Cyberbeveiligingswet (Cbw): ein Schritt-für-Schritt-Leitfaden zur Compliance

Die Cbw und das Cyberbeveiligingsbesluit gelten seit dem 15. August 2026. Diese Anleitung führt Sie von der Festlegung des Geltungsbereichs und der NCSC-Registrierung über die Zorgplicht und Meldplicht bis zu den Vorstandspflichten.

Dieser Leitfaden ist für CISOs, Compliance-Beauftragte, Rechtsberater und Geschäftsführer niederländischer Organisationen und von Gruppen mit niederländischen Einrichtungen. Am Ende haben Sie eine Entscheidung zur Festlegung des Geltungsbereichs, eine bestätigte Registrierung, eine Lückenanalyse gegenüber dem Cbb, ein funktionierendes Verfahren zur Vorfallmeldung und einen Governance-Nachweis des Vorstands, den eine Aufsichtsbehörde nachvollziehen kann.

Das Cbw ersetzt das Wet beveiliging netwerk- en informatiesystemen (Wbni) und setzt NIS2 um. Nach Angaben der Regierung haben mehr als 8.000 Organisationen in 18 Sektoren Verpflichtungen danach, während das Wwke (die CER-Richtlinie) etwa 500 benannte kritische Einrichtungen abdeckt.^[1].

Bevor Sie beginnen

Ernennen Sie einen verantwortlichen Eigentümer für das Programm (häufig der CISO oder der Compliance-Leiter) und einen unterstützenden Geschäftsführer. Sammeln Sie Ihre Rechtseinheitsstruktur, Handelsregisternummern (KvK), Mitarbeiterzahl und Finanzzahlen pro Einrichtung, eine Liste der von Ihnen erbrachten Dienstleistungen und Ihre öffentlichen Netzwerkdetails. MijnNCSC verwendet eHerkenning auf Stufe EH2+ mit Vollmacht, daher überprüfen Sie, wer diese Autorisierung innehat.^[4].

Schritt 1: Bestimmen Sie, ob Sie in den Geltungsbereich fallen, und als welcher Einrichtungstyp

Die Cbw stützt sich auf Selbstbewertung: Die Organisation entscheidet selbst, ob sie unter das Gesetz fällt und ob sie eine wesentliche (essentiële entiteit) oder wichtige Einrichtung (belangrijke entiteit) ist. Sie erhalten zunächst keinen Brief. Der Test kombiniert Sektor und Größe (EU-KMU-Definition). In der Regel sind kleine Unternehmen (weniger als 50 Arbeitnehmer und Umsatz oder Bilanzsumme unter 10 Millionen EUR) nicht erfasst, aber einige Arten von Einrichtungen sind unabhängig von der Größe erfasst^[7]. Gemeinden, Provinzen, Wasserschaften und gemeinsame Regelungen (gemeenschappelijke regelingen) werden als wesentliche Einrichtungen eingestuft.

• Ordnen Sie jede juristische Person den Sektoren und Untersektoren in den Anlagen I und II der NIS2 zu. Nutzen Sie das NCSC-Entscheidungstool zur Überprüfung.
• Wenden Sie den Größentest pro Einrichtung an und berücksichtigen Sie dabei Partner- und verbundene Unternehmen wie die KMU-Definition verlangt.
• Prüfen Sie, ob eine Einrichtung als kritische Einrichtung nach dem Wwke ausgewiesen ist; kritische Einrichtungen sind wesentliche Einrichtungen nach NIS2.

Schritt 2: Registrierung im NCSC-Einrichtungsregister

Die registratieplicht (Registrierungspflicht) gilt seit dem 15. August 2026, und das NCTV erklärt, dass Organisationen selbst für die rechtzeitige Registrierung verantwortlich sind^[5]. Die Registrierung erfolgt im nationalen Einrichtungsregister, das vom NCSC verwaltet wird, über MijnNCSC. Sie geben Organisationsdaten, Kontaktdaten und Netzwerkdaten wie öffentliche IP-Bereiche, Domainnamen und AS-Nummern an. Der Cbb (Artikel 27) ergänzt Angaben wie die Einrichtungskategorie und die KvK-Nummer oder Entsprechung; Behörden verwenden ihren Code im Register van Overheidsorganisaties^[2]. Änderungen müssen innerhalb von 14 Tagen über MijnNCSC gemeldet werden.^[4].

