliente y ventas después de que los atacantes comprometieran Klue, una plataforma de investigación de mercado de terceros. Según los informes, el grupo de extorsión Icarus abusó de tokens OAuth para acceder a datos de Salesforce de alrededor de 20 empresas de ciberseguridad, incluyendo LastPass, HackerOne y Recorded Future. LastPass declaró que las bóvedas de contraseñas no se vieron afectadas, pero los datos robados incluían nombres de clientes, números de teléfono, direcciones de correo electrónico y físicas, detalles de casos de soporte y registros de ventas. 

Por qué es importante: El incidente muestra cómo las integraciones SaaS pueden exponer datos sensibles de clientes incluso cuando los sistemas principales permanecen seguros. Para las empresas, el incidente refuerza la necesidad de evaluar el acceso SaaS de terceros, restringir los permisos OAuth, monitorear la actividad de integración y tratar la gobernanza de proveedores como parte de la seguridad de identidad. Bajo marcos como NIS2, el riesgo de proveedores y el control de acceso se están convirtiendo en preocupaciones de seguridad a nivel de dirección.

Fuentes: TechCrunch – 23 jun 2026

Operation Endgame: Europol confisca cientos de servidores y recupera 27 millones de credenciales robadas de las redes Amadey y StealC

Una operación policial internacional liderada por Europol desmanteló la infraestructura detrás de las familias de malware Amadey y StealC, dos de las plataformas de robo de credenciales más activas. Las autoridades confiscaron cientos de servidores y dominios, congelaron criptomonedas vinculadas a los operadores y recuperaron alrededor de 27 millones de credenciales robadas. La operación involucró a varios países europeos, incluyendo Alemania, Francia, Países Bajos y Reino Unido. Microsoft estimó que estas familias de malware infectaron cientos de miles de dispositivos en todo el mundo durante las campañas recientes.

Por qué es importante: Esta es una de las mayores disrupciones recientes del ecosistema de infostealers. Sin embargo, las organizaciones no deben asumir que el riesgo ha desaparecido. Millones de contraseñas y tokens de sesión robados ya están circulando en mercados criminales y seguirán alimentando ataques de apropiación de cuentas. 

Fuente: The Hacker News / Europol – 24 jun 2026

Zero-day de Cisco SD-WAN explotado durante más de 2 meses: los atacantes obtuvieron acceso root y crearon cuentas de administrador ocultas

Cisco reveló que los atacantes habían estado explotando una vulnerabilidad zero-day en Catalyst SD-WAN Manager durante al menos dos meses antes de la divulgación. Según Mandiant, los atacantes obtuvieron privilegios root, modificaron credenciales de administrador, crearon cuentas privilegiadas ocultas y eliminaron evidencia forense para mantener persistencia a largo plazo. Cisco también publicó información sobre una vulnerabilidad relacionada de elusión de autenticación que afecta a la misma plataforma.

Por qué es importante: Muchas organizaciones tratan los dispositivos de red como infraestructura de confianza, sin embargo, estos dispositivos a menudo contienen credenciales altamente privilegiadas. Una vez comprometidos, proporcionan a los atacantes acceso administrativo persistente a través de la red. El parcheo debe ir acompañado de monitoreo continuo de identidades privilegiadas.

Fuente: The Hacker News / Google Mandiant – 25 jun 2026

Credenciales gubernamentales comprometidas exponen 3,5 millones de cuentas bancarias en la brecha del registro FICOBA en Francia

Las autoridades francesas revelaron que los atacantes utilizaron credenciales gubernamentales comprometidas para acceder a FICOBA, el registro nacional de cuentas bancarias del país. Durante un período de aproximadamente dos semanas, los atacantes visualizaron información vinculada a alrededor de 3,5 millones de cuentas bancarias, incluyendo nombres, direcciones y números IBAN. Las autoridades informaron que el atacante abusó de una cuenta existente de un funcionario público en lugar de explotar una vulnerabilidad de software.

Por qué es importante: El incidente destaca que las credenciales comprometidas siguen siendo una amenaza importante incluso en sistemas gubernamentales. Los controles de identidad sólidos son tan importantes como la seguridad de la infraestructura. A medida que la aplicación de NIS2 se expande por Europa, incidentes como este muestran por qué la seguridad de identidad se está convirtiendo en un tema de cumplimiento a nivel de dirección.

Fuente: Shattered.io – 23 jun 2026

ShinyHunters afirma haber robado 200 GB de los sistemas de RRHH y nóminas del Consejo de Europa

El grupo ShinyHunters se atribuyó la responsabilidad de vulnerar los sistemas internos del Consejo de Europa y robar más de 200 GB de información de RRHH y nóminas. La organización confirmó un incidente de ciberseguridad, restringió el acceso a los sistemas afectados e inició una investigación forense. Al momento de la publicación, no se había confirmado el alcance completo del compromiso.

Por qué es importante: Aunque la atribución sigue bajo investigación, el incidente sigue un patrón creciente de ataques contra instituciones públicas utilizando credenciales robadas o phishing. Las organizaciones europeas deben esperar que los atacantes continúen atacando sistemas de identidad en lugar de solo la infraestructura. Los controles de acceso sólidos y la respuesta rápida a incidentes siguen siendo esenciales tanto para el sector público como para el privado.

Fuente: CyPro – 26 jun 2026

La empresa checa Wultra recauda 3,5 millones de euros para desarrollar autenticación post-cuántica resistente al phishing para bancos europeos

La empresa checa de ciberseguridad Wultra anunció una ronda de financiación Serie A de 3,5 millones de euros para expandir su plataforma de autenticación por toda Europa. La empresa desarrolla tecnologías de autenticación resistentes al phishing para bancos, servicios financieros y proveedores de identidad digital. La inversión apoyará la adopción de criptografía post-cuántica y métodos de autenticación diseñados para cumplir con las próximas regulaciones europeas, incluyendo PSD3, PSR y eIDAS 2.0.

Por qué es importante: Las organizaciones europeas se están preparando no solo para las amenazas de identidad actuales, sino también para los riesgos criptográficos futuros. A medida que los reguladores promueven cada vez más estándares de identidad digital más sólidos, las inversiones se están desplazando hacia la autenticación resistente al phishing y post-cuántica. La financiación refleja una demanda creciente de tecnologías de autenticación que puedan respaldar el cumplimiento a largo plazo mientras reducen la dependencia de las contraseñas y los métodos MFA heredados.

Fuente: The Recursive – 29 jun 2026

WALLIX e Inria se asocian para proteger las identidades de máquinas

El proveedor europeo de IAM/PAM WALLIX y el instituto de investigación francés Inria han anunciado una asociación para desarrollar soluciones de IA de confianza para proteger las identidades de máquinas. La colaboración tiene como objetivo abordar los riesgos estructurales creados por el rápido crecimiento de las identidades no humanas, incluyendo claves API, cuentas de servicio, tokens y certificados utilizados en flujos de trabajo automatizados y pipelines CI/CD. 

Por qué es importante: Las identidades de máquinas ya superan en número a las identidades humanas en la mayoría de los entornos empresariales, y sus números continúan creciendo con cada nuevo microservicio y pipeline de despliegue. Sin embargo, muchas organizaciones todavía carecen de control centralizado sobre estas credenciales, que permanecen dispersas en archivos de configuración, variables de entorno y repositorios de código fuente. La creciente atención de los principales actores europeos de ciberseguridad confirma que la gestión de identidades de máquinas se está convirtiendo en una de las principales prioridades para la seguridad empresarial.

Fuente: Industrial Cyber – 26 jun 2026

Resumen de esta semana

Tres aspectos destacan como brechas consistentes en los incidentes de esta semana:

• La rotación de credenciales se trata como una tarea posterior a la brecha, no como una rutina. En los tres casos, rotar las credenciales antes o inmediatamente después del compromiso inicial habría contenido el daño.
• El acceso SaaS de terceros está en gran medida sin auditar. La brecha de LastPass llegó a través de una plataforma de investigación de mercado con acceso OAuth a Salesforce. La mayoría de los equipos de seguridad no podrían enumerar cada integración OAuth en su entorno en este momento.
• Las identidades de máquinas siguen siendo la clase de credenciales menos gobernada. El anuncio de WALLIX/Inria y el caso de Cisco apuntan a la misma brecha: claves API, cuentas de servicio y tokens en pipelines que nadie está monitoreando activamente.

Las buenas noticias de Operation Endgame son reales: desmantelar la infraestructura de Amadey y StealC importa. Pero millones de credenciales robadas previamente todavía están disponibles para los atacantes.

La gestión de acceso eficaz limita el valor de las credenciales robadas, incluso después de que el ataque original haya terminado. Passwork reúne la gestión de contraseñas y secretos en una única plataforma — con REST API, Python SDK y CLI para equipos que necesitan control centralizado sobre las credenciales de máquinas sin la sobrecarga del PAM tradicional. Controle sus credenciales antes de que lo hagan los atacantes.

Shadow IT en 2026: Riesgos, detección y cómo gestionarlo

El Shadow IT en 2026 abarca agentes de IA, cuentas SaaS huérfanas y sesiones LLM no monitoreadas — riesgos que la mayoría de las organizaciones no pueden ver. Descubra qué ha cambiado, cuánto cuesta y cómo un marco de gobernanza de 6 pasos cierra la brecha.

Passwork BlogAlex Muntyan

Ciclo de vida de la rotación de secretos: De la creación a la revocación

La rotación de secretos falla cuando se trata como una tarea programada en lugar de un ciclo de vida. Esta guía cubre las siete etapas — desde la creación y la propiedad hasta la rotación segura, la revocación de emergencia y la evidencia de auditoría.

Passwork BlogAlex Muntyan

Guía de seguridad de la cadena de suministro: Riesgos de proveedores, regulaciones y control de acceso en 2026

El 48% de las brechas ahora involucran a un tercero. Esta guía cubre los patrones de ataque detrás de SolarWinds, MOVEit y XZ Utils — y los controles de acceso, prácticas de gestión de credenciales y requisitos regulatorios que realmente los detienen.

Passwork BlogAlex Muntyan

This week's incidents share a single thread: credentials stolen weeks or months ago are still opening doors. Patching the vulnerability that enabled the theft doesn't invalidate what was already taken. Three cases from this week make that point in different ways:

• FortiBleed confirmed that over 15,000 verified Fortinet admin and VPN credentials (collected from firewall config files across 100+ countries) are already in circulation. CISA's message was unambiguous: rotating credentials is not optional after a compromise, and software updates alone don't close the window.
• Operation Endgame disrupted the infrastructure behind Amadey and StealC, two of the most active infostealer families. Europol recovered around 27 million stolen credentials and seized hundreds of servers. The infrastructure is down; the credentials already in circulation are not.
• France's FICOBA breach required no exploit at all. An attacker used a single compromised civil servant account to browse 3.5 million bank records over two weeks: no software vulnerability, just an unmonitored credential left active.

The week also brought a supply chain breach at LastPass through a third-party SaaS platform, an actively exploited Cisco SD-WAN zero-day that gave attackers root access and hidden admin accounts for over two months, and a suspected 200 GB exfiltration from the Council of Europe claimed by ShinyHunters. 

On the industry side, Czech firm Wultra raised €3.5M for post-quantum authentication, and WALLIX partnered with Inria to address the growing machine identity problem: API keys, tokens, and service accounts that most organizations still can't fully inventory.

This digest covers 8 significant events from 22 to 29 June 2026.

FortiBleed: 15,000+ Fortinet admin credentials stolen across 100+ countries, CISA demands immediate rotation

Security researchers uncovered a large-scale credential harvesting campaign dubbed FortiBleed, which exposed more than 15,000 verified administrator and SSL VPN credentials for Fortinet FortiGate firewalls across 100+ countries. The credentials, collected over several years through compromised firewall configuration files, have been linked to organizations including Siemens, DHL, and a Turkish defense contractor. 

Why it matters: FortiBleed highlights a critical distinction: patching a vulnerability does not eliminate the risk once credentials have already been stolen. Following the disclosure, CISA urged organizations to act immediately:

• Terminate sessions and reset credentials. End all active SSL VPN and admin sessions. Reset all Fortinet VPN and admin passwords, especially on internet-facing systems.
• Ensure secure credential storage. Confirm use of PBKDF2 for storing administrator credentials and remove weaker legacy hashes per Fortinet's guidance.
• Review logs. Check firewall, VPN, authentication, and domain controller logs for lateral movement, suspicious accounts, or unauthorized configuration changes.
• Enable phishing-resistant MFA. Require phishing-resistant MFA on all remote access and admin accounts, including all external gateways and administrative interfaces.
• Reduce the attack surface and lock down management access. Keep firewall administration off the public internet, restrict management interfaces to trusted internal networks, and disable unnecessary accounts.

Sources: Dark Reading – 23 Jun 2026

LastPass customer support data stolen through Klue supply chain breach

LastPass notified users that customer support and sales data was stolen after attackers compromised Klue, a third-party market research platform. The extortion group Icarus reportedly abused OAuth tokens to access Salesforce data from around 20 cybersecurity companies, including LastPass, HackerOne, and Recorded Future. LastPass said password vaults were not affected, but the stolen data included customer names, phone numbers, email and physical addresses, support case details, and sales records. 

Why it matters: The incident shows how SaaS integrations can expose sensitive customer data even when core systems remain secure. For enterprises, the incident reinforces the need to assess third-party SaaS access, restrict OAuth permissions, monitor integration activity, and treat supplier governance as part of identity security. Under frameworks like NIS2, vendor risk and access control are becoming board-level security concerns.

Sources: TechCrunch – 23 Jun 2026

Operation Endgame: Europol seizes hundreds of servers, recovers 27 million stolen credentials from Amadey and StealC networks

An international law enforcement operation led by Europol disrupted the infrastructure behind the Amadey and StealC malware families, two of the most active credential-stealing platforms. Authorities seized hundreds of servers and domains, froze cryptocurrency linked to the operators, and recovered around 27 million stolen credentials. The operation involved several European countries, including Germany, France, the Netherlands and the UK. Microsoft estimated that these malware families infected hundreds of thousands of devices worldwide during recent campaigns.

Why it matters: This is one of the largest recent disruptions of the infostealer ecosystem. However, organizations should not assume the risk has disappeared. Millions of stolen passwords and session tokens are already circulating in criminal markets and will continue to fuel account takeover attacks. 

Source: The Hacker News / Europol – 24 Jun 2026

Cisco SD-WAN zero-day exploited for 2+ months: attackers gained root access and created hidden admin accounts

Cisco disclosed that attackers had been exploiting a zero-day vulnerability in Catalyst SD-WAN Manager for at least two months before disclosure. According to Mandiant, attackers obtained root privileges, modified administrator credentials, created hidden privileged accounts and removed forensic evidence to maintain long-term persistence. Cisco also released information about a related authentication bypass vulnerability affecting the same platform.

Why it matters: Many organizations treat network appliances as trusted infrastructure, yet these devices often hold highly privileged credentials. Once compromised, they provide attackers with persistent administrative access across the network. Patching should be paired with continuous monitoring of privileged identities.

Source: The Hacker News / Google Mandiant – 25 Jun 2026

Compromised government credentials expose 3.5 million bank accounts in French FICOBA registry breach

French authorities disclosed that attackers used compromised government credentials to access FICOBA, the country's national bank account registry. Over a period of approximately two weeks, attackers viewed information linked to around 3.5 million bank accounts, including names, addresses and IBAN numbers. Authorities reported that the attacker abused an existing civil servant account rather than exploiting a software vulnerability.

Why it matters: The incident highlights that compromised credentials remain a major threat even in government systems. Strong identity controls are just as important as infrastructure security. As NIS2 enforcement expands across Europe, incidents like this show why identity security is becoming a board-level compliance issue.

Source: Shattered.io – 23 Jun 2026

ShinyHunters claims 200 GB stolen from Council of Europe HR and payroll systems

The ShinyHunters group claimed responsibility for breaching internal systems belonging to the Council of Europe and stealing more than 200 GB of HR and payroll information. The organization confirmed a cybersecurity incident, restricted access to affected systems and launched a forensic investigation. At the time of publication, the full scope of the compromise had not been confirmed.

Why it matters: Although attribution remains under investigation, the incident follows a growing pattern of attacks against public institutions using stolen credentials or phishing. European organizations should expect attackers to continue targeting identity systems rather than infrastructure alone. Strong access controls and rapid incident response remain essential for both public and private sectors.

Source: CyPro – 26 Jun 2026

Czech firm Wultra raises €3.5M to build post-quantum, phishing-resistant authentication for European banks

Czech cybersecurity company Wultra announced a €3.5 million Series A funding round to expand its authentication platform across Europe. The company develops phishing-resistant authentication technologies for banks, financial services and digital identity providers. The investment will support the adoption of post-quantum cryptography and authentication methods designed to meet upcoming European regulations, including PSD3, PSR and eIDAS 2.0.

Why it matters: European organizations are preparing not only for today's identity threats but also for future cryptographic risks. As regulators increasingly promote stronger digital identity standards, investments are shifting toward phishing-resistant and post-quantum authentication. The funding reflects growing demand for authentication technologies that can support long-term compliance while reducing dependence on passwords and legacy MFA methods.

Source: The Recursive – 29 Jun 2026

WALLIX and Inria partner to secure machine identities

European IAM/PAM vendor WALLIX and the French research institute Inria have announced a partnership to develop trusted AI solutions for securing machine identities. The collaboration aims to address the structural risks created by the rapid growth of non-human identities, including API keys, service accounts, tokens, and certificates used in automated workflows and CI/CD pipelines. 

Why it matters: Machine identities already outnumber human identities in most enterprise environments, and their numbers continue to grow with every new microservice and deployment pipeline. Yet many organizations still lack centralized control over these credentials, which remain scattered across configuration files, environment variables, and source code repositories. The growing attention from major European cybersecurity players confirms that machine identity management is becoming one of the top priorities for enterprise security.

Source: Industrial Cyber – 26 Jun 2026

This week's recap

Three things stand out as consistent gaps across this week's incidents:

• Credential rotation is treated as a post-breach task, not a routine one. In all three cases, rotating credentials before or immediately after the initial compromise would have contained the damage.
• Third-party SaaS access is largely unaudited. The LastPass breach came through a market research platform with OAuth access to Salesforce. Most security teams couldn't list every OAuth integration in their environment right now.
• Machine identities remain the least-governed credential class. The WALLIX/Inria announcement and the Cisco case both point to the same gap: API keys, service accounts, and tokens in pipelines that no one is actively monitoring.

The good news from Operation Endgame is real: taking down Amadey and StealC infrastructure matters. But millions of previously stolen credentials are still available to attackers.

Effective access management limits the value of stolen credentials, even after the original attack is over. Passwork brings password and secrets management into a single platform — with a REST API, Python SDK, and CLI for teams that need centralized control over machine credentials without the overhead of traditional PAM. Control your credentials before attackers do.

Shadow IT in 2026: Risks, detection, and how to manage it

Shadow IT in 2026 spans AI agents, orphaned SaaS accounts, and unmonitored LLM sessions — risks most organizations can’t see. Learn what’s changed, what it costs, and how a 6-step governance framework closes the gap.

Passwork BlogAlex Muntyan

Secrets rotation lifecycle: From creation to revocation

Secret rotation fails when it’s treated as a scheduled task rather than a lifecycle. This guide covers all seven stages — from creation and ownership to safe rotation, emergency revocation, and audit evidence.

Passwork BlogAlex Muntyan

Supply chain security guide: Vendor risks, regulations, access control in 2026

48% of breaches now involve a third party. This guide covers the attack patterns behind SolarWinds, MOVEit, and XZ Utils — and the access controls, credential management practices, and regulatory requirements that actually stop them.

Passwork BlogAlex Muntyan

Esta semana trajo varios incidentes importantes, y todos apuntan en la misma dirección. La escala del compromiso de credenciales sigue batiendo récords. FortiBleed: 86.000 dispositivos en 194 países. La filtración de Elasticsearch: 24 mil millones de registros de decenas de fuentes. HIBP añadió 124 millones de contraseñas robadas por infostealers en el momento de uso. Estos datos ya están en circulación.

• Dos métodos de ataque recibieron confirmación concreta esta semana. Los atacantes cada vez más evitan las contraseñas por completo: la brecha de Klue comenzó con una cuenta de servicio olvidada y terminó con tokens OAuth robados — sin introducir ninguna contraseña en ningún momento.
• Los agentes de IA se han convertido en un vector de ataque independiente: un repositorio de prueba de código envenenado permitió a un atacante exfiltrar credenciales de AWS desde la estación de trabajo de un desarrollador en 111 segundos, sin generar alertas en el endpoint.
• La presión regulatoria avanza en dos frentes. En Europa, el Consejo de Europa y la plataforma gubernamental francesa Tchap fueron vulnerados, la autoridad italiana Garante multó a una empresa por almacenar contraseñas en texto plano, y se publicaron nuevas plantillas de notificación de incidentes del EDPB y NIS2 — todo en una sola semana.
• En EE. UU., el presidente Trump firmó dos órdenes ejecutivas estableciendo plazos federales estrictos para la migración a criptografía poscuántica, señalando que la ventana de preparación es más corta de lo que la mayoría de las organizaciones habían asumido.

Este resumen cubre los 14 eventos más significativos del 15 al 22 de junio de 2026.

EE. UU. establece plazos federales para la migración a criptografía poscuántica (PQC)

El 22 de junio de 2026, el presidente Trump firmó dos órdenes ejecutivas sobre tecnología cuántica. La orden ejecutiva «Securing the Nation Against Advanced Cryptographic Attacks» requiere que las agencias federales designen un responsable de migración PQC, transicionen los activos de alto valor a criptografía poscuántica para 2030 y completen la migración total para 2031.

Una segunda orden dirige el desarrollo de un ordenador cuántico tolerante a fallos para 2028. Ambas órdenes citan los ataques «harvest now, decrypt later» como el principal factor de amenaza — adversarios recopilando datos cifrados hoy para descifrarlos en el futuro. Barron's informa que algunos analistas sitúan la capacidad viable de descifrado cuántico tan pronto como 2029.

Por qué es importante: Los plazos federales de 2030-2031 no permanecerán dentro del gobierno. Los contratos de adquisición y la regulación sectorial específica tienden a seguir el precedente federal, por lo que cualquier organización que interactúe con infraestructura gubernamental u opere en una industria regulada debería tratar esto como una señal temprana. El punto de partida práctico es saber qué se tiene: qué sistemas dependen de RSA o ECC, dónde residen realmente las claves criptográficas y los certificados, y quién los controla.

Fuente: Reuters / White House — 22 jun 2026

FortiBleed: Más de 86.000 credenciales de dispositivos Fortinet comprometidas en 194 países

Una campaña de robo de credenciales a gran escala ha compilado una base de datos verificada de más de 86.644 credenciales funcionales para firewalls FortiGate de Fortinet y dispositivos SSL VPN expuestos a internet — aproximadamente el 50% de todos esos dispositivos expuestos a internet. La campaña incluyó interceptación de autenticación SSL VPN, descifrado de hashes en un clúster de 45 GPU y pivoteo en Active Directory.

Los atacantes ejecutaron aproximadamente 1.160 millones de intentos de credenciales contra más de 320.000 objetivos FortiGate. CISA emitió un aviso urgente el 18 de junio de 2026, requiriendo que las organizaciones terminen las sesiones activas, restablezcan todas las credenciales, habiliten MFA resistente al phishing y apliquen hash de contraseñas PBKDF2 para cuentas de administrador. Huntress confirmó que 845 organizaciones asociadas fueron directamente afectadas.

Por qué es importante: Las organizaciones que parchearon las vulnerabilidades de Fortinet pero nunca rotaron las credenciales permanecen completamente expuestas. Este es el evento de seguridad de credenciales definitorio de la semana. Cualquier organización con infraestructura Fortinet expuesta a internet debería tratar esto como un incidente activo que requiere rotación inmediata de credenciales — no como una tarea de mantenimiento programada.

Fuente: SecurityWeek — 19 jun 2026

24 mil millones de credenciales robadas expuestas en una filtración colosal de Elasticsearch

Investigadores de Cybernews descubrieron un clúster de Elasticsearch públicamente accesible que contenía 24 mil millones de registros de credenciales robadas en 8,3 terabytes de datos, extraídos de 36 fuentes distintas incluyendo registros de malware infostealer, canales de cibercrimen en Telegram y compilaciones de brechas. Más de 1.700 millones de registros se originaron en canales de Telegram.

Críticamente, el clúster también contenía aproximadamente 9.500 registros CVE vinculados a repositorios activos de GitHub — evidencia de que el operador estaba construyendo un pipeline de priorización de ataques para cruzar referencias de vulnerabilidades explotables con credenciales robadas disponibles. La base de datos ha sido desconectada, pero las credenciales permanecen en circulación activa.

Por qué es importante: El pipeline de ataque enriquecido con CVE cambia el cálculo de riesgo: rotar credenciales después de una brecha puede ser demasiado tarde si un atacante ya sabe qué servicios sin parchear desbloquean. Los registros frescos de infostealer también contienen cookies de sesión activas que evitan el MFA por completo. Las credenciales únicas por servicio siguen siendo la defensa estructural principal.

Fuente: Cybernews — 17 jun 2026

124 millones de contraseñas únicas de infostealer añadidas a Have I Been Pwned

El 15 de junio de 2026, Have I Been Pwned (HIBP) incorporó 56,3 millones de direcciones de correo electrónico únicas y 124 millones de contraseñas únicas provenientes de registros de malware infostealer. A diferencia de los datos de brechas tradicionales, estas credenciales fueron robadas directamente de los dispositivos de las víctimas en el momento de uso — lo que significa que son actuales y no han sido rotadas. El conjunto de datos ahora es consultable a través de la API de Pwned Passwords, que está integrada en numerosos gestores de contraseñas empresariales y plataformas de identidad.

Por qué es importante: Las organizaciones que utilizan gestores de contraseñas con integración HIBP ahora verán alertas para un grupo sustancialmente mayor de credenciales en riesgo. El peligro aquí es la frescura: los empleados que no han cambiado sus contraseñas desde que su dispositivo fue infectado permanecen completamente expuestos. Este es un impulso directo para ejecutar una auditoría de credenciales comprometidas en toda su organización.

Fuente: Have I Been Pwned — 15 jun 2026

Ataque a la cadena de suministro SaaS de Klue: Tokens OAuth robados, datos CRM exfiltrados de múltiples proveedores de seguridad

Un nuevo grupo de extorsión llamado Icarus (activo desde abril de 2026) obtuvo acceso inicial a la plataforma de inteligencia de mercado Klue a través de una credencial heredada comprometida asociada con una cuenta de servicio de integración abandonada. Los atacantes luego robaron tokens OAuth utilizados por los clientes de Klue para conectarse a Salesforce y Gong, y ejecutaron scripts automatizados contra la REST API de Salesforce durante hasta 24 horas de extracción masiva de datos CRM.

Las víctimas confirmadas incluyen Huntress, Recorded Future, Tanium, Gong, Sprout Social, Jamf e Insurity. Salesforce deshabilitó la integración de Klue.

Por qué es importante: Una credencial de cuenta de servicio heredada olvidada fue el vector de acceso inicial. Una vez dentro, el atacante no necesitó contraseñas ni códigos MFA — el token OAuth robado era la identidad desde la perspectiva de Salesforce. El ataque se ejecutó sin ser detectado durante 24 horas. Las credenciales de cuentas de servicio y las integraciones OAuth de terceros merecen la misma disciplina de monitoreo que las cuentas de empleados.

Fuente: The Hacker News — 19 jun 2026

Más de 1.230 claves API y tokens JWT codificados encontrados en archivos de instrucciones de agentes IA en más de 7.000 repositorios públicos

Mitiga Labs escaneó más de 50.000 archivos de instrucciones de IA (reglas de Cursor, CLAUDE.md, configuraciones MCP, archivos de cerebro de agentes) en más de 7.000 repositorios públicos de GitHub y encontró más de 1.230 claves API y tokens JWT codificados en servicios que incluyen Anthropic Claude, OpenAI GPT-5, Google Gemini, Databricks, Supabase, Vercel y Google Cloud Storage.

Por separado, GitGuardian informó que 28,65 millones de secretos fueron filtrados en GitHub público en 2025 (un aumento interanual del 34%) con filtraciones de servicios de IA aumentando un 81%.

Por qué es importante: Los archivos de configuración de agentes de IA se están convirtiendo en un vector principal para la exposición de credenciales codificadas. Estos archivos son frecuentemente creados por usuarios sin conciencia de seguridad — product managers, investigadores, fundadores — que no aplican las prácticas estándar de higiene de secretos. Las políticas de escaneo de secretos de la mayoría de las organizaciones aún no cubren archivos de instrucciones, configuraciones MCP y archivos de contexto de agentes. Deberían hacerlo.

Fuente: Mitiga Labs — 15 jun 2026

Una prueba de código envenenada causa que un agente IA robe credenciales de AWS en menos de 2 minutos

Mitiga documentó un ataque del mundo real en el que un repositorio falso de evaluación de código para llevar a casa contenía instrucciones ocultas en archivos .cursor/rules, README.md y CLAUDE.md. Cuando un desarrollador abrió el repositorio en Cursor con la ejecución automática habilitada, el agente de codificación IA ejecutó de forma autónoma cat ~/.aws/credentials, aws sts get-caller-identity, cat ~/.kube/config, terraform state list y un grep de secretos — luego exfiltró todos los datos recopilados a un endpoint controlado por el atacante a través de una llamada de herramienta MCP envenenada. Toda la cadena se completó en 1 minuto y 51 segundos. No se instaló malware; no se generaron alertas en el endpoint.

Por qué es importante: Las credenciales de nube de larga duración almacenadas en estaciones de trabajo de desarrolladores son ahora un objetivo principal para ataques mediados por agentes IA. Cada acción fue realizada por una herramienta legítima usando comandos legítimos — ningún control de endpoint se activó. La mitigación principal es reemplazar las credenciales de larga duración con tokens OIDC de corta duración y autenticación federada.

Fuente: Mitiga Labs — 19 jun 2026

ShinyHunters reclama la brecha del Consejo de Europa: 297 GB de registros de RRHH, nóminas y médicos expuestos

El colectivo hacker ShinyHunters reclamó la responsabilidad de una brecha en el Consejo de Europa, alegando el robo de 297 GB de datos que comprenden más de 429.000 archivos — incluyendo 409.000 nóminas que cubren más de 10.000 empleados durante 15 años, 14.000 CVs, 3.700 expedientes de personal y registros sensibles incluyendo direcciones domiciliarias, salarios, datos bancarios, información fiscal y registros médicos. A fecha del 21 de junio de 2026, ShinyHunters publicó los datos de forma permanente después de que el Consejo de Europa no respondiera a las demandas de rescate.

Por qué es importante: Los registros expuestos crean vectores efectivos de spear-phishing contra una institución sensible. ShinyHunters ahora ha reclamado la Comisión Europea (marzo de 2026), el Consejo de Europa (junio de 2026) y la teleco holandesa Odido (febrero de 2026) en un solo año. Los equipos de seguridad europeos deberían tratar esto como una campaña de ataque sostenida, no como incidentes aislados.

Fuente: Cybernews — 15 jun 2026

La plataforma de mensajería gubernamental francesa Tchap vulnerada: 73.467 cuentas de funcionarios comprometidas

La plataforma soberana de mensajería gubernamental de Francia, Tchap (utilizada por más de 825.000 empleados gubernamentales), fue vulnerada el 7 de junio de 2026 por un actor de amenazas autodenominado «misere». DINUM confirmó que 73.467 cuentas gubernamentales fueron afectadas, con datos expuestos que incluyen nombres, direcciones de correo electrónico y entidades gubernamentales afiliadas.

El actor de amenazas además afirma haber robado 13,5 GB de archivos incluyendo más de 643.000 mensajes. Se cree que el vector de ataque involucra el secuestro de cuentas, posiblemente a través de credenciales obtenidas de registros de stealer.

Por qué es importante: La brecha ilustra cómo el compromiso de credenciales (potencialmente a través de registros de stealer) puede ser utilizado como arma contra la infraestructura de comunicación gubernamental soberana a escala. Los expertos en seguridad señalaron que el ataque puede no haber requerido zero-days: la extracción de datos basada en API utilizando credenciales legítimas es suficiente para esta escala de exfiltración. Bajo NIS2, los servicios digitales gubernamentales están clasificados como entidades esenciales, lo que activa la notificación obligatoria de incidentes a ANSSI.

Fuente: SecurityWeek — 15 jun 2026

Velvet Ant (nexo con China) instala puertas traseras en módulos PAM de Linux y OpenSSH para robo de credenciales durante una década

El equipo de respuesta a incidentes de Sygnia descubrió la Operación Highland, una campaña de espionaje de casi una década por el actor de amenazas Velvet Ant vinculado a China. Activo desde al menos 2016-2017, el grupo modificó los Módulos de Autenticación Conectables (PAM) de Linux — específicamente pam_unix.so — para aceptar una contraseña de puerta trasera codificada, recolectar credenciales de intentos de autenticación legítimos y suprimir todo el registro de actividad del atacante. Se encontraron nueve instancias del módulo PAM con puerta trasera en los hosts comprometidos. El grupo también instaló puertas traseras en binarios de OpenSSH para mantener acceso persistente.

Por qué es importante: Este ataque no robó contraseñas — subvirtió la capa de autenticación en sí. Al modificar los módulos PAM, Velvet Ant podía autenticarse como cualquier usuario y recolectar cada contraseña introducida en los hosts comprometidos. Las contraseñas fuertes no ofrecen protección cuando la pila de autenticación está comprometida. Los operadores de infraestructura crítica en energía, manufactura y defensa enfrentan riesgos directamente análogos.

Fuente: CyberSecurityNews / Sygnia — 15 jun 2026

La autoridad italiana Garante multa a una consultora con 85.000 € por almacenar contraseñas en texto plano tras una brecha de 61.000 usuarios

La autoridad de protección de datos de Italia, la Garante, impuso una multa de 85.000 € a una consultora tras una brecha de datos que expuso datos personales de más de 61.000 usuarios. La Garante encontró que ciertas contraseñas estaban almacenadas en texto plano o protegidas con algoritmos criptográficos obsoletos, y que las credenciales de sistemas no utilizados se habían conservado más allá de su período necesario. Los individuos afectados fueron notificados aproximadamente dos meses después del descubrimiento — y solo después de que se emitiera una orden correctiva.

