Von Tom Meevis, Rechtsanwalt bei Law & More
Cybersicherheit ist längst nicht mehr nur eine technische Angelegenheit. Sie ist auch ein rechtliches und Governance-Thema, das praktisch jede Organisation jeder Größe betrifft.
Mit der europäischen NIS2-Richtlinie und dem niederländischen Cybersicherheitsgesetz verlagert sich die Verantwortung für digitale Resilienz eindeutig auf die Geschäftsführung. Das niederländische Cybersicherheitsgesetz tritt am 15. August 2026 in Kraft. Unternehmer, Geschäftsführer und Compliance-Beauftragte müssen daher kurzfristig Folgendes festlegen:
- ob ihre Organisation in den Anwendungsbereich der neuen Regeln fällt;
- welche Verpflichtungen sich daraus ergeben;
- welche Maßnahmen erforderlich sind;
- und wie die Organisation diesen Verpflichtungen nachkommen kann.
Dieser Artikel erläutert die wichtigsten Elemente von NIS2 und des niederländischen Cybersicherheitsgesetzes: den Anwendungsbereich, die Sorgfaltspflicht, die Meldepflicht, die Verantwortung des Vorstands, die Durchsetzung und die Schritte, die Organisationen jetzt unternehmen können.
Was ist NIS2?
NIS2 ist die offizielle Bezeichnung der Richtlinie (EU) 2022/2555. Sie löst die erste europäische Richtlinie über Netz- und Informationssicherheit ab, die allgemein als NIS1 bezeichnet wird.
Die Mitgliedstaaten waren verpflichtet, NIS2 bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Ab dem 18. Oktober 2024 ersetzte NIS2 formell die frühere Richtlinie.
Ziel ist es, die Cybersicherheit innerhalb der Europäischen Union zu erhöhen und besser aufeinander abzustimmen. Dies geschieht im Wesentlichen durch zwei Maßnahmen: Erstens durch einen erweiterten Anwendungsbereich: Deutlich mehr Organisationen fallen unter die Regelungen als unter NIS1. Zweitens durch eine verschärfte Aufsicht und strengere Durchsetzung, verbunden mit einem umfassenderen Instrumentarium und klareren Verantwortlichkeiten für Führungskräfte.
Während NIS1 zwischen Betreibern wesentlicher Dienste und Anbietern digitaler Dienste unterschied, arbeitet NIS2 mit systemrelevanten und wichtigen Einrichtungen. Diese Unterscheidung ist nicht nur terminologischer Natur: Sie bestimmt unter anderem die Intensität der Aufsicht und die Höhe möglicher Bußgelder.
Welche Organisationen fallen unter NIS2?
NIS2 gilt für Organisationen, die in achtzehn festgelegten Sektoren tätig sind, die in Sektoren hoher Kritikalität und andere kritische Sektoren unterteilt sind.
Zu den Sektoren mit hoher Kritikalität gehören Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur, ICT-Dienstleistungsmanagement für Geschäftskunden, öffentliche Verwaltung und Raumfahrt.
Zu den weiteren kritischen Sektoren zählen Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung, digitale Anbieter und Forschungseinrichtungen.
Die Größenschwelle
In diesen Sektoren gilt grundsätzlich, dass ein Unternehmen unter NIS2 fällt, wenn es als mittelständisches oder großes Unternehmen gilt. Die Kriterien hierfür sind mindestens 50 Beschäftigte oder ein Jahresumsatz bzw. eine Bilanzsumme von über 10 Millionen Euro.
Es gibt Ausnahmen von dieser Hauptregel. Bestimmte Organisationen fallen unabhängig von ihrer Größe in den Anwendungsbereich, weil ihre Dienstleistungen als besonders wichtig gelten:
- Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste;
- Vertrauensdienstleister;
- Anbieter von Domainnamen-Registrierungsdiensten;
- Top-Level-Domainnamen-Registrierungsstellen;
- öffentliche Einrichtungen.
Ab dem 15. August 2026 gelten die neuen Verpflichtungen für über 8,000 Organisationen in den Niederlanden. Dies stellt eine erhebliche Ausweitung im Vergleich zur Anzahl der Organisationen dar, die unter das derzeitige Gesetz zur Sicherheit von Netzen und Informationssystemen fallen.
