NIS2 in den Niederlanden: Was die Cyberbeveiligingswet (Cbw) jetzt bedeutet, da sie in Kraft ist

Das niederländische NIS2-Gesetz, die Cyberbeveiligingswet, ist am 15. August 2026 in Kraft getreten. Hier erfahren Sie, was es verlangt, wer es beaufsichtigt und wie Sie vorgehen, wenn Sie sich noch nicht registriert haben.

Nach mehreren Verschiebungen ist die niederländische Umsetzung der NIS2-Richtlinie endlich in Kraft. Der Senat (Eerste Kamer) billigte die Cyberbeveiligingswet (Cbw) am 7. Juli 2026, und sie trat am 15. August 2026 in Kraft, zusammen mit der Wet weerbaarheid kritieke entiteiten (Wwke), die die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) umsetzt ^[1][2]. Die Cbw ersetzt das frühere Gesetz über die Sicherheit von Netz- und Informationssystemen (Wbni) ^[1][3].

Zwei Monate später arbeiten viele Organisationen noch daran, herauszufinden, ob sie in den Geltungsbereich fallen. Hier erfahren Sie, was das Gesetz verlangt.

Wer fällt unter die Cbw?

Die Regierung schätzt, dass mehr als 8.000 Organisationen in 18 Sektoren erfasst sind, darunter Energie, Trinkwasser, digitale Infrastruktur, Gesundheitswesen, öffentliche Verwaltung und Verkehr ^[1]. Es gibt keinen Designierungsbrief: Organisationen müssen selbst beurteilen, ob das Gesetz anwendbar ist ^[1][2].

Das NCSC beschreibt einen zweistufigen Test ^[3]:

1. Sektor und Einrichtungstyp. Bietet Ihre Organisation eine Art von Dienst an, die in Anlage 1 (Sektoren von hoher Kritikalität) oder Anlage 2 (andere kritische Sektoren) aufgeführt ist?
2. Größe. Erfüllen Sie die Größenschwellen? Gemäß der Richtlinie sind dies in der Regel mittlere Organisationen (50 oder mehr Beschäftigte oder über den EU-Umsatz- und Bilanzschwellen) und große ^[7][9].

Einrichtungen, die sich qualifizieren, werden entweder als wesentlich oder wichtig eingestuft. Einige unterliegen unabhängig von der Größe dem Geltungsbereich, wie qualifizierte Vertrauensdiensteanbieter, Registrierungsstellen für Top-Level-Domains und Dienste zur Registrierung von Domainnamen. Organisationen, die gemäß der Wwke als kritisch bezeichnet werden, sind automatisch wesentlich ^[4].

Internationale Gruppenstrukturen finden dies besonders schwierig, wie Presseberichte zeigen ^[11]. Das RDI verweist Organisationen auf ein Selbstbewertungstool der Regierung als Ausgangspunkt ^[10].

Unter der Cbw ist Cybersicherheitsrisiko nicht mehr etwas, das der Vorstand delegiert und vergisst: Er genehmigt die Maßnahmen, beaufsichtigt sie und trägt Verantwortung dafür.

Registrierung beim NCSC

Die Registrierung im nationalen Einrichtungsregister (entiteitenregister) ist seit dem 15. August 2026 obligatorisch ^[1]. Sie erfolgt über das NCSC-Portal mijn.ncsc.nl und das NCSC schätzt, dass es etwa zehn Minuten dauert, wenn Sie vorbereitet haben ^[4]. Sie benötigen ^[4]:

• Organisationsname und Adresse;
• aktuelle Kontaktdaten, einschließlich E-Mail-Adressen, Telefonnummern und IP-Bereiche;
• Sektor und Untersektor;
• die EU-Mitgliedstaaten, in denen Sie Dienstleistungen erbringen.

Die Registrierung gibt Ihnen auch Zugang zu den Diensten Ihres sektoralen CSIRT ^[1][3].

Unsicher: Wir haben in offiziellen Quellen keine separate gesetzliche Übergangsfrist für die Registrierung gefunden. Behandeln Sie die Verpflichtung als bereits anwendbar. Nach Angaben von Het Financieele Dagblad, wie im August berichtet, hatten sich zu diesem Zeitpunkt etwa 3.200 der geschätzten 8.000 und mehr Organisationen registriert ^[11]. Diese Zahl wird sich seitdem geändert haben.

