Corporate Compliance-Regeln in den Niederlanden

Die Einhaltung von Unternehmensrichtlinien in den Niederlanden ist kein einheitliches System, sondern ein Geflecht aus Verpflichtungen aus verschiedenen Gesetzen, die jeweils eigene Aufsichtsbehörden und Sanktionen vorsehen. Die meisten dieser Verpflichtungen gelten für jedes niederländische Unternehmen, einige wichtige hängen jedoch von Branche und Unternehmensgröße ab. Daher ist es unerlässlich, zunächst zu ermitteln, welche Regeln für Ihr Unternehmen tatsächlich relevant sind.

Die Pflichten haben gemeinsam, dass sie größtenteils administrativ durchgesetzt werden. Eine Aufsichtsbehörde kann eine Geldbuße verhängen, ohne dass jemandem ein Schaden entstanden ist oder eine Beschwerde eingegangen ist. Vier Bereiche decken die meisten Unternehmen ab. Erstens die gesellschaftsrechtlichen Pflichten gemäß Buch 2 des niederländischen Bürgerlichen Gesetzbuches (Burgerlijk Wetboek, BW): ordnungsgemäße Buchführung, fristgerechte Einreichung des Jahresabschlusses, Eintragung der wirtschaftlich Berechtigten und die Pflichten der Geschäftsführung, die bei deren Verletzung die Geschäftsführung persönlich haftbar machen. Zweitens der Datenschutz gemäß DSGVO und dem entsprechenden niederländischen Umsetzungsgesetz, überwacht von der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens, AP), wobei die Geldbußen auf Basis des weltweiten Umsatzes berechnet werden. Drittens die Cybersicherheitspflichten gemäß dem Cybersicherheitsgesetz (Cyberbeveiligingswet) für Organisationen in den ausgewiesenen systemrelevanten und wichtigen Sektoren, das seit dem 15. August 2026 gilt und die Verantwortung ausdrücklich der Geschäftsleitung zuweist. Viertens die Sorgfaltspflichten gegenüber Kunden, die Überwachungs- und Meldepflichten gemäß dem Geldwäsche- und Terrorismusfinanzierungsgesetz (Wwft) für Unternehmen, die unter dessen Anwendungsbereich fallen.

Ab einer gewissen Größe gelten branchenunabhängig weitere Anforderungen: ein internes Verfahren zur Meldung von Fehlverhalten gemäß dem Whistleblower Protection Act (Wet bescherming klokkenluiders), Zielvorgaben für einen ausgewogenen Vorstand und eine Nachhaltigkeitsberichterstattung für Unternehmen, die unter den europäischen Berichtsrahmen fallen, dessen Anwendungsbereich und Zeitpunkt im Jahr 2026 erheblich geändert wurden.

Ein Compliance-Programm, das nur auf dem Papier existiert, ist wenig wert, da die Aufsichtsbehörden die Umsetzung und nicht die Dokumentation bewerten. Dieser Artikel erläutert die Anforderungen der einzelnen Verpflichtungen, die Vorgehensweise der Aufsichtsbehörden bei der Durchsetzung und wie Sie ein Programm entwickeln, das der Größe Ihres Unternehmens angemessen ist.

Inhaltsverzeichnis

• Was bedeutet Corporate Compliance in den Niederlanden?

• Wie setzen niederländische Aufsichtsbehörden die Einhaltung der Vorschriften durch?

• Welche Verpflichtungen gelten für nahezu jedes Unternehmen?

• Welche Anforderungen hängen von Ihrer Branche und Unternehmensgröße ab?

• Gelten die Vorschriften zur Nachhaltigkeitsberichterstattung und Sorgfaltspflicht für Sie?

• Welche Governance- und Integritätsregeln gelten?

• Welche Fehler bergen das größte rechtliche Risiko?

• Dokumentations- und Ablagefehler

• Fallstricke in Sachen Unternehmensführung und Integrität

• Wie stellen Sie sicher, dass die Compliance-Vorgaben auf dem neuesten Stand bleiben?

• Wie richtet man eine Compliance-Struktur ein?

• Wie schafft man eine Kultur, die die Einhaltung von Vorschriften fördert?

Was bedeutet Corporate Compliance in den Niederlanden?