Por qué es importante: La Garante citó explícitamente el almacenamiento de contraseñas en texto plano y la criptografía obsoleta como las principales infracciones del RGPD. Esto establece un precedente claro de aplicación: el Artículo 32 requiere hash moderno de contraseñas, y retener credenciales para sistemas fuera de servicio viola el principio de limitación del almacenamiento. Las organizaciones de la UE deberían auditar sus implementaciones de almacenamiento de contraseñas contra esta decisión.

Fuente: Gibson Dunn Europe Data Protection — 15 jun 2026

El EDPB adopta una plantilla armonizada de notificación de brechas de datos para toda la UE bajo el RGPD

El Comité Europeo de Protección de Datos (EDPB) ha adoptado una plantilla estandarizada para las notificaciones de brechas de datos personales bajo el Artículo 33 del RGPD, abierta a consulta pública hasta el 5 de agosto de 2026. La plantilla proporciona a las organizaciones de toda la UE un único formulario estructurado para informar brechas de datos personales a las autoridades de supervisión, reemplazando los formatos nacionales actualmente fragmentados.

Por qué es importante: La plantilla armonizada afecta directamente cómo las organizaciones informan incidentes de exposición de credenciales bajo el Artículo 33 del RGPD, requiriendo divulgación estructurada de tipos de datos comprometidos, individuos afectados y consecuencias probables. Los equipos de cumplimiento y legales deberían revisar el borrador antes de la fecha límite de consulta del 5 de agosto.

Fuente: LexisNexis UK/EU Risk & Compliance — 18 jun 2026

ANSSI dejará de certificar productos de seguridad sin cifrado resistente a la computación cuántica a partir de 2027

La agencia nacional de ciberseguridad de Francia, ANSSI, anunció que dejará de certificar productos de seguridad (incluyendo gestores de contraseñas, VPNs y soluciones de autenticación) que no incorporen criptografía resistente a la computación cuántica (poscuántica) a partir de 2027.

El anuncio acompaña a la estrategia cibernética nacional más amplia de Francia, que incluye una inversión gubernamental de 200 millones de euros en infraestructura de ciberseguridad y herramientas de criptografía poscuántica.

Por qué es importante: Los gestores de contraseñas y bóvedas de credenciales dependen de primitivas criptográficas teóricamente vulnerables a ataques de computación cuántica. El requisito de certificación de ANSSI exige algoritmos poscuánticos para la aprobación del gobierno francés, convirtiendo a Francia en el primer estado miembro de la UE en establecer una fecha límite estricta. El marco de ANSSI es ampliamente referenciado en toda Europa y se espera que influya en el Esquema Europeo de Certificación de Ciberseguridad de ENISA.

Fuente: Reuters — 16 jun 2026

Gartner identifica tres cambios en la gestión de secretos que los equipos de seguridad no pueden ignorar

Gartner identifica tres cambios estratégicos en la gestión de secretos:

1. Gestión de acceso de cargas de trabajo — pasar de secretos estáticos a emisión de credenciales dinámicas y justo a tiempo para cargas de trabajo.
2. Arquitectura sin secretos — eliminar completamente los secretos de larga duración en favor del acceso basado en identidad usando SPIFFE/SPIRE.
3. Gobernanza multi-bóveda — gestionar secretos de forma consistente a través de múltiples plataformas de bóvedas a medida que las organizaciones acumulan almacenes de secretos dispares en HashiCorp Vault, AWS Secrets Manager, Azure Key Vault y otros.

Por qué es importante: Estos tres cambios mapean directamente a los modos de fallo expuestos esta semana. FortiBleed demuestra el riesgo de credenciales estáticas nunca rotadas (Cambio 1). La brecha OAuth de Klue demuestra el riesgo de credenciales heredadas de larga duración (Cambio 2). La deriva de credenciales a través de entornos multi-nube es el problema que aborda el Cambio 3. Este marco proporciona a los líderes de seguridad y TI una forma estructurada de evaluar su madurez actual en gestión de secretos frente a los incidentes de la semana.

Fuente: Akeyless Blog (citando investigación de Gartner) — 17 jun 2026

Resumen de esta semana

El patrón a través de los incidentes de esta semana es lo suficientemente consistente como para nombrarlo: credenciales estáticas, cuentas de servicio olvidadas y tokens de larga duración son los puntos de entrada que los atacantes están explotando activamente.

La aplicación regulatoria está alcanzando. La multa de 85.000 € de la Garante italiana por almacenamiento de contraseñas en texto plano, los plazos federales de PQC de EE. UU. y el límite de certificación de ANSSI para 2027 añaden una dimensión prospectiva: los fundamentos criptográficos del almacenamiento de credenciales están bajo un plazo estricto.

Tres acciones se derivan directamente de los eventos de esta semana:

• Primero, audite las cuentas de servicio e integraciones OAuth de terceros — el ataque de Klue comenzó con una olvidada.
• Segundo, ejecute una verificación de credenciales comprometidas contra el conjunto de datos de HIBP ahora expandido con 124 millones de contraseñas provenientes de infostealers.
• Tercero, revise cómo viven los secretos en las estaciones de trabajo de los desarrolladores. Las credenciales de nube de larga duración son ahora un objetivo explícito de agentes IA.

Las credenciales fuera de cualquier sistema gestionado son la raíz común — claves API codificadas, credenciales de VPN no rotadas, contraseñas en texto plano en servicios fuera de servicio. Passwork proporciona a los equipos de TI y seguridad visibilidad centralizada sobre las contraseñas corporativas y los secretos técnicos, con registros de acceso, seguimiento de rotación y alertas de credenciales comprometidas integrados. Comience con lo que puede controlar

Ciclo de vida de rotación de secretos: Desde la creación hasta la revocación

La rotación de secretos falla cuando se trata como una tarea programada en lugar de un ciclo de vida. Esta guía cubre las siete etapas — desde la creación y propiedad hasta la rotación segura, revocación de emergencia y evidencia de auditoría.

Passwork BlogAlex Muntyan

10 fallos de seguridad en el trabajo remoto (y cómo solucionarlos)

10 fallos de seguridad en el trabajo remoto — y el único principio detrás de todos ellos: la seguridad se rompe donde el camino seguro tiene más fricción que el inseguro. Casos reales, soluciones realistas, una línea base de 5 capas contra la que su equipo puede auditar.

Passwork BlogAlex Muntyan

Controles de acceso NIS2 para la seguridad de la cadena de suministro

El 48% de las brechas ahora involucran a terceros. El Artículo 21 de NIS2 convierte la gobernanza del acceso de proveedores en una obligación legal. Aquí se explica cómo mapear el acceso de proveedores, aplicar MFA y privilegio mínimo, y mantener la evidencia de auditoría que demuestre que sus controles funcionan.

Passwork BlogAlex Muntyan

Diese Woche brachte mehrere schwerwiegende Vorfälle, und alle weisen in dieselbe Richtung. Das Ausmaß der Credential-Kompromittierung bricht weiterhin Rekorde. FortiBleed: 86.000 Geräte in 194 Ländern. Das Elasticsearch-Leck: 24 Milliarden Datensätze aus Dutzenden von Quellen. HIBP fügte 124 Millionen Passwörter hinzu, die von Infostealern zum Zeitpunkt der Nutzung gestohlen wurden. Diese Daten sind bereits im Umlauf.

• Zwei Angriffsmethoden erhielten diese Woche konkrete Bestätigung. Angreifer umgehen Passwörter zunehmend vollständig: Der Klue-Breach begann mit einem vergessenen Dienstkonto und endete mit gestohlenen OAuth-Tokens — ohne dass an irgendeinem Punkt ein Passwort eingegeben wurde.
• KI-Agenten sind zu einem eigenständigen Angriffsvektor geworden: Ein vergiftetes Coding-Test-Repository ermöglichte es einem Angreifer, AWS-Credentials von der Workstation eines Entwicklers in 111 Sekunden zu exfiltrieren, ohne dass Endpoint-Alerts ausgelöst wurden.
• Der regulatorische Druck bewegt sich an zwei Fronten. In Europa wurden der Europarat und die französische Regierungsplattform Tchap kompromittiert, die italienische Garante verhängte eine Geldstrafe gegen ein Unternehmen wegen Speicherung von Passwörtern im Klartext, und neue EDPB- sowie NIS2-Meldepflichtvorlagen wurden veröffentlicht — alles innerhalb einer einzigen Woche.
• In den USA unterzeichnete Präsident Trump zwei Executive Orders, die verbindliche Bundesfristen für die Migration zur Post-Quanten-Kryptographie festlegen. Dies signalisiert, dass das Zeitfenster zur Vorbereitung kürzer ist, als die meisten Organisationen angenommen haben.

Dieser Digest behandelt die 14 bedeutendsten Ereignisse vom 15. bis 22. Juni 2026.

USA setzen Bundesfristen für die Migration zur Post-Quanten-Kryptographie (PQC)

Am 22. Juni 2026 unterzeichnete Präsident Trump zwei Executive Orders zur Quantentechnologie. Die EO „Securing the Nation Against Advanced Cryptographic Attacks" verpflichtet Bundesbehörden, einen PQC-Migrationsverantwortlichen zu benennen, hochwertige Vermögenswerte bis 2030 auf Post-Quanten-Kryptographie umzustellen und die vollständige Migration bis 2031 abzuschließen.

Eine zweite Anordnung weist die Entwicklung eines fehlertoleranten Quantencomputers bis 2028 an. Beide Anordnungen nennen „Harvest Now, Decrypt Later"-Angriffe als primären Bedrohungstreiber — Angreifer sammeln heute verschlüsselte Daten für eine zukünftige Entschlüsselung. Barron's berichtet, dass einige Analysten eine funktionsfähige Quantenentschlüsselungsfähigkeit bereits für 2029 prognostizieren.

Warum es wichtig ist: Die Bundesfristen 2030–2031 werden nicht innerhalb der Regierung bleiben. Beschaffungsverträge und branchenspezifische Regulierungen folgen typischerweise dem Bundesvorbild, daher sollte jede Organisation, die mit Regierungsinfrastruktur zu tun hat oder in einer regulierten Branche tätig ist, dies als frühes Signal betrachten. Der praktische Ausgangspunkt ist zu wissen, was man hat: Welche Systeme von RSA oder ECC abhängen, wo sich kryptographische Schlüssel und Zertifikate tatsächlich befinden und wer sie kontrolliert.

Quelle: Reuters / White House — 22. Jun 2026

FortiBleed: Über 86.000 Fortinet-Geräte-Credentials in 194 Ländern kompromittiert

Eine groß angelegte Credential-Diebstahl-Kampagne hat eine verifizierte Datenbank mit über 86.644 funktionierenden Credentials für internetfähige Fortinet FortiGate Firewalls und SSL-VPN-Appliances zusammengestellt — etwa 50 % aller solcher dem Internet ausgesetzten Geräte. Die Kampagne umfasste das Abfangen von SSL-VPN-Authentifizierung, Hash-Cracking auf einem 45-GPU-Cluster und Active-Directory-Pivoting.

Angreifer führten ungefähr 1,16 Milliarden Credential-Versuche gegen über 320.000 FortiGate-Ziele durch. CISA gab am 18. Juni 2026 eine dringende Warnung heraus, die Organisationen verpflichtet, aktive Sitzungen zu beenden, alle Credentials zurückzusetzen, Phishing-resistente MFA zu aktivieren und PBKDF2-Passwort-Hashing für Admin-Accounts anzuwenden. Huntress bestätigte, dass 845 Partnerorganisationen direkt betroffen waren.

Warum es wichtig ist: Organisationen, die Fortinet-Schwachstellen gepatcht, aber ihre Credentials nie rotiert haben, bleiben vollständig exponiert. Dies ist das entscheidende Credential-Sicherheitsereignis der Woche. Jede Organisation mit internetfähiger Fortinet-Infrastruktur sollte dies als aktiven Vorfall behandeln, der eine sofortige Credential-Rotation erfordert — nicht als geplante Wartungsaufgabe.

Quelle: SecurityWeek — 19. Jun 2026

24 Milliarden gestohlene Credentials durch massives Elasticsearch-Leck exponiert

Cybernews-Forscher entdeckten einen öffentlich zugänglichen Elasticsearch-Cluster mit 24 Milliarden gestohlenen Credential-Datensätzen über 8,3 Terabyte an Daten, die aus 36 verschiedenen Quellen stammten, darunter Infostealer-Malware-Logs, Telegram-Cybercrime-Kanäle und Breach-Sammlungen. Mehr als 1,7 Milliarden Datensätze stammten von Telegram-Kanälen.

Kritisch ist, dass der Cluster auch ungefähr 9.500 CVE-Datensätze enthielt, die mit aktiven GitHub-Repositories verknüpft waren — ein Beweis dafür, dass der Betreiber eine Angriffs-Priorisierungspipeline aufbaute, um ausnutzbare Schwachstellen mit verfügbaren gestohlenen Credentials abzugleichen. Die Datenbank wurde offline genommen, aber die Credentials befinden sich weiterhin im aktiven Umlauf.

Warum es wichtig ist: Die CVE-angereicherte Angriffspipeline verändert die Risikokalkulation: Die Rotation von Credentials nach einem Breach kann zu spät sein, wenn ein Angreifer bereits weiß, welche ungepatchten Dienste sie entsperren. Frische Infostealer-Logs enthalten auch aktive Session-Cookies, die MFA vollständig umgehen. Einzigartige Credentials pro Dienst bleiben die primäre strukturelle Verteidigung.

Quelle: Cybernews — 17. Jun 2026

124 Millionen einzigartige Infostealer-Passwörter zu Have I Been Pwned hinzugefügt

Am 15. Juni 2026 nahm Have I Been Pwned (HIBP) 56,3 Millionen einzigartige E-Mail-Adressen und 124 Millionen einzigartige Passwörter auf, die aus Infostealer-Malware-Logs stammen. Anders als traditionelle Breach-Daten wurden diese Credentials direkt von den Geräten der Opfer zum Zeitpunkt der Nutzung gestohlen — was bedeutet, dass sie aktuell und nicht rotiert sind. Der Datensatz ist jetzt über die Pwned Passwords API durchsuchbar, die in zahlreiche Unternehmens-Passwort-Manager und Identitätsplattformen integriert ist.

Warum es wichtig ist: Organisationen, die Passwort-Manager mit HIBP-Integration verwenden, werden nun Warnungen für einen wesentlich größeren Pool gefährdeter Credentials anzeigen. Die Gefahr hier ist die Aktualität: Mitarbeiter, die ihre Passwörter seit der Infektion ihres Geräts nicht geändert haben, bleiben vollständig exponiert. Dies ist ein direkter Anlass, ein Audit kompromittierter Credentials in Ihrer gesamten Organisation durchzuführen.

Quelle: Have I Been Pwned — 15. Jun 2026

Klue-SaaS-Supply-Chain-Angriff: OAuth-Tokens gestohlen, CRM-Daten von mehreren Sicherheitsanbietern exfiltriert

Eine neue Erpressergruppe namens Icarus (aktiv seit April 2026) verschaffte sich über ein kompromittiertes Legacy-Credential, das mit einem aufgegebenen Integrations-Dienstkonto verknüpft war, Erstzugang zur Market-Intelligence-Plattform Klue. Die Angreifer stahlen dann OAuth-Tokens, die von Klues Kunden zur Verbindung mit Salesforce und Gong verwendet wurden, und führten automatisierte Skripte gegen die Salesforce REST API für bis zu 24 Stunden Massen-CRM-Datenextraktion aus.

Bestätigte Opfer sind Huntress, Recorded Future, Tanium, Gong, Sprout Social, Jamf und Insurity. Salesforce deaktivierte die Klue-Integration.

Warum es wichtig ist: Ein vergessenes Legacy-Dienstkonto-Credential war der initiale Zugangsvektor. Einmal eingedrungen, benötigte der Angreifer keine Passwörter und keine MFA-Codes — das gestohlene OAuth-Token war aus Salesforce-Perspektive die Identität. Der Angriff lief 24 Stunden unentdeckt. Dienstkonto-Credentials und OAuth-Integrationen von Drittanbietern verdienen dieselbe Überwachungsdisziplin wie Mitarbeiterkonten.

Quelle: The Hacker News — 19. Jun 2026

Über 1.230 hartcodierte API-Schlüssel und JWT-Tokens in KI-Agenten-Anweisungsdateien in über 7.000 öffentlichen Repos gefunden

Mitiga Labs scannte über 50.000 KI-Anweisungsdateien (Cursor-Regeln, CLAUDE.md, MCP-Configs, Agent-Brain-Dateien) in über 7.000 öffentlichen GitHub-Repositories und fand über 1.230 hartcodierte API-Schlüssel und JWT-Tokens für Dienste wie Anthropic Claude, OpenAI GPT-5, Google Gemini, Databricks, Supabase, Vercel und Google Cloud Storage.

Separat berichtete GitGuardian, dass 28,65 Millionen Secrets 2025 auf öffentlichem GitHub geleakt wurden (ein Anstieg von 34 % im Jahresvergleich), wobei Leaks von KI-Diensten um 81 % zunahmen.

Warum es wichtig ist: KI-Agenten-Konfigurationsdateien werden zu einem primären Vektor für die Exponierung hartcodierter Credentials. Diese Dateien werden häufig von Benutzern ohne Sicherheitsbewusstsein erstellt — Produktmanager, Forscher, Gründer — die keine standardmäßigen Secrets-Hygienepraktiken anwenden. Die Secrets-Scanning-Richtlinien der meisten Organisationen decken Anweisungsdateien, MCP-Configs und Agent-Kontextdateien noch nicht ab. Das sollten sie.

Quelle: Mitiga Labs — 15. Jun 2026

Vergifteter Coding-Test veranlasst KI-Agenten, AWS-Credentials in unter 2 Minuten zu stehlen

Mitiga dokumentierte einen realen Angriff, bei dem ein gefälschtes Take-Home-Coding-Assessment-Repository versteckte Anweisungen in .cursor/rules-, README.md- und CLAUDE.md-Dateien enthielt. Als ein Entwickler das Repository in Cursor mit aktiviertem Auto-Run öffnete, führte der KI-Coding-Agent autonom cat ~/.aws/credentials, aws sts get-caller-identity, cat ~/.kube/config, terraform state list und einen Grep nach Secrets aus — und exfiltrierte dann alle gesammelten Daten über einen vergifteten MCP-Tool-Aufruf zu einem vom Angreifer kontrollierten Endpunkt. Die gesamte Kette wurde in 1 Minute 51 Sekunden abgeschlossen. Es wurde keine Malware installiert; es wurden keine Endpoint-Alerts generiert.

Warum es wichtig ist: Langlebige Cloud-Credentials, die auf Entwickler-Workstations gespeichert sind, sind jetzt ein primäres Ziel für KI-Agenten-vermittelte Angriffe. Jede Aktion wurde von einem legitimen Tool mit legitimen Befehlen durchgeführt — keine Endpoint-Kontrollen wurden ausgelöst. Die primäre Gegenmaßnahme ist das Ersetzen langlebiger Credentials durch kurzlebige OIDC-Tokens und föderierte Authentifizierung.

Quelle: Mitiga Labs — 19. Jun 2026

ShinyHunters beansprucht Europarat-Breach: 297 GB an HR-, Gehalts- und Medizindaten exponiert

Das Hackerkollektiv ShinyHunters übernahm die Verantwortung für einen Breach des Europarats und behauptete, 297 GB an Daten mit über 429.000 Dateien gestohlen zu haben — darunter 409.000 Gehaltsabrechnungen für über 10.000 Mitarbeiter über 15 Jahre, 14.000 Lebensläufe, 3.700 Personalakten und sensible Datensätze einschließlich Privatadressen, Gehälter, Bankdaten, Steuerinformationen und Krankenakten. Zum 21. Juni 2026 veröffentlichte ShinyHunters die Daten dauerhaft, nachdem der Europarat nicht auf Lösegeldforderungen reagiert hatte.

Warum es wichtig ist: Die exponierten Datensätze schaffen effektive Spear-Phishing-Vektoren gegen eine sensible Institution. ShinyHunters hat nun innerhalb eines einzigen Jahres die Europäische Kommission (März 2026), den Europarat (Juni 2026) und den niederländischen Telekommunikationsanbieter Odido (Februar 2026) für sich beansprucht. Europäische Sicherheitsteams sollten dies als eine anhaltende gezielte Kampagne betrachten, nicht als isolierte Vorfälle.

Quelle: Cybernews — 15. Jun 2026

Frankreichs Tchap-Regierungs-Messaging-Plattform gehackt: 73.467 Beamtenkonten kompromittiert

Frankreichs souveräne Regierungs-Messaging-Plattform Tchap (genutzt von über 825.000 Regierungsangestellten) wurde am 7. Juni 2026 von einem Bedrohungsakteur namens „misere" gehackt. DINUM bestätigte, dass 73.467 Regierungskonten betroffen waren, wobei die exponierten Daten Namen, E-Mail-Adressen und zugehörige Regierungsstellen umfassten.

Der Bedrohungsakteur behauptet zusätzlich, 13,5 GB an Dateien einschließlich über 643.000 Nachrichten gestohlen zu haben. Der Angriffsvektor soll Account-Hijacking beinhalten, möglicherweise über Infostealer-gestützte Credentials.

Warum es wichtig ist: Der Breach illustriert, wie Credential-Kompromittierung (möglicherweise über Stealer-Logs) gegen souveräne Regierungs-Kommunikationsinfrastruktur in großem Maßstab als Waffe eingesetzt werden kann. Sicherheitsexperten stellten fest, dass der Angriff möglicherweise keine Zero-Days erforderte: API-basierte Datenextraktion mit legitimen Credentials reicht für dieses Ausmaß an Exfiltration aus. Unter NIS2 werden digitale Regierungsdienste als wesentliche Einrichtungen klassifiziert, was eine obligatorische Vorfallsmeldung an ANSSI auslöst.

Quelle: SecurityWeek — 15. Jun 2026

Velvet Ant (China-Nexus) installiert Backdoors in Linux-PAM-Modulen und OpenSSH für jahrzehntelangen Credential-Diebstahl

Das Incident-Response-Team von Sygnia deckte Operation Highland auf, eine fast zehn Jahre andauernde Spionagekampagne des mit China verbundenen Bedrohungsakteurs Velvet Ant. Seit mindestens 2016–2017 aktiv, modifizierte die Gruppe Linux Pluggable Authentication Modules (PAM) — insbesondere pam_unix.so — um ein hartcodiertes Backdoor-Passwort zu akzeptieren, Credentials aus legitimen Authentifizierungsversuchen zu sammeln und jegliche Protokollierung von Angreiferaktivitäten zu unterdrücken. Neun Instanzen des mit Backdoor versehenen PAM-Moduls wurden auf kompromittierten Hosts gefunden. Die Gruppe installierte auch Backdoors in OpenSSH-Binärdateien, um persistenten Zugang aufrechtzuerhalten.

Warum es wichtig ist: Dieser Angriff stahl keine Passwörter — er unterwanderte die Authentifizierungsschicht selbst. Durch die Modifizierung von PAM-Modulen konnte Velvet Ant sich als beliebiger Benutzer authentifizieren und jedes auf kompromittierten Hosts eingegebene Passwort abgreifen. Starke Passwörter bieten keinen Schutz, wenn der Authentifizierungs-Stack kompromittiert ist. Betreiber kritischer Infrastrukturen in den Bereichen Energie, Fertigung und Verteidigung stehen vor direkt analogen Risiken.

Quelle: CyberSecurityNews / Sygnia — 15. Jun 2026

Italienische Garante verhängt Geldstrafe von 85.000 € gegen Beratungsfirma wegen Speicherung von Passwörtern im Klartext nach 61.000-Benutzer-Breach

Italiens Datenschutzbehörde, die Garante, verhängte eine Geldstrafe von 85.000 € gegen eine Beratungsfirma nach einem Datenschutzvorfall, bei dem personenbezogene Daten von mehr als 61.000 Benutzern exponiert wurden. Die Garante stellte fest, dass bestimmte Passwörter im Klartext gespeichert oder mit veralteten kryptographischen Algorithmen geschützt waren und dass Credentials für nicht mehr genutzte Systeme über ihre notwendige Aufbewahrungsdauer hinaus gespeichert worden waren. Betroffene Personen wurden etwa zwei Monate nach der Entdeckung benachrichtigt — und erst nach Erlass einer Korrekturanordnung.

Warum es wichtig ist: Die Garante nannte ausdrücklich die Speicherung von Passwörtern im Klartext und veraltete Kryptographie als primäre DSGVO-Verstöße. Dies etabliert einen klaren Durchsetzungspräzedenzfall: Artikel 32 erfordert modernes Passwort-Hashing, und das Aufbewahren von Credentials für stillgelegte Systeme verstößt gegen das Grundprinzip der Speicherbegrenzung. EU-Organisationen sollten ihre Implementierungen zur Passwortspeicherung anhand dieser Entscheidung überprüfen.

Quelle: Gibson Dunn Europe Data Protection — 15. Jun 2026

EDPB verabschiedet harmonisierte EU-weite Vorlage für Datenschutzverletzungsmeldungen gemäß DSGVO

Der Europäische Datenschutzausschuss (EDPB) hat eine standardisierte Vorlage für Meldungen von Verletzungen des Schutzes personenbezogener Daten gemäß DSGVO Artikel 33 verabschiedet, die bis zum 5. August 2026 zur öffentlichen Konsultation steht. Die Vorlage bietet Organisationen in der gesamten EU ein einheitliches strukturiertes Formular zur Meldung von Verletzungen des Schutzes personenbezogener Daten an Aufsichtsbehörden und ersetzt die derzeit fragmentierten nationalen Formate.

Warum es wichtig ist: Die harmonisierte Vorlage wirkt sich direkt darauf aus, wie Organisationen Credential-Expositionsvorfälle gemäß DSGVO Artikel 33 melden. Sie erfordert eine strukturierte Offenlegung der kompromittierten Datentypen, betroffenen Personen und wahrscheinlichen Folgen. Compliance- und Rechtsteams sollten den Entwurf vor Ablauf der Konsultationsfrist am 5. August prüfen.

Quelle: LexisNexis UK/EU Risk & Compliance — 18. Jun 2026

ANSSI wird ab 2027 keine Sicherheitsprodukte mehr ohne quantenresistente Verschlüsselung zertifizieren

Frankreichs nationale Cybersicherheitsbehörde ANSSI kündigte an, dass sie ab 2027 keine Sicherheitsprodukte (einschließlich Passwort-Manager, VPNs und Authentifizierungslösungen) mehr zertifizieren wird, die keine quantenresistente (Post-Quanten) Kryptographie integrieren.

Die Ankündigung begleitet Frankreichs breitere nationale Cyber-Strategie, die eine staatliche Investition von 200 Millionen Euro in Cybersicherheitsinfrastruktur und Post-Quanten-Kryptographie-Tools umfasst.

Warum es wichtig ist: Passwort-Manager und Credential-Tresore basieren auf kryptographischen Primitiven, die theoretisch anfällig für Quantencomputing-Angriffe sind. ANSSIs Zertifizierungsanforderung schreibt Post-Quanten-Algorithmen für die französische Regierungszulassung vor, womit Frankreich der erste EU-Mitgliedstaat ist, der eine harte Frist setzt. Das ANSSI-Rahmenwerk wird in ganz Europa weithin referenziert und wird voraussichtlich das Europäische Cybersicherheits-Zertifizierungsschema der ENISA beeinflussen.

Quelle: Reuters — 16. Jun 2026

Gartner identifiziert drei Veränderungen im Secrets-Management, die Sicherheitsteams nicht ignorieren können

Gartner identifiziert drei strategische Veränderungen im Secrets-Management:

1. Workload Access Management — der Wechsel von statischen Secrets zu dynamischer, Just-in-Time-Credential-Ausgabe für Workloads.
2. Secretless Architecture — die vollständige Eliminierung langlebiger Secrets zugunsten von identitätsbasiertem Zugriff mittels SPIFFE/SPIRE.
3. Multi-Vault Governance — konsistentes Management von Secrets über mehrere Tresor-Plattformen hinweg, da Organisationen unterschiedliche Secrets-Speicher über HashiCorp Vault, AWS Secrets Manager, Azure Key Vault und andere ansammeln.

Warum es wichtig ist: Diese drei Veränderungen korrespondieren direkt mit den diese Woche aufgedeckten Fehlermodi. FortiBleed demonstriert das Risiko statischer, nie rotierter Credentials (Veränderung 1). Der Klue-OAuth-Breach demonstriert das Risiko langlebiger Legacy-Credentials (Veränderung 2). Credential-Drift über Multi-Cloud-Umgebungen ist das Problem, das Veränderung 3 adressiert. Dieses Rahmenwerk gibt Sicherheits- und IT-Führungskräften eine strukturierte Möglichkeit, ihre aktuelle Secrets-Management-Reife anhand der Vorfälle dieser Woche zu bewerten.

Quelle: Akeyless Blog (unter Berufung auf Gartner-Forschung) — 17. Jun 2026

Zusammenfassung dieser Woche

Das Muster über die Vorfälle dieser Woche hinweg ist konsistent genug, um es zu benennen: Statische Credentials, vergessene Dienstkonten und langlebige Tokens sind die Einstiegspunkte, die Angreifer aktiv ausnutzen.

Die regulatorische Durchsetzung holt auf. Die Geldstrafe von 85.000 € der italienischen Garante für Klartext-Passwortspeicherung, die US-Bundesfristen für PQC und ANSSIs Zertifizierungsfrist 2027 fügen eine zukunftsorientierte Dimension hinzu: Die kryptographischen Grundlagen der Credential-Speicherung selbst stehen unter einer harten Frist.

Drei Maßnahmen ergeben sich direkt aus den Ereignissen dieser Woche:

• Erstens: Prüfen Sie Dienstkonten und OAuth-Integrationen von Drittanbietern — der Klue-Angriff begann mit einem vergessenen Konto.
• Zweitens: Führen Sie eine Prüfung kompromittierter Credentials gegen den HIBP-Datensatz durch, der jetzt um 124 Millionen Infostealer-gestützte Passwörter erweitert wurde.
• Drittens: Überprüfen Sie, wie Secrets auf Entwickler-Workstations gespeichert werden. Langlebige Cloud-Credentials sind jetzt ein explizites KI-Agenten-Ziel.

Credentials außerhalb jedes verwalteten Systems sind die gemeinsame Wurzel — hartcodierte API-Schlüssel, nicht rotierte VPN-Credentials, Klartext-Passwörter in stillgelegten Diensten. Passwork bietet IT- und Sicherheitsteams zentrale Transparenz über Unternehmenspasswörter und technische Secrets, mit integrierten Zugriffsprotokollen, Rotations-Tracking und Warnungen zu kompromittierten Credentials. Beginnen Sie mit dem, was Sie kontrollieren können

Secrets-Rotations-Lebenszyklus: Von der Erstellung bis zum Widerruf

Secret-Rotation scheitert, wenn sie als geplante Aufgabe statt als Lebenszyklus behandelt wird. Dieser Leitfaden behandelt alle sieben Phasen — von der Erstellung und Eigentümerschaft bis zur sicheren Rotation, Notfall-Widerruf und Audit-Nachweisen.

Passwork BlogAlex Muntyan

10 Sicherheitsfehler bei Remote-Arbeit (und wie man sie behebt)

10 Sicherheitsfehler bei Remote-Arbeit — und das eine Prinzip hinter allen: Sicherheit bricht dort zusammen, wo der sichere Weg mehr Reibung hat als der unsichere. Echte Fälle, realistische Lösungen, eine 5-Schichten-Baseline, gegen die Ihr Team prüfen kann.

Passwork BlogAlex Muntyan

NIS2-Zugriffskontrollen für Supply-Chain-Sicherheit

48 % der Breaches betreffen mittlerweile Drittparteien. NIS2 Artikel 21 macht Lieferanten-Zugangs-Governance zur rechtlichen Pflicht. So kartieren Sie Lieferantenzugang, setzen MFA und Least Privilege durch und bewahren die Audit-Nachweise auf, die belegen, dass Ihre Kontrollen funktionieren.

Passwork BlogAlex Muntyan

This week brought several major incidents, and all of them point in the same direction. The scale of credential compromise keeps breaking records. FortiBleed: 86,000 devices across 194 countries. The Elasticsearch leak: 24 billion records from dozens of sources. HIBP added 124 million passwords stolen by infostealers at the moment of use. This data is already in circulation.

• Two attack methods received concrete confirmation this week. Attackers are increasingly bypassing passwords altogether: the Klue breach started with a forgotten service account and ended with stolen OAuth tokens — no password entered at any point. 
• AI agents have become an independent attack vector: a poisoned coding test repository allowed an attacker to exfiltrate AWS credentials from a developer's workstation in 111 seconds, with no endpoint alerts generated.
• Regulatory pressure is moving on two fronts. In Europe, the Council of Europe and French government platform Tchap were breached, the Italian Garante fined a firm for storing passwords in cleartext, and new EDPB and NIS2 incident reporting templates dropped — all within a single week. 
• In the U.S., President Trump signed two executive orders setting hard federal deadlines for post-quantum cryptography migration, signaling that the window for preparation is shorter than most organizations have assumed.

This digest covers the 14 most significant events from 15 to 22 June 2026.

U.S. sets federal deadlines for post-quantum cryptography (PQC) migration

On 22 June 2026, President Trump signed two executive orders on quantum technology. EO "Securing the Nation Against Advanced Cryptographic Attacks" requires federal agencies to designate a PQC migration lead, transition high-value assets to post-quantum cryptography by 2030, and complete full migration by 2031.

A second order directs development of a fault-tolerant quantum computer by 2028. Both orders cite "harvest now, decrypt later" attacks as the primary threat driver — adversaries collecting encrypted data today for future decryption. Barron's reports that some analysts put viable quantum decryption capability as early as 2029.

Why it matters: The 2030–2031 federal deadlines will not stay inside the government. Procurement contracts and sector-specific regulation tend to follow federal precedent, so any organization that touches government infrastructure or operates in a regulated industry should treat this as an early signal. The practical starting point is knowing what you have: which systems depend on RSA or ECC, where cryptographic keys and certificates actually live, and who controls them.

Source: Reuters / White House — 22 Jun 2026

FortiBleed: 86,000+ fortinet device credentials compromised across 194 countries

A large-scale credential theft campaign has compiled a verified database of over 86,644 working credentials for internet-facing Fortinet FortiGate firewalls and SSL VPN appliances — roughly 50% of all such devices exposed to the internet. The campaign involved SSL VPN authentication interception, hash-cracking on a 45-GPU cluster, and Active Directory pivoting.