Organisationen, die sich bisher nicht als Teil eines kritischen Sektors betrachteten, könnten daher betroffen sein, darunter mittelständische Hersteller, Lebensmittelproduzenten, Forschungseinrichtungen und Anbieter digitaler Dienstleistungen. Wichtig ist, dass die Organisationen selbst dafür verantwortlich sind, zu beurteilen, ob sie in den Geltungsbereich fallen. Sie erhalten keine entsprechende Mitteilung von einer Aufsichtsbehörde.
Die Sorgfaltspflicht: Welche Maßnahmen sind erforderlich?
Kernstück von NIS2 und des niederländischen Cybersicherheitsgesetzes ist die Sorgfaltspflicht. Unverzichtbare und wichtige Einrichtungen müssen angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergreifen, um die Risiken für ihre Netzwerk- und Informationssysteme zu minimieren.
Die Regeln legen die Themen fest, die die Police in jedem Fall behandeln muss:
- Risikoanalyse und Informationssicherheitspolitik;
- Vorfallbearbeitung;
- Geschäftskontinuität, Datensicherungsmanagement und Notfallwiederherstellung;
- Sicherheit der Lieferkette;
- Cyberhygiene und Mitarbeiterschulung;
- Richtlinie zum Umgang mit Sicherheitslücken;
- Multifaktor-Authentifizierung;
- gesicherte Kommunikation;
- Kryptographie;
- regelmäßige Bewertung der Wirksamkeit der Maßnahmen.
Die Maßnahmen müssen der Größe der Organisation und den tatsächlichen Risiken, denen sie ausgesetzt ist, angemessen sein. Ein kleineres, aber wichtiges Unternehmen muss daher nicht dieselben Maßnahmen ergreifen wie ein großes, systemrelevantes Unternehmen in einem Hochrisikosektor.
Das entbindet Organisationen nicht von ihrer Sorgfaltspflicht. Sie müssen nachweisen können, welche Risiken sie identifiziert, welche Maßnahmen sie ergriffen und warum diese Maßnahmen angemessen sind. Nicht nur die Maßnahmen selbst, sondern auch deren Gewichtung, Dokumentation und regelmäßige Überprüfung unterliegen der Aufsicht.
Meldepflicht nach einem Vorfall
Neben der Sorgfaltspflicht sieht NIS2 eine gestaffelte Meldepflicht für schwerwiegende Vorfälle vor. Wenn ein Vorfall erhebliche Auswirkungen auf die Kontinuität der Dienste hat oder haben könnte, gelten im Wesentlichen folgende Fristen:
- innerhalb von 24 Stunden eine Frühwarnung an das nationale Computersicherheits-Reaktionsteam oder die zuständige Behörde;
- innerhalb von 72 Stunden eine formelle Benachrichtigung mit einer ersten Einschätzung des Schweregrades und der Auswirkungen;
- Spätestens innerhalb eines Monats ist ein Abschlussbericht vorzulegen, der den Vorfall, seine wahrscheinliche Ursache, die ergriffenen Maßnahmen und etwaige grenzüberschreitende Auswirkungen beschreibt.
Diese Fristen erfordern die vorherige Festlegung klarer Verfahren. Die Organisation muss wissen, wann ein Vorfall meldepflichtig ist, wer zur Meldung berechtigt ist, welche Informationen verfügbar sein müssen, wer die Koordination übernimmt und wie Vorstand und Aufsichtsbehörde informiert werden.
Eine Organisation, die erst während eines Vorfalls versucht, einen Benachrichtigungsprozess einzurichten, läuft Gefahr, nicht rechtzeitig oder nicht vollständig berichten zu können.
Verantwortung des Vorstands
Ein wichtiges Element von NIS2 ist, dass die Verantwortung für das Management von Cyberrisiken ausdrücklich beim Vorstand liegt. Der Vorstand muss die Sicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen, die Cyberrisiken des Unternehmens beurteilen können und selbst ausreichend geschult werden.
Cybersicherheit kann daher nicht länger allein der IT-Abteilung als Verantwortung überlassen werden. Sie ist ein Thema der Unternehmensführung, das in die regelmäßige Entscheidungsfindung und das Risikomanagement einfließen muss.
Die Richtlinie regelt ausdrücklich die persönliche Haftung der Geschäftsleitung bei Nichteinhaltung durch das Unternehmen. Die Beteiligung des Vorstands ist entsprechend zu dokumentieren, beispielsweise durch die Erfassung von durchgeführten Schulungen, Vorstandsbeschlüssen, genehmigten Richtlinien, Risikobewertungen, Berichten und der Überwachung der Umsetzung.
