Das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet) setzt die europäische NIS2-Richtlinie um. Es verpflichtet Organisationen, die in achtzehn festgelegten Sektoren wesentliche oder wichtige Dienstleistungen erbringen, geeignete Risikomanagementmaßnahmen zu ergreifen, bedeutende Vorfälle zu melden und sich bei der Regierung zu registrieren.
Rechtliche Grundlage
Das Gesetz setzt die Richtlinie (EU) 2022/2555 um und trat am 15. August 2026 zusammen mit dem Gesetz zur Stärkung der Resilienz kritischer Einrichtungen in Kraft. Es betrifft schätzungsweise 8.000 Organisationen in Sektoren wie Energie, Trinkwasser, digitale Infrastruktur, Gesundheitswesen, Transport und öffentliche Verwaltung. Die Richtlinie sieht eine gestaffelte Meldepflicht vor: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Anders als zuvor werden nicht mehr einzelne Organisationen gesondert ausgewiesen; der Sektor in Verbindung mit der Unternehmensgröße entscheidet darüber, ob eine Organisation betroffen ist. Die Vorstandsmitglieder sind selbst für die Genehmigung der Maßnahmen verantwortlich und müssen entsprechende Schulungen absolvieren.
Wie es in der Praxis funktioniert
Der erste Schritt ist die Selbsteinschätzung: Fällt Ihre Organisation in einen der Sektoren, und wenn ja, ist sie systemrelevant oder wichtig? Diese Unterscheidung bestimmt maßgeblich die Aufsicht, die bei systemrelevanten Einrichtungen ohne besonderen Anlass erfolgen kann. Daraus ergibt sich die Sorgfaltspflicht: Risikoanalyse, Umgang mit Vorfällen, Geschäftskontinuität, Lieferkette, Zugriffskontrolle und Verschlüsselung. Die Lieferkettenpflichten betreffen auch Lieferanten, die selbst nicht unter das Gesetz fallen, da die Anforderungen vertraglich weitergegeben werden.
Wo es schiefgeht
Organisationen gehen allzu oft fälschlicherweise davon aus, dass sie nicht unter die Meldepflicht fallen, weil sie keine kritische Infrastruktur darstellen. Die Liste der betroffenen Branchen ist jedoch breit gefasst und umfasst unter anderem Abfallwirtschaft, Postdienste, Lebensmittel- und Digitalanbieter. Ein weiterer Fehler besteht darin, die Meldepflicht als reine IT-Angelegenheit zu behandeln, obwohl die 24-Stunden-Frist nur mit einer im Voraus bis zur Geschäftsleitung festgelegten Entscheidungslinie eingehalten werden kann. Drittens ist die Weitergabe der Meldepflicht an Lieferanten in bestehenden Verträgen in der Regel nicht geregelt.
Verwandte Begriffe
Die Meldepflicht besteht parallel zu derjenigen bei einer Verletzung des Schutzes personenbezogener Daten , hat jedoch eine eigene Frist und eine andere Aufsichtsbehörde und fließt in den SaaS-Vertrag und den Datenverarbeitungsvertrag ein.
Weiterführende Literatur
Mehr zu diesem Thema: NIS2 in den Niederlanden: Rechtliche Hinweise und Handlungsempfehlungen für Unternehmen , NIS2 und das niederländische Cybersicherheitsgesetz: Was Ihre Organisation wissen muss.
Möchten Sie wissen, ob das Gesetz für Sie gilt und was das bedeutet? Unsere IT-Anwälte führen die Prüfung gemeinsam mit Ihnen durch.