Attackers executed approximately 1.16 billion credential attempts against 320,000+ FortiGate targets. CISA issued an urgent advisory on 18 June 2026, requiring organizations to terminate active sessions, reset all credentials, enable phishing-resistant MFA, and apply PBKDF2 password hashing for admin accounts. Huntress confirmed 845 partner organizations were directly impacted.

Why it matters: Organizations that patched Fortinet vulnerabilities but never rotated credentials remain fully exposed. This is the defining credential security event of the week. Any organization with internet-facing Fortinet infrastructure should treat this as an active incident requiring immediate credential rotation — not a scheduled maintenance task.

Source: SecurityWeek — 19 Jun 2026

24 billion stolen credentials exposed in colossal Elasticsearch leak

Cybernews researchers discovered a publicly accessible Elasticsearch cluster containing 24 billion stolen credential records across 8.3 terabytes of data, drawn from 36 distinct sources including infostealer malware logs, Telegram cybercrime channels, and breach compilations. More than 1.7 billion records originated from Telegram channels.

Critically, the cluster also contained approximately 9,500 CVE records linked to active GitHub repositories — evidence the operator was building an attack-prioritization pipeline to cross-reference exploitable vulnerabilities with available stolen credentials. The database has been taken offline, but the credentials remain in active circulation.

Why it matters: The CVE-enriched attack pipeline changes the risk calculation: rotating credentials after a breach may be too late if an attacker already knows which unpatched services they unlock. Fresh infostealer logs also contain active session cookies that bypass MFA entirely. Unique credentials per service remain the primary structural defense.

Source: Cybernews — 17 Jun 2026

124 million unique infostealer passwords added to Have I Been Pwned

On 15 June 2026, Have I Been Pwned (HIBP) ingested 56.3 million unique email addresses and 124 million unique passwords sourced from infostealer malware logs. Unlike traditional breach data, these credentials were stolen directly from victims' devices at the time of use — meaning they are current and unrotated. The dataset is now searchable via the Pwned Passwords API, which is integrated into numerous enterprise password managers and identity platforms.

Why it matters: Organizations using password managers with HIBP integration will now surface alerts for a substantially larger pool of at-risk credentials. The danger here is freshness: employees who have not changed passwords since their device was infected remain fully exposed. This is a direct prompt to run a compromised credential audit across your organization.

Source: Have I Been Pwned — 15 Jun 2026

Klue SaaS supply chain attack: OAuth tokens stolen, CRM data exfiltrated from multiple security vendors

A new extortion group called Icarus (active since April 2026) gained initial access to market intelligence platform Klue via a compromised legacy credential associated with an abandoned integration service account. Attackers then stole OAuth tokens used by Klue's customers to connect to Salesforce and Gong, and ran automated scripts against the Salesforce REST API for up to 24 hours of bulk CRM data extraction.

Confirmed victims include Huntress, Recorded Future, Tanium, Gong, Sprout Social, Jamf, and Insurity. Salesforce disabled the Klue integration.

Why it matters: A forgotten legacy service account credential was the initial access vector. Once inside, the attacker needed no passwords and no MFA codes — the stolen OAuth token was the identity from Salesforce's perspective. The attack ran undetected for 24 hours. Service account credentials and third-party OAuth integrations warrant the same monitoring discipline as employee accounts.

Source: The Hacker News — 19 Jun 2026

1,230+ hardcoded API keys and JWT tokens found in AI agent instruction files across 7,000+ public repos

Mitiga Labs scanned 50,000+ AI instruction files (Cursor rules, CLAUDE.md, MCP configs, agent brain files) across 7,000+ public GitHub repositories and found over 1,230 hardcoded API keys and JWT tokens across services including Anthropic Claude, OpenAI GPT-5, Google Gemini, Databricks, Supabase, Vercel, and Google Cloud Storage.

Separately, GitGuardian reported that 28.65 million secrets were leaked on public GitHub in 2025 (a 34% year-on-year increase) with AI service leaks up 81%.

Why it matters: AI agent configuration files are becoming a primary vector for hardcoded credential exposure. These files are frequently created by non-security-aware users — product managers, researchers, founders — who do not apply standard secrets hygiene. Most organizations' secrets scanning policies do not yet cover instruction files, MCP configs, and agent context files. They should.

Source: Mitiga Labs — 15 Jun 2026

Poisoned coding test causes AI agent to steal AWS credentials in under 2 minutes

Mitiga documented a real-world attack in which a fake take-home coding assessment repository contained hidden instructions in .cursor/rules, README.md, and CLAUDE.md files. When a developer opened the repository in Cursor with auto-run enabled, the AI coding agent autonomously executed cat ~/.aws/credentials, aws sts get-caller-identity, cat ~/.kube/config, terraform state list, and a grep for secrets — then exfiltrated all collected data to an attacker-controlled endpoint via a poisoned MCP tool call. The entire chain completed in 1 minute 51 seconds. No malware was dropped; no endpoint alerts were generated.

Why it matters: Long-lived cloud credentials stored on developer workstations are now a primary target for AI-agent-mediated attacks. Every action was performed by a legitimate tool using legitimate commands — no endpoint controls triggered. The primary mitigation is replacing long-lived credentials with short-lived OIDC tokens and federated authentication.

Source: Mitiga Labs — 19 Jun 2026

ShinyHunters claims Council of Europe breach: 297 GB of HR, payroll, and medical records exposed

The hacker collective ShinyHunters claimed responsibility for a breach of the Council of Europe, alleging theft of 297 GB of data comprising over 429,000 files — including 409,000 payslips covering 10,000+ staff over 15 years, 14,000 CVs, 3,700 personnel files, and sensitive records including home addresses, salaries, bank details, tax information, and medical records. As of 21 June 2026, ShinyHunters published the data permanently after the Council of Europe did not respond to ransom demands.

Why it matters: The exposed records create effective spear-phishing vectors against a sensitive institution. ShinyHunters has now claimed the European Commission (March 2026), the Council of Europe (June 2026), and Dutch telecom Odido (February 2026) within a single year. European security teams should treat this as a sustained targeting campaign, not isolated incidents.

Source: Cybernews — 15 Jun 2026

France's Tchap government messaging platform breached: 73,467 officials' accounts compromised

France's sovereign government messaging platform Tchap (used by over 825,000 government employees) was breached on 7 June 2026 by a threat actor calling itself "misere." DINUM confirmed 73,467 government accounts were affected, with exposed data including names, email addresses, and affiliated government entities.

The threat actor additionally claims to have stolen 13.5 GB of files including over 643,000 messages. The attack vector is believed to involve account hijacking, possibly via infostealer-sourced credentials.

Why it matters: The breach illustrates how credential compromise (potentially via stealer logs) can be weaponized against sovereign government communication infrastructure at scale. Security experts noted the attack may not have required zero-days: API-based data extraction using legitimate credentials is sufficient for this scale of exfiltration. Under NIS2, government digital services are classified as essential entities, triggering mandatory incident reporting to ANSSI.

Source: SecurityWeek — 15 Jun 2026

Velvet Ant (China-Nexus) backdoors Linux PAM modules and OpenSSH for decade-long credential theft

Sygnia's incident response team uncovered Operation Highland, a near-decade-long espionage campaign by the China-linked Velvet Ant threat actor. Active since at least 2016–2017, the group modified Linux Pluggable Authentication Modules (PAM) — specifically pam_unix.so — to accept a hardcoded backdoor password, harvest credentials from legitimate authentication attempts, and suppress all logging of attacker activity. Nine instances of the backdoored PAM module were found across compromised hosts. The group also backdoored OpenSSH binaries to maintain persistent access.

Why it matters: This attack did not steal passwords — it subverted the authentication layer itself. By modifying PAM modules, Velvet Ant could authenticate as any user and harvest every password entered on compromised hosts. Strong passwords offer no protection when the authentication stack is compromised. Critical infrastructure operators in energy, manufacturing, and defense face directly analogous risks.

Source: CyberSecurityNews / Sygnia — 15 Jun 2026

Italian Garante fines consulting firm €85,000 for storing passwords in cleartext after 61,000-user breach

Italy's data protection authority, the Garante, imposed an €85,000 fine on a consulting firm following a data breach exposing personal data of more than 61,000 users. The Garante found that certain passwords were stored in cleartext or protected with outdated cryptographic algorithms, and that credentials for unused systems had been retained beyond their necessary period. Affected individuals were notified approximately two months after discovery — and only after a corrective order was issued.

Why it matters: The Garante explicitly cited cleartext password storage and obsolete cryptography as the primary GDPR infringements. This establishes a clear enforcement precedent: Article 32 requires modern password hashing, and retaining credentials for decommissioned systems violates the storage limitation principle. EU organizations should audit their password storage implementations against this decision.

Source: Gibson Dunn Europe Data Protection — 15 Jun 2026

EDPB adopts harmonized EU-wide data breach notification template under GDPR

The European Data Protection Board (EDPB) has adopted a standardized template for personal data breach notifications under GDPR Article 33, open for public consultation until 5 August 2026. The template provides organizations across the EU with a single structured form for reporting personal data breaches to supervisory authorities, replacing the currently fragmented national formats.

Why it matters: The harmonized template directly affects how organizations report credential exposure incidents under GDPR Article 33, requiring structured disclosure of compromised data types, affected individuals, and likely consequences. Compliance and legal teams should review the draft before the 5 August consultation deadline.

Source: LexisNexis UK/EU Risk & Compliance — 18 Jun 2026

ANSSI will stop certifying security products without quantum-resistant encryption from 2027

France's national cybersecurity agency ANSSI announced it will cease certifying security products (including password managers, VPNs, and authentication solutions) that do not incorporate quantum-resistant (post-quantum) cryptography starting from 2027.

The announcement accompanies France's broader national cyber strategy, which includes a €200 million government investment in cybersecurity infrastructure and post-quantum cryptography tooling.

Why it matters: Password managers and credential vaults rely on cryptographic primitives theoretically vulnerable to quantum computing attacks. ANSSI's certification requirement mandates post-quantum algorithms for French government approval, making France the first EU member state to set a hard deadline. ANSSI's framework is widely referenced across Europe and is expected to influence ENISA's European Cybersecurity Certification Scheme.

Source: Reuters — 16 Jun 2026

Gartner identifies three shifts in secrets management security teams cannot ignore

Gartner identifies three strategic shifts in secrets management:

1. Workload Access Management — moving from static secrets to dynamic, just-in-time credential issuance for workloads.
2. Secretless Architecture — eliminating long-lived secrets entirely in favor of identity-based access using SPIFFE/SPIRE.
3. Multi-Vault Governance — managing secrets consistently across multiple vault platforms as organizations accumulate disparate secrets stores across HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, and others.

Why it matters: These three shifts map directly to the failure modes exposed this week. FortiBleed demonstrates the risk of static credentials never rotated (Shift 1). The Klue OAuth breach demonstrates the risk of long-lived legacy credentials (Shift 2). Credential drift across multi-cloud environments is the problem Shift 3 addresses. This framework gives security and IT leadership a structured way to assess their current secrets management maturity against the week's incidents.

Source: Akeyless Blog (citing Gartner research) — 17 Jun 2026

This week's recap

The pattern across this week's incidents is consistent enough to name: static credentials, forgotten service accounts, and long-lived tokens are the entry points attackers are actively exploiting.

Regulatory enforcement is catching up. The Italian Garante's €85,000 fine for cleartext password storage, the U.S. federal PQC deadlines, and ANSSI's 2027 certification cutoff add a forward-looking dimension: the cryptographic foundations of credential storage are themselves under a hard timeline.

Three actions follow directly from this week's events:

• First, audit service accounts and third-party OAuth integrations — the Klue attack started with a forgotten one.
• Second, run a compromised credential check against the HIBP dataset now expanded by 124 million infostealer-sourced passwords.
• Third, review how secrets live on developer workstations. Long-lived cloud credentials are now an explicit AI-agent target.

Credentials outside any managed system are the common root — hardcoded API keys, unrotated VPN credentials, cleartext passwords in decommissioned services. Passwork gives IT and security teams centralized visibility over corporate passwords and technical secrets, with access logs, rotation tracking, and compromised credential alerts built in. Start with what you can control

Secrets rotation lifecycle: From creation to revocation

Secret rotation fails when it’s treated as a scheduled task rather than a lifecycle. This guide covers all seven stages — from creation and ownership to safe rotation, emergency revocation, and audit evidence.

Passwork BlogAlex Muntyan

10 Remote Work Security Fails (And How to Fix Them)

10 remote work security fails — and the one principle behind all of them: security breaks where the secure path has more friction than the insecure one. Real cases, realistic fixes, a 5-layer baseline your team can audit against.

Passwork BlogAlex Muntyan

NIS2 access controls for supply chain security

48% of breaches now involve third parties. NIS2 Article 21 makes supplier access governance a legal obligation. Here’s how to map vendor access, enforce MFA and least privilege, and keep the audit evidence that proves your controls work.

Passwork BlogAlex Muntyan

Bulgariens NIS2-Übergangsfrist endete am 1. Juni 2026 — Vorstandsmitglieder sind nun mit vollen persönlichen Bußgeldern konfrontiert, nicht mehr mit dem ermäßigten Satz von 50 %, der bis Mai galt. Luxemburgs NIS2-Richtlinien-Umsetzungsgesetz trat am 10. Mai 2026 in Kraft, womit vier Mitgliedstaaten noch ohne Umsetzungsgesetzgebung verbleiben. Die NIS-Kooperationsgruppe der EU hat gemeinsame Vorlagen für die Vorfallmeldung verabschiedet, die die Kommission durch einen Durchführungsrechtsakt verbindlich machen will.

Dieser Artikel behandelt alle wesentlichen NIS2-Updates vom Mai 2026: was sich geändert hat, welche Fristen aktuell gelten und worauf Ihr Team jetzt reagieren muss.

Wichtigste Erkenntnisse

Diese NIS2-Updates vom Mai 2026 bringen konkrete Compliance-Auslöser mit sich: spezifische Daten und spezifische Verpflichtungen. Hier ist, was sich geändert hat.

• Bulgariens vollständiges Sanktionsregime ist aktiv. Ab dem 1. Juni 2026 gelten persönliche Bußgelder für Mitglieder von Leitungsorganen zu 100 % der gesetzlichen Beträge — bis zu 5.000 € pro Person, getrennt von Bußgeldern auf Unternehmensebene von bis zu 10 Millionen €. Der 50 %-Übergangsrabatt ist entfallen.
• Luxemburgs NIS2-Gesetz trat am 10. Mai 2026 in Kraft. Betroffene Einrichtungen haben bis zum 10. Juli 2026 Zeit, sich beim ILR selbst zu registrieren. Eine Nichtregistrierung stellt bereits einen sanktionsfähigen Verstoß dar.
• Vier EU-Mitgliedstaaten haben NIS2 noch nicht umgesetzt — mehr als 19 Monate nach der Frist vom Oktober 2024, laut dem Tracker von Cullen International vom Mai 2026.
• Gemeinsame Vorlagen für die Vorfallmeldung wurden EU-weit verabschiedet. Die NIS-Kooperationsgruppe einigte sich auf standardisierte Formate bei ihrer 39. Plenarsitzung in Zypern am 26. Mai 2026. Ein Durchführungsrechtsakt der Kommission wird diese verbindlich machen.
• Der NIS360 2026-Bericht von ENISA identifiziert acht Risikosektoren. Gesundheit, Eisenbahn, Seefahrt, ICT-Dienstleistungsmanagement, Raumfahrt, öffentliche Verwaltung, Trinkwasser und Abwasser weisen die niedrigste Cybersicherheitsreife im Verhältnis zu ihrer Kritikalität auf.
• Die Niederlande haben ihr verzögertes Cyberbeveiligingswet vorangebracht. Die niederländische Zweite Kammer stimmte dem Gesetzentwurf am 15. April 2026 zu; die Zustimmung des Senats steht noch aus.
• Irland bestätigte das National Cyber Security Bill als NIS2-Vehikel. Das Justizministerium erarbeitet die Gesetzgebung und verleiht dem NCSC eine gesetzliche Grundlage.
• DigitalEurope forderte eine tiefere NIS2-Harmonisierung. Der Branchenverband veröffentlichte eine formelle Stellungnahme, die Anwendungsbereich, Größenschwellen, Vorfallmeldung und Konformitätsbewertung als die Bereiche mit dem größten Standardisierungsbedarf über die Mitgliedstaaten hinweg identifiziert.

Bulgariens vollständige Durchsetzungsphase begann am 1. Juni 2026

Bulgariens NIS2-Durchsetzung ist am 1. Juni 2026 in ihre finale Phase eingetreten. Bußgelder und Sanktionen für alle Verstöße gelten nun in voller gesetzlicher Höhe — die 50 %-Ermäßigung für Verstöße vor diesem Datum ist entfallen.

Die zugrundeliegende Gesetzgebung ist das Gesetz zur Änderung und Ergänzung des Cybersicherheitsgesetzes, das von der 51. Nationalversammlung am 5. Februar 2026 verabschiedet und im Staatsanzeiger (Ausgabe 17) am 13. Februar 2026 verkündet wurde und am selben Tag in Kraft trat.

Wer ist betroffen

Das Cybersicherheitsgesetz erfasst öffentliche und private Einrichtungen in den Sektoren nach Anhang I und Anhang II, die die Schwellenwerte für mittlere Unternehmen erreichen oder überschreiten. Bestimmte Anbieter fallen unabhängig von ihrer Größe in den Anwendungsbereich: öffentliche elektronische Kommunikationsnetze, Vertrauensdiensteanbieter, Top-Level-Domain-Registrierungsstellen, DNS-Diensteanbieter, Einrichtungen, die der einzige Anbieter eines kritischen Dienstes in Bulgarien sind, oder deren Ausfall die öffentliche Ordnung, öffentliche Sicherheit oder Gesundheit oder die Wirtschaft erheblich beeinträchtigen würde.

Verwaltungsbehörden (einschließlich Gemeinden) werden gemäß Artikel 4a(1)(4) unabhängig von ihrer Größe als wesentliche Einrichtungen eingestuft.

Vollständige Durchsetzung ohne vollständiges Regelwerk

Eine praktische Komplikation bleibt bestehen. Das Gesetz delegiert die Definition von Mindestmaßnahmen für Cybersicherheit für bestimmte Einrichtungskategorien ausdrücklich an eine Sekundärverordnung des Ministerrats, die gemeinsam von der Kommission für Kommunikationsregulierung und dem Minister für E-Governance vorgeschlagen werden soll. Diese Verordnung wurde noch nicht veröffentlicht. Organisationen traten in die vollständige Durchsetzungsphase ein, ohne das vollständige operative Regelwerk, das das Gesetz selbst vorgesehen hatte.

Das setzt die Verpflichtungen nicht aus. Das Primärgesetz ist in Kraft, Sanktionen sind real. Eine Gap-Analyse gegen das bestehende NIS2-Framework ist jetzt sowohl möglich als auch ratsam, bevor der aufsichtliche Druck zunimmt. ISO/IEC 27001 und ISO 22301 bieten eine praktikable Grundlage neben den Anforderungen des Cybersicherheitsgesetzes.

Was Leitungsorgane nun nachweisen müssen

Bulgariens Cybersicherheitsgesetz legt eine ausdrückliche persönliche Verantwortlichkeit auf einzelne Mitglieder von Leitungsorganen, nicht nur auf die Organisation als juristische Person. Leitungsorgane müssen:

• Die nach Artikel 21 erforderlichen Maßnahmen zum Cybersicherheits-Risikomanagement formell genehmigen
• Die Umsetzung dieser Maßnahmen überwachen
• Mindestens alle zwei Jahre eine Cybersicherheitsschulung absolvieren
• Regelmäßig gleichwertige Schulungen für Mitarbeiter organisieren

Die Maßnahmen, die Vorstände genehmigen müssen, umfassen Risikoanalyse und Informationssicherheitsrichtlinien, Vorfallbehandlung, Geschäftskontinuität und Krisenmanagement, Lieferkettensicherheit, Cyberhygiene-Praktiken und Multi-Faktor-Authentifizierung, wo angemessen.

Die Struktur persönlicher Bußgelder

Wenn ein Mitglied des Leitungsorgans einer wesentlichen oder wichtigen Einrichtung gegen diese Governance-Pflichten verstößt, kann ein persönliches Bußgeld von 500 € bis 5.000 € verhängt werden. Dies ist getrennt von Sanktionen auf Unternehmensebene und kumuliert sich zu diesen: bis zu 10 Millionen € oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und bis zu 7 Millionen € oder 1,4 % für wichtige Einrichtungen.

Die zuständige nationale Behörde kann auch bei Gericht beantragen, dass einer natürlichen Person vorübergehend die Ausübung von Leitungsfunktionen in einer wesentlichen Einrichtung untersagt wird.

Die praktische Konsequenz: Ein Vorstandsmitglied kann sich nicht durch Delegation aus der Haftung befreien. Ob ein Bußgeld verhängt wird und wie schwer es ausfällt, hängt von der Fähigkeit der Person ab, konkrete Handlungen nachzuweisen — Vorstandsbeschlüsse, verabschiedete Richtlinien, Auditprotokolle, zugewiesene Verantwortlichkeiten, absolvierte Schulungen und dokumentierte Korrekturmaßnahmen.

EU-weit: Gemeinsame Vorlagen für die Vorfallmeldung verabschiedet

Am 26. Mai 2026 verabschiedete die NIS-Kooperationsgruppe bei ihrer 39. Plenarsitzung in Zypern gemeinsame Vorlagen für die NIS2-Vorfallmeldung. Die Gruppe bringt EU-Mitgliedstaaten, die Europäische Kommission und ENISA zusammen.

Die Vorlagen bieten ein standardisiertes Format für die Meldung von Cybervorfällen in der gesamten EU. Bis jetzt bedeutete das Fehlen eines gemeinsamen Formats, dass Organisationen, die in mehreren Mitgliedstaaten tätig sind, mit unterschiedlichen nationalen Meldeformularen, Feldsätzen und Einreichungsportalen umgehen mussten — eine erhebliche administrative Belastung für jeden grenzüberschreitenden Betrieb.

Die Kommission hat erklärt, dass sie plant, diese Vorlagen durch einen Durchführungsrechtsakt zu verabschieden, wodurch sie für alle Mitgliedstaaten verbindlich würden. Sobald dieser Rechtsakt in Kraft ist, werden die Vorlagen einen einheitlichen Rahmen für die Vorfallmeldung in der gesamten EU etablieren.

Diese Entwicklung steht auch im Zusammenhang mit dem breiteren Digital-Omnibus-Vorschlag, der einen einzigen Zugangspunkt für die Vorfallmeldung vorsieht. Die gemeinsamen Vorlagen sind darauf ausgelegt, mit dieser zukünftigen Architektur übereinzustimmen.

Was das für Ihren Incident-Response-Prozess bedeutet: Wenn Ihr Team Benachrichtigungs-Workflows um das aktuelle Formular eines bestimmten Mitgliedstaats herum aufgebaut hat, ist damit zu rechnen, dass diese Workflows aktualisiert werden müssen, sobald der Durchführungsrechtsakt veröffentlicht wird. Die grundlegenden NIS2-Compliance-Zeitvorgaben gemäß Artikel 23 (24-Stunden-Frühwarnung, 72-Stunden-Vorfallmeldung, Ein-Monats-Abschlussbericht) ändern sich nicht. Das Format für deren Einreichung jedoch schon.

ENISA NIS360 2026: Acht Sektoren noch in der Risikozone

ENISA veröffentlichte die dritte Ausgabe ihres NIS360-Berichts am 28. Mai 2026. Der Bericht bewertet die Cybersicherheitsreife und Kritikalität in allen Sektoren von hoher Kritikalität, die in Anhang I von NIS2 aufgeführt sind.

Die Bewertung 2026 umfasst das gesamte Ökosystem jedes Sektors (nationale Behörden, regulierte Einrichtungen und anwendbare EU-Gesetzgebung) anstatt einzelner Organisationen. Sie identifiziert Sektoren, in denen sich die Reife verbessert hat, und Sektoren, in denen die Lücke zwischen Kritikalität und tatsächlicher Sicherheitslage noch groß ist.

Acht Sektoren werden als Risikozonen identifiziert: Gesundheit, Eisenbahn, Seefahrt, ICT-Dienstleistungsmanagement, Raumfahrt, öffentliche Verwaltung, Trinkwasser und Abwasser. Dies sind Sektoren, in denen die Folgen eines erfolgreichen Angriffs schwerwiegend sind, aber das Sicherheitsniveau im gesamten Sektor unter dem bleibt, was das Bedrohungsniveau erfordert.

Für IT- und Sicherheitsverantwortliche in diesen Sektoren ist die NIS360-Bewertung ein nützlicher Benchmark. Wenn Ihr Sektor auf der Risikozonenliste erscheint, ist mit erhöhter aufsichtlicher Aufmerksamkeit seitens der nationalen zuständigen Behörden zu rechnen — nicht weil der Bericht direkt eine Durchsetzung auslöst, sondern weil Regulierungsbehörden sektorale Reifedaten nutzen, um ihre Audit- und Inspektionskalender zu priorisieren.

Luxemburg: NIS2-Gesetz in Kraft, Registrierungsfrist ist der 10. Juli 2026

Luxemburg veröffentlichte sein NIS2-Umsetzungsgesetz am 6. Mai 2026 im Journal officiel du Grand-Duché de Luxembourg. Das Gesetz trat am 10. Mai 2026 in Kraft und ersetzt das NIS1-Gesetz vom 28. Mai 2019.

Wer ist betroffen

NIS2 gilt in Luxemburg für Organisationen mit 50 oder mehr Mitarbeitern oder einem Jahresumsatz von über 10 Millionen €, die in einem von 18 kritischen Sektoren tätig sind. Größenschwellen werden auf konsolidierter Konzernebene bewertet: Eine Tochtergesellschaft mit 40 Mitarbeitern kann dennoch betroffen sein, wenn der Mutterkonzern die Schwellenwerte überschreitet.

Die zweistufige Struktur

Wesentliche Einrichtungen — große Organisationen in Anhang-I-Sektoren mit mehr als 250 Mitarbeitern und entweder 50 Millionen € Umsatz oder 43 Millionen € Bilanzsumme — unterliegen proaktiver Aufsicht und Sanktionen von bis zu 10 Millionen € oder 2 % des weltweiten Umsatzes. Wichtige Einrichtungen — mittelgroße Anhang-I-Organisationen und alle qualifizierenden Anhang-II-Einrichtungen — unterliegen reaktiver Aufsicht und Sanktionen von bis zu 7 Millionen € oder 1,4 % des weltweiten Umsatzes.

Beide Stufen müssen dieselben zehn Maßnahmenkategorien gemäß Artikel 12 umsetzen: Risikoanalyse, Vorfallbehandlung, Geschäftskontinuität, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitsbewertung, Cyberhygiene, Kryptografie, Zugangskontrolle und Multi-Faktor-Authentifizierung.

Zeitrahmen für die Vorfallmeldung

Luxemburg folgt exakt der Struktur von NIS2 Artikel 23: 24-Stunden-Frühwarnung, 72-Stunden-formelle Meldung, Ein-Monats-Abschlussbericht. Das Versäumen einer Frist ist selbst ein sanktionsfähiger Verstoß.

Die Selbstregistrierungsfrist am 10. Juli 2026

Einrichtungen haben bis zum 10. Juli 2026 Zeit, sich bei ihrer zuständigen Behörde selbst zu registrieren. Das ILR (Institut Luxembourgeois de Régulation) fungiert als zuständige Behörde für die meisten Sektoren; die CSSF überwacht das Bank- und Finanzmarktinfrastrukturwesen. Nichtregistrierung ist ein sanktionsfähiger Verstoß gemäß Artikel 11.

Leitungsorgane müssen Cybersicherheitsmaßnahmen formell genehmigen, deren Umsetzung überwachen und regelmäßige Schulungen absolvieren. Für wesentliche Einrichtungen können leitende Führungskräfte bei schwerwiegenden Versäumnissen mit einem vorübergehenden Verbot der Ausübung von Leitungsfunktionen belegt werden.

Niederlande: Cyberbeveiligingswet erreicht Senats-Plenarphase

Die niederländische Zweite Kammer stimmte dem Cyberbeveiligingswet (dem niederländischen NIS2-Umsetzungsgesetz) am 15. April 2026 mit 140 zu 10 Stimmen zu. Der Gesetzentwurf ist nun in die Senats-Plenarphase vorgerückt.

Stand des Gesetzentwurfs

Die Tweede Kamer verabschiedete den Gesetzentwurf mit breiter fraktionsübergreifender Unterstützung; nur zwei Parteien stimmten dagegen. Die für Digitalisierung und Justiz zuständigen Senatsausschüsse schlossen ihre schriftliche Prüfung am 19. Mai 2026 ab. Der Gesetzentwurf ist seitdem in die Senats-Plenarphase übergegangen, wo er auf eine Schlussabstimmung wartet.

Der Gesetzentwurf wird parallel zu separater Gesetzgebung zur Umsetzung der EU-CER-Richtlinie zur Resilienz kritischer Einrichtungen bearbeitet.

Hintergrund

Die Niederlande reichten den Gesetzentwurf am 2. Juni 2025 beim Parlament ein und verfehlten damit die EU-Umsetzungsfrist vom 17. Oktober 2024 um über ein Jahr. Der Gesetzentwurf verbrachte fast zehn Monate im Verfahren der Zweiten Kammer, bevor er verabschiedet wurde.

Zentrale Bestimmungen

Anstatt eine einzige nationale Cybersicherheitsbehörde zu schaffen, überträgt das Gesetz die Durchsetzung auf bestehende sektorspezifische Regulierungsbehörden — die Energieregulierungsbehörde für Energieunternehmen, die Gesundheitsregulierungsbehörde für Krankenhäuser und so weiter. Das genaue Datum des Inkrafttretens des Gesetzes wird nach der Senatszustimmung per Regierungserlass festgelegt, und verschiedene Bestimmungen können zu unterschiedlichen Zeitpunkten in Kraft treten.

Was als Nächstes kommt

Die Senatszustimmung ist der letzte legislative Schritt. Sobald die Abstimmung erfolgt ist und die Regierung ein Datum des Inkrafttretens festlegt, werden betroffene Organisationen mit sofortigen Compliance-Verpflichtungen konfrontiert — Risikomanagementmaßnahmen, Vorfallmeldung und Anforderungen an die Verantwortlichkeit des Managements.

Irland: National Cyber Security Bill als NIS2-Vehikel bestätigt

In einer schriftlichen parlamentarischen Antwort an das Dáil Éireann (das Unterhaus des irischen Parlaments) am 13. Mai 2026 bestätigte Irlands Minister für Justiz, Inneres und Migration, dass das Justizministerium das National Cyber Security Bill als gesetzliches Vehikel für die NIS2-Umsetzung erarbeitet.

Das Gesetz ist als Priorität für die Veröffentlichung im Gesetzgebungsprogramm Sommer 2026 aufgeführt. Es wird das National Cyber Security Centre (NCSC) als nationale zuständige Behörde und als Irlands Computer Security Incident Response Team (CSIRT) benennen. Es wird das NCSC auch erstmals auf eine gesetzliche Grundlage stellen — das Zentrum arbeitet derzeit ohne eine eigene legislative Basis.

Irland verfehlte die EU-Umsetzungsfrist vom 17. Oktober 2024. Eine Kabinettsentscheidung im Juli 2024 wies die vorrangige Erarbeitung der Gesetzgebung an, und die Arbeiten sind seitdem im Gange. Der Gesetzesentwurf wurde noch nicht veröffentlicht, aber die Regierung veröffentlichte im September 2024 das General Scheme des National Cyber Security Bill, das dessen beabsichtigte Struktur darlegt.

Managementhaftung

Gemäß NIS2 Artikel 20, wie in Head 28 des General Scheme widergespiegelt, müssen Leitungsgremien Cybersicherheits-Risikomanagementmaßnahmen genehmigen und überwachen, regelmäßige Cybersicherheitsschulungen absolvieren und können bei Compliance-Versäumnissen persönlich haftbar gemacht werden — einschließlich vorübergehender Verbote und Verwaltungsbußgelder. Das General Scheme definiert „Leitungsgremium" als „ein Gremium oder eine Gruppe von Einzelpersonen, die mit der Befugnis und Verantwortung für die Aufsicht, Leitung und Kontrolle einer Einrichtung betraut sind".

Sektorregulierungsbehörden bereits aktiv

Sektorregulierungsbehörden wurden bereits als Nationale Zuständige Behörden benannt und bereiten sich darauf vor, Aufsichts- und Durchsetzungsfunktionen zu übernehmen. Die NIS2-Registrierungs- und Vorfallmeldeportale sind noch nicht live — sie werden nach Inkrafttreten der Gesetzgebung eröffnet — aber das NCSC hat Entwürfe von Leitlinien zu Risikomanagementmaßnahmen und das Cyber Fundamentals (CyFun) Framework veröffentlicht, um Organisationen bei der Vorbereitung in der Zwischenzeit zu unterstützen.

Das Gesetz wird auch parallel zur dritten nationalen Cybersicherheitsstrategie Irlands entwickelt, koordiniert durch ein interministerielles Komitee unter dem Vorsitz des Justizministeriums.

Für Organisationen mit irischen Niederlassungen bedeutet das Fehlen einer erlassenen Gesetzgebung nicht, dass die Vorbereitungspflicht entfällt. Sektorale NCAs sind bereits aktiv, und der Erlass des Gesetzes wird als Regierungspriorität bezeichnet.

DigitalEurope: NIS2 braucht noch tiefere Harmonisierung

Am 13. Mai 2026 veröffentlichte DigitalEurope eine formelle Stellungnahme zum EU-Cybersicherheitspaket, das den vorgeschlagenen Cybersecurity Act 2 (CSA2), das ICT-Lieferkettensicherheits-Framework und gezielte NIS2-Änderungen umfasst.

