Eigentlich war es ein Weckruf: Im Juli 2025 legte ein Cyberangriff die Post-Infrastruktur stundenlang lahm. Das Internet? Weg. Telefon? Tot. In Teilen des Landes waren auch Notrufsysteme nicht mehr erreichbar. Die Regierung berief eine Krisenzelle ein, Ermittler arbeiteten auf Hochtouren. Und doch hat Luxemburg bis heute keine gesetzlichen Konsequenzen gezogen. Jetzt zieht Brüssel die Reißleine.

Die EU-Kommission verklagt Luxemburg vor dem Europäischen Gerichtshof, weil das Land die sogenannte CER-Richtlinie zur Resilienz kritischer Infrastrukturen schlicht nicht umgesetzt hat. Das teilt die Kommission mit. Die Frist lief bereits im Oktober 2024 ab. Nach einem Mahnschreiben und einer formellen Stellungnahme reicht die Geduld der Kommission nun nicht mehr. Luxemburg steht dabei nicht allein auf der Anklagebank – auch Frankreich, die Niederlande, Polen, Spanien, Schweden und Bulgarien werden verklagt.

Was die Richtlinie verlangt, ist im Grunde das, was der Post-Vorfall schmerzlich vermissen ließ: Betreiber kritischer Dienste – in Energie, Transport, Gesundheit, Wasser, Banken und digitaler Infrastruktur – müssen systematisch Risiken analysieren, Schwachstellen identifizieren und sich gegen Angriffe wappnen. Der Ansatz ist bewusst breit: Naturkatastrophen, Terroranschläge, Sabotage, kriminelle Netzwerke und eben Cyberattacken wie jene vom vergangenen Sommer.

Damals hatte ein hochentwickelter Angriff eine Schwachstelle in einem weitverbreiteten Softwarebestandteil ausgenutzt und damit einen Dominoeffekt ausgelöst, der das ganze Land traf. Wer dahintersteckt, ist bis heute ungeklärt.

Kommt Luxemburg der Umsetzung nicht nach, drohen am Ende empfindliche Geldstrafen. Der Angriff auf die Post hat gezeigt, was auf dem Spiel steht. Brüssel erinnert die Regierung nun daran, dass eine Krisezelle allein nicht reicht.