Die niederländische Umsetzung
Die Umsetzung von NIS2 in den Niederlanden hat sich erheblich verzögert. Die Frist für die Umsetzung am 17. Oktober 2024 wurde nicht eingehalten.
Am 8. Juli 2026 beschloss die Europäische Kommission, die Niederlande zusammen mit Irland, Spanien und Frankreich wegen Nichtmeldung von Umsetzungsmaßnahmen vor dem Gerichtshof der Europäischen Union zu verklagen. Die Niederlande gehörten damit zu den vier Nachzüglern der Europäischen Union.
Der Zeitpunkt ist bemerkenswert. Einen Tag zuvor, am 7. Juli 2026, hatte der Senat das Cybersicherheitsgesetz und das Gesetz zur Stärkung der Resilienz kritischer Einrichtungen verabschiedet. Ob die Tatsache, dass das Gesetz vor der Überweisung des Falls verabschiedet wurde, Auswirkungen auf den Ausgang des Verfahrens hat, bleibt abzuwarten; das muss das Gericht entscheiden.
Beide Gesetze treten am 15. August 2026 in Kraft. Das Cybersicherheitsgesetz setzt die NIS2-Richtlinie um; das Gesetz zur Stärkung der Resilienz kritischer Einrichtungen setzt die europäische CER-Richtlinie um, die auf die Resilienz kritischer Infrastrukturen abzielt. Organisationen, die unter die letztgenannte Richtlinie fallen, werden ab dem 15. August 2026 offiziell als kritische Einrichtungen eingestuft.
Mit Inkrafttreten des neuen Gesetzes tritt das bisherige Gesetz zur Sicherheit von Netzen und Informationssystemen (Wbni) außer Kraft. Für Organisationen, die bereits unter dieses Gesetz fallen, bedeutet dies strengere Auflagen; für Organisationen, die erstmals in seinen Anwendungsbereich fallen, gilt ein völlig neues System.
Registrierung beim NCSC
Eine wichtige neue Pflicht ist die Registrierung beim Nationalen Zentrum für Cybersicherheit (MijnNCSC). Wichtige und systemrelevante Einrichtungen müssen im nationalen Register eingetragen werden. Diese Registrierung ist ab dem 15. August 2026 verpflichtend und erfolgt über das Portal MijnNCSC. Für Organisationen des allgemeinen Sektors wird eHerkenning, für Einrichtungen des öffentlichen Sektors SSOnRijk verwendet. Änderungen der registrierten Daten müssen innerhalb von vierzehn Tagen gemeldet werden.
Die Registrierung ist mehr als nur eine administrative Formalität. Nach der Registrierung können Organisationen die Dienste ihres CSIRT nutzen, das Produkte und Dienstleistungen zur Stärkung der Resilienz sowie Unterstützung im Krisenfall anbietet. Bereiten Sie die Registrierung rechtzeitig vor, damit die Implementierung nicht erst nach Inkrafttreten der Regelung beginnt.
Aufsicht und Durchsetzung
Das Cybersicherheitsgesetz sieht ein differenziertes Aufsichtsregime vor. Unverzichtbare Einrichtungen unterliegen einer proaktiven Aufsicht: Die Aufsichtsbehörde kann kontinuierlich und von sich aus, ohne konkreten Vorfall oder Hinweis, Kontrollen durchführen. Wichtige Einrichtungen unterliegen einer reaktiven Aufsicht, bei der die Aufsichtsbehörde grundsätzlich erst nach einem Vorfall, einer Beschwerde oder einem anderen konkreten Hinweis tätig wird.
Die Aufsicht ist auf mehrere Behörden verteilt. Ab dem 15. August 2026 beaufsichtigt die niederländische Behörde für digitale Infrastruktur Organisationen in neun Sektoren; für andere Sektoren sind weitere Aufsichtsbehörden zuständig. Ermitteln Sie, welche Aufsichtsbehörde für Ihre Organisation zuständig ist.
Das Instrumentarium zur Durchsetzung der Gesetze ist breit gefächert und umfasst Folgendes:
- eine Sicherheitsprüfung oder ein Sicherheitsaudit;
- eine verbindliche Anweisung;
- eine behördliche Vollstreckungsanordnung oder eine Anordnung, die mit einer Geldstrafe belegt ist;
- Veröffentlichung einer Rechtsverletzung;
- eine Verwaltungsstrafe;
- Für systemrelevante Einrichtungen: Aussetzung einer Zertifizierung, einer Genehmigung oder eines Vorstandsmitglieds.