Speziell zu NIS2 ist DigitalEuropes Position direkt: Die im aktuellen Paket vorgeschlagenen gezielten Änderungen reagieren „minimal" auf die Bedenken, die die Industrie seit mehreren Jahren geäußert hat. Die Bereiche, die eine strengere Harmonisierung erfordern, sind:

• Anwendungsbereich: NIS2 sollte sich nur auf Kerngeschäftsaktivitäten konzentrieren und Nebentätigkeiten ausschließen, die unverhältnismäßige Verpflichtungen schaffen.
• Größenschwellen: Nationale Unterschiede in der Anwendung der Schwellenwerte führen zu inkonsistenter Abdeckung über die Mitgliedstaaten hinweg.
• Vorfallmeldung: Meldefelder, Zeitrahmen und Einreichungsprozesse variieren noch auf nationaler Ebene — ein Problem, das die gemeinsamen Vorlagen (siehe oben) teilweise angehen.
• Regelungen zur Hauptniederlassung: Organisationen, die in mehreren Mitgliedstaaten tätig sind, sind mit Unsicherheit darüber konfrontiert, welche nationale Behörde die primäre Zuständigkeit hat.
• Konformitätsbewertung: Die Anforderungen unterscheiden sich je nach Mitgliedstaat, was Compliance-Komplexität für grenzüberschreitende Operationen schafft.

DigitalEurope forderte außerdem, dass ENISA Folgenabschätzungen für alle relevanten EU-Cybersicherheitsgesetze durchführt und die Umsetzung aktiver koordiniert — um die Agentur als Koordinierungszentrum zu positionieren, anstatt als rein beratende Stelle.

Für Compliance-Verantwortliche, die den regulatorischen Verlauf verfolgen: Die von DigitalEurope identifizierten Harmonisierungslücken sind echte operative Reibungspunkte. Die am 26. Mai verabschiedeten gemeinsamen Vorlagen für die Vorfallmeldung sind ein Schritt zur Schließung einer davon. Die anderen erfordern entweder die Durchführungsrechtsakte oder das NIS2-Änderungsverfahren zur Lösung.

Was das jetzt für Ihr Team bedeutet

Die Entwicklungen vom Mai 2026 folgen einem Muster, das seit Beginn der Durchsetzung konsistent ist: Der Text der Richtlinie ist stabil, aber die nationale Umsetzungsebene bewegt sich weiter. Bulgariens vollständige Sanktionsphase, Luxemburgs live geltende Registrierungsfrist und die ausstehende Senatsabstimmung in den Niederlanden stellen alle konkrete Compliance-Auslöser dar, jeweils mit einem nun festgelegten spezifischen Datum.

Die gemeinsamen Vorlagen für die Vorfallmeldung sind die operativ bedeutsamste EU-weite Entwicklung des Zeitraums. Sobald der Durchführungsrechtsakt der Kommission veröffentlicht wird, muss der Workflow für Vorfallmeldungen jeder Organisation aktualisiert werden, um dem standardisierten Format zu entsprechen. Planen Sie diese Aktualisierung jetzt in Ihre Incident-Response-Planung ein, bevor Sie ein tatsächlicher Vorfall dazu zwingt, dies unter Druck zu tun.

Die ENISA NIS360-Risikozonenliste ist es wert, ernst genommen zu werden, wenn Ihre Organisation im Gesundheitswesen, in der öffentlichen Verwaltung oder in einem der anderen markierten Sektoren tätig ist. Aufsichtliche Aufmerksamkeit folgt Reifelücken — und ENISAs Bewertung fließt direkt in die Priorisierung der Audit-Kalender der nationalen zuständigen Behörden ein.

Häufig gestellte Fragen

Was ist im Mai 2026 mit NIS2 passiert?

Im Mai 2026 gab es vier bedeutende NIS2-Entwicklungen: Luxemburgs Umsetzungsgesetz trat am 10. Mai in Kraft; die NIS-Kooperationsgruppe verabschiedete am 26. Mai gemeinsame Vorlagen für die Vorfallmeldung; ENISA veröffentlichte am 28. Mai die NIS360 2026-Sektorreifebewertung; und die Niederlande brachten ihr Cyberbeveiligingswet durch die Zweite Kammer. Bulgariens vollständige Sanktionsphase begann am 1. Juni 2026, direkt nach dem Mai-Zeitraum.

Was ist die Luxemburger NIS2-Selbstregistrierungsfrist?

Luxemburgs NIS2-Umsetzungsgesetz, das am 10. Mai 2026 in Kraft trat, verlangt von allen betroffenen Einrichtungen, sich bis zum 10. Juli 2026 bei ihrer zuständigen Behörde selbst zu registrieren. Das ILR (Institut Luxembourgeois de Régulation) ist die primäre zuständige Behörde. Nichtregistrierung ist ein sanktionsfähiger Verstoß gemäß Artikel 11 des Umsetzungsgesetzes.

Was sind die neuen NIS2-Vorlagen für die Vorfallmeldung?

Am 26. Mai 2026 verabschiedete die NIS-Kooperationsgruppe bei ihrer 39. Plenarsitzung in Zypern gemeinsame Vorlagen für die NIS2-Vorfallmeldung. Die Vorlagen bieten ein standardisiertes Format für die Meldung von Cybervorfällen in allen EU-Mitgliedstaaten. Die Europäische Kommission plant, diese durch einen Durchführungsrechtsakt verbindlich zu machen. Die zugrundeliegenden Zeitrahmen gemäß NIS2 Artikel 23 — 24-Stunden-Frühwarnung, 72-Stunden-Meldung, Ein-Monats-Abschlussbericht — bleiben unverändert.

Welche Sektoren identifiziert ENISAs NIS360 2026 als höchstes Risiko?

Der NIS360 2026-Bericht von ENISA, veröffentlicht am 28. Mai 2026, identifiziert acht Sektoren als Risikozonen, in denen die Cybersicherheitsreife im Verhältnis zur Kritikalität niedrig bleibt: Gesundheit, Eisenbahn, Seefahrt, ICT-Dienstleistungsmanagement, Raumfahrt, öffentliche Verwaltung, Trinkwasser und Abwasser. Dies sind alles Anhang-I-Sektoren unter NIS2 und unterliegen als wesentliche Einrichtungen proaktiver Aufsicht.

Was sind die persönlichen Haftungsregeln für Manager unter Bulgariens NIS2?

Gemäß Bulgariens geändertem Cybersicherheitsgesetz drohen Mitgliedern des Leitungsorgans wesentlicher und wichtiger Einrichtungen persönliche Bußgelder von 500 € bis 5.000 € bei Verstoß gegen ihre Governance-Pflichten — getrennt von Bußgeldern auf Unternehmensebene. Ab dem 1. Juni 2026 gelten diese Bußgelder in voller gesetzlicher Höhe; der 50 %-Übergangsrabatt, der für Verstöße vor Juni galt, existiert nicht mehr. Die zuständige Behörde kann auch ein gerichtlich angeordnetes vorübergehendes Verbot der Ausübung von Leitungsfunktionen für einen Manager beantragen.

Wie viele EU-Mitgliedstaaten haben NIS2 umgesetzt?

Bis Ende Mai 2026 haben 23 von 27 EU-Mitgliedstaaten NIS2 in nationales Recht umgesetzt, laut dem Tracker von Cullen International vom Mai 2026. Luxemburgs Umsetzung trat am 10. Mai 2026 in Kraft und brachte die Gesamtzahl auf 23. Vier Mitgliedstaaten befinden sich noch im Gesetzgebungsprozess, mehr als 19 Monate nach der Umsetzungsfrist vom Oktober 2024.

Was ist das niederländische Cyberbeveiligingswet?

Das Cyberbeveiligingswet ist die nationale Gesetzgebung der Niederlande zur Umsetzung von NIS2. Die niederländische Zweite Kammer stimmte dem Gesetzentwurf 2026 zu, nachdem die Niederlande die ursprüngliche EU-Umsetzungsfrist vom Oktober 2024 verpasst hatten. Der Gesetzentwurf erfordert noch die Senatszustimmung, bevor er in Kraft treten kann. Das niederländische Modell verwendet eine dezentralisierte Aufsichtsstruktur, bei der sektorspezifische Regulierungsbehörden die Durchsetzung übernehmen.

NIS2-Compliance-Leitfaden: Die Zugangsmanagement-Roadmap für 2026

Gestohlene Zugangsdaten dominieren Sicherheitsverletzungen im Jahr 2026. NIS2 Artikel 21 schreibt 10 Sicherheitsmaßnahmen vor, um Angriffsvektoren auf Basis von Zugangsdaten zu eliminieren. Dieser Leitfaden behandelt technische Anforderungen, die 24-Stunden-Vorfallmeldepflicht, ENISAs MFA-Stufen und eine 5-Phasen-Roadmap zur auditbereiten Compliance.

Passwork BlogAlex Muntyan

Passwork gewinnt Top Performer Frühjahr 2026 auf SourceForge

Passwork wurde von SourceForge als Top Performer Frühjahr 2026 ausgezeichnet und rangiert damit unter den besten 10 % von über 100.000 Lösungen. Das Abzeichen basiert ausschließlich auf verifizierten Bewertungen — 4,8 Sterne insgesamt, mit perfekten 5,0 für Support.

Passwork BlogAlex Muntyan

Brute-Force-Angriffe 2026: Arten, Beispiele und wie Sie sich schützen

GPU-Cluster, KI-gestützte Wortlisten, Botnets mit 2,8 Millionen Geräten. Brute Force ist skaliert. Dieser Leitfaden behandelt sechs Angriffsvarianten, reale Fälle aus 2025 und eine mehrschichtige Verteidigungsstrategie, die Ihr Team heute umsetzen kann.

Passwork BlogAlex Muntyan

El período de gracia de NIS2 en Bulgaria finalizó el 1 de junio de 2026 — los miembros del consejo de administración ahora enfrentan multas personales completas, no la tasa reducida del 50% que se aplicaba hasta mayo. La ley de transposición de la Directiva NIS2 de Luxemburgo entró en vigor el 10 de mayo de 2026, dejando a cuatro estados miembros todavía sin legislación de implementación. El Grupo de Cooperación NIS de la UE adoptó plantillas comunes de notificación de incidentes que la Comisión tiene previsto hacer obligatorias mediante un acto de ejecución.

Este artículo cubre todas las actualizaciones importantes de NIS2 de mayo de 2026: qué cambió, qué plazos están vigentes y qué debe hacer su equipo ahora.

Puntos clave

Estas actualizaciones de NIS2 de mayo de 2026 conllevan desencadenantes concretos de cumplimiento: fechas específicas y obligaciones específicas. Esto es lo que cambió.

• El régimen de sanciones completo de Bulgaria está activo. Desde el 1 de junio de 2026, las multas personales para los miembros del órgano de dirección se aplican al 100% de los importes legales — hasta 5.000 € por individuo, separadas de las multas a nivel de entidad de hasta 10 millones de €. El descuento transitorio del 50% ha desaparecido.
• La ley NIS2 de Luxemburgo entró en vigor el 10 de mayo de 2026. Las entidades dentro del ámbito de aplicación tienen hasta el 10 de julio de 2026 para autoregistrarse en el ILR. El no registro es en sí mismo una infracción sancionable.
• Cuatro estados miembros de la UE aún no han transpuesto NIS2 — más de 19 meses después del plazo de octubre de 2024, según el rastreador de mayo de 2026 de Cullen International.
• Se adoptaron plantillas comunes de notificación de incidentes en toda la UE. El Grupo de Cooperación NIS acordó formatos estandarizados en su 39ª reunión plenaria en Chipre el 26 de mayo de 2026. Un acto de ejecución de la Comisión las hará obligatorias.
• El informe NIS360 2026 de ENISA identifica ocho sectores en zona de riesgo. Salud, ferrocarril, marítimo, gestión de servicios TIC, espacio, administración pública, agua potable y aguas residuales muestran la madurez en ciberseguridad más baja en relación con su criticidad.
• Los Países Bajos avanzaron en su retrasada Cyberbeveiligingswet. La Cámara de Representantes neerlandesa aprobó el proyecto de ley el 15 de abril de 2026; la aprobación del Senado aún está pendiente.
• Irlanda confirmó el proyecto de ley de Seguridad Cibernética Nacional como su vehículo NIS2. El Departamento de Justicia está redactando la legislación y estableciendo al NCSC sobre una base estatutaria.
• DigitalEurope pidió una armonización más profunda de NIS2. El organismo de la industria publicó una posición formal identificando el ámbito de aplicación, los umbrales de tamaño, la notificación de incidentes y la evaluación de conformidad como las áreas que más necesitan estandarización entre los estados miembros.

La fase de aplicación completa de Bulgaria comenzó el 1 de junio de 2026

La aplicación de NIS2 en Bulgaria entró en su fase final el 1 de junio de 2026. Las multas y sanciones por todas las infracciones ahora se aplican en sus importes legales completos — la reducción del 50% que se aplicaba a las violaciones cometidas antes de esa fecha ha desaparecido.

La legislación subyacente es la Ley de Modificación y Complemento de la Ley de Ciberseguridad, adoptada por la 51ª Asamblea Nacional el 5 de febrero de 2026 y promulgada en el Boletín Oficial del Estado (número 17) el 13 de febrero de 2026, entrando en vigor en la misma fecha.

Quién está dentro del ámbito de aplicación

La Ley de Ciberseguridad cubre a entidades públicas y privadas en sectores del Anexo I y Anexo II que cumplen o superan los umbrales de mediana empresa. Ciertos proveedores están dentro del ámbito independientemente del tamaño: redes públicas de comunicaciones electrónicas, proveedores de servicios de confianza, registros de dominios de nivel superior, proveedores de servicios DNS, entidades que son el único proveedor de un servicio crítico en Bulgaria, o cuya interrupción afectaría significativamente al orden público, la seguridad pública o la salud, o la economía.

Los organismos administrativos (incluidos los municipios) se clasifican como entidades esenciales según el Artículo 4a(1)(4), independientemente del tamaño.

Aplicación completa sin un reglamento completo

Queda una complicación práctica. La ley delega explícitamente la definición de medidas mínimas de ciberseguridad para ciertas categorías de entidades a una ordenanza secundaria del Consejo de Ministros, que será propuesta conjuntamente por la Comisión de Regulación de Comunicaciones y el Ministro de Gobernanza Electrónica. Esa ordenanza aún no se ha publicado. Las organizaciones entraron en la fase de aplicación completa sin el reglamento operativo completo que la propia ley anticipaba.

Esto no suspende las obligaciones. La ley principal está en vigor, las sanciones son reales. El análisis de brechas contra el marco NIS2 existente es posible y aconsejable ahora, antes de que aumente la presión supervisora. ISO/IEC 27001 e ISO 22301 proporcionan una base de referencia viable junto con los requisitos de la Ley de Ciberseguridad.

Lo que los órganos de dirección deben demostrar ahora

La Ley de Ciberseguridad de Bulgaria establece una responsabilidad personal explícita para los miembros individuales de los órganos de dirección, no solo para la organización como entidad legal. Los órganos de dirección deben:

• Aprobar formalmente las medidas de gestión de riesgos de ciberseguridad requeridas según el Artículo 21
• Supervisar la implementación de dichas medidas
• Completar formación en ciberseguridad al menos cada dos años
• Organizar formación equivalente para los empleados de forma regular

Las medidas que los consejos deben aprobar cubren el análisis de riesgos y las políticas de seguridad de la información, la gestión de incidentes, la continuidad del negocio y la gestión de crisis, la seguridad de la cadena de suministro, las prácticas de higiene cibernética y la autenticación multifactor cuando sea apropiado.

La estructura de multas personales

Cuando un miembro del órgano de dirección de una entidad esencial o importante incumple estas obligaciones de gobernanza, puede imponerse una multa personal de 500 € a 5.000 €. Esto es independiente de las sanciones a nivel de entidad y se suma a ellas: hasta 10 millones de € o el 2% de la facturación global para entidades esenciales, y hasta 7 millones de € o el 1,4% para entidades importantes.

La autoridad nacional competente también puede solicitar a un tribunal que imponga una prohibición temporal a una persona física para ejercer funciones de dirección en una entidad esencial.

La implicación práctica: un miembro del consejo no puede delegar su responsabilidad. Si se impone una multa, y su gravedad, dependerá de la capacidad del individuo para demostrar acciones tangibles — resoluciones del consejo, políticas adoptadas, protocolos de auditoría, responsabilidades asignadas, formación completada y medidas correctivas documentadas.

A nivel de la UE: Se adoptan plantillas comunes de notificación de incidentes

El 26 de mayo de 2026, el Grupo de Cooperación NIS adoptó plantillas comunes para la notificación de incidentes NIS2 en su 39ª reunión plenaria en Chipre. El Grupo reúne a los estados miembros de la UE, la Comisión Europea y ENISA.

Las plantillas proporcionan un formato estandarizado para notificar incidentes cibernéticos en toda la UE. Hasta ahora, la ausencia de un formato común significaba que las organizaciones que operaban en múltiples estados miembros tenían que navegar por diferentes formularios de notificación nacionales, conjuntos de campos y portales de envío — una carga administrativa significativa para cualquier operación transfronteriza.

La Comisión ha declarado que planea adoptar estas plantillas mediante un acto de ejecución, lo que las haría obligatorias para todos los estados miembros. Una vez que ese acto entre en vigor, las plantillas establecerán un marco unificado de notificación de incidentes en toda la UE.

Este desarrollo también se conecta con la propuesta más amplia del Digital Omnibus, que incluye un punto único de entrada para la notificación de incidentes. Las plantillas comunes están diseñadas para alinearse con esa arquitectura futura.

Lo que esto significa para su proceso de respuesta a incidentes: Si su equipo ha construido flujos de trabajo de notificación en torno al formulario actual de un estado miembro específico, espere que esos flujos de trabajo se actualicen una vez que se publique el acto de ejecución. Las obligaciones básicas del cronograma de cumplimiento de NIS2 según el Artículo 23 (alerta temprana de 24 horas, notificación de incidentes de 72 horas, informe final de un mes) no cambian. El formato para presentarlas sí cambia.

ENISA NIS360 2026: Ocho sectores todavía en la zona de riesgo

ENISA publicó la tercera edición de su informe NIS360 el 28 de mayo de 2026. El informe evalúa la madurez en ciberseguridad y la criticidad en todos los sectores de alta criticidad enumerados en el Anexo I de NIS2.

La evaluación de 2026 cubre el ecosistema completo de cada sector (autoridades nacionales, entidades reguladas y legislación de la UE aplicable) en lugar de organizaciones individuales. Identifica sectores donde la madurez ha mejorado y sectores donde la brecha entre la criticidad y la postura de seguridad real sigue siendo amplia.

Ocho sectores se identifican como zonas de riesgo: salud, ferrocarril, marítimo, gestión de servicios TIC, espacio, administración pública, agua potable y aguas residuales. Estos son sectores donde las consecuencias de un ataque exitoso son graves, pero donde la línea base de seguridad en todo el sector permanece por debajo de lo que exige el nivel de amenaza.

Para los líderes de TI y seguridad en estos sectores, la evaluación NIS360 es un punto de referencia útil. Si su sector aparece en la lista de zonas de riesgo, espere una mayor atención supervisora de las autoridades nacionales competentes — no porque el informe desencadene directamente la aplicación, sino porque los reguladores utilizan los datos de madurez sectorial para priorizar sus calendarios de auditoría e inspección.

Luxemburgo: Ley NIS2 en vigor, el plazo de registro es el 10 de julio de 2026

Luxemburgo publicó su ley de transposición NIS2 el 6 de mayo de 2026 en el Journal officiel du Grand-Duché de Luxembourg. La ley entró en vigor el 10 de mayo de 2026, reemplazando la ley NIS1 del 28 de mayo de 2019.

Quién está dentro del ámbito de aplicación

NIS2 se aplica en Luxemburgo a organizaciones con 50 o más empleados o una facturación anual superior a 10 millones de €, que operan en uno de los 18 sectores críticos. Los umbrales de tamaño se evalúan a nivel de grupo consolidado: una filial con 40 empleados puede estar dentro del ámbito si el grupo matriz supera los umbrales.

La estructura de dos niveles

Las entidades esenciales — grandes organizaciones en sectores del Anexo I con más de 250 empleados y ya sea 50 millones de € en facturación o 43 millones de € en balance — están sujetas a supervisión proactiva y sanciones de hasta 10 millones de € o el 2% de la facturación global. Las entidades importantes — organizaciones medianas del Anexo I y todas las entidades cualificadas del Anexo II — están sujetas a supervisión reactiva y sanciones de hasta 7 millones de € o el 1,4% de la facturación global.

Ambos niveles deben implementar las mismas diez categorías de medidas según el Artículo 12: análisis de riesgos, gestión de incidentes, continuidad del negocio, seguridad de la cadena de suministro, desarrollo seguro, evaluación de la eficacia, higiene cibernética, criptografía, control de acceso y autenticación multifactor.

Plazos de notificación de incidentes

Luxemburgo sigue exactamente la estructura del Artículo 23 de NIS2: alerta temprana de 24 horas, notificación formal de 72 horas, informe final de un mes. Incumplir cualquier plazo es en sí mismo una infracción sancionable.

El plazo de autoregistro del 10 de julio de 2026

Las entidades tienen hasta el 10 de julio de 2026 para autoregistrarse ante su autoridad competente. El ILR (Institut Luxembourgeois de Régulation) actúa como autoridad competente para la mayoría de los sectores; la CSSF supervisa la banca y la infraestructura del mercado financiero. El no registro es una infracción sancionable según el Artículo 11.

Los órganos de dirección deben aprobar formalmente las medidas de ciberseguridad, supervisar su implementación y someterse a formación regular. Para las entidades esenciales, los directivos pueden enfrentarse a una prohibición temporal de ejercer funciones de dirección por fallos graves.

Países Bajos: La Cyberbeveiligingswet alcanza la fase plenaria del Senado

La Cámara de Representantes neerlandesa aprobó la Cyberbeveiligingswet (la ley de transposición NIS2 de los Países Bajos) el 15 de abril de 2026 por 140 votos contra 10. El proyecto de ley ha avanzado ahora a la fase plenaria del Senado.

En qué punto se encuentra el proyecto de ley

La Tweede Kamer aprobó el proyecto de ley con amplio apoyo multipartidista; solo dos partidos votaron en contra. Las comisiones del Senado responsables de digitalización y justicia completaron su revisión escrita el 19 de mayo de 2026. El proyecto de ley ha pasado desde entonces a la fase plenaria del Senado, donde espera una votación final.

El proyecto de ley se está tramitando en paralelo con legislación separada que transpone la Directiva CER de la UE sobre la resiliencia de entidades críticas.

Antecedentes

Los Países Bajos presentaron el proyecto de ley al parlamento el 2 de junio de 2025, incumpliendo el plazo de transposición de la UE del 17 de octubre de 2024 por más de un año. El proyecto de ley pasó casi diez meses en el procedimiento de la cámara baja antes de ser aprobado.

Disposiciones clave

En lugar de crear una única autoridad nacional de ciberseguridad, la ley asigna la aplicación a los reguladores sectoriales existentes — el regulador de energía para las empresas energéticas, el regulador sanitario para los hospitales, y así sucesivamente. La fecha exacta de entrada en vigor de la ley se establecerá por decreto gubernamental después de la aprobación del Senado, y diferentes disposiciones pueden entrar en vigor en diferentes fechas.

Qué viene a continuación

La aprobación del Senado es el último paso legislativo. Una vez que pase la votación y el gobierno establezca una fecha de entrada en vigor, las organizaciones dentro del ámbito enfrentarán obligaciones de cumplimiento inmediatas — medidas de gestión de riesgos, notificación de incidentes y requisitos de responsabilidad de la dirección.

Irlanda: Proyecto de ley de Seguridad Cibernética Nacional confirmado como vehículo NIS2

En una respuesta parlamentaria escrita al Dáil Éireann (la cámara baja del parlamento irlandés) el 13 de mayo de 2026, el Ministro de Justicia, Asuntos de Interior y Migración de Irlanda confirmó que el Departamento de Justicia está redactando el proyecto de ley de Seguridad Cibernética Nacional como el vehículo legislativo para la transposición de NIS2.

El proyecto de ley está catalogado como prioridad para su publicación en el programa legislativo del verano de 2026. Designará al Centro Nacional de Seguridad Cibernética (NCSC) como la autoridad nacional competente y como el Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT) de Irlanda. También establecerá al NCSC sobre una base estatutaria por primera vez — el centro actualmente opera sin una base legislativa dedicada.

Irlanda incumplió el plazo de transposición de la UE del 17 de octubre de 2024. Una decisión del Gabinete en julio de 2024 ordenó la redacción prioritaria de la legislación, y el trabajo ha progresado desde entonces. El borrador del proyecto de ley aún no se ha publicado, pero el gobierno publicó el Esquema General del proyecto de ley de Seguridad Cibernética Nacional en septiembre de 2024, estableciendo su estructura prevista.

Responsabilidad de la dirección

Según el Artículo 20 de NIS2, tal como se refleja en el Head 28 del Esquema General, los consejos de dirección estarán obligados a aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad, asistir a formación regular en ciberseguridad y pueden enfrentarse a responsabilidad personal por fallos de cumplimiento — incluyendo prohibiciones temporales y multas administrativas. El Esquema General define «consejo de dirección» como «un órgano o grupo de individuos investidos con la autoridad y responsabilidad para la supervisión, dirección y control de una entidad».

Reguladores sectoriales ya activos

Los reguladores sectoriales ya han sido designados como Autoridades Nacionales Competentes y se están preparando para asumir funciones de supervisión y aplicación. Los portales de registro y notificación de incidentes de NIS2 aún no están activos — se abrirán una vez que se promulgue la legislación — pero el NCSC ha publicado un borrador de guía sobre Medidas de Gestión de Riesgos y el marco Cyber Fundamentals (CyFun) para ayudar a las organizaciones a prepararse mientras tanto.

El proyecto de ley también se está desarrollando junto con la tercera Estrategia Nacional de Seguridad Cibernética de Irlanda, coordinada a través de un Comité Interdepartamental presidido por el Departamento de Justicia.

Para las organizaciones con operaciones en Irlanda, la ausencia de legislación promulgada no elimina la obligación de prepararse. Las ANC sectoriales ya están activas, y la promulgación del proyecto de ley se describe como una prioridad del gobierno.

DigitalEurope: NIS2 todavía necesita una armonización más profunda

El 13 de mayo de 2026, DigitalEurope publicó una posición política formal sobre el paquete de ciberseguridad de la UE, que abarca la propuesta de Ley de Ciberseguridad 2 (CSA2), el marco de seguridad de la cadena de suministro de TIC y las enmiendas específicas de NIS2.

Sobre NIS2 específicamente, la posición de DigitalEurope es directa: las enmiendas específicas propuestas en el paquete actual responden «mínimamente» a las preocupaciones que la industria ha planteado durante varios años. Las áreas que requieren una armonización más rigurosa son:

• Ámbito de aplicación: NIS2 debería centrarse únicamente en las actividades comerciales principales, excluyendo las operaciones auxiliares que crean obligaciones desproporcionadas.
• Umbrales de tamaño: La divergencia nacional en la aplicación de los umbrales crea una cobertura inconsistente entre los estados miembros.
• Notificación de incidentes: Los campos de notificación, los plazos y los procesos de envío todavía varían a nivel nacional — un problema que las plantillas comunes (ver arriba) abordan parcialmente.
• Reglas del establecimiento principal: Las organizaciones que operan en múltiples estados miembros enfrentan incertidumbre sobre qué autoridad nacional tiene jurisdicción principal.
• Evaluación de conformidad: Los requisitos difieren según el estado miembro, creando complejidad de cumplimiento para las operaciones transfronterizas.

DigitalEurope también pidió a ENISA que realice evaluaciones de impacto para toda la legislación de ciberseguridad de la UE relevante y que coordine la implementación de manera más activa — posicionando a la agencia como un centro de coordinación en lugar de un organismo puramente consultivo.

Para los responsables de cumplimiento que siguen la trayectoria regulatoria: las brechas de armonización que identifica DigitalEurope son puntos de fricción operativa reales. Las plantillas comunes de notificación de incidentes adoptadas el 26 de mayo son un paso hacia el cierre de una de ellas. Las demás requerirán los actos de ejecución o el proceso de enmienda de NIS2 para resolverse.

Qué significa esto para su equipo ahora mismo

Los desarrollos de mayo de 2026 siguen un patrón que ha sido consistente desde que comenzó la aplicación: el texto de la directiva es estable, pero la capa de implementación nacional sigue moviéndose. La fase de sanciones completas de Bulgaria, el plazo de registro activo de Luxemburgo y la votación pendiente del Senado en los Países Bajos representan todos desencadenantes concretos de cumplimiento, cada uno con una fecha específica ahora adjunta.

Las plantillas comunes de notificación de incidentes son el desarrollo a nivel de la UE más significativo operativamente del período. Una vez que se publique el acto de ejecución de la Comisión, el flujo de trabajo de notificación de incidentes de cada organización deberá actualizarse para coincidir con el formato estandarizado. Incorpore esa actualización en su planificación de respuesta a incidentes ahora, antes de que un incidente real le obligue a hacerlo bajo presión.

La lista de zonas de riesgo de ENISA NIS360 merece tomarse en serio si su organización opera en salud, administración pública o cualquiera de los otros sectores señalados. La atención supervisora sigue las brechas de madurez — y la evaluación de ENISA alimenta directamente cómo las autoridades nacionales competentes priorizan sus calendarios de auditoría.

Preguntas frecuentes

¿Qué pasó con NIS2 en mayo de 2026?

Mayo de 2026 vio cuatro desarrollos significativos de NIS2: la ley de transposición de Luxemburgo entró en vigor el 10 de mayo; el Grupo de Cooperación NIS adoptó plantillas comunes de notificación de incidentes el 26 de mayo; ENISA publicó la evaluación de madurez sectorial NIS360 2026 el 28 de mayo; y los Países Bajos avanzaron su Cyberbeveiligingswet a través de la Cámara de Representantes. La fase de sanciones completas de Bulgaria comenzó el 1 de junio de 2026, directamente después del período de mayo.

¿Cuál es el plazo de autoregistro NIS2 de Luxemburgo?

La ley de transposición NIS2 de Luxemburgo, que entró en vigor el 10 de mayo de 2026, requiere que todas las entidades dentro del ámbito se autoregistren ante su autoridad competente antes del 10 de julio de 2026. El ILR (Institut Luxembourgeois de Régulation) es la autoridad competente principal. El no registro es una infracción sancionable según el Artículo 11 de la ley de transposición.

¿Cuáles son las nuevas plantillas de notificación de incidentes NIS2?

El 26 de mayo de 2026, el Grupo de Cooperación NIS adoptó plantillas comunes para la notificación de incidentes NIS2 en su 39ª reunión plenaria en Chipre. Las plantillas proporcionan un formato estandarizado para notificar incidentes cibernéticos en todos los estados miembros de la UE. La Comisión Europea planea hacerlas obligatorias mediante un acto de ejecución. Los plazos subyacentes del Artículo 23 de NIS2 — alerta temprana de 24 horas, notificación de 72 horas, informe final de un mes — permanecen sin cambios.

¿Qué sectores identifica el NIS360 2026 de ENISA como de mayor riesgo?

El informe NIS360 2026 de ENISA, publicado el 28 de mayo de 2026, identifica ocho sectores como zonas de riesgo donde la madurez en ciberseguridad permanece baja en relación con la criticidad: salud, ferrocarril, marítimo, gestión de servicios TIC, espacio, administración pública, agua potable y aguas residuales. Todos estos son sectores del Anexo I bajo NIS2 y están sujetos a supervisión proactiva como entidades esenciales.

¿Cuáles son las reglas de responsabilidad personal para directivos bajo el NIS2 de Bulgaria?

Según la Ley de Ciberseguridad enmendada de Bulgaria, los miembros del órgano de dirección de entidades esenciales e importantes enfrentan multas personales de 500 € a 5.000 € por incumplir sus obligaciones de gobernanza — separadas de las multas a nivel de entidad. Desde el 1 de junio de 2026, estas multas se aplican a los importes legales completos; el descuento transitorio del 50% que se aplicaba a las violaciones anteriores a junio ya no existe. La autoridad competente también puede solicitar una prohibición temporal ordenada por el tribunal para que un directivo ejerza funciones de dirección.

¿Cuántos estados miembros de la UE han transpuesto NIS2?

A finales de mayo de 2026, 23 de los 27 estados miembros de la UE han transpuesto NIS2 a la legislación nacional, según el rastreador de mayo de 2026 de Cullen International. La transposición de Luxemburgo entró en vigor el 10 de mayo de 2026, elevando el total a 23. Cuatro estados miembros permanecen en el proceso legislativo, más de 19 meses después del plazo de transposición de octubre de 2024.

¿Qué es la Cyberbeveiligingswet de los Países Bajos?

La Cyberbeveiligingswet es la legislación nacional de los Países Bajos que implementa NIS2. La Cámara de Representantes neerlandesa aprobó el proyecto de ley en 2026 después de que los Países Bajos incumplieran el plazo de transposición original de la UE de octubre de 2024. El proyecto de ley todavía requiere la aprobación del Senado antes de poder entrar en vigor. El modelo de los Países Bajos utiliza una estructura de supervisión descentralizada, con reguladores específicos del sector manejando la aplicación.

Guía de cumplimiento NIS2: La hoja de ruta de gestión de acceso para 2026

Las credenciales robadas dominan las brechas de seguridad en 2026. El Artículo 21 de NIS2 exige 10 medidas de seguridad para eliminar los vectores de ataque basados en credenciales. Esta guía cubre los requisitos técnicos, la obligación de notificación de incidentes en 24 horas, los niveles de MFA de ENISA y una hoja de ruta de 5 fases para el cumplimiento listo para auditoría.

Passwork BlogAlex Muntyan

Passwork gana Top Performer primavera 2026 en SourceForge

Passwork ha sido nombrado Top Performer primavera 2026 por SourceForge, clasificándose en el 10% superior de más de 100.000 soluciones. La insignia se basa completamente en reseñas verificadas — 4,8 estrellas en general, con un 5,0 perfecto para soporte.

Passwork BlogAlex Muntyan

Ataques de fuerza bruta en 2026: Tipos, ejemplos y cómo prevenirlos

Clústeres de GPU, listas de palabras asistidas por IA, botnets de 2,8 millones de dispositivos. La fuerza bruta ha escalado. Esta guía cubre seis variantes de ataque, casos reales de 2025 y una estrategia de defensa en capas que su equipo puede implementar hoy.

Passwork BlogAlex Muntyan

Bulgaria's NIS2 grace period ended on 1 June 2026 — board members now face full personal fines, not the discounted 50% rate that applied through May. Luxembourg's NIS2 Directive transposition law entered into force on 10 May 2026, leaving four member states still without implementing legislation. The EU's NIS Cooperation Group adopted common incident-reporting templates that the Commission intends to make mandatory through an implementing act.