• Falls Sie sich noch nicht registriert haben, tun Sie es jetzt: Die Verpflichtung ist bereits in Kraft.
• Bestimmen Sie einen Verantwortlichen für die Aktualisierung der Registrierung und integrieren Sie eine Registerprüfung in Ihren Änderungsprozess für neue Domains und IP-Bereiche.

Schritt 3: Identifizieren Sie Ihre Aufsichtsbehörde und Ihr CSIRT

Die Aufsicht in den Niederlanden ist sektoral organisiert. Die NCSC-Übersicht führt unter anderem die Rijksinspectie Digitale Infrastructuur (RDI) für digitale Infrastruktur, Energie, Behörden, digitale Anbieter, ICT-Servicemanagement, Raumfahrt, Postdienste und Fertigung auf; die Inspectie Leefomgeving en Transport (ILT) für Verkehr, Trinkwasser, Abwasser, Abfallwirtschaft, Chemikalien und Meteorologie; DNB für Bankwesen; AFM für Finanzmarktinfrastruktur; NVWA für Lebensmittel; und ANVS für den Nuklearbereich^[6]. Für das Gesundheitswesen verweist das Ministerium für VWS auf die Aufsicht durch die Inspectie Gezondheidszorg en Jeugd (IGJ). Das NCSC fungiert als CSIRT für die meisten Sektoren und ist explizit eine Anlaufstelle für Unterstützung, nicht für Aufsicht. Das NCTV ist für das Gesetz und seine nationale Auslegung verantwortlich.

• Dokumentieren Sie Ihre Aufsichtsbehörde und Ihr CSIRT pro Entität.
• Lesen Sie die Cyberbeveiligingsregeling (Ministerialverordnung) Ihres Sektors, die Schwellenwerte für Vorfälle festlegt und zusätzliche Anforderungen hinzufügen kann. Für Behörden konkretisiert die Baseline Informatiebeveiliging Overheid (BIO2) die Sorgfaltspflicht.

Schritt 4: Führen Sie eine Lückenanalyse anhand der Cbb-Maßnahmen durch

Die zorgplicht (Sorgfaltspflicht) erfordert angemessene und verhältnismäßige Maßnahmen auf der Grundlage einer Risikoanalyse, um Risiken für Ihr Netz und Ihre Informationssysteme zu bewältigen. Der Cbb konkretisiert dies in einem Mindeststandard: Artikel 5 verpflichtet Einrichtungen, mindestens die Maßnahmen der Artikel 6 bis 18 zu ergreifen^[3]. Diese umfassen eine Informationssicherheitsrichtlinie mit definierten Rollen (Art. 6), Risikomanagement mit Methodik und Akzeptanzkriterien (Art. 7), Vorfallbehandlung und Protokollierung (Art. 8), Geschäftsfortführung, Datensicherungen und Krisenmanagement (Art. 9), Sicherheit der Lieferkette (Art. 10), sichere Beschaffung, Entwicklung und Änderungsmanagement (Art. 11), Cyber-Hygiene und Schulung (Art. 12), Kryptografie (Art. 13), Personalsicherheit (Art. 14), Zugriffskontrolle (Art. 15), Asset-Management (Art. 16), Umgang mit Schwachstellen- und Bedrohungsinformationen (Art. 17) und regelmäßige Bewertung der Maßnahmen (Art. 18).

Die Struktur folgt dem Anhang der Durchführungsverordnung (EU) 2024/2690. Für die digitalen Dienstleister, die diese Verordnung erfasst (wie Cloud-, Rechenzentrum- und verwaltete (Sicherheits-)Dienstleister), hebt Cbb Artikel 4 die Artikel 6 bis 18 auf, da die EU-Verordnung unmittelbar gilt.

• Bewerten Sie jeden Cbb-Artikel (oder jede Anforderung aus 2024/2690) als erfüllt, teilweise erfüllt oder nicht erfüllt, mit Nachweisen, und ergänzen Sie Branchenanforderungen.
• Priorisieren Sie Lücken nach Risiko, nicht nach Artikelreihenfolge.

