NIS2 and the Cybersecurity Act: what does it require of you?

Die niederländische Umsetzung der NIS2-Richtlinie, des Cybersicherheitsgesetzes (CybersicherheitsgesetzDas Gesetz (Cbw) ist seit dem 15. August 2026 in Kraft. Es ersetzt das frühere Gesetz zur Netzwerk- und Informationssystemsicherheit (Nasse, verhüllende Netzwerk- und Informationssysteme, Wbni) and applies to organisations designated as essential or important entities across eighteen sectors, including energy, drinking water, digital infrastructure, healthcare, transport, public administration, manufacturing, waste and postal services. It reaches more than 8,000 organisations in the Netherlands.

Drei Verpflichtungen definieren es. Die erste ist die Sorgfaltspflicht : Eine betroffene Einrichtung muss angemessene und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen ergreifen, um die Risiken für ihr Netzwerk und ihre Informationssysteme zu managen und die Folgen von Vorfällen zu begrenzen. Die zweite ist die Meldepflicht : Ein schwerwiegender Vorfall muss innerhalb der gesetzlichen Fristen dem zuständigen IT-Sicherheitsvorfallteam und der zuständigen Aufsichtsbehörde gemeldet werden. Die Meldung beginnt mit einer Frühwarnung innerhalb von 24 Stunden, gefolgt von einer ausführlicheren Meldung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats. Die dritte Verpflichtung ist die Registrierung beim Nationalen Zentrum für Cybersicherheit (NCSC).

NIS2 unterscheidet sich von früheren Cybersicherheitsvorschriften durch die Zuständigkeitsverteilung. Managementorgane müssen die Risikomanagementmaßnahmen genehmigen und deren Umsetzung überwachen, sie können für Fehler haftbar gemacht werden und sind zur Durchführung von Schulungen verpflichtet. Die Sorgfaltspflicht erstreckt sich auch auf die Lieferkette und muss daher in Verträgen mit Lieferanten und Dienstleistern umgesetzt werden.

Trifft NIS2 auf Ihre Organisation zu?

NIS2 gilt, wenn Ihr Unternehmen in einem der achtzehn aufgeführten Sektoren tätig ist und die Größenschwelle erreicht, oder wenn es einer Kategorie angehört, die unabhängig von der Größe abgedeckt ist. Das Cybersicherheitsgesetz ist seit dem 15. August 2026 in Kraft, und es gibt keine allgemeine Übergangsfrist: Die Verpflichtungen gelten ab sofort.

The Netherlands implemented the directive later than the European deadline. Many older articles still refer to “a 2025 deadline”. That date is no longer relevant. What matters is that the Dutch rules are in force and that supervisors can enforce them.

Welche Sektoren und Organisationen fallen in den Geltungsbereich?

Das Gesetz umfasst achtzehn Sektoren, die in zwei Anhängen aufgeführt sind. Der erste Anhang enthält besonders kritische Sektoren wie Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Raumfahrt. Der zweite Anhang umfasst weitere kritische Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Fertigung, digitale Anbieter und Forschung.

Innerhalb dieser Sektoren ist die Unternehmensgröße ausschlaggebend für die Abdeckung. Laut NCSC fällt Ihre Organisation in den Geltungsbereich, wenn sie mindestens eines der folgenden Kriterien erfüllt:

• Unser Team: Es beschäftigt 50 oder mehr Mitarbeiter (in Vollzeitäquivalenten)
• Umsatz und BilanzDas Unternehmen beschäftigt weniger als 50 Mitarbeiter, aber sowohl sein Jahresumsatz als auch seine Bilanzsumme übersteigen 10 Millionen Euro.
• Gruppe anPartner- und verbundene Unternehmen werden in diese Zahlen einbezogen, sodass auch eine kleine Tochtergesellschaft eines großen Konzerns erfasst werden kann.

Einige Organisationen sind unabhängig von ihrer Größe abgedeckt. Dazu gehören DNS-Dienstleister, Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, Top-Level-Domainnamen-Registrierungsstellen und Regierungsorganisationen.