This article covers every material NIS2 update from May 2026: what changed, which deadlines are live, and what your team needs to act on now.

Key takeaways

These NIS2 updates from May 2026 carry concrete compliance triggers: specific dates and specific obligations. Here is what changed.

• Bulgaria's full sanctions regime is active. From 1 June 2026, personal fines for management body members apply at 100% of statutory amounts — up to €5,000 per individual, separate from entity-level fines of up to €10 million. The 50% transitional discount is gone.
• Luxembourg's NIS2 law entered into force on 10 May 2026. In-scope entities have until 10 July 2026 to self-register with the ILR. Non-registration is itself a sanctionable breach.
• Four EU member states have still not transposed NIS2 — more than 19 months after the October 2024 deadline, according to Cullen International's May 2026 tracker.
• Common incident-reporting templates were adopted EU-wide. The NIS Cooperation Group agreed on standardised formats at its 39th plenary in Cyprus on 26 May 2026. A Commission implementing act will make them mandatory.
• ENISA's NIS360 2026 report identifies eight risk-zone sectors. Health, railway, maritime, ICT service management, space, public administration, drinking water, and wastewater show the lowest cybersecurity maturity relative to their criticality.
• The Netherlands advanced its delayed Cyberbeveiligingswet. The Dutch House of Representatives approved the bill on 15 April 2026; Senate approval remains pending.
• Ireland confirmed the National Cyber Security Bill as its NIS2 vehicle. The Department of Justice is drafting the legislation and placing the NCSC on a statutory footing.
• DigitalEurope called for deeper NIS2 harmonisation. The industry body published a formal position identifying scope, size thresholds, incident reporting, and conformity assessment as the areas most in need of standardisation across member states.

Bulgaria's full enforcement phase began 1 June 2026

Bulgaria's NIS2 enforcement entered its final phase on 1 June 2026. Fines and sanctions for all infringements now apply at their full statutory amounts — the 50% reduction that applied to violations committed before that date is gone.

The underlying legislation is the Law Amending and Supplementing the Cybersecurity Act, adopted by the 51st National Assembly on 5 February 2026 and promulgated in the State Gazette (issue 17) on 13 February 2026, entering into force on the same date.

Who is in scope

The Cybersecurity Act covers public and private entities in Annex I and Annex II sectors that meet or exceed medium-enterprise thresholds. Certain providers are in scope regardless of size: public electronic communications networks, trust service providers, top-level domain registries, DNS service providers, entities that are the sole provider of a critical service in Bulgaria, or whose disruption would significantly affect public order, public safety or health, or the economy.

Administrative bodies (including municipalities) are classified as essential entities under Article 4a(1)(4), regardless of size.

Full enforcement without a complete rulebook

One practical complication remains. The law explicitly delegates the definition of minimum cybersecurity measures for certain entity categories to a secondary ordinance of the Council of Ministers, to be proposed jointly by the Communications Regulation Commission and the Minister of e-Governance. That ordinance has not yet been published. Organizations entered the full enforcement phase without the complete operational rulebook the law itself anticipated.

That does not suspend the obligations. The primary law is in force, sanctions are real. Gap analysis against the existing NIS2 framework is both possible and advisable now, before supervisory pressure builds. ISO/IEC 27001 and ISO 22301 provide a workable baseline alongside the Cybersecurity Act's requirements.

What management bodies must now demonstrate

Bulgaria's Cybersecurity Act places explicit personal accountability on individual members of management bodies, not just on the organization as a legal entity. Management bodies must:

• Formally approve the cybersecurity risk-management measures required under Article 21
• Oversee implementation of those measures
• Complete cybersecurity training at least every two years
• Organize equivalent training for employees on a regular basis

The measures that boards must approve cover risk analysis and information security policies, incident handling, business continuity and crisis management, supply chain security, cyber hygiene practices, and multi-factor authentication where appropriate.

The personal fine structure

Where a management body member of an essential or important entity breaches these governance obligations, a personal fine of €500 to €5,000 may be imposed. This is separate from entity-level sanctions and stacks on top of them: up to €10 million or 2% of global turnover for essential entities, and up to €7 million or 1.4% for important entities.

The competent national authority can also request a court to impose a temporary prohibition on a natural person from exercising management functions in an essential entity.

The practical implication: a board member cannot delegate their way out of liability. Whether a fine is imposed, and how severe, will depend on the individual's ability to show tangible actions — board resolutions, adopted policies, audit protocols, assigned responsibilities, completed training, and documented corrective measures.

EU-wide: Common incident-reporting templates adopted

On 26 May 2026, the NIS Cooperation Group adopted common templates for NIS2 incident reporting at its 39th plenary meeting in Cyprus. The Group brings together EU member states, the European Commission, and ENISA.

The templates provide a standardised format for reporting cyber incidents across the EU. Until now, the absence of a common format meant that organizations operating in multiple member states had to navigate different national reporting forms, field sets, and submission portals — a significant administrative burden for any cross-border operation.

The Commission has stated it plans to adopt these templates through an implementing act, which would make them mandatory for all member states. Once that act is in force, the templates will establish a unified incident-reporting framework across the EU.

This development also connects to the broader Digital Omnibus proposal, which includes a single-entry point for incident reporting. The common templates are designed to align with that future architecture.

What this means for your incident response process: If your team has built notification workflows around a specific member state's current form, expect those workflows to be updated once the implementing act is published. The core NIS2 compliance timeline obligations under Article 23 (24-hour early warning, 72-hour incident notification, one-month final report) do not change. The format for submitting them does.

ENISA NIS360 2026: Eight sectors still in the risk zone

ENISA published the third edition of its NIS360 report on 28 May 2026. The report assesses cybersecurity maturity and criticality across all sectors of high criticality listed under Annex I of NIS2.

The 2026 assessment covers the full ecosystem of each sector (national authorities, regulated entities, and applicable EU legislation) rather than individual organizations. It identifies sectors where maturity has improved and sectors where the gap between criticality and actual security posture remains wide.

Eight sectors are identified as risk zones: health, railway, maritime, ICT service management, space, public administration, drinking water, and wastewater. These are sectors where the consequences of a successful attack are severe, but where the security baseline across the sector remains below what the threat level demands.

For IT and security leaders in these sectors, the NIS360 assessment is a useful benchmark. If your sector appears in the risk-zone list, expect heightened supervisory attention from national competent authorities — not because the report triggers enforcement directly, but because regulators use sector-level maturity data to prioritize their audit and inspection calendars.

Luxembourg: NIS2 law in force, registration deadline is 10 July 2026

Luxembourg published its NIS2 transposition law on 6 May 2026 in the Journal officiel du Grand-Duché de Luxembourg. The law entered into force on 10 May 2026, replacing the NIS1 law of 28 May 2019.

Who is in scope

NIS2 applies in Luxembourg to organizations with 50 or more employees or annual turnover exceeding €10 million, operating in one of 18 critical sectors. Size thresholds are assessed at consolidated group level: a subsidiary with 40 employees may still be in scope if the parent group exceeds the thresholds.

The two-tier structure

Essential entities — large organizations in Annex I sectors with more than 250 employees and either €50 million in turnover or €43 million in balance sheet — face proactive supervision and sanctions of up to €10 million or 2% of global turnover. Important entities — medium-sized Annex I organizations and all qualifying Annex II entities — face reactive supervision and sanctions of up to €7 million or 1.4% of global turnover.

Both tiers must implement the same ten categories of measures under Article 12: risk analysis, incident handling, business continuity, supply chain security, secure development, effectiveness assessment, cyber hygiene, cryptography, access control, and multi-factor authentication.

Incident reporting timelines

Luxembourg follows the NIS2 Article 23 structure exactly: 24-hour early warning, 72-hour formal notification, one-month final report. Missing any deadline is itself a sanctionable breach.

The 10 July 2026 self-registration deadline

Entities have until 10 July 2026 to self-register with their competent authority. The ILR (Institut Luxembourgeois de Régulation) acts as the competent authority for most sectors; the CSSF oversees banking and financial market infrastructure. Non-registration is a sanctionable breach under Article 11.

Management bodies must formally approve cybersecurity measures, supervise their implementation, and undergo regular training. For essential entities, senior managers can face a temporary ban from exercising management functions for serious failures.

Netherlands: Cyberbeveiligingswet reaches Senate plenary stage

The Dutch House of Representatives approved the Cyberbeveiligingswet (the Netherlands' NIS2 transposition law) on 15 April 2026 by 140 votes to 10. The bill has now advanced to the Senate plenary stage.

Where the bill stands

The Tweede Kamer passed the bill with broad cross-party support; only two parties voted against. The Senate committees responsible for digitalisation and justice completed their written review on 19 May 2026. The bill has since moved to the Senate plenary stage, where it awaits a final vote.

The bill is being processed in parallel with separate legislation transposing the EU's CER Directive on the resilience of critical entities.

Background

The Netherlands submitted the bill to parliament on 2 June 2025, missing the EU transposition deadline of 17 October 2024 by over a year. The bill spent nearly ten months in lower house procedure before passing.

Key provisions

Rather than creating a single national cybersecurity authority, the law assigns enforcement to existing sector-specific regulators — the energy regulator for energy companies, the healthcare regulator for hospitals, and so on. The exact date the law enters into force will be set by government decree after Senate approval, and different provisions may take effect on different dates.

What comes next

Senate approval is the last legislative step. Once the vote passes and the government sets an entry-into-force date, organizations in scope will face immediate compliance obligations — risk management measures, incident reporting, and management accountability requirements.

Ireland: National Cyber Security Bill confirmed as NIS2 vehicle

In a written parliamentary answer to Dáil Éireann (the lower house of the Irish parliament) on 13 May 2026, Ireland's Minister for Justice, Home Affairs and Migration confirmed that the Department of Justice is drafting the National Cyber Security Bill as the legislative vehicle for NIS2 transposition.

The Bill is listed as a priority for publication in the Summer 2026 legislation programme. It will appoint the National Cyber Security Centre (NCSC) as the national competent authority and as Ireland's Computer Security Incident Response Team (CSIRT). It will also place the NCSC on a statutory footing for the first time — the centre currently operates without a dedicated legislative basis.

Ireland missed the EU transposition deadline of 17 October 2024. A Cabinet decision in July 2024 directed priority drafting of the legislation, and work has been progressing since. The draft Bill has not yet been published, but the government released the General Scheme of the National Cyber Security Bill in September 2024, setting out its intended structure.

Management liability

Under NIS2 Article 20, as reflected in Head 28 of the General Scheme, management boards will be required to approve and oversee cybersecurity risk management measures, attend regular cybersecurity training, and may face personal liability for compliance failures — including temporary bans and administrative fines. The General Scheme defines "management board" as "a body or group of individuals vested with the authority and responsibility for the oversight, direction and control of an entity."

Sectoral regulators already active

Sectoral regulators have already been designated as National Competent Authorities and are preparing to take on supervision and enforcement functions. The NIS2 registration and incident reporting portals are not yet live — they will open once the legislation is enacted — but the NCSC has published draft Risk Management Measures guidance and the Cyber Fundamentals (CyFun) framework to help organizations prepare in the interim.

The Bill is also being developed alongside Ireland's third National Cyber Security Strategy, coordinated through an Inter-Departmental Committee chaired by the Department of Justice.

For organizations with Irish operations, the absence of enacted legislation does not remove the obligation to prepare. Sectoral NCAs are already active, and the Bill's enactment is described as a government priority.

DigitalEurope: NIS2 still needs deeper harmonisation

On 13 May 2026, DigitalEurope published a formal policy position on the EU cybersecurity package, covering the proposed Cybersecurity Act 2 (CSA2), the ICT supply chain security framework, and targeted NIS2 amendments.

On NIS2 specifically, DigitalEurope's position is direct: the targeted amendments proposed in the current package respond "minimally" to the concerns industry has raised over several years. The areas requiring more rigorous harmonisation are:

• Scope: NIS2 should focus on core business activities only, excluding ancillary operations that create disproportionate obligations.
• Size thresholds: National divergence in how thresholds are applied creates inconsistent coverage across member states.
• Incident reporting: Reporting fields, timelines, and submission processes still vary at national level — a problem the common templates (see above) partially address.
• Main establishment rules: Organizations operating across multiple member states face uncertainty about which national authority has primary jurisdiction.
• Conformity assessment: Requirements differ by member state, creating compliance complexity for cross-border operations.

DigitalEurope also called for ENISA to conduct impact assessments for all relevant EU cybersecurity legislation and to coordinate implementation more actively — positioning the agency as a coordination hub rather than a purely advisory body.

For compliance officers tracking the regulatory trajectory: the harmonisation gaps DigitalEurope identifies are real operational friction points. The common incident-reporting templates adopted on 26 May are a step toward closing one of them. The others will require either the implementing acts or the NIS2 amendment process to resolve.

What this means for your team right now

The May 2026 developments follow a pattern that has been consistent since enforcement began: the directive's text is stable, but the national implementation layer keeps moving. Bulgaria's full sanctions phase, Luxembourg's live registration deadline, and the pending Senate vote in the Netherlands all represent concrete compliance triggers, each with a specific date now attached.

The common incident-reporting templates are the most operationally significant EU-wide development of the period. Once the Commission implementing act is published, every organization's incident notification workflow will need to be updated to match the standardised format. Build that update into your incident response planning now, before an actual incident forces you to do it under pressure.

The ENISA NIS360 risk-zone list is worth taking seriously if your organization operates in health, public administration, or any of the other flagged sectors. Supervisory attention follows maturity gaps — and ENISA's assessment feeds directly into how national competent authorities prioritize their audit calendars.

Frequently asked questions

What happened with NIS2 in May 2026?

May 2026 saw four significant NIS2 developments: Luxembourg's transposition law entered into force on 10 May; the NIS Cooperation Group adopted common incident-reporting templates on 26 May; ENISA published the NIS360 2026 sector maturity assessment on 28 May; and the Netherlands advanced its Cyberbeveiligingswet through the House of Representatives. Bulgaria's full sanctions phase began on 1 June 2026, directly following the May period.

What is the Luxembourg NIS2 self-registration deadline?

Luxembourg's NIS2 transposition law, which entered into force on 10 May 2026, requires all in-scope entities to self-register with their competent authority by 10 July 2026. The ILR (Institut Luxembourgeois de Régulation) is the primary competent authority. Non-registration is a sanctionable breach under Article 11 of the transposition law.

What are the new NIS2 incident-reporting templates?

On 26 May 2026, the NIS Cooperation Group adopted common templates for NIS2 incident reporting at its 39th plenary meeting in Cyprus. The templates provide a standardised format for reporting cyber incidents across all EU member states. The European Commission plans to make them mandatory through an implementing act. The underlying NIS2 Article 23 timelines — 24-hour early warning, 72-hour notification, one-month final report — remain unchanged.

Which sectors does ENISA's NIS360 2026 identify as highest risk?

ENISA's NIS360 2026 report, published 28 May 2026, identifies eight sectors as risk zones where cybersecurity maturity remains low relative to criticality: health, railway, maritime, ICT service management, space, public administration, drinking water, and wastewater. These are all Annex I sectors under NIS2 and are subject to proactive supervision as essential entities.

What are the personal liability rules for managers under Bulgaria's NIS2?

Under Bulgaria's amended Cybersecurity Act, members of the management body of essential and important entities face personal fines of €500 to €5,000 for breaching their governance obligations — separate from entity-level fines. From 1 June 2026, these fines apply at full statutory amounts; the 50% transitional discount that applied to pre-June violations no longer exists. The competent authority can also seek a court-ordered temporary ban on a manager from exercising management functions.

How many EU member states have transposed NIS2?

As of late May 2026, 23 of 27 EU member states have transposed NIS2 into national law, according to Cullen International's May 2026 tracker. Luxembourg's transposition entered into force on 10 May 2026, bringing the total to 23. Four member states remain in the legislative process, more than 19 months after the October 2024 transposition deadline.

What is the Netherlands' Cyberbeveiligingswet?

The Cyberbeveiligingswet is the Netherlands' national legislation implementing NIS2. The Dutch House of Representatives approved the bill in 2026 after the Netherlands missed the original EU transposition deadline of October 2024. The bill still requires Senate approval before it can enter into force. The Netherlands' model uses a decentralised supervisory structure, with sector-specific regulators handling enforcement.

NIS2 compliance guide: The access management roadmap for 2026

Stolen credentials dominate breaches in 2026. NIS2 Article 21 mandates 10 security measures to eliminate credential-based attack vectors. This guide covers technical requirements, the 24-hour incident reporting obligation, ENISA’s MFA tiers, and a 5-phase roadmap to audit-ready compliance.

Passwork BlogAlex Muntyan

Passwork wins Top Performer Spring 2026 on SourceForge

Passwork has been named a Top Performer Spring 2026 by SourceForge, ranking in the top 10% of 100,000+ solutions. The badge is based entirely on verified reviews — 4.8 stars overall, with a perfect 5.0 for support.

Passwork BlogAlex Muntyan

Brute force attacks in 2026: Types, examples & how to prevent them

GPU clusters, AI-assisted wordlists, botnets of 2.8M devices. Brute force has scaled. This guide covers six attack variants, real-world cases from 2025, and a layered defense strategy your team can implement today.

Passwork BlogAlex Muntyan

Three things happened in April 2026 that don't look connected — until you see the pattern.

APT28 hijacked 18,000 routers across 120 countries and redirected authentication traffic through an adversary-in-the-middle proxy. No malware. Just a TLS certificate warning that most users dismissed. Microsoft 365 credentials and OAuth tokens collected at the midpoint, MFA bypassed entirely.

A developer at an AI productivity startup got infected by a commodity infostealer. The malware cost roughly $200 on a darknet forum. It extracted a browser-stored OAuth token, handed it to attackers, and within hours they were inside Vercel's production environment — enumerating API keys, database credentials, and signing keys.

ShinyHunters pulled authentication tokens from a third-party analytics provider called Anodot and spent the day monetizing access to dozens of downstream platforms. Vimeo. Zara. Snowflake customers. None of the primary platforms were compromised directly. The attack ran entirely through the integration layer.

The common thread: the breach never started where the damage ended. Every attacker entered through a peripheral — a vendor, an integration, a forgotten device — and pivoted to the real target from there.

This digest covers the credential and authentication incidents that defined April 2026, the statistics that give them context, and what they collectively mean for how organizations manage access.

Key takeaways

• APT28 hijacked 18,000 routers across 120 countries to steal Microsoft 365 OAuth tokens. The FrostArmada campaign required no malware and left almost no visible trace — DNS settings were silently overwritten to redirect authentication traffic through an adversary-in-the-middle proxy. MFA was bypassed entirely. The FBI dismantled the infrastructure in April 2026.
• Storm-2372 bypassed MFA at scale without stealing a single password. The campaign abused the OAuth Device Code flow, using AI-generated role-specific lures to trick victims into authorizing attacker-controlled sessions. The toolkit (EvilTokens) automated the entire operation end-to-end.
• The Anodot breach exposed stored tokens for dozens of downstream platforms. ShinyHunters extracted authentication tokens from a third-party analytics provider and used them to access customer data at Vimeo (119,000 users) and Zara/Inditex (197,000 records). Snowflake was not compromised — the attack ran entirely through the integration layer.
• A commodity infostealer on one developer's device was sufficient to breach Vercel's production environment. Lumma Stealer compromised Context.ai, a peripheral AI vendor. Inherited OAuth access gave attackers direct entry into Vercel systems — no zero-day, no phishing of Vercel staff required.
• A malicious Bitwarden CLI package circulated via npm for 94 minutes. Attackers hijacked a GitHub Action in the CI/CD pipeline and injected a payload targeting developer secrets, cloud credentials, and AI coding tool configurations — with built-in self-propagation across reachable repositories.
• AI-assisted development drove secret leaks to a record 28.6 million in 2025 — up 34% year-over-year. AI-service credential leaks grew 81%. Commits co-authored by AI tools leak secrets at roughly twice the baseline rate. 64% of secrets exposed in 2022 remained active and exploitable in 2026.
• Every major incident this month followed the same pattern. The primary target was never the ultimate victim — attackers moved through a peripheral vendor, a stored token, or a compromised dependency to reach the real objective. MFA did not stop any of the credential theft campaigns. The attack surface is the integration layer, the CI/CD pipeline, and the OAuth grant.

APT28: DNS hijacking campaign FrostArmada disrupted by international authorities

An international law enforcement operation involving the FBI, the U.S. Department of Justice, and the Polish government, with technical support from Microsoft and Black Lotus Labs, dismantled FrostArmada: an APT28 campaign that hijacked router DNS settings to steal Microsoft 365 credentials and OAuth tokens. Active since May 2025, the campaign infected 18,000 devices across 120 countries at its peak in December 2025.

What happened

APT28 (also tracked as Fancy Bear, Forest Blizzard, Strontium, and Storm-2754) — attributed by the NCSC and the U.S. DoJ to Russia's GRU military unit 26165 — compromised internet-exposed SOHO routers by exploiting known public vulnerabilities. The primary target was the TP-Link WR841N via CVE-2023-50224, which allowed unauthenticated attackers to extract router credentials via a crafted HTTP GET request, then overwrite DHCP/DNS settings with a second request.

The attack chain worked as follows:

1. Router is compromised via a known vulnerability; DNS settings are overwritten to point to attacker-controlled VPS nodes
2. New DNS configuration is automatically pushed to all internal devices via DHCP — laptops, phones, everything on the network
3. When a user queries an authentication-related domain, the malicious DNS server returns the attacker's IP instead of the real one
4. User is redirected to an adversary-in-the-middle (AitM) proxy
5. The proxy passes requests through to the legitimate service — while silently collecting passwords and OAuth tokens at the midpoint
6. The only visible warning to the victim: a TLS certificate error, easily dismissed

The approach required minimal end-user interaction and left almost no visible trace. Black Lotus Labs described it as "all thriller, no malware filler."

How the campaign evolved

The earliest activity was limited and began in May 2025. The inflection point came on August 5, 2025, when the NCSC published its Authentic Antics report describing a Forest Blizzard toolset for stealing Microsoft Office credentials. Lumen detected widespread router exploitation and DNS redirection starting the very next day (August 6) confirming rapid tradecraft adaptation after public exposure.

This pattern is consistent with Forest Blizzard's broader history. The group has continuously evolved its credential theft methods since at least 2021: from brute-force password spraying against Microsoft services, to NTLM hash harvesting via compromised routers, to full AitM infrastructure. The group is also known to deploy the LLM-based tool "LAMEHUG" alongside more traditional techniques.

How the infrastructure was organized

Black Lotus Labs identified two distinct operational clusters:

• Expansion team — focused on compromising new SOHO routers and growing the botnet at scale, targeting a large pool of networking equipment via exposed web interfaces
• AitM cluster — handled credential and token collection; also conducted interactive operations against specific MikroTik routers

The DNS hijacking was opportunistic by design: cast a wide net, then filter intercepted traffic to triage victims of likely intelligence value at each stage of the chain.

Targets and scope

The campaign primarily targeted government agencies, ministries of foreign affairs, law enforcement bodies, IT and hosting providers, and organizations running on-premise email servers. Microsoft confirmed AitM attacks against Microsoft 365 subdomains, including Outlook on the web. Black Lotus Labs and the NCSC also observed targeting of government organizations in North Africa, Central America, and Southeast Asia including "a national identity platform in one European country."

The takedown

The FBI carried out a court-authorized technical operation, remotely resetting DNS configurations on compromised routers to point back to legitimate resolvers. The operation was tested extensively on affected TP-Link firmware to ensure it did not impact normal router functionality or collect user data.

Lumen blocked traffic to the affected infrastructure and added indicators of compromise into Lumen Defender. Routers can be fully cleaned by restoring factory default settings. TP-Link confirmed the scope in an official statement:

"TP-Link has conducted an internal review and identified that multiple legacy TP-Link products may be affected by this vulnerability. Except for TL-WR940N v6 (EOS since 2024), all affected products have reached End-of-Life (EOL) status and no longer within TP-Link's standard maintenance lifecycle."

In practice, this means no patches are coming — replacement is the only remediation path for affected hardware.

What to do

Priority actions for network and security teams:

• Replace any routers that no longer receive firmware updates — end-of-life hardware was the primary entry point
• Verify DNS resolver settings in your router configuration and check against known-good values from your ISP
• Implement certificate pinning on corporate devices managed via MDM — this generates an error when an AitM proxy attempts traffic inspection
• Review firewall rules to prevent unwanted exposure of remote management interfaces
• Monitor Microsoft Entra sign-in logs for anomalous OAuth token usage patterns

Storm-2372 AI phishing: Massive MFA bypass via Device Code

Microsoft documented a large-scale phishing campaign by Storm-2372 that bypassed MFA without stealing a single password. The attack abused the OAuth Device Code authentication flow — a legitimate mechanism designed for devices that cannot support interactive logins — to trick users into authorizing attacker-controlled sessions. The campaign was powered by EvilTokens, a phishing-as-a-service toolkit that automated the entire operation end-to-end.

How it worked

The attack unfolded in three phases:

• Reconnaissance: 10–15 days before phishing, the group verified target account validity via Microsoft's GetCredentialType endpoint.
• Delivery: generative AI produced hyper-personalized lure emails tailored to each target's role — RFPs for procurement staff, invoices for finance teams, manufacturing workflow notifications for operations. Redirect chains ran through Vercel, Cloudflare Workers, and AWS Lambda to blend with legitimate enterprise traffic.
• Token capture: when a victim clicked the link, a background script generated a live Device Code in real time — bypassing the standard 15-minute expiration window. The victim completed MFA on Microsoft's real login page, unknowingly authorizing the attacker's session.

Post-compromise activity focused on high-value targets: email exfiltration, malicious inbox rules for persistence, and Microsoft Graph reconnaissance to map organizational structure and permissions.

Targets and scope

The campaign targeted organizations across government, finance, manufacturing, and IT sectors. Post-compromise activity was not indiscriminate: threat actors used automated enrichment — cross-referencing public profiles and corporate directories — to triage compromised accounts and prioritize individuals in financial or executive roles for deeper exploitation.

Post-compromise activity

Once tokens were obtained, attackers focused on maintaining access and extracting data. This included email exfiltration, creation of malicious inbox rules to redirect or conceal communications, and Microsoft Graph reconnaissance to map organizational structure and permissions — enabling lateral movement for as long as the stolen tokens remained valid.

What to do

• Disable Device Code flow for users and applications that don't require it via Conditional Access policies
• Monitor for anomalous GetCredentialType endpoint queries and unusual token issuance patterns
• Implement token lifetime policies and continuous access evaluation to limit stolen token validity windows
• Treat role-specific AI-personalized lures as a documented threat vector — generic awareness training is insufficient

Anodot token leak: Vimeo, Zara and dozens more hit in ShinyHunters campaign

Over a dozen companies suffered data theft after authentication tokens were stolen from Anodot, an AI-based analytics provider acquired by Glassbox in November 2025. The majority of attacks targeted Snowflake customer environments. Among the confirmed victims: Vimeo (119,000 users affected) and Zara's parent company Inditex (197,000 records exposed). The Snowflake platform itself was not breached — the attack ran entirely through the third-party integration layer.

What happened

Anodot provides real-time anomaly detection for business and operational data, integrating directly with Snowflake, S3, Amazon Kinesis, and other platforms. To function, it stores authentication tokens on behalf of its customers. When Anodot's environment was breached, those stored tokens gave attackers direct access to downstream customer data — no vulnerability in Snowflake itself was required.

The ShinyHunters extortion group claimed responsibility, telling BleepingComputer they stole data from dozens of companies on a single Friday using tokens harvested from Anodot. The group also hinted they may have had access to Anodot for some time before acting. ShinyHunters subsequently attempted to use the same stolen tokens against Salesforce customer accounts — but was detected and blocked by AI-based detection before succeeding.

Snowflake responded by locking down potentially impacted customer accounts and notifying affected organizations. Anodot's status page showed all connectors down across all geographic regions from the weekend of the incident. Neither Anodot nor its parent company Glassbox responded to press inquiries at time of publication.

Confirmed victims

Vimeo confirmed that the Anodot breach exposed user and customer data — primarily technical data, video titles, metadata, and in some cases email addresses. In its official disclosure, Vimeo stated:

"The data accessed does not include Vimeo video content, valid user login credentials, or payment card information. Vimeo user and customer login credentials are secure. Upon learning of the incident, we promptly disabled all Anodot credentials, removed the Anodot integration with Vimeo systems, and engaged third-party security experts to assist with the investigation."

According to Have I Been Pwned, 119,200 unique email addresses were exposed, sometimes accompanied by names. ShinyHunters published hundreds of gigabytes of Vimeo data after listing the company on their "pay or leak" extortion portal.

Zara (Inditex) was also listed by ShinyHunters as part of the same campaign. The group published what they claimed was a terabyte of data, allegedly including 95 million support ticket records. Have I Been Pwned recorded 197,400 unique email addresses in the breach, alongside product SKUs, order IDs, and geographic market data. Inditex confirmed the incident but stated it did not affect passwords or payment information.

Why it matters

This incident is a structural risk, not a one-off event. SaaS-to-SaaS integrations routinely involve credential delegation: one service authenticates on behalf of another, storing long-lived tokens with broad permissions. That authorization is granted once and rarely reviewed. When the delegated service is compromised, every downstream connection it holds becomes an attack vector — and the primary platform has no visibility into or control over the breach.

The ShinyHunters playbook is consistent: identify a peripheral integration service, compromise it, extract stored tokens, and monetize access through extortion before victims can respond.

What to do

• Maintain a current inventory of all third-party SaaS integrations and the credentials they hold on your behalf
• Apply least-privilege scoping to all OAuth grants and API tokens issued to external services
• Set token expiration policies — avoid indefinite long-lived tokens for third-party integrations
• Conduct periodic access reviews and revoke authorizations for services no longer in active use
• Treat integration provider security posture as part of your vendor risk assessment process

Unreviewed third-party integrations and long-lived tokens are a structural risk, not an edge case. Passwork gives security teams a centralized inventory of credentials with role-based access and a full audit trail — so nothing persists unnoticed. See how it works

Vercel: Supply chain attack via OAuth and Lumma Stealer

A Vercel employee used Context.ai — a third-party AI productivity tool — connected to their corporate Google Workspace account via OAuth. When Context.ai was compromised, attackers inherited that OAuth access, took over the employee's Vercel account, and pivoted into production systems.

Non-sensitive environment variables — API keys, tokens, database credentials, signing keys — were enumerated and decrypted. Vercel engaged Google Mandiant for forensic investigation and described the attackers as "highly sophisticated based on their operational velocity and in-depth understanding of Vercel's product API surface."

What happened

Trend Micro identified Lumma Stealer as the infostealer used in the initial compromise of Context.ai. Lumma is a commodity malware-as-a-service tool that extracts browser-stored credentials, session cookies, and authentication tokens from infected machines. One infected developer device at a small AI vendor became the entry point for a $2 million data breach at a major cloud platform.

Vercel confirmed that secret environment variables — those explicitly marked as sensitive — were stored encrypted and were not compromised. Non-secret variables were exposed. The company described the attackers as "highly organized" and engaged Mandiant for forensic investigation.

"We’ve identified a security incident that involved unauthorized access to certain internal Vercel systems. We are actively investigating, and we have engaged incident response experts to help investigate and remediate." — Vercel official statement

Why it matters

OAuth grants are easy to create and rarely reviewed. When an employee connects a third-party tool to a corporate account, they typically grant broad permissions in a single click — and that authorization persists indefinitely unless explicitly revoked. Each connected application is a potential pivot point if that application is ever compromised.

The attack chain here required no zero-day, no phishing of a Vercel employee directly, and no vulnerability in Vercel's own code. A commodity infostealer on a developer's machine at a peripheral vendor was sufficient.

What to do

• Audit all OAuth applications connected to corporate Google Workspace and Microsoft 365 accounts
• Enforce policies restricting which third-party applications employees can authorize
• Mark all sensitive environment variables explicitly — and treat non-marked variables as potentially exposed
• Deploy endpoint detection capable of identifying infostealer activity before credential exfiltration occurs
• Rotate all non-sensitive environment variables as a precaution if the Context.ai OAuth app was present in your environment

Bitwarden CLI compromised in Checkmarx supply chain attack

April 22, 2026. The Bitwarden CLI package @bitwarden/cli@2026.4.0 was distributed with malicious code for 94 minutes — between 5:57 PM and 7:30 PM ET — via a hijacked GitHub Action in Bitwarden's CI/CD pipeline. The compromise is part of the broader Checkmarx supply chain campaign, attributed to the threat actor TeamPCP. Bitwarden confirmed the incident and stated that no end-user vault data was accessed.

What the malicious code did

The injected code executed via a preinstall hook and targeted credentials across multiple surfaces: local environment files and shell history, GitHub Actions secrets, CI/CD pipeline credentials, configuration files for AI coding tools (Claude, Cursor, Codex CLI, Aider, Kiro), and npm tokens. Stolen data was encrypted with AES-256-GCM and exfiltrated to audit.checkmarx[.]cx — a domain impersonating Checkmarx — with a GitHub repository as fallback.

If GitHub tokens were found, the malware injected malicious Actions workflows into every reachable repository and used harvested npm credentials to push further malicious package versions downstream. Endor Labs described it as one of the "more capable npm supply chain payloads" published to date.

What to do

• Pin all CI/CD dependencies — GitHub Actions, npm packages, Docker images — to specific verified commit hashes
• Implement dependency integrity verification (checksums, Sigstore signatures) before installation
• Restrict CI/CD pipeline permissions to the minimum required scope
• If the package was installed during the affected window, rotate all secrets accessible from that environment immediately

GitGuardian: AI agents led to the leak of 29 million secrets

GitGuardian's State of Secrets Sprawl 2026 report found 28,649,024 new secrets exposed in public GitHub repositories in 2025 — a 34% year-over-year increase and the largest annual jump in the report's history. The primary driver: AI-assisted development.

Why AI makes this worse

AI assistants accelerate development to the point where code looks production-ready — and gets committed — before anyone has decided where credentials should live. Commits co-authored by Claude Code leak secrets at roughly twice the baseline rate across public GitHub. A separate risk surface emerged with MCP configuration files: GitGuardian found 24,008 unique secrets exposed in Model Context Protocol configs in 2025.