Unternehmenskonformität bedeutet, dass Ihr Unternehmen die für es geltenden rechtlichen Verpflichtungen erfüllt und dies nachweisen kann. In den Niederlanden ergeben sich diese Verpflichtungen aus niederländischen Gesetzen, unmittelbar geltenden EU-Verordnungen wie der DSGVO und niederländischen Gesetzen zur Umsetzung von EU-Richtlinien.

Es gibt keinen einheitlichen Verhaltenskodex, der alle Pflichten eines Unternehmens auflistet. Stattdessen legt jedes Gesetz seine eigenen Pflichten fest, ernennt seine eigene Aufsichtsbehörde und sieht seine eigenen Sanktionen vor. Eine BV im Technologiesektor beispielsweise hat mit der Handelskammer (Kamer van Koophandel) zu tun. KVKFür die Einreichung von Unterlagen und Registereinträgen, für personenbezogene Daten bei der AP und gegebenenfalls bei einer Branchenaufsichtsbehörde gemäß dem Cybersicherheitsgesetz müssen Treuhandstellen und Zahlungsinstitute ebenfalls der Wwft und den Finanzaufsichtsbehörden unterstellt sein. Die Ermittlung der anwendbaren Gesetze ist daher der Ausgangspunkt jedes Compliance-Programms.

Wie setzen niederländische Aufsichtsbehörden die Einhaltung der Vorschriften durch?

Die meisten Compliance-Pflichten werden auf Verwaltungsebene durchgesetzt: Der Vorgesetzte ermittelt und kann eine Geldbuße oder eine Sanktionsanordnung verhängen. Eine Strafverfolgung ist bei bestimmten Verstößen möglich, wird aber in der Regel nur bei schweren oder vorsätzlichen Verstößen angewendet.

Dies hat praktische Konsequenzen. Eine Aufsichtsbehörde benötigt weder ein Opfer noch eine Beschwerde, um tätig zu werden. Sie kann von sich aus Ermittlungen einleiten, beispielsweise nach einer Meldung über eine Datenschutzverletzung, einem Medienbericht oder einer branchenweiten Untersuchung. Während einer Untersuchung muss Ihr Unternehmen kooperieren und innerhalb der von der Aufsichtsbehörde gesetzten Frist Informationen bereitstellen. Gegen eine Geldbuße kann durch einen Einspruch bei der Aufsichtsbehörde und anschließend durch eine Beschwerde beim Verwaltungsgericht vorgegangen werden.

Vorgesetzte achten eher auf die Fakten als auf den Papierkram. Eine Richtlinie, die niemand anwendet, bietet keinen Schutz. Entscheidend ist, ob die Maßnahmen tatsächlich umgesetzt werden, ob die Mitarbeiter sie kennen und ob der Vorstand ihre Einhaltung überwacht. Die Höhe einer Geldbuße hängt in der Regel von der Schwere und Dauer des Verstoßes, dem Grad der Schuld und den vom Unternehmen selbst ergriffenen Maßnahmen ab. Ein dokumentiertes und funktionierendes Compliance-System hilft daher sowohl, Verstöße zu verhindern als auch die Folgen im Falle eines Fehlers zu begrenzen.

Welche Verpflichtungen gelten für nahezu jedes Unternehmen?

Jede niederländische BV und NV muss ordnungsgemäße Aufzeichnungen führen, ihren Jahresabschluss fristgerecht einreichen und ihre wirtschaftlich Berechtigten registrieren. Geschäftsführer, die die ersten beiden Pflichten vernachlässigen, tragen im Falle einer Insolvenz des Unternehmens ein erhebliches persönliches Risiko.

Die wichtigsten Pflichten nach dem Gesellschaftsrecht sind folgende:

• Ordnungsgemäße Verwaltung : Gemäß Artikel 2:10 BW ist der Vorstand verpflichtet, Aufzeichnungen über die Finanzlage des Unternehmens so zu führen, dass dessen Rechte und Pflichten jederzeit ersichtlich sind. Der Vorstand muss die Bücher, Dokumente und sonstigen Datenträger sieben Jahre lang aufbewahren.

• JahresabschlussEine BV oder NV muss einen Jahresabschluss erstellen und diesen bei der KVK innerhalb von acht Tagen nach ihrer Adoption. Laut der KVKDie Frist für die Annahme der Jahresabschlüsse hängt von der Rechtsform ab, beträgt aber höchstens zwölf Monate nach Ende des Geschäftsjahres. Werden die Jahresabschlüsse nicht fristgerecht angenommen, muss das Unternehmen die vorläufigen Jahresabschlüsse einreichen.