Die Begleitvorlage enthält die vollständige Checkliste mit einer Zeile pro Cbb-Maßnahme und den entsprechenden NIS2- und 2024/2690-Referenzen.

Schritt 5: Erstellen Sie die Risikoanalyse, die die Maßnahmen steuert

Cbb Artikel 7 erfordert eine Risikomanagementrichtlinie mit einer Methodik, Akzeptanzkriterien, einer Risikoanalyse und einer Risikoübersicht, aus der Sicherheitsanforderungen folgen. In der Praxis: ein lebendes, allumfassendes Risikoregister, in dem jedes Risiko mit den Maßnahmen verknüpft ist, die es adressieren, damit die Verhältnismäßigkeit nachvollziehbar ist.

Schritt 6: Richten Sie das Verfahren zur Meldung von Vorfällen (Meldepflicht) ein

Erhebliche Vorfälle müssen über die zentrale Meldestelle auf MijnNCSC gemeldet werden, die den Bericht an Ihr CSIRT und Ihre Aufsichtsbehörde weiterleitet^[8]. Die Fristen laufen ab dem Zeitpunkt, in dem Sie von dem Vorfall erfahren.

Bericht	Frist	Inhalt
Frühwarnung	Innerhalb von 24 Stunden	Ob der Vorfall wahrscheinlich durch böswillige Handlung verursacht wurde und ob er grenzüberschreitende Auswirkungen haben kann; Kontaktdaten. Die Cbb (Art. 24) ergänzt Angaben wie wahrscheinlicher Startzeitpunkt, erwartete Wiederherstellungszeit und Abhilfemaßnahmen.
Vorfallmeldung	Innerhalb von 72 Stunden (24 Stunden für Vertrauensdiensteanbieter)	Aktualisierung der Frühwarnung, erste Bewertung des Schweregrads und der Auswirkungen, Kompromittierungsindikatoren, soweit verfügbar.
Fortschrittsbericht	Nach einem Monat, wenn der Vorfall noch andauert	Status zu diesem Zeitpunkt.
Abschlussbericht	Innerhalb eines Monats	Beschreibung, Grundursache, ergriffene Maßnahmen, grenzüberschreitende Auswirkungen.

Das CSIRT oder die Aufsichtsbehörde können auch Zwischenaktualisierungen anfordern. Die Erheblichkeit hängt von Sektorschwellwerten in den Ministerialverordnungen ab; DORA-Einrichtungen können stattdessen über den DORA-Weg melden.

• Verankern Sie Ihre Sektorschwellenwerte im Vorfallverfahren und legen Sie fest, wer über die Erheblichkeit entscheidet und wer meldet, mit Stellvertretern.
• Führen Sie eine Tischübung durch den vollständigen 24-Stunden-/72-Stunden-/Ein-Monats-Zyklus durch.

Schritt 7: Übertragen Sie die Verantwortung auf das Leitungsorgan, schriftlich und in der Praxis

Cbw Artikel 24 macht das Leitungsorgan für die Genehmigung der Sorgfaltspflichtmaßnahmen und die Überwachung ihrer Umsetzung verantwortlich. Jedes Mitglied des Leitungsorgans muss über ausreichende Kenntnisse und Fähigkeiten verfügen, um Cyber-Risiken und Maßnahmen zu bewerten, diese Kenntnisse aktuell zu halten und ein Schulungszertifikat vorlegen zu können. Amtierende Mitglieder des Leitungsorgans müssen dies innerhalb von zwei Jahren nach Inkrafttreten erfüllen, also bis zum 15. August 2028, und neue Mitglieder innerhalb von zwei Jahren nach ihrer Ernennung^[9]. Die Cbb (Artikel 20 bis 22) legt den Schulungsinhalt fest: Risikoidentifizierung und die Risikomanagementmaßnahmen des Gesetzes. Das Zertifikat muss den Namen des Mitglieds des Leitungsorgans, das Datum oder die Daten, die Themen und den Anbieter enthalten, in Niederländisch oder Englisch.^[3].