Für systemrelevante Unternehmen beträgt die Höchststrafe mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für bedeutende Unternehmen beträgt sie mindestens 7 Millionen Euro oder 1.4 % des weltweiten Jahresumsatzes, ebenfalls je nachdem, welcher Betrag höher ist. Die endgültige Höhe der Strafe hängt von den Umständen des Einzelfalls ab, insbesondere von Art, Schwere und Dauer des Verstoßes, dem Grad des Verschuldens und den ergriffenen Maßnahmen.
Was kann Ihre Organisation jetzt tun?
- Führen Sie eine Selbsteinschätzung durch. Stellen Sie fest, ob die Organisation in einem festgelegten Sektor tätig ist und die Größenschwelle erfüllt.
- Ermitteln Sie die korrekte Kategorie. Stellen Sie fest, ob die Organisation als systemrelevant oder wichtig einzustufen ist und welcher Vorgesetzte zuständig ist.
- Bereiten Sie die Registrierung vor. Sammeln Sie die für die Registrierung beim NCSC benötigten Daten über MijnNCSC.
- Überprüfen Sie die Sorgfaltspflichtmaßnahmen. Bewerten Sie die bestehenden Maßnahmen in den Bereichen Risikoanalyse, Reaktion auf Sicherheitsvorfälle, Geschäftskontinuität, Lieferkettensicherheit, Cyberhygiene, Schwachstellen, Multi-Faktor-Authentifizierung und Kryptographie.
- Richten Sie den Benachrichtigungsprozess ein. Dokumentieren Sie, wer beurteilt, ob ein Vorfall meldepflichtig ist, wer die Benachrichtigung durchführt und wie die Fristen von 24 Stunden, 72 Stunden und einem Monat eingehalten werden.
- Binden Sie den Vorstand nachweislich ein. Dokumentieren Sie, welche Entscheidungen der Vorstand getroffen hat, welche Schulungen durchgeführt wurden und wie die Umsetzung überwacht wird.
- Beziehen Sie die Lieferkette mit ein. Ein Großteil der Schwachstellen entsteht nicht innerhalb des Unternehmens selbst, sondern bei Lieferanten und Dienstleistern. Überprüfen Sie Ihre Verträge hinsichtlich Sicherheitsvorkehrungen, Meldepflichten und Prüfrechten.
Zum Schluss
Das Cybersicherheitsgesetz und das Gesetz zur Stärkung der Resilienz kritischer Einrichtungen stellen eine erhebliche Verschärfung der Cybersicherheitspflichten dar. Ein erweiterter Anwendungsbereich, konkrete Sorgfaltspflichten, enge Meldefristen, die persönliche Verantwortung von Geschäftsführern und ein umfangreiches Instrumentarium zur Durchsetzung bedeuten, dass Unternehmen dieses Thema nicht ignorieren können. Da die Gesetze am 15. August 2026 in Kraft treten, bleibt nur wenig Zeit zur Vorbereitung.
Law & More Unterstützt Unternehmen, Geschäftsführer und Compliance-Beauftragte bei der Ermittlung ihrer Position gemäß NIS2 und dem niederländischen Cybersicherheitsgesetz, bei der Einrichtung und Prüfung der Sorgfaltspflichtmaßnahmen, bei der Vorbereitung der Registrierung beim NCSC und bei der rechtlichen Verankerung der Cybersicherheitspolitik.
Möchten Sie die Situation Ihrer Organisation gemäß den neuen Regelungen bewerten lassen? Kontaktieren Sie uns gerne für ein unverbindliches Gespräch.
Häufig gestellte Fragen
Im Folgenden beantworten wir die am häufigsten gestellten Fragen zu diesem Thema.
Wann tritt das niederländische Cybersicherheitsgesetz in Kraft?
Am 15. August 2026. Der Senat hat am 7. Juli 2026 das Cybersicherheitsgesetz und das Gesetz zur Stärkung der Resilienz kritischer Einrichtungen verabschiedet. Mit deren Inkrafttreten tritt das derzeitige Gesetz zur Netzwerk- und Informationssystemsicherheit (Wbni) außer Kraft.
Fällt meine Organisation unter NIS2?
Das hängt von Ihrer Branche und Ihrer Unternehmensgröße ab. NIS2 umfasst achtzehn festgelegte Branchen und innerhalb dieser Branchen grundsätzlich Organisationen mit mindestens 50 Beschäftigten oder einem Jahresumsatz bzw. einer Bilanzsumme von über 10 Millionen Euro. Bestimmte Parteien sind unabhängig von ihrer Größe erfasst.