• UBO-RegisterUnternehmen müssen ihre wirtschaftlich Berechtigten (Ultimate Economic Owners, UBOs) bei der [Name der Behörde/des Unternehmens] registrieren. KVKEin wirtschaftlich Berechtigter (UBO) ist die natürliche Person, die das Unternehmen letztendlich besitzt oder kontrolliert, beispielsweise jemand, der mehr als 25 % der Anteile hält. Änderungen müssen der zuständigen Behörde gemeldet werden. KVK innerhalb einer Woche. Der Zugang zum Register wurde eingeschränkt: Die Öffentlichkeit kann es nicht mehr einsehen, autorisierte Personen und Regierungsbehörden wie die Steuerverwaltung hingegen schon.

• Datenschutz : Jedes Unternehmen, das personenbezogene Daten, einschließlich Mitarbeiterdaten, verarbeitet, muss die DSGVO einhalten. Gemäß Artikel 83 DSGVO können schwerwiegende Verstöße mit einer Geldbuße von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. Andere Verstöße, wie beispielsweise unzureichende Datensicherung, werden mit einer Höchststrafe von 10 Millionen Euro oder 2 % belegt.

Der Zusammenhang zwischen diesen Pflichten und der persönlichen Haftung ist unmittelbar. Gemäß Art. 2:248 BW haftet jeder Geschäftsführer gesamtschuldnerisch gegenüber der Insolvenzmasse, wenn der Vorstand seine Pflichten offenkundig nicht ordnungsgemäß erfüllt hat und dies eine wesentliche Ursache der Insolvenz darstellt. Art. 2:248 Abs. 2 BW ergänzt, dass der Vorstand, wenn er seinen Pflichten nach Art. 2:10 oder 2:394 BW (Verwaltung und Einreichung des Jahresabschlusses) nicht nachgekommen ist, seine Pflichten rechtlich mangelhaft erfüllt hat und dies als wesentliche Ursache der Insolvenz gilt. Die Ansprüche können nur auf mangelhafte Pflichterfüllung in den drei Jahren vor der Insolvenz geltend gemacht werden. Die verspätete Einreichung des Jahresabschlusses ist daher keine bloße Verwaltungsangelegenheit, sondern ein erhebliches Risiko für jeden Geschäftsführer.

Die folgende Tabelle fasst diese Kernverpflichtungen zusammen:

Die meisten Unternehmen unterliegen zudem Verpflichtungen im Arbeitsrecht, Steuerrecht und Verbraucherrecht. Diese fallen zwar nicht in den Rahmen dieses Artikels, gehören aber dennoch zu den anwendbaren Rechtsvorschriften.

Welche Anforderungen hängen von Ihrer Branche und Unternehmensgröße ab?

Mehrere wichtige Regelungen gelten nur für Unternehmen bestimmter Branchen oder ab einer bestimmten Größe. Das Cybersicherheitsgesetz, das Wwft, die Nachhaltigkeitsregeln und die Regeln zur Diversität im Aufsichtsrat funktionieren alle so; die Schwellenwerte bestimmen also, ob überhaupt Handlungsbedarf besteht.

Das Cybersicherheitsgesetz ist ein gutes Beispiel. Es trat am 15. August 2026 in Kraft und setzt die europäische NIS2-Richtlinie um. Es gilt für Organisationen in kritischen Sektoren mit mindestens 50 Beschäftigten und einem Jahresumsatz oder einer Bilanzsumme von über 10 Millionen Euro. Innerhalb dieser Gruppe unterscheidet das Gesetz zwischen systemrelevanten Unternehmen in besonders kritischen Sektoren wie Energie, Transport, Bankwesen und Gesundheitswesen sowie wichtigen Unternehmen in anderen kritischen Sektoren.

Organisationen, die dem Cybersicherheitsgesetz unterliegen, müssen sich beim Nationalen Zentrum für Cybersicherheit (NCSC) registrieren, die Risiken für ihre digitalen Systeme bewerten und geeignete Maßnahmen ergreifen (Sorgfaltspflicht). Schwerwiegende Vorfälle müssen stufenweise gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Die Geschäftsleitung trägt die letztendliche Verantwortung für die Sorgfaltspflicht, muss ihre Kenntnisse im Bereich Cybersicherheit auf dem neuesten Stand halten und an Schulungen teilnehmen. Die Geldbußen können für systemrelevante Unternehmen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes und für wichtige Unternehmen bis zu 7 Millionen Euro oder 1.4 % betragen.