Die Sorgfaltspflicht (zorgplicht)

Wesentliche und wichtige Einrichtungen müssen angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergreifen, um ihre Netz- und Informationssysteme sowie die physische Umgebung dieser Systeme zu schützen ^[5]. Die Verhältnismäßigkeit hängt von der Risikoexposition, der Größe, der Wahrscheinlichkeit von Vorfällen und deren möglichen gesellschaftlichen und wirtschaftlichen Auswirkungen ab ^[5].

Das NCSC legt zehn Mindestmaßnahmen fest ^[5]:

1. Risikoanalyse;
2. Personalsicherheit, Zugangskontrolle und Asset-Management;
3. Geschäftsfortführung;
4. Vorfallbehandlung, einschließlich eines Vorfallreaktionsplans;
5. grundlegende Cybersicherheitshygiene und Sensibilisierungsschulung;
6. Richtlinien zur Sicherheit von Netz- und Informationssystemen;
7. Sicherheit der Lieferkette;
8. eine Kryptografie- und Verschlüsselungsrichtlinie;
9. Multi-Faktor- oder andere sichere Authentifizierung;
10. laufende Bewertung der Wirksamkeit der Maßnahmen.

Das Cyberbeveiligingsbesluit (Cbb), das Durchführungsdekret, das im Juli 2026 im Staatsblad veröffentlicht wurde, legt diese Verpflichtungen im Detail dar. Es behandelt die Sorgfaltspflicht, Registrierung, Vorstandsschulung und Vorfallmeldung ^[8][13]. Sektorspezifische Ministerialverordnungen fügen auf Basis des Dekrets weitere Details hinzu ^[2][13].

Vorfallmeldung (meldplicht)

Ein erheblicher Sicherheitsvorfall ist einer, der zu schwerwiegenden Betriebsstörungen oder finanziellen Verlusten für die Organisation oder zu erheblichen materiellen oder immateriellen Schäden für andere führen kann ^[6]. Die konkreten Schwellenwerte werden je Sektor in Ministerialverordnungen festgelegt; überprüfen Sie daher die für Sie geltende. ^[2].

Die Meldekette ist ^[6][9]:

Phase	Frist	Inhalt
Frühwarnung	Ohne unangemessene Verzögerung, innerhalb von 24 Stunden nach Kenntnisnahme	Ob böswillige Handlung vermutet wird und ob es grenzüberschreitende Auswirkungen geben kann
Vorfallmeldung	Innerhalb von 72 Stunden	Erste Bewertung des Schweregrads und der Auswirkungen
Zwischenmitteilung	Auf Anfrage	Statusmitteilung an das CSIRT oder die Aufsichtsbehörde
Abschlussbericht	Innerhalb von einem Monat	Grundursache, Auswirkungen und Abhilfemaßnahmen; ein Fortschrittsbericht, falls der Vorfall noch andauert

Alle Meldungen gehen über einen zentralen Meldepunkt unter mijn.ncsc.nl, der sie sowohl an das sektorale CSIRT als auch an die zuständige Aufsichtsbehörde weiterleitet ^[6]. Einige Einrichtungen unterliegen kürzeren Fristen. Nach Angaben des NCSC müssen Einrichtungen, die auch unter DORA oder den niederländischen Netzbetreiber-Cybersicherheitskodex (Netcode) fallen, eine Frühwarnung innerhalb von 4 Stunden abgeben, und Vertrauensdiensteanbieter haben eine Benachrichtigungsfrist von 24 Stunden ^[6]. Freiwillige Meldungen von nicht erheblichen Vorfällen und Beinahe-Unfällen gehen nur an das CSIRT, nicht an die Aufsichtsbehörde ^[6].

Verantwortlichkeit des Leitungsorgans

Die Cyberbeveiligingswet macht Cyber-Risiken zur Angelegenheit des Leitungsorgans. Das Leitungsorgan muss ^[5][1]:

• die Maßnahmen zum Cyber-Risikomanagement genehmigen;
• deren Umsetzung überwachen;
• Schulungen absolvieren, um Cyber-Risiken selbst bewerten zu können, und sicherstellen, dass Schulungen für das Personal angeboten werden;
• die letzte Verantwortung tragen und können bei Nichteinhaltung haftbar gemacht werden.