Key figures

Once a secret is committed to a public repository, it is effectively public — regardless of whether it is later deleted. Automated scanners harvest newly committed secrets within minutes of publication.

What to do

• Implement pre-commit hooks and CI/CD secret scanning to catch credentials before they reach repositories
• Enforce dedicated secrets management tooling (HashiCorp Vault, AWS Secrets Manager) as the only permitted credential storage mechanism
• Rotate any credential that has ever appeared in a public repository, regardless of how briefly
• Establish credential governance policies specifically for AI agent integrations — treat agent identities as first-class access management objects

What April's incidents have in common

Three patterns repeat across every incident this month:

• The primary target was rarely the ultimate victim — attackers moved through a peripheral vendor, a third-party OAuth app, or a compromised CI/CD dependency to reach the real objective.
• MFA provided less protection than assumed — both the Device Code campaign and the OAuth token theft chains bypassed it entirely without touching a password.
• AI accelerated attacker velocity on both sides — generative AI personalized phishing at scale while AI-assisted development created a record volume of exposed credentials.

April 2026 by the numbers: the month in cybersecurity

April 2026 continued the trajectory established earlier in the year — more incidents, broader impact, and attack chains that increasingly bypass traditional controls. Ransomware, credential theft, and supply chain compromise dominated the threat landscape across every sector.

Breach and attack volume

Credential and secrets exposure

Attack techniques in focus

Conclusion

April 2026 confirmed a shift that has been building for years: the authentication layer is the primary attack surface, and session tokens are the primary target.

APT28 hijacked 18,000 routers to intercept OAuth tokens without ever touching a password. Storm-2372 bypassed MFA at scale using a legitimate authentication flow. ShinyHunters extracted stored tokens from a third-party analytics provider and monetized access across dozens of downstream platforms — none of which were directly compromised. A commodity infostealer on a single developer's machine at a peripheral vendor was sufficient to reach Vercel's production environment.

The 28.6 million secrets exposed on GitHub, the token theft campaigns run by APT28 and Storm-2372, and the Anodot breach affecting dozens of downstream platforms all point to the same structural gap: access management built for a simpler environment is not keeping pace with how organizations actually operate today.

Protecting credentials now means governing the full lifecycle — issuance, rotation, delegation, and revocation — across human users, service accounts, API keys, and AI agent identities. Shadow IT, unreviewed OAuth grants, and hardcoded secrets in CI/CD pipelines are the attack surface. The perimeter is not.

The incidents in this digest share one structural gap: credentials and tokens that existed outside of governance — unreviewed, unrotated, unrevoked. Passwork provides a self-hosted vault with role-based access control, structured permissions, and a complete audit log. Try Passwork in your infrastructure

Frequently asked questions

What was the most significant cybersecurity threat in April 2026?

The APT28 FrostArmada campaign was the most operationally significant incident of the month. By hijacking DNS settings on over 18,000 unpatched SOHO routers across 120 countries, the Russian GRU-linked group silently intercepted Microsoft 365 credentials and OAuth tokens from government agencies, law enforcement bodies, and IT providers — bypassing MFA without deploying malware or phishing individual users directly.

How does OAuth token theft bypass MFA?

OAuth tokens are issued after a user has already completed authentication — including any MFA step. Stealing the token means inheriting a fully authenticated session. MFA protects the login process; it does not protect the token that results from it. Attackers who intercept or steal tokens skip the login process entirely, rendering MFA irrelevant at that stage.

What is the Device Code phishing technique used by Storm-2372?

Device Code phishing abuses a legitimate OAuth flow designed for input-limited devices. Attackers initiate the flow, then deliver the resulting code to victims via AI-personalized phishing emails. When the victim enters the code at Microsoft's real authentication page, they unknowingly authorize the attacker's session — issuing a valid access token without exposing their password or triggering any MFA challenge. The token is legitimate because the user completed authentication themselves.

Why was the Bitwarden CLI supply chain attack significant?

It demonstrated that security tooling carries the same supply chain risk as any other software dependency. A malicious version of the Bitwarden CLI was distributed via npm for 94 minutes after attackers hijacked a GitHub Action in the CI/CD pipeline. The injected code targeted developer secrets, cloud credentials, and pipeline tokens — and was built to self-propagate to every repository the victim's GitHub token could reach.

What is credential sprawl and why is it accelerating?

Credential sprawl refers to the uncontrolled proliferation of secrets — API keys, tokens, passwords, certificates — across repositories, configuration files, collaboration tools, and CI/CD pipelines. GitGuardian's State of Secrets Sprawl 2026 report found 28.6 million new secrets exposed in public GitHub repositories in 2025, a 34% year-over-year increase driven largely by AI-assisted development. Code reaches production faster than credential governance policies can keep pace — and 64% of secrets exposed in 2022 remained active and exploitable in 2026.

Inside real supply chain attacks: Bitwarden CLI, Axios, and Vercel

Why breach your network when attackers can compromise a trusted dependency with millions of downloads and slip silently into thousands of organizations at once? Three 2026 campaigns prove supply chain attacks are no longer isolated incidents.

Passwork BlogAlex Muntyan

Brute force attacks in 2026: Types, examples & how to prevent them

GPU clusters, AI-assisted wordlists, botnets of 2.8M devices. Brute force has scaled. This guide covers six attack variants, real-world cases from 2025, and a layered defense strategy your team can implement today.

Passwork BlogAlex Muntyan

Password chaos: Why it’s a business problem and how to fix it

A forgotten password costs $70. A breach costs $4.44 million. Both start the same way — credentials shared over Slack, stored in spreadsheets, never rotated. Here’s what password chaos actually costs and how to eliminate it.

Passwork BlogAlex Muntyan

18. April 2026 — Belgiens erste NIS2-Durchsetzungsfrist. Wesentliche Einrichtungen waren verpflichtet, verifizierte Dokumentation einzureichen, die bestätigt, dass Cybersicherheitskontrollen implementiert sind — geprüft durch eine akkreditierte Stelle oder direkt durch das Centre for Cybersecurity Belgium. Selbsterklärungen wurden nicht akzeptiert.

22 von 27 Mitgliedstaaten haben die NIS2-Umsetzung abgeschlossen. Die Durchsetzung ist in Deutschland, Frankreich und den Niederlanden aktiv — Regulierungsbehörden führen Audits durch und verhängen Bußgelder.

Gleichzeitig sind 84 % der Organisationen, die einer aktiven Durchsetzung unterliegen, nach eigener Aussage nicht bereit — laut der CyberSmart-Umfrage vom April 2026 unter 670 betroffenen Führungskräften aus acht Ländern. Diese Zahl hat sich in sechs Monaten nicht wesentlich verändert.

Dieser Artikel behandelt den aktuellen Stand der Durchsetzung, was als Nächstes kommt und was IT- und Sicherheitsverantwortliche vor der nächsten Frist angehen müssen.

Wichtigste Erkenntnisse

• Belgien setzte die erste Frist. Am 18. April 2026 waren wesentliche Einrichtungen verpflichtet, verifizierte Selbstbewertungen über CyberFundamentals (CyFun), ISO/IEC 27001 oder direkte CCB-Inspektion einzureichen.
• Die Bereitschaft bleibt kritisch niedrig. Nur 16 % der Unternehmen fühlen sich vollständig vorbereitet, dennoch sehen 75 % die Compliance als Wettbewerbsvorteil. Die Lücke liegt in der Umsetzung: Budgetbeschränkungen, fehlende Implementierungsleitfäden und blinde Flecken in der Lieferkette sind die eigentlichen Hindernisse.
• Polen erweiterte den Geltungsbereich auf 42.000 Organisationen. Das geänderte KSC-Gesetz trat am 3. April 2026 in Kraft und umfasst nun auch Lebensmittelproduktion, Abfallwirtschaft und weitere Sektoren. Die offizielle Entitätenliste wurde am 13. April 2026 veröffentlicht.
• Lieferkettenrisiko ist die am schwierigsten zu schließende Lücke. Nur etwa 1 von 10 Unternehmen bewertete 2024 die Sicherheitslage ihrer Lieferanten angemessen (UK NCSC). NIS2 Artikel 21 verlangt dokumentierte Sicherheitsverpflichtungen gegenüber Dritten und kontinuierliche Überwachung.
• Die Vorstandshaftung ist persönlich. NIS2 Artikel 20 macht Leitungsorgane direkt verantwortlich für die Genehmigung von Cybersicherheitsmaßnahmen und die Absolvierung entsprechender Schulungen. In Deutschland drohen einzelnen Führungskräften Bußgelder von bis zu 500.000 € für Governance-Versäumnisse — zusätzlich zu organisatorischen Strafen.
• Das Vereinigte Königreich entwickelt ein strengeres Parallelregime — und multinationale Unternehmen müssen beides verfolgen. Das UK Cyber Security and Resilience Bill führt zweistufige Strafen ein (bis zu 17 Mio. £ oder 4 % des weltweiten Umsatzes bei schweren Verstößen), direkte MSP-Regulierung und eine breitere Definition von Vorfällen, die auch potenzielle Vorfälle erfasst — nicht nur bestätigte. Eine einzige NIS2-Compliance-Strategie reicht für grenzüberschreitende Geschäfte nicht aus.
• Die Kontrollen, die Auditoren zuerst prüfen, lassen sich auch am schnellsten implementieren. Zugriffsmanagement, Passwortrichtlinien und MFA sind in Artikel 21 explizit gefordert — und sie erzeugen den Audit-Trail, der sowohl Artikel 21 als auch die Vorstandsaufsichtspflichten nach Artikel 20 erfüllt.

Was ist NIS2 und wer ist betroffen

NIS2 (Richtlinie EU 2022/2555) ist der aktualisierte Rechtsrahmen der EU für Netz- und Informationssicherheit. Sie ersetzt die ursprüngliche NIS-Richtlinie und erweitert sowohl den Kreis der erfassten Einrichtungen als auch die Schwere der Verpflichtungen. Die Richtlinie gilt für mittlere und große Organisationen in 18 kritischen Sektoren.

Ihre Organisation fällt unter die NIS2-Richtlinie, wenn:

• Sie in einem in Anhang I oder Anhang II der Richtlinie aufgeführten Sektor tätig ist
• Sie den Größenschwellenwert erfüllt — mindestens 50 Beschäftigte oder ein Jahresumsatz und/oder eine Jahresbilanzsumme von mehr als 10 Millionen Euro (Anhang zur Empfehlung 2003/361/EG)
• Sie als kritische Einrichtung gemäß Richtlinie (EU) 2022/2557 (CER-Richtlinie) eingestuft ist, unabhängig von ihrer Größe

Sobald bestätigt ist, dass Ihre Organisation in den Geltungsbereich fällt, hängt die Einstufung als wesentliche oder wichtige Einrichtung von zwei Faktoren ab: dem Anhang, unter den Ihr Sektor fällt, und der Größe Ihrer Organisation.

Einige Organisationen fallen unabhängig von ihrer Größe unter NIS2:

• Ein Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste
• Ein Vertrauensdiensteanbieter
• Eine Top-Level-Domain-(TLD)-Namenregistrierungsstelle oder ein DNS-Dienstanbieter
• Der einzige Anbieter eines Dienstes in einem Mitgliedstaat, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Aktivitäten unerlässlich ist
• Eine Einrichtung, deren Störung erhebliche Auswirkungen auf die öffentliche Sicherheit, die öffentliche Ordnung oder die öffentliche Gesundheit haben könnte
• Eine Einrichtung, deren Störung ein erhebliches systemisches Risiko auslösen könnte, insbesondere in Sektoren, in denen eine solche Störung grenzüberschreitende Auswirkungen haben könnte

Wenn Ihre Organisation Teil eines größeren Konzerns ist, müssen Beschäftigtenzahl und Finanzkennzahlen über alle verbundenen Unternehmen aggregiert werden — eine Tochtergesellschaft mit 40 Beschäftigten kann dennoch in den Geltungsbereich fallen, wenn der Mutterkonzern die Schwellenwerte überschreitet.

Stand März 2026 haben 22 von 27 EU-Mitgliedstaaten nationale Umsetzungsgesetze verabschiedet. Frankreich, Irland, Luxemburg, die Niederlande und Spanien befinden sich noch im Gesetzgebungsverfahren, gemäß der Analyse von Skadden vom März 2026.

Hauptthema: Belgiens Frist am 18. April

Am 18. April 2026 lief in Belgien die NIS2-Konformitätsbewertungsfrist ab. Wesentliche Einrichtungen waren verpflichtet, die aktive Umsetzung von Cybersicherheits-Risikomanagementmaßnahmen nachzuweisen und entsprechende Belege beim Centre for Cybersecurity Belgium (CCB) einzureichen — über einen von drei anerkannten Compliance-Wegen:

• CyberFundamentals (CyFun®): Mindestens eine Basic- oder Important-Verifizierung erlangen oder eine unterschriebene Vereinbarung mit einer akkreditierten Bewertungsstelle vorlegen.
• ISO/IEC 27001: Den Zertifizierungsumfang, die Erklärung zur Anwendbarkeit (SoA) und den jüngsten internen Auditbericht einreichen. Die vollständige Zertifizierung muss bis April 2027 abgeschlossen sein.
• Direkte Inspektion: Eine Selbstbewertung mit unterstützender Dokumentation vorlegen und formell eine CCB-Inspektion beantragen — ein Weg, der direkt zu Aufsichtsmaßnahmen führen kann.

Reine Selbstbescheinigungen werden nicht akzeptiert. Das Versäumnis, vollständige und fristgerechte Dokumentation einzureichen, kann zu Verwaltungsmaßnahmen, finanziellen Sanktionen und weiteren Aufsichtsmaßnahmen führen.

Das von Belgien etablierte Muster (formelle Drittbewertung, dokumentierte Nachweise, Unterzeichnung durch die Geschäftsleitung, persönliche Haftung) ist die Vorlage, der der Rest der EU folgt.

Die NIS2-Bereitschaftslücke: 84 % der Unternehmen sind nicht bereit

16 % der europäischen Unternehmen, die NIS2 einhalten müssen, fühlen sich vollständig vorbereitet, während 11 % der betroffenen Organisationen sich noch unsicher sind, was NIS2 überhaupt ist. Diese Zahlen stammen aus der CyberSmart-Umfrage unter 670 Führungskräften aus dem Vereinigten Königreich, Polen, den Niederlanden, Irland, Frankreich, Deutschland, Italien, Dänemark und Belgien, durchgeführt Ende 2025 — alle aus Organisationen, die in den NIS2-Geltungsbereich fallen.

Das Problem ist die Umsetzung

Die naheliegende Annahme, dass Unternehmen NIS2 einfach nicht ernst nehmen, hält einer Prüfung nicht stand. 75 % der Befragten sehen zumindest einen gewissen Wettbewerbsvorteil in der Compliance, und 27 % betrachten diesen Vorteil als erheblich. Die größten Bedenken hinsichtlich Nicht-Compliance waren operativer und reputationsbezogener Natur.

Nur 3 % der Befragten gaben an, keinerlei Bedenken hinsichtlich der Folgen einer Nicht-Compliance zu haben.

Warum Organisationen scheitern

Auf die Frage, warum sie noch nicht vollständig compliant seien, gaben die Befragten in allen untersuchten Regionen konsistente Antworten. Die Hindernisse sind praktischer Natur:

Budget ist das größte Hindernis, signalisiert aber etwas Tieferliegendes. Für einen Teil der Organisationen wird NIS2-Compliance immer noch nicht als unverzichtbarer Budgetposten behandelt. Die Lücke bei den Leitfäden ist ebenso aufschlussreich: 16 % fehlt die Implementierungsanleitung und 11 % sind unsicher, was NIS2 von ihnen verlangt — obwohl sie gesetzlich zur Compliance verpflichtet sind.

Das Lieferkettenrisiko verschärft die Herausforderung. Nur etwa 1 von 10 Unternehmen bewertete 2024 die Sicherheitsmaßnahmen ihrer Lieferanten angemessen, laut NCSC des Vereinigten Königreichs — und 10 % der Umfrageteilnehmer nannten die Unfähigkeit, ihre gesamte Lieferkette zu bewerten, als Hauptgrund für Nicht-Compliance.

Was Organisationen tatsächlich tun

Das Bild zeigt einen teilweisen Fortschritt. Gängige Sicherheitsprotokolle (Schulungen, Verschlüsselung, Risikobewertungen) werden angewandt, oft unabhängig von NIS2. Die anspruchsvolleren Anforderungen (Lieferkettenbewertung, formelle Gap-Analyse, MFA-Durchsetzung) hinken deutlich hinterher.

MFA-Durchsetzung und Zugangskontrolle gehören zu den am wenigsten umgesetzten NIS2-Maßnahmen — dennoch sind sie das Erste, was Auditoren prüfen. Erfahren Sie, wie Passwork die Zugangsdaten-Governance handhabt

Regulierungsmüdigkeit ist real

Organisationen, die in der EU tätig sind, können gleichzeitig Verpflichtungen unter NIS2, DSGVO, DORA, dem EU Cybersecurity Act und ISO 27001 unterliegen. Diese Rahmenwerke überschneiden sich erheblich, doch die Navigation erfordert Zeit, Expertise und Ressourcen, die die meisten Organisationen intern nicht haben.

42 % der Befragten sagen, es gebe zu viele Vorschriften, 35 % sagen, sie überschneiden sich zu stark, und 27 % sind der Meinung, dass ihnen zu viel Gewicht beigemessen wird.

Compliance ist jetzt eine geschäftliche Anforderung

Nicht nur Regulierungsbehörden fordern Nachweise. Der Marktdruck kommt von allen Seiten:

• 42 % wurden von Partnern aufgefordert, NIS2-Compliance nachzuweisen
• 41 % wurden von Investoren dazu aufgefordert
• 36 % wurden von Kunden oder Interessenten dazu aufgefordert

NIS2 ist noch ein relativ neuer Standard. Je mehr Organisationen ihn in die Lieferanten- und Partner-Due-Diligence einbetten, desto mehr wird der Compliance-Nachweis von außergewöhnlich zu routinemäßig. In vielen Sektoren ist er bereits eine Geschäftsbedingung.

Regionale Highlights

Die Umfrage zeigt bedeutende Unterschiede zwischen den Märkten:

• Polen zeichnet sich durch die stärkste Compliance-Kultur aus: Kein einziger polnischer Befragter gab an, 5 % oder weniger seines IT-Budgets für Sicherheit auszugeben. In der Mehrheit der polnischen Organisationen ist der Vorstand oder die Geschäftsleitung für Compliance verantwortlich.
• Benelux zeigt eine Diskrepanz: CEOs sind am häufigsten verantwortlich (43 %), dennoch geben 10 % der Unternehmen zu wenig für Sicherheit aus — der höchste Wert in der Umfrage gemeinsam mit anderen Regionen.
• Deutschland, Frankreich und Italien zeigen die höchste Regulierungsmüdigkeit: 44 % sagen, es gebe zu viele Vorschriften, 39 % sagen, sie überschneiden sich zu stark.
• Dänemark verzeichnet die höchste regulatorische Skepsis: 34 % sehen keinen Wettbewerbsvorteil in der Compliance, und 55 % sagen, es gebe zu viele Vorschriften — der höchste Wert in allen untersuchten Regionen.
• Vereinigtes Königreich und Irland zeigen Investorendruck als besonders starken Treiber: 58 % der Unternehmen in der Region wurden von Investoren aufgefordert, NIS2-Compliance nachzuweisen, verglichen mit 41 % in allen Regionen.

Die regulatorische Divergenz zwischen EU und UK: Was multinationale Unternehmen wissen müssen

Für Organisationen, die sowohl in der EU als auch im Vereinigten Königreich tätig sind, ist NIS2-Compliance nur ein Teil des Bildes. Das Vereinigte Königreich entwickelt seinen eigenen Cyber Security and Resilience Bill — der im Januar 2026 seine zweite Lesung passierte und sich seit Februar im Ausschussstadium befindet — und schlägt wesentliche Änderungen der NIS Regulations 2018 vor.

Die beiden Rahmenwerke teilen gemeinsame Ziele, unterscheiden sich aber in Punkten, die eine einheitliche Compliance-Strategie unzureichend machen.

Wesentliche Unterschiede zwischen NIS2 und dem UK Bill

Zweistufige Strafen — strenger als NIS2

Der UK Bill führt eine zweistufige Strafstruktur ein: ein Standardmaximum von 10 Mio. £ oder 2 % des weltweiten Umsatzes für weniger schwere Verstöße und ein höheres Maximum von 17 Mio. £ oder 4 % des weltweiten Umsatzes für schwere Verstöße — einschließlich Sicherheitsverletzungen und Meldeversäumnissen.

Regulierungsbehörden können zusätzlich tägliche Bußgelder von bis zu 100.000 £ für andauernde Nicht-Compliance verhängen. Dies übertrifft die einstufige Struktur von NIS2.

Direkte MSP-Regulierung: Schließung einer Lücke, die NIS2 offen ließ

Der Bill reguliert Managed Service Provider direkt — eine Lücke in NIS2, die das Vereinigte Königreich explizit adressiert. Schätzungsweise 900 bis 1.100 MSPs werden als Relevant Managed Service Providers (RMSPs) unter direkte ICO-Aufsicht gestellt, mit dem vollen Spektrum an Verpflichtungen einschließlich obligatorischer Registrierung, definierter Sicherheitsstandards und Vorfallmeldung innerhalb vorgeschriebener Fristen.

Organisationen, die externe IT-Anbieter nutzen, sollten diese Anbieter fragen, wie sie sich vorbereiten.

Breitere Vorfalldefinition

Die aktuellen NIS Regulations definieren einen Vorfall als jedes Ereignis mit einer tatsächlichen nachteiligen Auswirkung auf die Sicherheit. Der Bill erweitert dies, um jedes Ereignis zu erfassen, das eine nachteilige Auswirkung hat oder haben könnte — was bedeutet, dass Organisationen potenzielle Vorfälle bewerten und darauf reagieren müssen, nicht nur bestätigte. Dies wird das Volumen meldepflichtiger Ereignisse wesentlich erhöhen.

Die Bedrohungslandschaft im Vereinigten Königreich

Die regulatorische Verschärfung spiegelt ein echtes Risikobild wider. Cyberangriffe kosten britische Unternehmen schätzungsweise 14,7 Milliarden £ jährlich — etwa 0,5 % des BIP — basierend auf unabhängiger Forschung, die von der britischen Regierung in Auftrag gegeben wurde. Die durchschnittlichen Kosten eines erheblichen Cyberangriffs für ein einzelnes Unternehmen liegen bei fast 195.000 £.

Regulatorische Fragmentierung in den EU-Mitgliedstaaten

Die Divergenz besteht nicht nur zwischen der EU und dem Vereinigten Königreich. Trotz der Umsetzungsfrist im Oktober 2024 bleibt die NIS2-Implementierung in den 27 Mitgliedstaaten stark fragmentiert. Österreichs NISG 2026, Polens KSC-Gesetz und das niederländische Cyberbeveiligingswet führen jeweils nationale Variationen bei Strafen, Durchsetzungsverfahren und sektorspezifischen Anforderungen ein — was unverhältnismäßige Compliance-Kosten für grenzüberschreitend tätige Organisationen verursacht.

Polen: KSC-Gesetz in Kraft, Entitätenliste veröffentlicht

Polens geändertes Gesetz über das nationale Cybersicherheitssystem (KSC) trat am 3. April 2026 in Kraft. Die offizielle Liste der wesentlichen und wichtigen Einrichtungen wurde am 13. April 2026 veröffentlicht.

Das Ausmaß der Änderung ist erheblich. Der vorherige KSC-Rahmen umfasste etwa 400 Einrichtungen. Das geänderte Gesetz bringt schätzungsweise 42.000 Organisationen in den Geltungsbereich — darunter fast 28.000 öffentliche Einrichtungen.

Neue Sektoren nun abgedeckt

Fünf Sektoren werden erstmals vom polnischen Cybersicherheitsrecht erfasst:

Polen erweiterte auch mehrere bestehende Sektoren über die NIS2-Basis hinaus — Energie umfasst nun den Kohlebergbau; Banken und Finanzmarktinfrastruktur erhielten zusätzliche Einrichtungstypen. Die Klassifizierung ist nicht immer offensichtlich: Organisationen in neu abgedeckten Sektoren sollten eine vorläufige Selbstbewertung durchführen, bevor sie davon ausgehen, außerhalb des Geltungsbereichs zu liegen.

Wichtige Compliance-Fristen

Die Registrierung erfolgt nicht automatisch — die meisten Organisationen müssen sich selbst bewerten und innerhalb von 6 Monaten nach Erfüllung der Kriterien einen Antrag stellen. Die Nichtregistrierung befreit eine Organisation nicht von ihren Verpflichtungen; sie fügt einen Verstoß hinzu.

Niederlande: Das Cyberbeveiligingswet steht kurz vor dem Inkrafttreten

Das niederländische Cyberbeveiligingswet (Cbw) — die niederländische Umsetzung von NIS2 — passierte am 15. April 2026 das Repräsentantenhaus und soll voraussichtlich im Q2 2026 in Kraft treten.

Das Gesetz führt vier Kernverpflichtungen für alle betroffenen Organisationen ein:

• 10 verpflichtende Sorgfaltspflichtmaßnahmen — Risikoanalyse, Zugriffsmanagement, MFA, Incident Response, Lieferkettensicherheit, Verschlüsselung und vier weitere. Eine ISO 27001-Zertifizierung hilft, stellt aber allein keine vollständige Compliance dar.
• Dreistufige Vorfallmeldung — Frühwarnung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb von 30 Tagen, alle über das NCSC-Portal eingereicht.
• Persönliche Vorstandshaftung — Leitungsorgane müssen Cybersicherheitsmaßnahmen formell genehmigen, die Umsetzung überwachen und Cybersicherheitsschulungen absolvieren. Die vollständige Delegation an die IT ohne aktive Aufsicht schafft direkte persönliche Haftung.

Bußgelder erreichen bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Mio. € oder 1,4 % für wichtige Einrichtungen.

Die meisten Organisationen benötigen vier bis sechs Monate, um das erforderliche Compliance-Niveau zu erreichen. Wer noch keine Gap-Analyse gestartet hat, dem läuft die Zeit davon.

Vorstandshaftung: Artikel 20 macht es persönlich

NIS2 Artikel 20 macht Leitungsorgane direkt und persönlich verantwortlich für die Cybersicherheits-Governance. Drei Haftungsebenen gelten:

• Genehmigungshaftung. Leitungsorgane müssen Cybersicherheits-Risikomanagementmaßnahmen formell genehmigen. Wenn sich diese Maßnahmen als unzureichend erweisen und zu einem Vorfall führen, werden die Genehmigungsentscheidung und die Personen, die sie getroffen haben, von Regulierungsbehörden geprüft.
• Schulungshaftung. Artikel 20(2) verlangt, dass Führungskräfte Cybersicherheitsschulungen absolvieren, die ausreichen, um Risiken zu erkennen und Risikomanagementpraktiken zu bewerten. Unkenntnis technischer Details ist keine vertretbare Position mehr.
• Aufsichtshaftung. Die vollständige Delegation an die IT oder einen externen MSSP ohne Aufrechterhaltung der Governance-Aufsicht schafft direkte persönliche Haftung. In Deutschland drohen einzelnen Führungskräften Bußgelder von bis zu 500.000 € für Governance-Versäumnisse — getrennt von organisatorischen Strafen. Geschäftsführer können auch vorübergehend von Führungspositionen ausgeschlossen werden bei grober Fahrlässigkeit.

Die Analyse von KPMG Law vom April 2026 zur deutschen Umsetzung bestätigt, dass dies keine Theorie ist. MSI Global Alliance formuliert den Wandel klar: Cybersicherheit steht jetzt auf derselben Governance-Ebene wie die Finanzberichterstattung. Geschäftsführer sind für die Cybersicherheitslage ihrer Organisation verantwortlich, mit Verpflichtungen einschließlich dokumentierter Risikomanagementrichtlinien und nachweisbarer Überwachung von Dritten.

Wie Passwork die NIS2-Compliance unterstützt

Der schnellste Weg, die häufigsten NIS2-Lücken zu schließen, besteht darin, den Zugriff unter Kontrolle zu bringen. Artikel 21 der Richtlinie verlangt ausdrücklich, dass Organisationen Zugriffsmanagementrichtlinien implementieren, starke Authentifizierung durchsetzen und dokumentierte Audit-Trails führen. Dies sind auch die Kontrollen, die Regulierungsbehörden zuerst prüfen — und diejenigen, die die meisten Organisationen immer noch manuell oder uneinheitlich handhaben.

Ein Passwort-Manager adressiert dies direkt. Er zentralisiert die Speicherung von Zugangsdaten, setzt rollenbasierte Zugriffsrichtlinien durch und erstellt einen verifizierbaren Nachweis darüber, wer wann auf was zugegriffen hat — die Art von Belegen, die Auditoren erwarten.

Zugriffsmanagement und Audit-Trails

Passwork bietet strukturierte, rollenbasierte Zugriffskontrolle für alle gemeinsam genutzten Zugangsdaten. Administratoren vergeben Berechtigungen auf Tresor-, Ordner- und individueller Passwortebene. Jedes Zugriffsereignis — Anzeigen, Kopieren, Bearbeiten, Teilen, Löschen — wird mit Zeitstempel und Benutzeridentität protokolliert.

Dieser Audit-Trail ist direkt relevant für NIS2 Artikel 21(2)(i), der von Organisationen verlangt, „Richtlinien und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung" zu implementieren und Zugriffskontrollen über sensible Systeme aufrechtzuerhalten. Wenn eine Regulierungsbehörde nach Belegen für die Zugriffs-Governance fragt, ist ein vollständiges, durchsuchbares Protokoll die Antwort.

Kontinuierliche Überwachung

NIS2 erfordert eine fortlaufende Sicherheitsüberwachung. Passwork unterstützt dies durch einen Echtzeit-Aktivitätsfeed und konfigurierbare Benachrichtigungen für jedes Zugangsdaten-Ereignis: ein Passwort, das von einem unerwarteten Benutzer angezeigt wurde, ein gemeinsamer Tresor, auf den außerhalb der Arbeitszeiten zugegriffen wurde, ein privilegiertes Konto, das ohne Change-Ticket geändert wurde.

Das Passwort-Sicherheits-Dashboard kennzeichnet schwache, wiederverwendete, veraltete und potenziell kompromittierte Zugangsdaten in der gesamten Organisation — und gibt Sicherheitsteams kontinuierliche Transparenz ohne manuelle Audits.

ISO 27001-zertifiziert und kontinuierlich getestet

Passwork besitzt eine ISO/IEC 27001-Zertifizierung — derselbe Standard, den Belgien als NIS2-Compliance-Weg unter seinem CyFun-Rahmenwerk akzeptiert. Die Zertifizierung bestätigt einen systematischen, auditierbaren Ansatz für das Informationssicherheitsmanagement.

Für Organisationen, die ihre Sicherheitslage gegenüber Regulierungsbehörden, Partnern oder Kunden nachweisen müssen, bietet die ISO 27001-Zertifizierung von Passwork unabhängig verifizierbare Belege.

Self-hosted Bereitstellung

Passwork wird vollständig in Ihrer eigenen Infrastruktur bereitgestellt. Alle Daten werden mit AES-256 verschlüsselt und verlassen niemals Ihre Server. Es gibt keine Abhängigkeit von Cloud-Diensten Dritter — was sowohl für die NIS2-Compliance als auch für die Lieferkettenrisikobestimmungen relevant ist, die von Organisationen verlangen, die Sicherheit ihrer Dienstleister zu bewerten.

Der Quellcode ist auditierbar. Ihr Sicherheitsteam kann vor der Bereitstellung überprüfen, dass keine versteckten Schwachstellen vorhanden sind.

Passwork bietet Ihrem Team strukturierte Zugriffskontrolle, ein vollständiges Audit-Protokoll und kontinuierliche Überwachung der Zugangsdaten — alles innerhalb Ihrer eigenen Infrastruktur. Erfahren Sie, wie Passwork die NIS2-Compliance unterstützt

Compliance-Kalender

Die folgende Tabelle zeigt die wichtigsten Compliance-Ereignisse in chronologischer Reihenfolge. Unsichere oder geschätzte Daten sind entsprechend gekennzeichnet.

Fazit

Belgiens Frist am 18. April ist verstrichen. Es wird nicht die letzte sein. Regulierungsbehörden in 27 Mitgliedstaaten wechseln von Leitlinien zu Audits, und die Bereitschaftsquote von 16 % bedeutet, dass die große Mehrheit der betroffenen Organisationen genau jetzt exponiert ist.

Das Muster ist bei jeder frühen Durchsetzungsmaßnahme konsistent: Die Kontrollen, die Regulierungsbehörden zuerst prüfen, sind Zugriffsmanagement, Governance privilegierter Zugangsdaten und Audit-Trails. Dies sind nicht die schwierigsten Anforderungen in NIS2 — sie sind die konkretesten, die am besten dokumentierbaren und die am unmittelbarsten umsetzbaren.

Den Zugriff unter Kontrolle zu bringen, ist der schnellste Weg, die am besten auditierbaren Compliance-Lücken zu schließen. Es erfüllt die Anforderungen von Artikel 21 direkt, unterstützt die Lieferkettenüberwachung und erzeugt den Nachweis-Trail, den die Vorstandshaftung nach Artikel 20 verlangt. Ein Passwort-Manager mit rollenbasiertem Zugriff, einem vollständigen Audit-Protokoll und kontinuierlicher Überwachung adressiert alle drei Punkte.

Passwork ist ISO/IEC 27001-zertifiziert und wird vollständig in Ihrer eigenen Infrastruktur bereitgestellt. Die Lösung wurde genau für die Art von Zugriffs-Governance entwickelt, nach der NIS2-Auditoren suchen.

Passwork ist ein selbst gehosteter Passwort-Manager für Unternehmen. Er setzt rollenbasierte Zugriffsrichtlinien durch, führt ein vollständiges Audit-Protokoll aller Zugangsdaten-Aktivitäten und wird vollständig in Ihrer eigenen Infrastruktur bereitgestellt. Testen Sie Passwork in Ihrer Infrastruktur

Häufig gestellte Fragen

Was ist die NIS2-Richtlinie und für wen gilt sie?

NIS2 (Richtlinie EU 2022/2555) ist der Rechtsrahmen der EU für Netz- und Informationssicherheit und ersetzt die ursprüngliche NIS-Richtlinie von 2016. Sie gilt für mittlere und große Organisationen in 18 kritischen Sektoren — einschließlich Energie, Gesundheitswesen, Finanzwesen, Verkehr, digitale Infrastruktur und Fertigung — mit mindestens 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz oder Bilanzsumme.