Das Wwft gilt für bestimmte Gruppen von Institutionen und Berufsgruppen, wie Banken und andere Finanzinstitute sowie bestimmte Dienstleister wie Wirtschaftsprüfer, Steuerberater, Notare und Immobilienmakler. Sie sind verpflichtet, die Sorgfaltspflichten gegenüber ihren Kunden zu erfüllen, die Geschäftsbeziehung zu überwachen und ungewöhnliche Transaktionen der Zentralstelle für Finanzinformationen (FIU-Niederlande) zu melden. Jede Gruppe hat einen eigenen Wwft-Aufsichtsbeamten. Wenn Ihr Unternehmen keine Institution im Sinne des Wwft ist, gelten diese Pflichten nicht direkt für Sie. Ihre Bank oder Ihr Wirtschaftsprüfer werden Sie jedoch um Informationen bitten, um ihren eigenen Verpflichtungen nachzukommen.

Gelten die Vorschriften zur Nachhaltigkeitsberichterstattung und Sorgfaltspflicht für Sie?

Seit die EU am 24. Februar 2026 die Omnibus-I-Richtlinie verabschiedet hat, gelten die Nachhaltigkeitsregeln nur noch für sehr große Unternehmen. Die meisten kleinen und mittleren Unternehmen fallen nun weder unter die Berichtsrichtlinie noch unter die Sorgfaltspflichtrichtlinie.

Die Richtlinie zur Nachhaltigkeitsberichterstattung von Unternehmen (CSRD) verpflichtet Unternehmen zur Berichterstattung über ihre Umwelt-, Sozial- und Governance-Leistungen. Nach der ersten Omnibusrichtlinie gilt sie für EU-Unternehmen mit mehr als 1,000 Beschäftigten und einem Nettoumsatz von über 450 Millionen Euro. Für Unternehmen außerhalb der EU gilt ein Nettoumsatz von über 450 Millionen Euro in der EU in Verbindung mit einer EU-Tochtergesellschaft oder -Niederlassung mit einem Umsatz von über 200 Millionen Euro. Die Mitgliedstaaten müssen diese Änderungen in nationales Recht umsetzen; der genaue Zeitpunkt in den Niederlanden hängt daher von der niederländischen Umsetzungsgesetzgebung ab.

Die Richtlinie über die Sorgfaltspflichten von Unternehmen im Bereich Nachhaltigkeit (CSDDD) verpflichtet Unternehmen, negative Auswirkungen auf Menschenrechte und Umwelt in ihrer Wertschöpfungskette zu identifizieren und zu beheben. Nach der ersten Verordnung (Omnibus I) gilt sie für EU-Unternehmen mit mehr als 5,000 Beschäftigten und einem weltweiten Nettoumsatz von über 1.5 Milliarden Euro sowie für Nicht-EU-Unternehmen mit einem Nettoumsatz in der EU von über 1.5 Milliarden Euro. Die Mitgliedstaaten müssen die Richtlinie bis zum 26. Juli 2028 in nationales Recht umsetzen, die Einhaltung durch die Unternehmen beginnt am 26. Juli 2029. Die Höchststrafe beträgt 3 % des weltweiten Nettoumsatzes. Die ursprünglich in der Richtlinie vorgesehene EU-weite zivilrechtliche Haftungsregelung wurde gestrichen; die Frage der zivilrechtlichen Haftung ist nunmehr dem nationalen Recht überlassen.

Auch für Unternehmen unterhalb dieser Schwellenwerte sind die Regeln indirekt relevant. Große Kunden, die unter die Regelungen fallen, fordern häufig von ihren Lieferanten Informationen und vertragliche Zusicherungen zu ihren eigenen Geschäftstätigkeiten an. Wenn Sie einen solchen Kunden beliefern, prüfen Sie diese Anfragen und Vertragsklauseln sorgfältig. Sie können vertragliche Verpflichtungen begründen, die über das Gesetz hinausgehen.

Welche Governance- und Integritätsregeln gelten?