Das Gesetz unterscheidet im Anwendungsbereich zwischen systemrelevanten und wichtigen Unternehmen. Größere Organisationen in kritischen Sektoren gelten in der Regel als systemrelevant, andere als wichtige. Diese Unterscheidung ist für die Aufsicht und die Höhe der Höchststrafe relevant. Die niederländische Behörde für digitale Infrastruktur (RDI) bietet auf regelhulpenvoorbedrijven.nl ein Selbstbewertungstool (NIS2-Zelfevaluatie) an, mit dem Sie Ihre Position ermitteln können. Sollte das Ergebnis unklar sein, beispielsweise aufgrund einer Konzernstruktur oder gemischter Aktivitäten, lassen Sie Ihr Unternehmen bewerten und dokumentieren Sie die Begründung.

Was erfordert die Sorgfaltspflicht?

Die Sorgfaltspflicht erfordert angemessene und verhältnismäßige Maßnahmen zur Minimierung der Risiken für Ihr Netzwerk und Ihre Informationssysteme. „Verhältnismäßig“ bedeutet, dass die Maßnahmen Ihrer Unternehmensgröße, Ihrem Risikopotenzial und den möglichen Auswirkungen eines Vorfalls auf Gesellschaft und Wirtschaft entsprechen müssen.

Die Richtlinie legt in Artikel 21 Absatz 2 der NIS2-Richtlinie einen Mindeststandard fest. Kurz gesagt, Ihre Maßnahmen müssen Folgendes umfassen:

• RisikoanalyseRichtlinien zur Risikoanalyse und zur Sicherheit Ihrer Informationssysteme
• VorfallbehandlungVerfahren zur Erkennung, Bearbeitung und Behebung von Vorfällen
• KontinuitätGeschäftskontinuität, Datensicherung, Wiederherstellung und Krisenmanagement
• LieferketteSicherheit in Ihren Beziehungen zu Lieferanten und Dienstleistern
• Entwicklung und WartungSicherheit bei der Beschaffung, Entwicklung und Wartung von Systemen, einschließlich des Umgangs mit Schwachstellen
• TestsVerfahren zur Beurteilung der Wirksamkeit Ihrer Maßnahmen
• Hygiene und SchulungGrundlegende Schulungen zu Cyberhygiene und Cybersicherheit für die Mitarbeiter
• Kryptographie und Zugriff: die Nutzung von Verschlüsselung, Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung, einschließlich sicherer Authentifizierung

Das Gesetz schreibt keinen spezifischen Standard vor. Viele Organisationen nutzen ein bestehendes Informationssicherheits-Rahmenwerk, um ihre Maßnahmen zu strukturieren. Für die Aufsichtsbehörde zählt, ob Sie nachweisen können, dass Ihre Maßnahmen auf einer Risikobewertung basieren und tatsächlich wirksam sind.

Wie funktionieren die Meldepflicht und deren Durchsetzung?

Ein schwerwiegender Vorfall muss in drei Schritten gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Sie melden den Vorfall dem zuständigen Computer Security Incident Response Team (CSIRT) und Ihrem Bereichsleiter.

Die 24-Stunden-Warnung ist kurz und muss nicht vollständig sein. Sie signalisiert hauptsächlich, dass etwas passiert und ob böswillige Absicht oder grenzüberschreitende Auswirkungen vorliegen könnten. Die 72-Stunden-Meldung liefert eine erste Einschätzung des Schweregrades und der Folgen. Der Abschlussbericht beschreibt die Ursache, die ergriffenen Maßnahmen und etwaige grenzüberschreitende Konsequenzen.

Die Aufsicht ist nach Sektoren unterteilt. Je nach Ihren Tätigkeiten kann Ihre Aufsichtsbehörde beispielsweise die Aufsichtsbehörde für Umwelt und Verkehr (ILT), die Niederländische Zentralbank (DNB), die niederländische Finanzmarktaufsicht (AFM), die Aufsichtsbehörde für Gesundheit und Jugend (IGJ), die niederländische Behörde für Lebensmittelsicherheit und Verbraucherschutz (NVWA) oder die Forschungs- und Entwicklungsbehörde (RDI) sein. Die Aufsichtsbehörden verfügen über Durchsetzungsbefugnisse, die auch die Verhängung von Bußgeldern umfassen.

NIS2 überschneidet sich auch mit der Datenschutz-Grundverordnung (DSGVO). Wenn ein Vorfall personenbezogene Daten betrifft, kann eine separate Meldung an die niederländische Datenschutzbehörde ( Autoriteit Persoonsgegevens ) erforderlich sein. Stimmen Sie Ihr NIS2-Verfahren mit Ihrem Verfahren für Datenschutzverletzungen ab, damit ein Vorfall nicht zu zwei getrennten, unkoordinierten Prozessen führt.