Was sind die wichtigsten Cybersicherheitsverpflichtungen unter NIS2?

NIS2 Artikel 21 verlangt von Organisationen die Umsetzung von Risikoanalyse, Incident Response, Geschäftskontinuitätsmaßnahmen, Lieferkettensicherheit, Zugriffsrichtlinien, MFA, Verschlüsselung und Schwachstellenmanagement. Diese Maßnahmen müssen vom Leitungsorgan gemäß Artikel 20 formell genehmigt werden, mit dokumentierten Nachweisen der Umsetzung für behördliche Prüfungen.

Welche Bußgelder drohen Organisationen bei NIS2-Nicht-Compliance?

Wesentlichen Einrichtungen drohen Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtigen Einrichtungen drohen bis zu 7 Millionen € oder 1,4 % des weltweiten Umsatzes. Mehrere Mitgliedstaaten überschreiten diese Mindestgrenzen — Deutschland erlaubt Bußgelder von bis zu 20 Millionen € für wesentliche Einrichtungen sowie individuelle Bußgelder von bis zu 500.000 € für Führungskräfte bei Governance-Versäumnissen.

Was verlangt NIS2 für Zugriffsmanagement und Zugangsdatensicherheit?

Artikel 21(2)(i) verlangt Richtlinien für Zugriffskontrolle, Authentifizierung und den Einsatz von Kryptografie. In der Praxis bedeutet dies rollenbasierten Zugriff auf kritische Systeme, durchgesetzte MFA, dokumentierte Zugangsdatenrichtlinien und einen vollständigen Audit-Trail privilegierter Zugriffsereignisse. Gemeinsam genutzte Passwörter, nicht verwaltete Dienstkonten und undokumentierte Zugriffspfade sind direkte Compliance-Verstöße unter diesem Artikel.

Wie adressiert NIS2 die Lieferkettensicherheit?

Artikel 21(2)(d) verlangt von Organisationen, die Cybersicherheitslage ihrer direkten Lieferanten und Dienstleister zu bewerten und zu managen. Dies umfasst die Abbildung kritischer Abhängigkeiten von Dritten, die Verankerung von Sicherheitsverpflichtungen in Verträgen und die kontinuierliche Überwachung der Lieferantenlage. Nur etwa 1 von 10 Unternehmen bewertete 2024 die Sicherheitsmaßnahmen ihrer Lieferanten angemessen, laut UK NCSC.

Was sind die NIS2-Vorfallmeldefristen?

NIS2 schreibt einen dreistufigen Prozess vor: eine 24-Stunden-Frühwarnung an die nationale Behörde nach Erkennung eines erheblichen Vorfalls, eine 72-Stunden-Detailmeldung mit einer ersten Auswirkungsbewertung und einen 30-Tage-Abschlussbericht mit Ursachenanalyse und Behebungsschritten. Diese Fristen gelten sowohl für wesentliche als auch für wichtige Einrichtungen und erfordern vorab getestete, automatisierte Reaktionsworkflows, um sie zuverlässig einzuhalten.

Welche persönliche Haftung tragen Führungskräfte unter NIS2?

Artikel 20 macht Leitungsorgane direkt verantwortlich für die Genehmigung von Cybersicherheits-Risikomanagementmaßnahmen, die Überwachung ihrer Umsetzung und die Absolvierung von Cybersicherheitsschulungen. Führungskräfte können persönlich für Governance-Versäumnisse haftbar gemacht werden. In Deutschland drohen einzelnen Führungskräften Bußgelder von bis zu 500.000 € unter dem nationalen NIS2-Umsetzungsgesetz, und Geschäftsführer können bei grober Fahrlässigkeit vorübergehend von Führungspositionen ausgeschlossen werden.

Erfüllt eine ISO 27001-Zertifizierung die NIS2-Anforderungen?

Eine ISO 27001-Zertifizierung wird in einigen Mitgliedstaaten als Compliance-Weg anerkannt — Belgien akzeptiert sie als Nachweis der NIS2-Konformität, sofern Organisationen den Zertifizierungsumfang, die Erklärung zur Anwendbarkeit und den jüngsten internen Auditbericht einreichen. Eine Zertifizierung allein stellt jedoch in den meisten Rechtsordnungen keine vollständige NIS2-Compliance dar. Sie reduziert die Compliance-Lücke erheblich und bietet Auditoren eine anerkannte Nachweisbasis, doch Organisationen müssen weiterhin die Umsetzung aller Artikel-21-Maßnahmen nachweisen.

18 de abril de 2026 — Primer plazo de aplicación de NIS2 en Bélgica. Las entidades esenciales debían presentar documentación verificada que confirmara la implementación de controles de ciberseguridad, evaluados por un organismo acreditado o directamente por el Centre for Cybersecurity Belgium. No se aceptaron autodeclaraciones.

22 de los 27 estados miembros han completado la transposición de NIS2. La aplicación está activa en Alemania, Francia y los Países Bajos — los reguladores están realizando auditorías y aplicando sanciones.

Mientras tanto, el 84% de las organizaciones que enfrentan aplicación activa no están preparadas, según su propia admisión — de acuerdo con la encuesta de CyberSmart de abril de 2026 a 670 líderes empresariales dentro del alcance en ocho países. Esa cifra no ha variado significativamente en seis meses.

Este artículo cubre el estado actual de la aplicación, lo que viene a continuación y lo que los líderes de TI y seguridad deben abordar antes de que llegue el próximo plazo.

Conclusiones clave

• Bélgica estableció el primer plazo. El 18 de abril de 2026, las entidades esenciales debían presentar autoevaluaciones verificadas a través de CyberFundamentals (CyFun), ISO/IEC 27001 o inspección directa del CCB.
• La preparación sigue siendo críticamente baja. Solo el 16% de las empresas se sienten completamente preparadas, aunque el 75% ve el cumplimiento como una ventaja competitiva. El problema está en la ejecución: las restricciones presupuestarias, la falta de orientación para la implementación y los puntos ciegos en la cadena de suministro son los verdaderos obstáculos.
• Polonia amplió el alcance a 42.000 organizaciones. La Ley KSC modificada entró en vigor el 3 de abril de 2026, añadiendo producción de alimentos, gestión de residuos y otros sectores. La lista oficial de entidades se publicó el 13 de abril de 2026.
• El riesgo de la cadena de suministro es la brecha más difícil de cerrar. Solo alrededor de 1 de cada 10 empresas evaluaba adecuadamente la postura de seguridad de sus proveedores en 2024 (UK NCSC). El Artículo 21 de NIS2 requiere obligaciones de seguridad documentadas para terceros y monitoreo continuo.
• La responsabilidad de la dirección es personal. El Artículo 20 de NIS2 hace que los órganos de dirección sean directamente responsables de aprobar las medidas de ciberseguridad y completar la formación pertinente. En Alemania, los directivos individuales enfrentan multas de hasta 500.000 € por fallos de gobernanza — independientes de las sanciones organizacionales.
• El Reino Unido está construyendo un régimen paralelo más estricto — y las multinacionales deben seguir ambos. El UK Cyber Security and Resilience Bill introduce sanciones de dos niveles (hasta 17 millones de libras o el 4% de la facturación global por fallos graves), regulación directa de MSP y una definición de incidente más amplia que captura incidentes potenciales — no solo los confirmados. Una única estrategia de cumplimiento de NIS2 no es suficiente para operaciones transfronterizas.
• Los controles que los auditores examinan primero son también los más rápidos de implementar. La gestión de accesos, las políticas de credenciales y MFA están explícitamente requeridos en el Artículo 21 — y generan la pista de auditoría que satisface tanto los requisitos de supervisión del Artículo 21 como del Artículo 20.

Qué es NIS2 y a quién cubre

NIS2 (Directiva UE 2022/2555) es el marco legal actualizado de la UE para la seguridad de redes e información. Reemplaza la Directiva NIS original y amplía tanto el alcance de las entidades cubiertas como la severidad de las obligaciones. La directiva se aplica a organizaciones medianas y grandes en 18 sectores críticos.

Su organización está cubierta por la directiva NIS2 si:

• Opera en un sector listado en el Anexo I o Anexo II de la directiva
• Cumple con el umbral de tamaño — al menos 50 empleados, o una facturación anual y/o balance total anual que supere los 10 millones de euros (Anexo de la Recomendación 2003/361/CE)
• Está identificada como entidad crítica bajo la Directiva (UE) 2022/2557 (Directiva CER), independientemente de su tamaño

Una vez confirmado que su organización está dentro del alcance, su clasificación como entidad esencial o importante depende de dos factores: el anexo en el que se encuentra su sector y el tamaño de su organización.

Algunas organizaciones están dentro del alcance de NIS2 independientemente de su tamaño:

• Un proveedor de redes públicas de comunicaciones electrónicas o servicios de comunicaciones electrónicas disponibles públicamente
• Un proveedor de servicios de confianza
• Un registro de nombres de dominio de nivel superior (TLD) o proveedor de servicios DNS
• El único proveedor de un servicio en un Estado miembro que es esencial para el mantenimiento de actividades sociales o económicas críticas
• Una entidad cuya interrupción podría tener un impacto significativo en la seguridad pública, la seguridad ciudadana o la salud pública
• Una entidad cuya interrupción podría inducir un riesgo sistémico significativo, en particular para sectores donde dicha interrupción podría tener un impacto transfronterizo

Si su organización pertenece a un grupo corporativo más grande, el número de empleados y las cifras financieras deben agregarse entre las entidades vinculadas — una filial con 40 empleados puede estar dentro del alcance si el grupo matriz supera los umbrales.

A marzo de 2026, 22 de los 27 estados miembros de la UE han adoptado legislación nacional de implementación. Francia, Irlanda, Luxemburgo, los Países Bajos y España permanecen en proceso legislativo, según el análisis de Skadden de marzo de 2026.

Noticia principal: Plazo del 18 de abril en Bélgica

El 18 de abril de 2026, Bélgica alcanzó el plazo de evaluación de conformidad de NIS2. Las entidades esenciales debían demostrar la implementación activa de medidas de gestión de riesgos de ciberseguridad y presentar evidencia de respaldo al Centre for Cybersecurity Belgium (CCB) — a través de una de las tres vías de cumplimiento reconocidas:

• CyberFundamentals (CyFun®): Obtener al menos una verificación de nivel Basic o Important, o contar con un acuerdo firmado con un organismo de evaluación acreditado.
• ISO/IEC 27001: Presentar el alcance de la certificación, la Declaración de Aplicabilidad (SoA) y el informe de auditoría interna más reciente. La certificación completa debe completarse antes de abril de 2027.
• Inspección directa: Proporcionar una autoevaluación con documentación de respaldo y solicitar formalmente una inspección del CCB — una vía que puede conducir directamente a medidas de supervisión.

La autoatestación por sí sola no se acepta. No presentar documentación completa y oportuna puede resultar en medidas administrativas, sanciones financieras y acciones de supervisión adicionales.

El patrón que Bélgica ha establecido (evaluación formal por terceros, evidencia documentada, aprobación de la dirección, responsabilidad personal) es la plantilla que sigue el resto de la UE.

La brecha de preparación de NIS2: El 84% de las empresas no están preparadas

El 16% de las empresas europeas obligadas a cumplir con NIS2 se sienten completamente preparadas, mientras que el 11% de las organizaciones dentro del alcance todavía no están seguras de qué es NIS2. Estas cifras provienen de la encuesta de CyberSmart a 670 líderes empresariales del Reino Unido, Polonia, los Países Bajos, Irlanda, Francia, Alemania, Italia, Dinamarca y Bélgica, realizada a finales de 2025 — todos de organizaciones dentro del alcance de NIS2.

El problema está en la ejecución

La suposición obvia de que las empresas simplemente no se toman NIS2 en serio no se sostiene. El 75% de los encuestados ve al menos cierta ventaja competitiva en el cumplimiento, y el 27% considera que esa ventaja es significativa. Las principales preocupaciones sobre el incumplimiento fueron operativas y reputacionales.

Solo el 3% de los encuestados afirmó no tener ninguna preocupación sobre las repercusiones del incumplimiento.

Por qué las organizaciones se quedan cortas

Cuando se les preguntó por qué no habían cumplido completamente, los encuestados dieron respuestas consistentes en todas las regiones encuestadas. Las barreras son prácticas:

El presupuesto es el principal obstáculo, pero indica algo más profundo. Para una parte de las organizaciones, el cumplimiento de NIS2 todavía no se trata como una partida presupuestaria innegociable. La brecha de orientación es igualmente reveladora: el 16% carece de dirección para la implementación, y el 11% no está seguro de qué les exige NIS2 a pesar de estar legalmente obligados a cumplir.

El riesgo de la cadena de suministro agrava el desafío. Solo alrededor de 1 de cada 10 empresas evaluaba adecuadamente las medidas de seguridad de sus proveedores en 2024, según el NCSC del Reino Unido — y el 10% de los encuestados citó la incapacidad de evaluar toda su cadena de suministro como la razón principal del incumplimiento.

Qué están haciendo realmente las organizaciones

El panorama muestra un progreso parcial. Los protocolos de seguridad comunes (formación, cifrado, evaluaciones de riesgo) se están aplicando, a menudo de forma independiente a NIS2. Los requisitos más exigentes (evaluación de la cadena de suministro, análisis formal de brechas, aplicación de MFA) van significativamente por detrás.

La aplicación de MFA y el control de acceso están entre las medidas NIS2 menos implementadas — sin embargo, son lo primero que comprueban los auditores. Descubra cómo Passwork gestiona la gobernanza de credenciales

La fatiga regulatoria es real

Las organizaciones que operan en la UE pueden enfrentar simultáneamente obligaciones bajo NIS2, GDPR, DORA, la Ley de Ciberseguridad de la UE e ISO 27001. Estos marcos se superponen significativamente, pero navegarlos aún requiere tiempo, experiencia y recursos que la mayoría de las organizaciones no tienen internamente.

El 42% de los encuestados dice que hay demasiadas regulaciones que cumplir, el 35% dice que muchas se superponen y el 27% siente que se les da demasiado énfasis.

El cumplimiento es ahora un requisito comercial

Los reguladores no son los únicos que exigen pruebas. La presión del mercado crece desde todas las direcciones:

• El 42% ha sido solicitado para demostrar cumplimiento de NIS2 por socios
• El 41% ha sido solicitado por inversores
• El 36% ha sido solicitado por clientes o prospectos

NIS2 sigue siendo un estándar relativamente nuevo. A medida que más organizaciones lo incorporen en la debida diligencia de proveedores y socios, demostrar el cumplimiento pasará de ser excepcional a rutinario. Ya es una condición para hacer negocios en muchos sectores.

Aspectos destacados regionales

La encuesta revela diferencias significativas entre mercados:

• Polonia destaca como la cultura de cumplimiento más fuerte: ningún encuestado polaco informó gastar el 5% o menos de su presupuesto de TI en seguridad. El consejo de administración o la alta dirección es responsable del cumplimiento en la mayoría de las organizaciones polacas.
• Benelux muestra una desconexión: los CEO son los más comúnmente responsables (43%), pero el 10% de las empresas está subinvirtiendo en seguridad — la tasa más alta conjunta en la encuesta.
• Alemania, Francia e Italia muestran la mayor fatiga regulatoria: el 44% dice que hay demasiadas regulaciones, el 39% dice que se superponen demasiado.
• Dinamarca registra el mayor escepticismo regulatorio: el 34% no ve una ventaja competitiva en el cumplimiento, y el 55% dice que hay demasiadas regulaciones — la cifra más alta en todas las regiones encuestadas.
• Reino Unido e Irlanda muestran la presión de los inversores como un motor particularmente fuerte: el 58% de las empresas en la región han sido solicitadas por inversores para demostrar cumplimiento de NIS2, comparado con el 41% en todas las regiones.

La divergencia regulatoria UE vs. Reino Unido: Lo que las multinacionales deben saber

Para las organizaciones que operan tanto en la UE como en el Reino Unido, el cumplimiento de NIS2 es solo parte del panorama. El Reino Unido está avanzando con su propio Cyber Security and Resilience Bill — que pasó su segunda lectura en enero de 2026 y ha estado progresando a través de la etapa de comité desde febrero — propone enmiendas significativas a las NIS Regulations 2018.

Los dos marcos comparten objetivos comunes pero difieren de maneras que hacen insuficiente una única estrategia de cumplimiento.

Diferencias clave entre NIS2 y el proyecto de ley del Reino Unido

Sanciones de dos niveles — más estrictas que NIS2

El proyecto de ley del Reino Unido introduce una estructura de sanciones de dos niveles: un máximo estándar de 10 millones de libras o el 2% de la facturación global para fallos menos graves, y un máximo superior de 17 millones de libras o el 4% de la facturación global para fallos graves — incluyendo brechas de seguridad y fallos en la notificación de incidentes.

Los reguladores pueden imponer adicionalmente multas diarias de hasta 100.000 libras por incumplimiento continuado. Esto supera la estructura de nivel único de NIS2.

Regulación directa de MSP: Cerrando una brecha que NIS2 dejó abierta

El proyecto de ley regula directamente a los proveedores de servicios gestionados — una brecha en NIS2 que el Reino Unido está abordando explícitamente. Se estima que entre 900 y 1.100 MSP quedarán bajo supervisión directa del ICO como Proveedores de Servicios Gestionados Relevantes (RMSPs), sujetos al conjunto completo de obligaciones incluyendo registro obligatorio, estándares de seguridad definidos y notificación de incidentes dentro de plazos establecidos.

Las organizaciones que utilizan proveedores de TI externos deberían preguntar a esos proveedores cómo se están preparando.

Definición de incidente más amplia

Las actuales NIS Regulations definen un incidente como cualquier evento que tenga un efecto adverso real en la seguridad. El proyecto de ley amplía esto para capturar cualquier evento que tenga, o pueda tener, un efecto adverso — lo que significa que las organizaciones deben evaluar y responder a incidentes potenciales, no solo a los confirmados. Esto aumentará materialmente el volumen de eventos notificables.

El panorama de amenazas en el Reino Unido

El endurecimiento regulatorio refleja un panorama de riesgo genuino. Se estima que los ciberataques cuestan a las empresas del Reino Unido 14.700 millones de libras anuales — equivalente a aproximadamente el 0,5% del PIB — según investigación independiente encargada por el gobierno del Reino Unido. El coste medio de un ciberataque significativo para una empresa individual es de casi 195.000 libras.

Fragmentación regulatoria entre los estados miembros de la UE

La divergencia no es solo entre la UE y el Reino Unido. A pesar del plazo de transposición de octubre de 2024, la implementación de NIS2 en los 27 estados miembros sigue muy fragmentada. La NISG 2026 de Austria, la Ley KSC de Polonia y la Cyberbeveiligingswet holandesa introducen variaciones nacionales en sanciones, procedimientos de aplicación y requisitos específicos del sector — creando costes de cumplimiento desproporcionados para las organizaciones transfronterizas.

Polonia: Ley KSC en vigor, lista de entidades publicada

La Ley modificada del Sistema Nacional de Ciberseguridad (KSC) de Polonia entró en vigor el 3 de abril de 2026. La lista oficial de entidades esenciales e importantes se publicó el 13 de abril de 2026.

La escala del cambio es sustancial. El marco KSC anterior cubría aproximadamente 400 entidades. La ley modificada incluye en su alcance aproximadamente 42.000 organizaciones — incluyendo casi 28.000 organismos del sector público.

Nuevos sectores ahora cubiertos

Cinco sectores entran en la legislación polaca de ciberseguridad por primera vez:

Polonia también amplió varios sectores existentes más allá de la base de NIS2 — energía ahora incluye minería del carbón; banca e infraestructura del mercado financiero incorporaron tipos de entidades adicionales. La clasificación no siempre es obvia: las organizaciones en sectores recién cubiertos deben realizar una autoevaluación preliminar antes de asumir que están fuera del alcance.

Plazos clave de cumplimiento

El registro no es automático — la mayoría de las organizaciones deben autoevaluarse y solicitar dentro de los 6 meses siguientes al cumplimiento de los criterios. No registrarse no exime a una organización de sus obligaciones; añade una infracción adicional.

Países Bajos: La Cyberbeveiligingswet está casi en vigor

La Cyberbeveiligingswet (Cbw) holandesa — la transposición de NIS2 de los Países Bajos — fue aprobada por la Cámara de Representantes el 15 de abril de 2026 y se espera que entre en vigor en el segundo trimestre de 2026.

La ley introduce cuatro obligaciones fundamentales para todas las organizaciones dentro del alcance:

• 10 medidas obligatorias de deber de diligencia — análisis de riesgos, gestión de accesos, MFA, respuesta a incidentes, seguridad de la cadena de suministro, cifrado y otras cuatro. La certificación ISO 27001 ayuda pero no constituye cumplimiento total por sí sola.
• Notificación de incidentes en tres pasos — alerta temprana en 24 horas, notificación de seguimiento en 72 horas, informe final en 30 días, todo enviado a través del portal NCSC.
• Responsabilidad personal del consejo — los órganos de dirección deben aprobar formalmente las medidas de ciberseguridad, supervisar la implementación y completar formación en ciberseguridad. Delegar completamente a TI sin supervisión activa crea exposición personal directa.

Las multas alcanzan hasta 10 millones de euros o el 2% de la facturación global para entidades esenciales, y 7 millones de euros o el 1,4% para entidades importantes.

La mayoría de las organizaciones necesitan de cuatro a seis meses para alcanzar el nivel de cumplimiento requerido. Aquellas que aún no han comenzado un análisis de brechas se están quedando sin tiempo.

Responsabilidad del consejo: El Artículo 20 lo hace personal

El Artículo 20 de NIS2 hace que los órganos de dirección sean directa y personalmente responsables de la gobernanza de ciberseguridad. Se aplican tres niveles de exposición:

• Responsabilidad de aprobación. Los órganos de dirección deben aprobar formalmente las medidas de gestión de riesgos de ciberseguridad. Si esas medidas resultan inadecuadas y conducen a un incidente, la decisión de aprobación y las personas que la tomaron serán examinadas por los reguladores.
• Responsabilidad de formación. El Artículo 20(2) requiere que los ejecutivos completen formación en ciberseguridad suficiente para identificar riesgos y evaluar prácticas de gestión de riesgos. La ignorancia de los detalles técnicos ya no es una posición defendible.
• Responsabilidad de supervisión. Delegar completamente a TI o a un MSSP externo sin mantener la supervisión de gobernanza crea exposición personal directa. En Alemania, los directivos individuales enfrentan multas de hasta 500.000 € por fallos de gobernanza — independientes de cualquier sanción organizacional. Los directores también pueden ser inhabilitados temporalmente de funciones directivas por negligencia grave.

El análisis de KPMG Law de abril de 2026 sobre la implementación alemana confirma que esto no es teórico. MSI Global Alliance plantea el cambio claramente: la ciberseguridad ahora se sitúa al mismo nivel de gobernanza que la información financiera. Los directores son responsables de la postura de ciberseguridad de su organización, con obligaciones que incluyen políticas documentadas de gestión de riesgos y supervisión demostrable de terceros.

Cómo Passwork apoya el cumplimiento de NIS2

La forma más rápida de cerrar las brechas más comunes de NIS2 es poner el acceso bajo control. El Artículo 21 de la directiva requiere explícitamente que las organizaciones implementen políticas de gestión de accesos, apliquen autenticación fuerte y mantengan pistas de auditoría documentadas. Estos son también los controles que los reguladores examinan primero y los que la mayoría de las organizaciones todavía manejan manualmente o de forma inconsistente.

Un gestor de contraseñas aborda esto directamente. Centraliza el almacenamiento de credenciales, aplica políticas de acceso basadas en roles y crea un registro verificable de quién accedió a qué y cuándo — el tipo de evidencia que los auditores esperan ver.

Gestión de accesos y pistas de auditoría

Passwork ofrece control de acceso estructurado y basado en roles en todas las credenciales compartidas. Los administradores asignan permisos a nivel de bóveda, carpeta y contraseña individual. Cada evento de acceso — visualización, copia, edición, compartición, eliminación — se registra con una marca de tiempo e identidad de usuario.

Esta pista de auditoría es directamente relevante para el Artículo 21(2)(i) de NIS2, que requiere que las organizaciones implementen «políticas y procedimientos relativos al uso de criptografía y, en su caso, cifrado» y mantengan controles de acceso sobre sistemas sensibles. Cuando un regulador solicita evidencia de gobernanza de accesos, un registro completo y consultable es la respuesta.

Monitoreo continuo

NIS2 requiere monitoreo de seguridad continuo. Passwork lo apoya a través de un feed de actividad en tiempo real y notificaciones configurables para cualquier evento de credenciales: una contraseña visualizada por un usuario inesperado, una bóveda compartida accedida fuera del horario laboral, una cuenta privilegiada modificada sin un ticket de cambio.

El panel de seguridad de contraseñas marca las credenciales débiles, reutilizadas, obsoletas y potencialmente comprometidas en toda la organización — dando a los equipos de seguridad visibilidad continua sin auditoría manual.

Certificado ISO 27001 y probado continuamente

Passwork cuenta con certificación ISO/IEC 27001 — el mismo estándar que Bélgica acepta como vía de cumplimiento de NIS2 bajo su marco CyFun. La certificación confirma un enfoque sistemático y auditable de la gestión de la seguridad de la información.

Para las organizaciones que necesitan demostrar su postura de seguridad ante reguladores, socios o clientes, la certificación ISO 27001 de Passwork proporciona evidencia verificable de forma independiente.

Implementación autoalojada

Passwork se implementa completamente dentro de su propia infraestructura. Todos los datos están cifrados con AES-256 y nunca salen de sus servidores. No hay dependencia de servicios en la nube de terceros — lo cual importa tanto para el cumplimiento de NIS2 como para las disposiciones de riesgo de la cadena de suministro que requieren que las organizaciones evalúen la seguridad de sus proveedores de servicios.

El código fuente es auditable. Su equipo de seguridad puede verificar que no hay vulnerabilidades ocultas antes de la implementación.

Passwork proporciona a su equipo control de acceso estructurado, un registro de auditoría completo y monitoreo continuo de credenciales — todo dentro de su propia infraestructura. Descubra cómo Passwork apoya el cumplimiento de NIS2

Calendario de cumplimiento

La siguiente tabla describe los eventos clave de cumplimiento, ordenados cronológicamente. Las fechas inciertas o estimadas se indican como corresponde.

Conclusión

El plazo del 18 de abril de Bélgica ha pasado. No será el último. Los reguladores en los 27 estados miembros están pasando de la orientación a las auditorías, y la cifra de preparación del 16% significa que la gran mayoría de las organizaciones dentro del alcance están expuestas en este momento.

El patrón es consistente en cada acción de aplicación temprana: los controles que los reguladores examinan primero son la gestión de accesos, la gobernanza de credenciales privilegiadas y las pistas de auditoría. Estos no son los requisitos más difíciles de NIS2 — son los más concretos, los más documentables y los más inmediatamente accionables.

Poner el acceso bajo control es la forma más rápida de cerrar las brechas de cumplimiento más auditables. Satisface directamente los requisitos del Artículo 21, apoya la supervisión de la cadena de suministro y genera la pista de evidencia que exige la responsabilidad del consejo del Artículo 20. Un gestor de contraseñas con acceso basado en roles, un registro de auditoría completo y monitoreo continuo aborda los tres aspectos.

Passwork tiene certificación ISO/IEC 27001 y se implementa completamente dentro de su propia infraestructura. Fue diseñado exactamente para el tipo de gobernanza de accesos que buscan los auditores de NIS2.

Passwork es un gestor de contraseñas autoalojado diseñado para empresas. Aplica políticas de acceso basadas en roles, mantiene un registro de auditoría completo de toda la actividad de credenciales y se implementa completamente dentro de su propia infraestructura. Pruebe Passwork en su infraestructura

Preguntas frecuentes

¿Qué es la Directiva NIS2 y a quién se aplica?

NIS2 (Directiva UE 2022/2555) es el marco legal de la UE para la seguridad de redes e información, que reemplaza la Directiva NIS original de 2016. Se aplica a organizaciones medianas y grandes en 18 sectores críticos — incluyendo energía, salud, finanzas, transporte, infraestructura digital y manufactura — con al menos 50 empleados o 10 millones de euros en facturación anual o balance total.

¿Cuáles son las principales obligaciones de ciberseguridad bajo NIS2?

El Artículo 21 de NIS2 requiere que las organizaciones implementen análisis de riesgos, respuesta a incidentes, medidas de continuidad del negocio, seguridad de la cadena de suministro, políticas de control de acceso, MFA, cifrado y gestión de vulnerabilidades. Estas medidas deben ser aprobadas formalmente por el órgano de dirección bajo el Artículo 20, con evidencia documentada de implementación disponible para inspección regulatoria.

¿Qué multas pueden enfrentar las organizaciones por incumplimiento de NIS2?

Las entidades esenciales enfrentan multas de hasta 10 millones de euros o el 2% de la facturación anual global, lo que sea mayor. Las entidades importantes enfrentan hasta 7 millones de euros o el 1,4% de la facturación global. Varios estados miembros superan estos mínimos — Alemania permite multas de hasta 20 millones de euros para entidades esenciales, más multas individuales a directivos de hasta 500.000 € por fallos de gobernanza.

¿Qué requiere NIS2 para la gestión de accesos y la seguridad de credenciales?

El Artículo 21(2)(i) requiere políticas que cubran el control de acceso, la autenticación y el uso de criptografía. En la práctica, esto significa acceso basado en roles a sistemas críticos, MFA aplicado, políticas de credenciales documentadas y una pista de auditoría completa de eventos de acceso privilegiado. Las contraseñas compartidas, las cuentas de servicio no gestionadas y las rutas de acceso no documentadas son fallos de cumplimiento directos bajo este artículo.

¿Cómo aborda NIS2 la seguridad de la cadena de suministro?

El Artículo 21(2)(d) requiere que las organizaciones evalúen y gestionen la postura de ciberseguridad de sus proveedores directos y proveedores de servicios. Esto incluye mapear las dependencias críticas de terceros, incorporar obligaciones de seguridad en los contratos y monitorear la postura del proveedor de forma continua. Solo alrededor de 1 de cada 10 empresas evaluaba adecuadamente las medidas de seguridad de sus proveedores en 2024, según el UK NCSC.

¿Cuáles son los plazos de notificación de incidentes de NIS2?

NIS2 establece un proceso de tres etapas: una alerta temprana de 24 horas a la autoridad nacional tras detectar un incidente significativo, una notificación detallada de 72 horas con una evaluación inicial del impacto, y un informe final de 30 días que cubra el análisis de causa raíz y los pasos de remediación. Estos plazos se aplican tanto a entidades esenciales como importantes y requieren flujos de trabajo de respuesta automatizados y pre-probados para cumplirse de manera fiable.

¿Qué responsabilidad personal enfrentan los ejecutivos bajo NIS2?

El Artículo 20 hace que los órganos de dirección sean directamente responsables de aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su implementación y completar formación en ciberseguridad. Los ejecutivos pueden ser considerados personalmente responsables por fallos de gobernanza. En Alemania, los directivos individuales enfrentan multas de hasta 500.000 € bajo la ley nacional de implementación de NIS2, y los directores pueden ser inhabilitados temporalmente de funciones directivas por negligencia grave.

¿Satisface la certificación ISO 27001 los requisitos de NIS2?

La certificación ISO 27001 se reconoce como una vía de cumplimiento en algunos estados miembros — Bélgica la acepta como evidencia de conformidad con NIS2, siempre que las organizaciones presenten el alcance de la certificación, la Declaración de Aplicabilidad y el informe de auditoría interna más reciente. Sin embargo, la certificación por sí sola no constituye cumplimiento total de NIS2 en la mayoría de las jurisdicciones. Reduce significativamente la brecha de cumplimiento y proporciona a los auditores una base de evidencia reconocida, pero las organizaciones aún deben demostrar la implementación de todas las medidas del Artículo 21.

April 18, 2026 — Belgium's first NIS2 enforcement deadline. Essential entities were required to submit verified documentation confirming that cybersecurity controls are in place, assessed by an accredited body or the Centre for Cybersecurity Belgium directly. Self-declarations were not accepted.

22 of 27 member states have completed NIS2 transposition. Enforcement is active in Germany, France, and the Netherlands — regulators are auditing, and fines are being applied.

Meanwhile, 84% of organizations facing active enforcement are, by their own admission, not ready — according to CyberSmart's April 2026 survey of 670 in-scope business leaders across eight countries. That number has not moved meaningfully in six months.

This article covers where enforcement stands today, what is coming next, and what IT and security leaders need to address before the next deadline arrives.

Key takeaways

• Belgium set the first deadline. On April 18, 2026, essential entities were required to submit verified self-assessments via CyberFundamentals (CyFun), ISO/IEC 27001, or direct CCB inspection.
• Readiness remains critically low. Only 16% of businesses feel fully prepared, yet 75% see compliance as a competitive advantage. The gap is execution: budget constraints, missing implementation guidance, and supply chain blind spots are the real blockers.
• Poland expanded scope to 42,000 organizations. The amended KSC Act entered into force on April 3, 2026, adding food production, waste management, and other sectors. The official entity list launched April 13, 2026.
• Supply chain risk is the hardest gap to close. Only around 1 in 10 businesses were adequately assessing their suppliers' security posture as recently as 2024 (UK NCSC). NIS2 Article 21 requires documented third-party security obligations and continuous monitoring.
• Board liability is personal. NIS2 Article 20 makes management bodies directly accountable for approving cybersecurity measures and completing relevant training. In Germany, individual managers face fines of up to €500,000 for governance failures — separate from organizational penalties.
• The UK is building a stricter parallel regime — and multinationals must track both. The UK Cyber Security and Resilience Bill introduces two-tier penalties (up to £17M or 4% of global turnover for serious failures), direct MSP regulation, and a broader incident definition that captures potential incidents — not just confirmed ones. A single NIS2 compliance strategy is not sufficient for cross-border operations.
• The controls auditors examine first are also the fastest to implement. Access management, credential policies, and MFA are explicitly required under Article 21 — and they generate the audit trail that satisfies both Article 21 and Article 20 board oversight requirements.