Die Governance-Pflichten hängen auch von der Art und Größe des Unternehmens ab. Die strengsten Regeln zur Diversität im Aufsichtsrat gelten nur für börsennotierte Unternehmen, während die Pflicht zur Einrichtung eines Hinweisgebersystems für jeden Arbeitgeber mit 50 oder mehr Beschäftigten gilt.

Die wichtigsten Governance- und Integritätsregeln lauten wie folgt:

• Diversität im Aufsichtsrat : Gemäß dem Gesetz über die ausgewogene Geschlechterverteilung (Wet ingroeiquotum en streefcijfers) muss der Aufsichtsrat eines in den Niederlanden börsennotierten Unternehmens zu mindestens einem Drittel aus Frauen und zu mindestens einem Drittel aus Männern bestehen. Eine Ernennung, die nicht zu diesem Gleichgewicht beiträgt, ist ungültig. Große, nicht börsennotierte Aktiengesellschaften (NVs und BVs) müssen angemessene und ambitionierte Ziele für den Vorstand, den Aufsichtsrat und die Geschäftsleitung festlegen, einen Plan zu deren Erreichung erstellen und dem Sozial- und Wirtschaftsrat (SER) jährlich innerhalb von zehn Monaten nach Ende des Geschäftsjahres Bericht erstatten. Das Gesetz schreibt keine Quoten für bestimmte Berufsfelder vor.

• Hinweisgeberschutz : Gemäß dem Hinweisgeberschutzgesetz müssen Arbeitgeber mit 50 oder mehr Beschäftigten ein internes Verfahren zur Meldung mutmaßlicher Missstände einrichten. Beschäftigte, die ordnungsgemäß Meldung erstatten, sind vor Vergeltungsmaßnahmen geschützt.

• Corporate-Governance-Kodex : Der niederländische Corporate-Governance-Kodex gilt für börsennotierte Unternehmen. Diese müssen in ihrem Jahresbericht erläutern, wo sie von ihm abweichen (Einhaltung oder Begründung). Andere Unternehmen können ihn als Orientierungshilfe nutzen, sind aber nicht an ihn gebunden.

• Risikomanagement : Zur allgemeinen Pflicht von Geschäftsführern, ihre Aufgaben ordnungsgemäß zu erfüllen, gehört auch, Einblick in die wichtigsten Geschäftsrisiken zu haben. Für Organisationen, die dem Cybersicherheitsgesetz unterliegen, gilt diese Pflicht insbesondere für digitale Risiken.

Die nachstehende Tabelle zeigt, für wen diese Governance-Regeln gelten:

Die Überwachung der Whistleblower-Regelungen befindet sich noch im Aufbau. Die Whistleblower-Behörde (Huis voor Klokkenluiders) hat derzeit nur begrenzte Befugnisse zur Durchsetzung der Arbeitgeberpflichten, und ein Gesetzentwurf zur Stärkung ihrer Aufsichts- und Durchsetzungsbefugnisse ist in Vorbereitung. Das ist jedoch kein Grund zum Zögern: Ein Arbeitnehmer, der nach einer Meldung benachteiligt wird, kann sich bereits jetzt gerichtlich auf den Schutz des Gesetzes berufen.

Gute Unternehmensführung umfasst auch die praktische Arbeitsweise von Vorstand und Aufsichtsrat. Entscheidungen müssen gemäß der Satzung getroffen und ordnungsgemäß dokumentiert werden. Interessenkonflikte sind satzungsgemäß zu behandeln, und der Vorstand muss nachweisen können, wie er die Geschäftsrisiken überwacht. Protokolle, Vorstandsbeschlüsse und eine klare Aufgabenteilung dienen als Nachweis, den ein Vorstandsmitglied benötigt, falls sein Verhalten später hinterfragt wird.

Welche Fehler bergen das größte rechtliche Risiko?

Die Fehler mit den größten Folgen sind selten komplex. Verspätete Einreichungen, veraltete Register und fehlende Verfahrensanweisungen stellen klare Verstöße dar, die ein Vorgesetzter oder ein Insolvenzverwalter leicht feststellen kann.

Viele Risiken entstehen, weil niemand im Unternehmen für eine bestimmte Verpflichtung verantwortlich ist oder weil eine Frist nirgends dokumentiert ist. Ein Compliance-Programm, das mit einer einfachen Liste von Verpflichtungen, Verantwortlichen und Fristen beginnt, beugt den meisten dieser Probleme vor.