Welche Änderungen ergeben sich für Management, Mitarbeiter und das Unternehmen?

Die wichtigste Änderung besteht darin, dass Cybersicherheit nicht mehr allein Angelegenheit der IT-Abteilung ist. NIS2 überträgt die Verantwortung der Geschäftsleitung und erwartet, dass die gesamte Organisation, einschließlich Mitarbeiter und Lieferanten, ihren Beitrag leistet.

Was bedeutet NIS2 für die Mitarbeiter?

NIS2 begründet keine neuen individuellen Rechte oder Pflichten für Arbeitnehmer; die Pflichten liegen beim Unternehmen. In der Praxis muss der Arbeitgeber die Fürsorgepflicht jedoch in konkrete Regeln und Schulungen für die Mitarbeiter umsetzen.

Grundlegende Schulungen zur Cyberhygiene und Cybersicherheit gehören zu den Mindestmaßnahmen. Das bedeutet beispielsweise, dass Ihre Mitarbeiter Folgendes tun sollten:

• Aufmerksamkeit: Teilnahme an Schulungen zu Phishing, Passwörtern und sicherem Arbeiten
• Internes ReportingSie müssen wissen, wie und wem sie einen vermuteten Vorfall oder eine Sicherheitslücke melden können, damit Sie die 24-Stunden-Frist einhalten können.
• Zugriff: Sichere Authentifizierung verwenden und nur Zugriff auf die Systeme haben, die sie für ihre Arbeit benötigen.

Halten Sie diese Regeln in einer Richtlinie oder einem Mitarbeiterhandbuch fest. Wenn Sie neue Überwachungssysteme oder das Verhalten von Mitarbeitern einführen, überprüfen Sie die Datenschutzbestimmungen und gegebenenfalls die Rolle des Betriebsrats.

Was muss das Leitungsgremium tun?

Die Leitungsorgane müssen die Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen und deren Umsetzung überwachen. Ihre Mitglieder müssen Schulungen absolvieren, um über ausreichendes Wissen zur Beurteilung von Risiken und Maßnahmen zu verfügen. Bei Nichteinhaltung der Vorgaben durch die Organisation kann das Leitungsorgan zur Rechenschaft gezogen werden.

In der Praxis bedeutet dies, dass der Vorstand Cybersicherheit nicht mehr einfach delegieren kann. Die Geschäftsführung sollte:

• Beschließt,: die Risikobewertung und die Maßnahmen formell genehmigen und diese Entscheidung protokollieren
• Überwachen: regelmäßige Berichte über den Stand der Maßnahmen und über Vorfälle erhalten
• Erfahren Sie: Nehmen Sie an Schulungen teil und halten Sie Ihr Wissen auf dem neuesten Stand
• Zuweisen: Sicherstellen, dass ausreichend Budget, Personal und klare Rollen vorhanden sind.

Ob ein Geschäftsführer persönlich für einen Schaden haftbar gemacht werden kann, hängt von den allgemeinen Regeln des niederländischen Gesellschaftsrechts und den Umständen des Einzelfalls ab. Klare Entscheidungsfindung und Dokumentation tragen dazu bei, zu belegen, dass der Vorstand seine Verantwortung ernst genommen hat.

Welche Geldstrafen und sonstigen Konsequenzen drohen?

Die Aufsichtsbehörden können gegen systemrelevante Unternehmen Geldbußen von bis zu 10 Millionen Euro oder 2 % ihres weltweiten Jahresumsatzes und gegen wichtige Unternehmen Geldbußen von bis zu 7 Millionen Euro oder 1.4 % verhängen, je nachdem, welcher Betrag höher ist. Dies sind Höchstbeträge; die tatsächliche Geldbuße richtet sich nach der Schwere des Verstoßes und den Umständen.

Bußgelder sind nicht das einzige Risiko. Vorgesetzte können auch andere Maßnahmen ergreifen, um die Einhaltung der Vorschriften durchzusetzen. Ein schwerwiegender Vorfall kann zudem Ansprüche von Kunden oder Geschäftspartnern, vertragliche Konsequenzen mit Lieferanten und Reputationsschäden nach sich ziehen. Eine gute Vorbereitung schützt Sie daher in mehrfacher Hinsicht.