What is NIS2 and who does it cover

NIS2 (Directive EU 2022/2555) is the EU's updated legal framework for network and information security. It replaces the original NIS Directive and expands both the scope of covered entities and the severity of obligations. The directive applies to medium-sized and larger organizations across 18 critical sectors.

You organisation is covered by the NIS2 directive if:

• It operates in a sector listed in Annex I or Annex II of the directive
• It meets the size threshold — at least 50 employees, or an annual turnover and/or annual balance sheet total exceed €10 million (Annex to Recommendation 2003/361/EC)
• It is identified as a critical entity under Directive (EU) 2022/2557 (CER Directive), regardless of its size

Once your organisation is confirmed in scope, its classification as an essential or important entity depends on two factors: the annex your sector falls under, and your organisation's size.

Some organisations fall within NIS2 scope regardless of size:

• A provider of public electronic communications networks or publicly available electronic communications services
• A trust service provider
• A top-level domain (TLD) name registry or DNS service provider
• The sole provider of a service in a Member State that is essential for the maintenance of critical societal or economic activities
• An entity whose disruption could have a significant impact on public safety, public security, or public health
• An entity whose disruption could induce a significant systemic risk, in particular for sectors where such disruption could have a cross-border impact

If your organisation belongs to a larger corporate group, headcount and financials must be aggregated across linked entities — a subsidiary with 40 employees may still be in scope if the parent group exceeds the thresholds.

As of March 2026, 22 of 27 EU member states have adopted national implementing legislation. France, Ireland, Luxembourg, the Netherlands, and Spain remain in the legislative process, according to Skadden's March 2026 analysis.

Top story: Belgium's April 18 deadline

On April 18, 2026, Belgium hit the NIS2 conformity assessment deadline. Essential entities were required to demonstrate active implementation of cybersecurity risk-management measures and submit supporting evidence to the Centre for Cybersecurity Belgium (CCB) — via one of three recognised compliance pathways:

• CyberFundamentals (CyFun®): Obtain at least a Basic or Important verification, or hold a signed agreement with an accredited assessment body.
• ISO/IEC 27001: Submit the certification scope, Statement of Applicability (SoA), and the most recent internal audit report. Full certification must be completed by April 2027.
• Direct inspection: Provide a self-assessment with supporting documentation and formally request a CCB inspection — a pathway that may lead directly to supervisory measures.

Self-attestation alone is not accepted. Failure to submit complete and timely documentation may result in administrative measures, financial penalties, and further supervisory action.

The pattern Belgium has set (formal third-party assessment, documented evidence, management sign-off, personal liability) is the template the rest of the EU is following.

The NIS2 readiness gap: 84% of businesses are not ready

16% of European businesses required to comply with NIS2 feel fully prepared while 11% of in-scope organizations are still unsure what NIS2 is. These figures come from CyberSmart's survey of 670 business leaders across the UK, Poland, the Netherlands, Ireland, France, Germany, Italy, Denmark, and Belgium, conducted in late 2025 — all from organizations within NIS2's scope.

The problem is execution

The obvious assumption that businesses simply aren't taking NIS2 seriously doesn't hold up. 75% of respondents see at least some competitive advantage in compliance, and 27% consider that advantage significant. The top concerns around non-compliance were operational and reputational.

Only 3% of respondents said they have no concerns about the repercussions of non-compliance at all.

Why organizations are falling short

When asked why they hadn't fully complied, respondents gave consistent answers across every region surveyed. The barriers are practical:

Budget is the leading obstacle but it signals something deeper. For a portion of organizations, NIS2 compliance is still not treated as a non-negotiable budget line. The guidance gap is equally telling: 16% lack implementation direction, and 11% are unsure what NIS2 requires of them despite being legally obligated to comply.

Supply chain risk compounds the challenge. Only around 1 in 10 businesses were adequately assessing their suppliers' security measures as recently as 2024, according to the UK's NCSC — and 10% of survey respondents cited inability to assess their full supply chain as the primary reason for non-compliance.

What organizations are actually doing

The picture is one of partial progress. Common security protocols (training, encryption, risk assessments) are being applied, often independently of NIS2. The more demanding requirements (supply chain assessment, formal gap analysis, MFA enforcement) lag significantly behind.

MFA enforcement and access control are among the least-implemented NIS2 measures — yet they're the first thing auditors check. See how Passwork handles credential governance

Regulatory fatigue is real

Organizations operating in the EU can simultaneously face obligations under NIS2, GDPR, DORA, the EU Cybersecurity Act, and ISO 27001. These frameworks overlap significantly, but navigating them still requires time, expertise, and resources that most organizations don't have in-house.

42% of respondents say there are too many regulations to comply with, 35% say too many overlap, and 27% feel there is too much emphasis placed on them.

Compliance is now a commercial requirement

Regulators are not the only ones demanding proof. Market pressure is building from every direction:

• 42% have been asked to prove NIS2 compliance by partners
• 41% have been asked by investors
• 36% have been asked by customers or prospects

NIS2 is still a relatively new standard. As more organizations embed it into supplier and partner due diligence, demonstrating compliance will shift from exceptional to routine. It is already a condition of doing business in many sectors.

Regional highlights

The survey reveals meaningful differences across markets:

• Poland stands out as the strongest compliance culture: not a single Polish respondent reported spending 5% or less of their IT budget on security. The board or C-suite is responsible for compliance in the majority of Polish organizations.
• Benelux shows a disconnect: CEOs are most commonly accountable (43%), yet 10% of businesses are underspending on security — the joint-highest rate in the survey.
• Germany, France and Italy show the highest regulatory fatigue: 44% say there are too many regulations, 39% say they overlap too much.
• Denmark records the highest regulatory skepticism: 34% do not see a competitive advantage in compliance, and 55% say there are too many regulations — the highest figure across all regions surveyed.
• UK and Ireland show investor pressure as a particularly strong driver: 58% of businesses in the region have been asked by investors to prove NIS2 compliance, compared to 41% across all regions.

The EU vs. UK regulatory divergence: What multinationals must know

For organizations operating across both the EU and the UK, NIS2 compliance is only part of the picture. The UK is advancing its own Cyber Security and Resilience Bill — which passed its second reading in January 2026 and has been progressing through committee stage since February — proposes significant amendments to the NIS Regulations 2018.

The two frameworks share common objectives but differ in ways that make a single compliance strategy insufficient.

Key differences between NIS2 and the UK Bill

Two-tier penalties — stricter than NIS2

The UK Bill introduces a two-tier penalty structure: a standard maximum of £10M or 2% of global turnover for less serious failures, and a higher maximum of £17M or 4% of global turnover for serious failures — including security breaches and incident notification failures.

Regulators can additionally impose daily fines of up to £100,000 for ongoing non-compliance. This exceeds NIS2's single-tier structure.

Direct MSP regulation: closing a gap NIS2 left open

The Bill directly regulates managed service providers — a gap in NIS2 that the UK is explicitly addressing. An estimated 900 to 1,100 MSPs will come under direct ICO oversight as Relevant Managed Service Providers (RMSPs), subject to the full suite of obligations including mandatory registration, defined security standards, and incident reporting within prescribed timeframes.

Organizations using external IT providers should be asking those providers how they are preparing.

Broader incident definition

The current NIS Regulations define an incident as any event having an actual adverse effect on security. The Bill broadens this to capture any event having, or capable of having, an adverse effect — meaning organizations must assess and respond to potential incidents, not only confirmed ones. This will materially increase the volume of reportable events.

The UK threat landscape

The regulatory tightening reflects a genuine risk picture. Cyber attacks are estimated to cost UK businesses £14.7 billion annually — equivalent to approximately 0.5% of GDP — based on independent research commissioned by the UK government. The average cost of a significant cyber attack for an individual business is nearly £195,000.

Regulatory fragmentation across EU member states

The divergence is not only between the EU and UK. Despite the October 2024 transposition deadline, NIS2 implementation across the 27 member states remains highly fragmented. Austria's NISG 2026, Poland's KSC Act, and the Dutch Cyberbeveiligingswet each introduce national variations in penalties, enforcement procedures, and sector-specific requirements — creating disproportionate compliance costs for cross-border organizations.

Poland: KSC Act in force, entity list published

Poland's amended Act on the National Cybersecurity System (KSC) entered into force on April 3, 2026. The official list of key and important entities launched on April 13, 2026.

The scale of change is substantial. The previous KSC framework covered approximately 400 entities. The amended law brings an estimated 42,000 organizations into scope — including nearly 28,000 public sector bodies.

New sectors now covered

Five sectors enter Polish cybersecurity law for the first time:

Poland also expanded several existing sectors beyond the NIS2 baseline — energy now includes coal mining; banking and financial market infrastructure picked up additional entity types. Classification is not always obvious: organizations in newly covered sectors should conduct a preliminary self-assessment before assuming they fall outside scope.

Key compliance deadlines

Registration is not automatic — most organizations must self-assess and apply within 6 months of meeting the criteria. Failing to register does not exempt an organization from its obligations; it adds a violation on top.

Netherlands: The Cyberbeveiligingswet is almost in force

The Dutch Cyberbeveiligingswet (Cbw) — the Netherlands' transposition of NIS2 — passed the House of Representatives on April 15, 2026 and is expected to take effect on Q2 2026.

The law introduces four core obligations for all in-scope organizations:

• 10 mandatory duty-of-care measures — risk analysis, access management, MFA, incident response, supply chain security, encryption, and four others. ISO 27001 certification helps but does not constitute full compliance on its own.
• Three-step incident reporting — early warning within 24 hours, follow-up notification within 72 hours, final report within 30 days, all submitted via the NCSC portal.
• Personal board liability — governing bodies must formally approve cybersecurity measures, oversee implementation, and complete cybersecurity training. Delegating entirely to IT without active oversight creates direct personal exposure.

Fines reach up to €10M or 2% of global turnover for essential entities, and €7M or 1.4% for important entities.

Most organizations need four to six months to reach the required compliance level. Those that haven't started a gap analysis yet are running out of time.

Board liability: Article 20 makes it personal

NIS2 Article 20 makes management bodies directly and personally accountable for cybersecurity governance. Three layers of exposure apply:

• Approval liability. Management bodies must formally approve cybersecurity risk-management measures. If those measures prove inadequate and lead to an incident, the approval decision and the people who made it will be examined by regulators.
• Training liability. Article 20(2) requires executives to complete cybersecurity training sufficient to identify risks and assess risk-management practices. Ignorance of technical details is no longer a defensible position.
• Oversight liability. Delegating entirely to IT or a third-party MSSP without maintaining governance oversight creates direct personal exposure. In Germany, individual managers face fines of up to €500,000 for governance failures — separate from any organizational penalty. Directors can also be temporarily banned from management roles for serious negligence.

KPMG Law's April 2026 analysis of the German implementation confirms this is not theoretical. MSI Global Alliance frames the shift plainly: cybersecurity now sits at the same governance level as financial reporting. Directors are responsible for their organization's cybersecurity posture, with obligations including documented risk management policies and demonstrable oversight of third parties.

How Passwork supports NIS2 compliance

The fastest way to close the most common NIS2 gaps is to bring access under control. Article 21 of the directive explicitly requires organizations to implement access management policies, enforce strong authentication, and maintain documented audit trails. These are also the controls regulators examine first and the ones most organizations still handle manually or inconsistently.

A password manager addresses this directly. It centralizes credential storage, enforces role-based access policies, and creates a verifiable record of who accessed what and when — the kind of evidence auditors expect to see.

Access management and audit trails

Passwork offers structured, role-based access control across all shared credentials. Admins assign permissions at the vault, folder, and individual password level. Every access event — view, copy, edit, share, deletion — is logged with a timestamp and user identity.

This audit trail is directly relevant to NIS2 Article 21(2)(i), which requires organizations to implement "policies and procedures regarding the use of cryptography and, where appropriate, encryption" and to maintain access controls over sensitive systems. When a regulator asks for evidence of access governance, a complete, searchable log is the answer.

Continuous monitoring

NIS2 requires ongoing security monitoring. Passwork supports this through a real-time activity feed and configurable notifications for any credential event: a password viewed by an unexpected user, a shared vault accessed outside working hours, a privileged account modified without a change ticket.

The password security dashboard flags weak, reused, outdated, and potentially compromised credentials across the entire organization — giving security teams continuous visibility without manual auditing.

ISO 27001 certified and continuously tested

Passwork holds ISO/IEC 27001 certification — the same standard Belgium accepts as a NIS2 compliance pathway under its CyFun framework. The certification confirms a systematic, auditable approach to information security management

For organizations that need to demonstrate security posture to regulators, partners, or customers, Passwork's ISO 27001 certification provides independently verifiable evidence.

Self-hosted deployment

Passwork deploys entirely within your own infrastructure. All data is encrypted with AES-256 and never leaves your servers. There is no dependency on third-party cloud services — which matters both for NIS2 compliance and for the supply chain risk provisions that require organizations to assess the security of their service providers.

The source code is auditable. Your security team can verify there are no hidden vulnerabilities before deployment.

Passwork gives your team structured access control, a full audit log, and continuous credential monitoring — all within your own infrastructure. See how Passwork supports NIS2 compliance

Compliance calendar

The following table outlines the key compliance events, sorted chronologically. Uncertain or estimated dates are flagged accordingly.

Conclusion

Belgium's April 18 deadline has passed. It will not be the last. Regulators across 27 member states are moving from guidance to audits, and the 16% readiness figure means the vast majority of in-scope organizations are exposed right now.

The pattern is consistent across every early enforcement action: the controls regulators examine first are access management, privileged credential governance, and audit trails. These are not the hardest requirements in NIS2 — they are the most concrete, the most documentable, and the most immediately actionable.

Getting access under control is the fastest way to close the most auditable compliance gaps. It satisfies Article 21 requirements directly, supports supply chain oversight, and generates the evidence trail that Article 20 board liability demands. A password manager with role-based access, a complete audit log, and continuous monitoring addresses all three.

Passwork is ISO/IEC 27001 certified and deploys entirely within your own infrastructure. It was designed for exactly the kind of access governance NIS2 auditors look for.

Passwork is a self-hosted password manager built for businesses. It enforces role-based access policies, maintains a complete audit log of all credential activity, and deploys entirely within your own infrastructure. Try Passwork in your infrastructure

Frequently Asked Questions

What is the NIS2 Directive and who does it apply to?

NIS2 (Directive EU 2022/2555) is the EU's legal framework for network and information security, replacing the original NIS Directive from 2016. It applies to medium and large organizations in 18 critical sectors — including energy, healthcare, finance, transport, digital infrastructure, and manufacturing — with at least 50 employees or €10 million in annual turnover or balance sheet total.

What are the main cybersecurity obligations under NIS2?

NIS2 Article 21 requires organizations to implement risk analysis, incident response, business continuity measures, supply chain security, access control policies, MFA, encryption, and vulnerability management. These measures must be formally approved by the management body under Article 20, with documented evidence of implementation available for regulatory inspection.

What fines can organizations face for NIS2 non-compliance?

Essential entities face fines of up to €10 million or 2% of global annual turnover, whichever is higher. Important entities face up to €7 million or 1.4% of global turnover. Several member states exceed these minimums — Germany allows fines up to €20 million for essential entities, plus individual manager fines of up to €500,000 for governance failures.

What does NIS2 require for access management and credential security?

Article 21(2)(i) requires policies covering access control, authentication, and the use of cryptography. In practice, this means role-based access to critical systems, enforced MFA, documented credential policies, and a complete audit trail of privileged access events. Shared passwords, unmanaged service accounts, and undocumented access paths are direct compliance failures under this article.

How does NIS2 address supply chain security?

Article 21(2)(d) requires organizations to assess and manage the cybersecurity posture of their direct suppliers and service providers. This includes mapping critical third-party dependencies, embedding security obligations in contracts, and monitoring supplier posture on an ongoing basis. Only around 1 in 10 businesses were adequately assessing their suppliers' security measures as recently as 2024, according to the UK NCSC.

What are the NIS2 incident reporting deadlines?

NIS2 mandates a three-stage process: a 24-hour early warning to the national authority after detecting a significant incident, a 72-hour detailed notification with an initial impact assessment, and a 30-day final report covering root cause analysis and remediation steps. These deadlines apply to both essential and important entities and require pre-tested, automated response workflows to meet reliably.

What personal liability do executives face under NIS2?

Article 20 makes management bodies directly accountable for approving cybersecurity risk-management measures, overseeing their implementation, and completing cybersecurity training. Executives can be held personally liable for governance failures. In Germany, individual managers face fines of up to €500,000 under national NIS2 implementation law, and directors can be temporarily banned from management roles for serious negligence.

Does ISO 27001 certification satisfy NIS2 requirements?

ISO 27001 certification is recognized as a compliance pathway in some member states — Belgium accepts it as evidence of NIS2 conformity, provided organizations submit the certification scope, Statement of Applicability, and the most recent internal audit report. However, certification alone does not constitute full NIS2 compliance in most jurisdictions. It significantly reduces the compliance gap and provides auditors with a recognized evidence baseline, but organizations must still demonstrate implementation of all Article 21 measures.

NIS2 latest news: May 2026 enforcement updates

Bulgaria’s full sanctions phase, Luxembourg’s new law, Netherlands’ Cyberbeveiligingswet, ENISA NIS360 2026 — NIS2 enforcement developments from May 2026.

Passwork BlogAlex Muntyan

Spring 2026 EU cybersecurity update: What changed

Spring 2026 brought the EU’s most significant institutional breach, its first cyber sanctions of the year, and four major cybersecurity regulations enforcing simultaneously. NIS2, DORA, CRA, and CSA2 now set hard deadlines — and real penalties. Here’s what changed, who’s affected, and what to do.

Passwork BlogAlex Muntyan

NIS2 compliance guide: The access management roadmap for 2026

Stolen credentials dominate breaches in 2026. NIS2 Article 21 mandates 10 security measures to eliminate credential-based attack vectors. This guide covers technical requirements, the 24-hour incident reporting obligation, ENISA’s MFA tiers, and a 5-phase roadmap to audit-ready compliance.

Passwork BlogAlex Muntyan

Introduction

On March 24, 2026, attackers accessed the European Commission's AWS cloud accounts and exfiltrated over 350GB of data before being blocked.

The ShinyHunters extortion group claimed responsibility. The Commission confirmed the breach on March 30, making it the most significant EU institutional compromise of the year and a precise illustration of the threat environment in which four major EU cybersecurity regulations are now being enforced simultaneously.

Spring 2026 marks a convergence: the January 20 NIS2 amendments and CSA2 proposal, active DORA enforcement by national regulators, and the September 11 CRA reporting deadline approaching fast.

The EU also imposed its first cyber sanctions of the year on March 16, targeting Chinese and Iranian threat actors. These are not background events — they are the enforcement context every IT leader and compliance officer needs to understand now.

Key takeaways

• European Commission data breach confirmed: On March 30, 2026, ShinyHunters stole over 350GB from its AWS cloud accounts, including databases, contracts, and mail server dumps.
• First EU cyber sanctions of 2026: On March 16, the EU Council imposed restrictive measures against three entities — Integrity Technology Group, Anxun Information Technology (China), and Emennet Pasargad (Iran) — and two individuals.
• NIS2 and CSA2 amendments proposed: On January 20, 2026, the European Commission introduced changes clarifying jurisdiction, scope, and certification obligations across both frameworks.
• CRA reporting deadline approaching: Mandatory vulnerability and incident reporting obligations under the Cyber Resilience Act begin September 11, 2026.
• DORA enforcement is active: Fully applicable since January 17, 2025, with BaFin and other national regulators conducting audits throughout 2026.

The threat context that made these changes necessary

The Spring 2026 EU regulatory acceleration is a direct response to a documented surge in attacks on European institutions and critical infrastructure. The European Commission breach, the EU's first cyber sanctions of 2026, and the statistical picture from ENISA and independent incident responders all point in the same direction: the threat is real, targeted, and ongoing.

The European Commission breach (March 2026)

The March 24 attack on the Commission's AWS-hosted Europa.eu platform is the clearest recent example of cloud supply chain risk. ShinyHunters — the same extortion group behind multiple high-profile data theft campaigns — claimed to have taken over 350GB of data: mail server dumps, databases, confidential documents, and contracts.

A 90GB archive appeared on their dark web leak site. The Commission's internal systems were not affected, but the incident exposed a structural vulnerability: public-facing cloud infrastructure operated without the access controls and credential hygiene that NIS2 and DORA are designed to mandate.

"Early findings of our ongoing investigation suggest that data have been taken from those websites. The Commission's internal systems were not affected by the cyber-attack." — European Commission Press Release, March 27, 2026

This was the Commission's second breach in 2026. A February incident had already compromised the mobile device management platform used to manage staff devices. Two significant breaches in two months at a single institution is not a coincidence — it reflects a sustained targeting campaign.

EU cyber sanctions — March 16, 2026

On March 16, 2026, the EU Council imposed restrictive measures against three entities and two individuals under the EU's cyber diplomacy toolbox — the first EU cyber sanctions of the year.

The sanctioned parties:

• Integrity Technology Group (China): Provided products used to compromise over 65,000 devices across six EU member states between 2022 and 2023.
• Anxun Information Technology (China): Provided hacking services targeting EU critical infrastructure. Two co-founders were individually sanctioned.
• Emennet Pasargad (Iran): Breached a French subscriber database, compromised advertising billboards during the 2024 Paris Olympics to spread disinformation, and compromised a Swedish SMS service.

All listed entities face asset freezes. The two individuals also face travel bans. The EU cyber sanctions regime now covers 19 individuals and 7 entities.

The statistical backdrop

According to the ENISA Threat Landscape 2025 report, DDoS attacks accounted for 77% of all recorded EU cyber incidents, driven primarily by hacktivist groups. Ransomware remains the most operationally damaging threat: 81.1% of cybercrime incidents targeting EU organizations involved ransomware.

Public administration was the most targeted sector, representing 38% of all incidents. State-aligned groups intensified long-term espionage campaigns against telecommunications, logistics, and manufacturing.

The picture from incident responders on the ground is equally direct. Eye Security's 2026 incident report — based on 630 investigations across Benelux and Germany — found that 70% of all cases were Business Email Compromise (BEC). More telling: 62% of classified cases since January 2025 involved MFA bypass. Attackers are not breaking encryption — they are stealing or bypassing credentials. That is the vector NIS2, DORA, and GDPR enforcement are all designed to close.

The European Commission breach followed a well-documented pattern: compromised cloud credentials, no audit trail, no access boundaries. Passwork gives IT teams a structured vault with role-based access, granular permissions, and a full activity log — the controls NIS2 and DORA explicitly require. Try Passwork free

NIS2 amendments: What changed on January 20, 2026

On January 20, 2026, the European Commission proposed amendments to NIS2 focused on legal certainty, streamlined compliance, and clarified jurisdictional rules. The proposal also introduced a revised Cybersecurity Act (CSA2) that expands ENISA's mandate and moves toward mandatory cybersecurity certification for products and services used in critical sectors.

The three practical changes in NIS2

The amendments address three pain points that emerged during the first year of implementation across member states:

1. Jurisdictional clarity. The amendments specify which member state holds supervisory authority over cross-border entities — a major source of compliance uncertainty for multinational organizations operating in multiple EU jurisdictions simultaneously.
2. Ransomware data collection. The proposal standardizes the collection of ransomware-related incident data across member states, enabling more consistent threat intelligence sharing at the EU level.
3. Scope refinement. A new "small mid-cap" category adjusts the thresholds determining whether organizations fall under NIS2's essential or important entity classification.

CSA2: The more significant structural shift

The CSA2 revision expands both the material and subjective scope of the EU cybersecurity framework. The critical change: certification for ICT products and services used in critical sectors moves from voluntary to mandatory. Organizations that have relied on the current voluntary ENISA certification schemes will need to reassess their product portfolios and supplier contracts once CSA2 is adopted — expected late 2026 or 2027.

Germany: NIS2 implementation is already in force

Germany's NIS2 implementation law (NIS2UmsuCG) entered into force on December 6, 2025. The BSI registration deadline was March 6, 2026. Approximately 30,000 companies in Germany fall under NIS2. A survey by nis2-check.de found that 80% of affected companies were unaware of their obligations (ADVISORI, February 2026). The law introduces personal liability for management under §38 NIS2UmsuCG — a first in German cybersecurity law.

NIS2 incident reporting requirements

DORA: Enforcement begins in 2026

DORA (Regulation EU 2022/2554) has been directly applicable since January 17, 2025. There is no national implementation law required and no postponement possible. In 2026, national regulators including Germany's BaFin are conducting active audits of financial institutions and their ICT third-party providers.

Who DORA covers

DORA applies to the entire financial sector: credit institutions, insurance companies, investment firms, payment service providers, crypto-asset service providers, and — critically — the ICT third-party providers supplying critical services to these entities.

A cloud provider hosting core banking systems falls under DORA as an ICT third-party provider, as does the bank itself. The regulation's reach extends well beyond traditional financial services.

The five compliance pillars

DORA organizes its requirements around five areas: ICT risk management, incident reporting, digital operational resilience testing, third-party risk management, and information sharing.

The most demanding requirement is Threat-Led Penetration Testing (TLPT) — mandatory for systemically important institutions. TLPT requires specialized red teams to simulate real attack scenarios based on current threat intelligence, not generic penetration testing methodologies.

Compliance gaps remain significant

Despite DORA being in force for over a year, readiness across the sector is incomplete. A Veeam survey found that 96% of EMEA financial organizations believe they need to improve their resilience to meet DORA requirements.

A Computerwoche survey found that 44% of affected companies report significant implementation problems. Specific gaps: 24% have not identified a DORA implementation lead, and 23% have not conducted digital operational resilience testing.

These numbers mean BaFin auditors are walking into organizations that have not completed basic readiness steps — with enforcement consequences that include license revocation, not just fines.

Cyber Resilience Act: The September 2026 deadline

The Cyber Resilience Act entered into force on December 10, 2024. From September 11, 2026, manufacturers and importers of digital products must report actively exploited vulnerabilities and severe incidents to ENISA within 24 hours. Full CRA requirements — including security-by-design obligations — apply from December 11, 2027.

What the September 2026 milestone covers

Two specific obligations activate on September 11:

• Vulnerability reporting: Manufacturers must report actively exploited vulnerabilities to ENISA within 24 hours of becoming aware of them.
• Incident reporting: Severe incidents with an impact on the security of digital products must also be reported to ENISA within 24 hours.

The full CRA requirements — security by design, software bill of materials (SBOM), ongoing vulnerability management, and CE marking for digital products — apply from December 2027. Organizations that have not started preparation by mid-2026 will struggle to meet that deadline. The maximum CRA fine is €15 million or 2.5% of global annual turnover, whichever is higher.

NIS2 vs. DORA vs. CRA vs. CSA2: Which regulation applies to you?

The lex specialis principle means that sector-specific regulations take precedence over general ones. Financial entities subject to DORA are exempt from certain NIS2 obligations where DORA provides equivalent or stricter requirements. All four regulations can overlap for large organizations operating across sectors — a cloud provider serving financial institutions while also manufacturing IoT hardware may face obligations under all four simultaneously.

Regulation comparison

Decision matrix: Does this regulation apply to you?

DORA requires documented access controls and audit trails for all privileged ICT accounts. Passwork's secure credential sharing and activity logging give compliance teams the evidence trail auditors ask for.

Practical compliance checklist for Spring/Summer 2026

With 62% of EU cyber incidents in 2025 involving MFA bypass and 70% classified as Business Email Compromise, the most immediate technical measures are identity-focused: enforce MFA everywhere, audit privileged access, and assess third-party credential exposure. Regulatory compliance and operational security point to the same controls.

Immediate actions (April – June 2026)

1. Complete BSI registration (Germany) if not yet done. Contact BSI immediately and document the attempt — even if the March 6 deadline has passed, the record of good-faith effort matters in enforcement proceedings.
2. Conduct a NIS2 impact analysis. Determine whether your organization and its subsidiaries, joint ventures, and critical suppliers fall under NIS2's essential or important entity classification.
3. Establish a 24/72-hour incident reporting process. Assign clear ownership, create notification templates, and test the escalation path end-to-end before an incident forces you to use it.
4. Enforce MFA across all remote access and privileged accounts. Given that 62% of classified EU incidents involved MFA bypass (Eye Security, 2026), this is the single highest-ROI control available.
5. Audit third-party ICT providers. DORA requires contractual security obligations for all critical ICT suppliers. NIS2 requires supply chain security assessments. Both regulations demand documented evidence of third-party oversight.
6. Implement a secure credential management policy. Centralize password management for privileged accounts to prevent the credential theft vector used in the ShinyHunters breach. Unmanaged shared credentials remain the most common entry point in BEC and cloud account compromise cases.

Mid-term actions (July – September 2026)

1. Prepare for CRA reporting obligations (effective September 11, 2026). Establish a vulnerability disclosure process, designate a contact point for ENISA reporting, and confirm that your product inventory accurately reflects which items qualify as "digital products with digital elements."
2. Conduct a DORA resilience test. At minimum, run a tabletop exercise. Systemically important institutions must plan for full TLPT with a qualified red team operating against current threat intelligence.
3. Begin CSA2 certification assessment. Identify which products or services will require mandatory EU cybersecurity certification under CSA2 and engage a notified body early — certification timelines are long.
4. Review GDPR compliance. The French Conseil d'État upheld a €40 million GDPR fine against Criteo on March 4, 2026. Total GDPR fines since 2018 now exceed €7.1 billion, with €1.2 billion issued in 2025 alone (Kiteworks, March 2026). Data protection enforcement is at peak intensity — treat it as a parallel track, not a separate program.

Conclusion

The threat and regulatory context are converging. The Spring 2026 EU cybersecurity environment is defined by simultaneous tightening of regulation and escalation of attacks. The European Commission breach and the EU's first cyber sanctions of the year are not isolated events — they are the enforcement context for NIS2, DORA, CRA, and CSA2.

Identity security is the immediate priority. Credential theft via cloud account compromise is precisely what NIS2's "appropriate technical measures" requirement is designed to prevent. With 62% of EU incidents in 2025 involving MFA bypass, enforcing MFA, auditing privileged access, and centralizing credential management are foundational controls — ones that simultaneously reduce breach risk and satisfy requirements across NIS2, DORA, and GDPR.

The deadlines are fixed. The September 11, 2026 CRA reporting deadline is six months away. DORA audits are underway. NIS2 registration in Germany closed on March 6. Organizations that treat compliance as a documentation exercise rather than a security improvement program face both regulatory penalties and operational exposure.

The common assumption across all four frameworks: organizations maintain documented, auditable control over who accesses what credentials, when, and why. That is the starting point for any serious compliance program — and the baseline regulators will test against.

Passwork is a self-hosted corporate password manager with role-based access control, detailed activity logs, and zero-knowledge encryption — deployed entirely within your own infrastructure. It addresses the credential management controls required under NIS2, DORA, and GDPR in a single, auditable system. Try Passwork free in your infrastructure

FAQ: EU cybersecurity regulations in Spring 2026

What changed in EU cybersecurity law in Spring 2026?

The European Commission proposed amendments to NIS2 and a new Cybersecurity Act (CSA2) on January 20, 2026. The CRA's reporting obligations begin September 11, 2026. DORA has been in active enforcement since January 2025. The EU also imposed its first cyber sanctions of 2026 on March 16, targeting Chinese and Iranian threat actors.

What is the difference between NIS2 and DORA?

NIS2 is a broad directive covering 18 sectors and focusing on cybersecurity risk management and incident reporting. DORA is a regulation specific to the financial sector, with deeper requirements for ICT risk management, resilience testing, and third-party oversight. The lex specialis principle means DORA takes precedence for financial entities where its requirements are stricter than NIS2's equivalent obligations.

What are the penalties for NIS2 non-compliance in 2026?

Essential entities face fines of up to €10 million or 2% of global annual turnover, whichever is higher. Important entities face fines of up to €7 million or 1.4% of global revenue. Germany's NIS2 implementation law (§38 NIS2UmsuCG) also introduces personal liability for management — a first in German cybersecurity law.

When does the Cyber Resilience Act take effect?

The CRA entered into force on December 10, 2024. Mandatory vulnerability and incident reporting obligations begin September 11, 2026. Full security-by-design requirements and CE marking obligations apply from December 11, 2027. Organizations that delay preparation until late 2026 will face a compressed timeline for the 2027 deadline.

Who was sanctioned under EU cyber sanctions in March 2026?

On March 16, 2026, the EU Council sanctioned Integrity Technology Group and Anxun Information Technology (both China-based) and Emennet Pasargad (Iran-based), along with two Chinese individuals. Sanctions include asset freezes; the two individuals also face travel bans. The EU cyber sanctions regime now covers 19 individuals and 7 entities total.

What is the EU Cybersecurity Act 2 (CSA2)?

CSA2 is the proposed revision to the EU Cybersecurity Act, announced January 20, 2026. It expands ENISA's mandate and introduces mandatory cybersecurity certification for ICT products and services used in critical sectors — replacing the current voluntary certification framework for those categories. Expected adoption: late 2026 or 2027.

Does NIS2 or DORA apply to cloud providers?

A cloud provider supplying critical services to financial institutions falls under DORA as an ICT third-party provider. If the same provider also operates in one of NIS2's 18 sectors with the relevant size thresholds, NIS2 applies independently. The two regulations can — and frequently do — apply simultaneously to the same organization.

What happened in the European Commission data breach of 2026?

On March 24, 2026, attackers accessed the European Commission's AWS cloud accounts hosting the Europa.eu platform. The ShinyHunters extortion group claimed responsibility and alleged theft of over 350GB of data, including databases, contracts, and confidential documents. The Commission confirmed the breach on March 30, 2026.

NIS2 password requirements: What European companies must do in 2026

Credential gaps are the leading NIS2 audit failure point in 2026. This guide covers Article 21 password requirements, NIST SP 800-63B alignment, AD hardening steps, and the audit evidence regulators ask for first.

Passwork BlogAlex Muntyan

Password Manager Deployment Models: Cloud, Self-Hosted & Hybrid

Choosing where to run your password manager matters as much as choosing which one. This guide breaks down cloud, self-hosted, and hybrid deployment — with a compliance matrix for GDPR, HIPAA, and NIS2, and a clear look at the trade-offs each model carries.

Passwork BlogAlex Muntyan

What is a passkey? Guide to passwordless authentication

A passkey is a phishing-resistant credential stored on your device. Sign in with a biometric tap — no password to remember or steal. This guide covers the technical mechanics, platform setup, real-world performance data, and what the transition means for enterprise teams.

Passwork BlogAlex Muntyan