Dokumentations- und Ablagefehler

Dokumentationsfehler sind gefährlich, da das Gesetz ihnen Vermutungen zugrunde legt. Werden die Jahresabschlüsse verspätet eingereicht oder ist die Verwaltung unvollständig, muss ein Geschäftsführer im Insolvenzverfahren eine gesetzliche Vermutung widerlegen, anstatt dass der Insolvenzverwalter ein Fehlverhalten der Geschäftsführung nachweist.

Zu den Fehlern, auf die man achten sollte, gehören:

• Verspätete Einreichung des Jahresabschlusses : Die Einreichung nach Ablauf der gesetzlichen Frist löst die Vermutung gemäß Artikel 2:248 Absatz 2 BW aus, falls das Unternehmen innerhalb von drei Jahren in Konkurs gerät. Die Fristen sind zu beachten und sicherzustellen, dass die Aktionäre den Jahresabschluss rechtzeitig genehmigen.

• Unvollständige Unterlagen : Eine Verwaltung, die die Rechte und Pflichten des Unternehmens zu keinem Zeitpunkt nachweisen kann, erfüllt Artikel 2:10 BW nicht. Dies gilt auch für Konzernunternehmen und ruhende Gesellschaften.

• Veraltete Daten zum wirtschaftlich Berechtigten : Änderungen der Eigentumsverhältnisse oder der Kontrolle müssen innerhalb einer Woche gemeldet werden. Veraltete Informationen können schwerwiegende Folgen haben, beispielsweise bei strafrechtlichen Ermittlungen, und Probleme mit Banken und anderen Institutionen verursachen, die auf das Register angewiesen sind.

• Widersprüchliche Angaben : Zahlen und Aussagen im Jahresbericht, Informationen zur Nachhaltigkeit und Informationen gegenüber Banken oder Investoren sollten übereinstimmen. Widersprüche untergraben die Glaubwürdigkeit bei den Aufsichtsbehörden und können zu Haftungsansprüchen führen.

Fallstricke in Sachen Unternehmensführung und Integrität

Fehler in der Unternehmensführung sind oft Versäumnisse: ein Verfahren, das nie eingeführt, ein Ziel, das nie festgelegt oder eine Schulung, die nie stattgefunden hat. Solche Versäumnisse lassen sich von Vorgesetzten leicht erkennen.

Zu den Fallstricken, die es zu vermeiden gilt, gehören:

• Fehlendes Hinweisgebersystem : Ein Arbeitgeber mit 50 oder mehr Beschäftigten, der kein internes Hinweisgebersystem hat, verstößt gegen das Hinweisgeberschutzgesetz. Ein zwar existierendes, den Beschäftigten aber unbekanntes System bietet in der Praxis nur geringen Schutz.

• Ziele zur Geschlechterparität nicht festgelegt oder nicht gemeldet : Große gemeinnützige Organisationen und BVs müssen dem SER jährlich Bericht erstatten. Das Festlegen von Zielen ohne einen Plan zu deren Erreichung entspricht nicht dem Zweck des Gesetzes.

• Cybersicherheit wird ausschließlich als IT-Angelegenheit behandelt : Gemäß dem Cybersicherheitsgesetz ist der Vorstand selbst für die Sorgfaltspflicht verantwortlich und muss Schulungen absolvieren. Ein Vorstand, der die Cybersicherheit vollständig der IT-Abteilung überlässt, kann nicht nachweisen, dass er seinen eigenen Verpflichtungen nachkommt.

• Kein Vorfallverfahren : Die Meldefristen von 24 Stunden, 72 Stunden und einem Monat gemäß dem Cybersicherheitsgesetz sowie die Pflicht zur Meldung von Datenschutzverletzungen gemäß der DSGVO können nur dann eingehalten werden, wenn das Unternehmen im Voraus festgelegt hat, wer einen Vorfall bewertet und wer ihn meldet.

Erfolgreiche Compliance verbindet rechtliche Anforderungen mit der tatsächlichen Arbeitsweise des Unternehmens. Mitarbeiter müssen wissen, welche Regeln für ihre Tätigkeit gelten, wie sie Bedenken melden können und was mit einer solchen Meldung geschieht. Schulungen sollten sich auf die für die jeweilige Rolle relevanten Risiken konzentrieren und nicht auf allgemeine Prinzipien.