Wie gehen Sie mit Lieferanten und Verträgen um?

Die Sorgfaltspflicht erstreckt sich auch auf Ihre Lieferkette, daher müssen Sie auch die Cybersicherheitsrisiken Ihrer Lieferanten und Dienstleister managen. In der Praxis geschieht dies größtenteils über Verträge.

Zu den in Lieferantenverträgen zu regelnden Punkten gehören:

• Sicherheitsanforderungen: die Maßnahmen, die der Lieferant gemäß Ihrer eigenen Risikobewertung ergreifen muss
• Vorfallmeldung: eine kurze Frist für den Lieferanten, Sie über Vorfälle zu informieren, damit Sie Ihre eigenen Meldefristen einhalten können
• Prüfung und InformationIhr Recht, Informationen anzufordern und die Einhaltung der Vorschriften überprüfen zu lassen
• Vergabe von Unteraufträgen: Regeln über den Einsatz von Unterauftragnehmern und die Übertragung von Verpflichtungen
• Haftung und KündigungWas passiert, wenn der Lieferant die Vereinbarungen nicht einhält, und wie können Sie die Geschäftsbeziehung beenden?

Überprüfen Sie zunächst Ihre bestehenden Verträge mit Ihren wichtigsten IT- und Dienstleistungsanbietern. Neue Verträge können von Anfang an Standardklauseln gemäß NIS2 enthalten.

What should you check as an organisation in scope?

The Act has applied since 15 August 2026 without a general transition period. These checks cover the obligations a supervisor will look at first.

• Establish with the RDI self-assessment whether you are an essential or important entity, include group companies, and record the reasoning.
• Register with the NCSC and keep the registration up to date.
• Have the management body formally approve the risk assessment and the measures, and record that decision.
• Plan training for the management body and basic cyber hygiene training for staff.
• Name the person who decides whether an incident is significant and who reports within 24 hours, 72 hours and one month.
• Align the NIS2 procedure with the 72-hour data breach notification to the Dutch Data Protection Authority under the GDPR.

Was sollten Sie als Lieferant überprüfen?

Customers in scope pass their duty of care on to you through contracts. Check what you are asked to sign before you agree.

• Check whether your own organisation is covered by the Act, for example as a digital or IT service provider.
• Check that the incident notification deadline you are asked to accept is achievable, given your customer’s own 24-hour deadline.
• Agree on the scope and cost of the customer’s audit and information rights.
• Check the liability and termination clauses attached to the security requirements.
• Check which obligations you must pass on to your own subcontractors.

What can we do for you with NIS2 and the Cybersecurity Act?

Unsere IT-Anwalt team assists organisations in scope and their suppliers, from the scope assessment to supervision.

• We establish whether your organisation is an essential or important entity, including in group structures.
• We draft the board resolution, the security policies and the incident and reporting procedure.
• We draft and review NIS2 clauses in supplier and customer contracts.
• We advise directors on their responsibilities and on their liability under Dutch company law.
• We assist during an investigation by the RDI or your sector supervisor and draft the objection (bezwaar) against a fine decision.

Zusammenfassung

• The Cybersecurity Act, the Dutch implementation of NIS2, has applied since 15 August 2026 to more than 8,000 organisations in eighteen sectors.
• Ihre Organisation ist grundsätzlich versichert, wenn sie mindestens 50 Mitarbeiter hat oder der Umsatz und die Bilanzsumme jeweils über 10 Millionen Euro liegen; einige Anbieter sind unabhängig von der Größe versichert.
• Zu den Kernpflichten gehören die Sorgfaltspflicht, die Meldung schwerwiegender Vorfälle (innerhalb von 24 Stunden, 72 Stunden und einem Monat) sowie die Registrierung beim NCSC.
• Das Managementorgan genehmigt und überwacht die Maßnahmen, führt Schulungen durch und kann zur Rechenschaft gezogen werden; die Sicherheit der Lieferkette wird größtenteils über Verträge gewährleistet.
• Die Geldbußen können für systemrelevante Unternehmen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes betragen, für wichtige Unternehmen bis zu 7 Millionen Euro oder 1.4 %.

Häufig gestellte Fragen