Bei wesentlichen Einrichtungen können Aufsichtsbehörden die vorübergehende Suspendierung eines Vorstandsmitglieds beantragen. Mitglieder des Leitungsorgans von wesentlichen und wichtigen Einrichtungen können auch mit regelmäßigen Zwangsgeldern und Verwaltungsbußgeldern belegt werden ^[7]. Es lohnt sich daher, Entscheidungen des Leitungsorgans zu Cyber-Risiken ordnungsgemäß zu dokumentieren. Eine lückenhafte Dokumentation kann selbst ein möglicher Auslöser für Durchsetzungsmaßnahmen sein ^[13].

Aufsicht und Bußgelder

Die Aufsicht ist sektorweise organisiert. Zehn Aufsichtsbehörden teilen sich die Aufgabe, darunter die RDI, ILT, DNB, AFM, IGJ, NVWA und die niederländische Datenschutzbehörde (AP). Sie koordinieren sich über die Samenwerkend Toezicht Digitale Weerbaarheid (STDW) ^[12][13]. Die RDI beaufsichtigt Sektoren wie Energie, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum, Postdienste, Forschung und Fertigung ^[10].

Die Intensität der Aufsicht hängt von der Klassifizierung ab ^[3][7]:

• Wesentliche Einrichtungen unterliegen proaktiver Aufsicht, sodass Inspektionen ohne vorherige Ankündigung eines Verstoßes stattfinden können. Die Instrumente umfassen Audits, Sicherheitsprüfungen, verbindliche Anweisungen, mit Strafzahlungen unterlegte Anordnungen, öffentliche Offenlegung, Suspendierungsanfragen und Verwaltungsbußgelder.
• Wichtige Einrichtungen unterliegen hauptsächlich reaktiver Aufsicht, die typischerweise durch einen Vorfall oder ein Signal ausgelöst wird, wobei die meisten der gleichen Durchsetzungsinstrumente gelten.

Bußgelder: Nach NIS2 müssen Mitgliedstaaten Höchstbußgelder von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für wesentliche Einrichtungen und 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen vorsehen ^[9]. Unsicher: Wir konnten die genauen niederländischen Höchstbeträge nicht anhand des endgültigen Texts der Cyberbeveiligingswet in den von uns geprüften offiziellen Quellen verifizieren. Prüfen Sie das veröffentlichte Gesetz, bevor Sie sich auf konkrete Zahlen stützen.

Praktische erste Schritte

1. Bestätigen Sie Ihren Status. Arbeiten Sie die Anlagen und Größenschwellen durch, oder nutzen Sie das Selbstbewertungstool, für jede juristische Person in Ihrer Gruppe. Dokumentieren Sie die Begründung ^[3][10].
2. Registrieren Sie sich jetzt unter mijn.ncsc.nl, wenn Sie im Geltungsbereich liegen, und halten Sie Ihre Kontaktdaten und IP-Bereiche aktuell ^[4].
3. Identifizieren Sie Ihre Aufsichtsbehörde und die sektorale Regulierung, einschließlich der Vorfallschwellenwerte, die für Sie gelten ^[2][12].
4. Führen Sie eine Lückenanalyse durch anhand der zehn Sorgfaltspflichtmaßnahmen und der Cbb. Das NCSC verweist auch auf das Cbw Control Framework und den RDI NIS2 Quickscan ^[3][5].
5. Üben Sie die Meldung. Ordnen Sie, wer entscheidet, dass ein Vorfall erheblich ist, und wer die 24-Stunden-Frühwarnung einreicht. Wenn DORA auch für Sie gilt, planen Sie die 4-Stunden-Frist ein ^[6].
6. Informieren und schulen Sie das Leitungsorgan. Planen Sie Schulungen ein und richten Sie eine regelmäßige Berichtslinie ein, und dokumentieren Sie die Genehmigungen des Leitungsorgans ^[5].
7. Überprüfen Sie Ihre Lieferkette, beginnend mit kritischen ICT-Anbietern ^[5].

Secrato hilft Organisationen, Rahmenwerke wie NIS2, DORA und ISO/IEC 27001 in einer EU-gehosteten Plattform zu verwalten – mit gemeinsamen Kontrollen, Nachweisen und Audit-Trails.