Technologie kann helfen, löst das Problem aber nicht von allein. Eine Tabelle mit Verpflichtungen, Fristen und Verantwortlichen ist oft effektiver als ein teures System, das niemand aktualisiert. Wichtig ist, dass die Informationen vollständig, aktuell und regelmäßig überprüft werden.

Die Folgen von Verstößen reichen über Bußgelder hinaus. Aufsichtsbehörden können ihre Entscheidung veröffentlichen, Banken und Kunden können Fragen stellen, und Geschäftsführer können persönlich haftbar gemacht werden. Fehler in einem Bereich können sich auch auf andere Bereiche auswirken: Eine Datenschutzverletzung kann gleichzeitig eine Untersuchung gemäß DSGVO, eine Meldung nach dem Cybersicherheitsgesetz und Kundenanfragen nach sich ziehen.

Die Vermeidung dieser Fehler ist letztlich eine Frage der Führung. Wenn der Vorstand Compliance als Teil der Geschäftsführung und nicht als separate Aufgabe der Rechtsabteilung betrachtet, ist die Wahrscheinlichkeit, dass die Verpflichtungen erfüllt werden, deutlich höher.

Wie stellen Sie sicher, dass die Compliance-Vorgaben auf dem neuesten Stand bleiben?

Halten Sie die Vorschriften auf dem neuesten Stand, indem Sie mindestens einmal jährlich überprüfen, welche Regeln für Ihr Unternehmen gelten und ob die von Ihnen getroffenen Maßnahmen noch wirksam sind. Regeln ändern sich, und Ihr Unternehmen auch: Wachstum, eine neue Geschäftstätigkeit oder eine Übernahme können dazu führen, dass Sie in den Anwendungsbereich einer Regelung fallen, die zuvor nicht galt.

Die in diesem Artikel genannten Größenschwellenwerte verdeutlichen die Notwendigkeit. Unternehmen mit mehr als 50 Mitarbeitern müssen ein Hinweisgebersystem einführen, und Organisationen in kritischen Sektoren, die die Schwellenwerte des Cybersecurity Act überschreiten, müssen sich beim NCSC registrieren und ihrer Sorgfaltspflicht nachkommen. Die Berücksichtigung dieser Schwellenwerte in Ihrer jährlichen Überprüfung beugt unangenehmen Überraschungen vor.

Wie richtet man eine Compliance-Struktur ein?

Eine praktikable Compliance-Struktur beginnt mit einer Übersicht der für Ihr Unternehmen geltenden Verpflichtungen, einem Verantwortlichen für jede Verpflichtung und einem Kalender mit Fristen. Darauf aufbauend ergänzen Sie Richtlinien, Verfahren und Dokumentationen, die Ihrer Unternehmensgröße und Ihren Risiken angemessen sind.

Die Schlüsselelemente einer Compliance-Struktur sind:

• Eine Liste der Verpflichtungen : eine Aufstellung der für Ihr Unternehmen geltenden Gesetze mit den Schwellenwerten, die bestimmen, ob sie Anwendung finden.

• Klare Verantwortlichkeiten : Für jede Verpflichtung ist eine Person verantwortlich, und ein Vorstandsmitglied trägt die endgültige Verantwortung.

• Ein Terminkalender : Termine für die Annahme und Einreichung des Jahresabschlusses, die Berichterstattung an die SER, die Überprüfung der UBO-Daten und andere wiederkehrende Verpflichtungen.

• Dokumentation : Aufzeichnungen, die zeigen, was das Unternehmen getan hat, wie z. B. Beschlüsse des Vorstands, Risikobewertungen, Schulungsnachweise und Vorfallsprotokolle.

• Periodische Überprüfung : eine jährliche Kontrolle, ob das Inventar noch vollständig ist und ob die Maßnahmen in der Praxis funktionieren.

Wie schafft man eine Kultur, die die Einhaltung von Vorschriften fördert?

Eine Kultur, die die Einhaltung von Vorschriften fördert, beginnt beim Vorstand. Wenn die Vorstandsmitglieder die Regeln selbst sichtbar befolgen, Berichte ernst nehmen und in den Vorstandssitzungen Zeit für das Thema Compliance einplanen, werden die Mitarbeiter es ihnen gleichtun.

Zu den praktischen Schritten gehören:

• Sichtbares Engagement des Vorstands : Die Einhaltung der Vorschriften ist ein regelmäßiger Punkt auf der Tagesordnung des Vorstands, und der Vorstand erhält Berichte über Vorfälle und Überprüfungen.