Werde ich benachrichtigt, wenn meine Organisation in den Geltungsbereich fällt?
Nein. Organisationen sind selbst dafür verantwortlich, zu prüfen, ob sie unter das Cybersicherheitsgesetz fallen. Durch Zögern besteht die Gefahr, dass die Verpflichtungen greifen, bevor diese Prüfung abgeschlossen ist.
Worin besteht der Unterschied zwischen einer essentiellen und einer wichtigen Entität?
Sie legt die Intensität der Überwachung und die Höhe möglicher Bußgelder fest. Unverzichtbare Einrichtungen unterliegen einer proaktiven Überwachung, bei der die Aufsichtsbehörde von sich aus Kontrollen durchführen kann. Wichtige Einrichtungen unterliegen einer reaktiven Überwachung, die durch einen Vorfall, eine Beschwerde oder ein anderes Signal ausgelöst wird.
Was beinhaltet die Sorgfaltspflicht?
Sie müssen angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergreifen, um die Risiken für Ihr Netzwerk und Ihre Informationssysteme zu minimieren. Dies umfasst Bereiche wie Risikoanalyse, Vorfallmanagement, Geschäftskontinuität, Lieferkettensicherheit, Cybersicherheit, Schwachstellenanalyse, Multi-Faktor-Authentifizierung und Kryptografie. Sie müssen die Angemessenheit der gewählten Maßnahmen begründen können.
Welche Meldefristen gelten nach einem Vorfall?
Eine Frühwarnung innerhalb von 24 Stunden, eine formelle Benachrichtigung innerhalb von 72 Stunden mit einer ersten Einschätzung von Schweregrad und Auswirkungen sowie ein Abschlussbericht spätestens innerhalb eines Monats. Richten Sie den Benachrichtigungsprozess im Voraus ein.
Muss sich meine Organisation registrieren?
Ja. Die Registrierung im nationalen Unternehmensregister ist ab dem 15. August 2026 verpflichtend und erfolgt über MijnNCSC mittels eHerkenning oder, für öffentliche Einrichtungen, über SSOnRijk. Änderungen müssen innerhalb von vierzehn Tagen gemeldet werden. Nach der Registrierung können Sie die Dienste Ihres CSIRT nutzen.
Welche Verantwortung trägt der Vorstand?
Der Vorstand muss die Sicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen, die Cyberrisiken bewerten und selbst Schulungen absolvieren. Die Richtlinie regelt die persönliche Haftung der Geschäftsleitung bei Nichteinhaltung; daher müssen Entscheidungen, Schulungen und die Überwachung nachweisbar dokumentiert werden.
Wie hoch sind die Geldstrafen?
Für systemrelevante Unternehmen beträgt die Strafe mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes; für bedeutende Unternehmen mindestens 7 Millionen Euro oder 1.4 %, jeweils der höhere Betrag. Die endgültige Höhe hängt unter anderem von Art, Schwere und Dauer des Verstoßes sowie dem Grad des Verschuldens ab.
Wer überwacht die Einhaltung der Vorschriften?
Das ist je nach Branche unterschiedlich. Ab dem 15. August 2026 beaufsichtigt die niederländische Behörde für digitale Infrastruktur Organisationen in neun Branchen; für andere Branchen sind andere Aufsichtsbehörden zuständig. Ermitteln Sie, welche Aufsichtsbehörde für Ihre Organisation zuständig ist.
Warum wurde der Fall der Niederlande an den Gerichtshof verwiesen?
Wegen der verspäteten Umsetzung der NIS2-Richtlinie beschloss die Europäische Kommission am 8. Juli 2026, die Niederlande zusammen mit Irland, Spanien und Frankreich beim Gerichtshof der Europäischen Union zu verklagen, da diese die Umsetzungsmaßnahmen nicht fristgerecht mitgeteilt hatten. Die Tatsache, dass das Cybersicherheitsgesetz einen Tag zuvor verabschiedet wurde, beendet dieses Verfahren an sich nicht.
Gilt dies auch für meine Lieferanten?
Die Sicherheit der Lieferkette gehört zu den Sorgfaltspflichten. Viele Schwachstellen entstehen bei Lieferanten und Dienstleistern. Überprüfen Sie Ihre Verträge hinsichtlich Sicherheitsvorkehrungen, Meldepflichten und Prüfrechten.