Persönliche Durchsetzung gegen Mitglieder des Leitungsorgans ist möglich: eine Anordnung unter Androhung eines Zwangsgeldes (last onder dwangsom) und eine Verwaltungsbuße (bestuurlijke boete) von bis zu EUR 25.000 für die Verletzung der Wissens-, Aktualisierungs- oder Zertifikatspflichten sowie für wesentliche Einrichtungen, die eine auferlegte Maßnahme nicht rechtzeitig durchführen, eine gerichtlich angeordnete Suspendierung eines Mitglieds des Leitungsorgans.^[9].

• Lassen Sie die Maßnahmen und den Behebungsplan vom Leitungsorgan förmlich genehmigen und dokumentieren Sie dies in den Protokollen.
• Machen Sie Cybersicherheit zu einem regelmäßigen Tagesordnungspunkt und verwalten Sie Schulungszertifikate zentral.

Schritt 8: Vorbereitung auf die Aufsicht

Wesentliche Einrichtungen unterliegen proaktiver (ex ante) Aufsicht; wichtige Einrichtungen werden reaktiv (ex post) überwacht, in der Regel nach einem Vorfall oder Signal^[7]. Die Höchstbußgelder betragen EUR 10 Millionen oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und EUR 7 Millionen oder 1,4 % für wichtige Einrichtungen, je nachdem welcher Betrag höher ist. Aufsichtsbehörden können auch verbindliche Anweisungen erteilen und Fristen zur Behebung von Mängeln setzen.

• Erstellen Sie eine Nachweisdatei pro Cbb-Artikel, die ein Außenstehender nachvollziehen kann, mit einem Protokoll der Verhältnismäßigkeitsentscheidungen.
• Planen Sie die von Cbb-Artikel 18 geforderte regelmäßige Bewertung, mindestens jährlich.

In Secrato werden die Schritte 4 bis 8 auf einen Kontrollsatz abgebildet: eine Cbb-Maßnahme, die einmal bewertet wird, dient auch als Nachweis für die entsprechenden NIS2-, ISO/IEC 27001- und CyFun-Anforderungen.

Wie dies mit anderen Rahmenwerken verbunden ist

Die Cbb-Maßnahmen folgen Artikel 21 der NIS2 und dem Anhang der Verordnung 2024/2690, die stark auf ISO/IEC 27001 Anhang A aufbauen. Ein funktionierendes ISMS deckt die meisten Artikel 6 bis 18 ab; überprüfen Sie Vorstandsschulung, die Meldepflicht-Fristen und Lieferketten-Besonderheiten separat. DORA-Einrichtungen folgen DORA für das IKT-Risikomanagement und die Vorfallmeldung.

Häufig gestellte Fragen

Gibt es eine Übergangsfrist für die Registrierung oder Compliance?

Nicht für die Registrierung: Die NCTV gibt an, dass sie ab dem 15. August 2026 gilt. Die einzige ausdrückliche Übergangsregelung, die wir gefunden haben, ist die Zweijahresfrist für Schulungen der Geschäftsleitung. Aufsichtsbehörden können in der Praxis Prioritäten setzen, aber zum Zeitpunkt der Veröffentlichung gibt es keine allgemeine veröffentlichte Übergangsfrist.

Müssen wir sowohl an das CSIRT als auch an die Aufsichtsbehörde melden?

Sie übermitteln einmal über MijnNCSC, und die Meldung geht automatisch an beide. Freiwillige Meldungen gehen nur an das CSIRT.

Wir sind ein Cloud- oder Managed-Service-Provider. Welche Maßnahmen gelten?

Die Durchführungsverordnung (EU) 2024/2690 gilt unmittelbar für Sie, und die Cbb-Artikel 6 bis 18 gelten nicht. Die übrigen Cbw-Pflichten wie Registrierung, Meldung und Pflichten der Geschäftsleitung gelten weiterhin.

Welche Tools helfen einem mittelständischen Unternehmen, die Cbw einzuhalten?

Beginnen Sie mit einer strukturierten Lückenanalyse: Unsere kostenlose Cbw-Bereitschafts-Checkliste deckt Registrierung, Sorgfaltspflicht, Meldung und Vorstandspflichten ab. Um sie aktuell zu halten, verknüpft eine GRC-Plattform wie Secrato jede Maßnahme mit Kontrollen, Verantwortlichen und Nachweisen und hält Vorfallaufzeichnungen für die 24-Stunden-, 72-Stunden- und Einmonats-Berichte bereit.