• Sichere Wege, um Bedenken zu äußern : Die Mitarbeiter wissen, wie sie vermutete Fehlverhalten melden können und können darauf vertrauen, dass sie vor Vergeltungsmaßnahmen geschützt werden, wie es das Whistleblower Protection Act vorschreibt.

• Schulungen, die der jeweiligen Rolle entsprechen : Mitarbeiter, die personenbezogene Daten verarbeiten, Zahlungen abwickeln oder IT-Systeme verwalten, werden zu den Risiken ihrer Tätigkeit geschult. Bei Organisationen, die dem Cybersicherheitsgesetz unterliegen, muss auch die Geschäftsführung selbst geschult werden.

• Nachbearbeitung : Meldungen und Vorfälle werden untersucht, das Ergebnis wird dokumentiert und gegebenenfalls werden die Verfahren angepasst.

Compliance ist kein einmaliges Projekt. Neue Gesetze, wie beispielsweise das Cybersicherheitsgesetz von 2026 und die geänderten Nachhaltigkeitsregeln, zeigen, dass sich der Rechtsrahmen ständig weiterentwickelt. Beauftragen Sie jemanden, die für Ihre Branche relevanten Entwicklungen zu verfolgen, und planen Sie genügend Zeit für die Umsetzung der Änderungen ein, bevor diese in Kraft treten.

Tools für Monitoring und Reporting können hilfreich sein, insbesondere in größeren Organisationen. Achten Sie jedoch darauf, dass jedes Tool Ihren tatsächlichen Verpflichtungen entspricht und dass die generierten Daten auf Korrektheit geprüft werden. Die Beurteilung des Ergebnisses obliegt einer Führungskraft, nicht der Software.

Investitionen in Compliance haben auch eine geschäftliche Bedeutung. Banken, Investoren und Großkunden fordern zunehmend Nachweise dafür, dass ein Unternehmen seine Angelegenheiten ordnungsgemäß regelt. Ein Unternehmen, das seine Register, Verfahren und Aufzeichnungen schnell vorlegen kann, ist in Finanzierungsrunden, Due-Diligence-Prüfungen und Ausschreibungen deutlich im Vorteil.

Letztendlich funktioniert Compliance am besten, wenn sie integraler Bestandteil der Geschäftsprozesse ist. Ein Unternehmen, das seine Verpflichtungen kennt, klare Verantwortlichkeiten zuweist und regelmäßig die Wirksamkeit seiner Maßnahmen überprüft, kann in der Regel Probleme vermeiden und Vorgesetzten zeigen, dass es seine Verpflichtungen ernst nimmt.

Zusammenfassend

• Die Einhaltung der Vorschriften durch Unternehmen in den Niederlanden besteht aus separaten Verpflichtungen aus verschiedenen Gesetzen, von denen jede ihren eigenen Aufsichtsbeamten und Sanktionen hat; die meisten werden durch Verwaltungsstrafen durchgesetzt.
• Jede BV und NV muss ordnungsgemäße Aufzeichnungen führen (Art. 2:10 BW), Jahresabschlüsse fristgerecht einreichen (Art. 2:394 BW) und ihre UBO-Daten auf dem neuesten Stand halten; Versäumnisse können die Geschäftsführer im Insolvenzfall persönlich haftbar machen (Art. 2:248 BW).
• Das Cybersicherheitsgesetz (seit dem 15. August 2026), das Wwft und die Vorschriften zur Diversität im Vorstand gelten je nach Branche und Unternehmensgröße; prüfen Sie die Schwellenwerte für Ihr Unternehmen.
• Nach Omnibus I gelten die CSRD und CSDDD direkt nur noch für sehr große Unternehmen, Lieferanten können jedoch über die Verträge ihrer Kunden mit Anforderungen konfrontiert werden.
• Arbeitgeber mit 50 oder mehr Beschäftigten benötigen ein internes Hinweisgebersystem; überprüfen Sie Ihre Pflichten mindestens einmal im Jahr.

Häufig gestellte Fragen

Sie sind sich unsicher, wie Ihre Situation aussieht? Schildern Sie uns Ihre Lage. Wir informieren Sie innerhalb eines Werktages über Ihre Möglichkeiten.

Wie Law & More Wie wir Ihnen dabei helfen können, wird auf unserer Website erklärt. Firmenanwalt