Cybersicherheitsverpflichtungen für niederländische Unternehmen

Niederländische Unternehmen unterliegen drei Cybersicherheitspflichten, die nahezu branchenunabhängig gelten: die Sicherung personenbezogener Daten, die fristgerechte Meldung von Sicherheitsvorfällen und der Nachweis der Einhaltung dieser Pflichten. Seit dem 15. August 2026 besteht für rund 8,000 bestimmte Organisationen eine vierte Pflicht: die Cyberbeveiligingswet (Cbw), die niederländische Umsetzung der EU-Richtlinie NIS2.

Welche Anforderungen stellt die DSGVO an die Datensicherheit?

Die DSGVO fordert angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Diese Maßnahmen müssen dem Stand der Technik, den Implementierungskosten und dem Risiko für die Betroffenen entsprechen. Was für eine Zweipersonenpraxis angemessen ist, ist nicht unbedingt für ein Unternehmen geeignet, das Gesundheitsdaten in großem Umfang verarbeitet. Die Anforderungen steigen mit dem Risiko.

In der Praxis sind die von einer Aufsichtsbehörde erwarteten Maßnahmen unspektakulär: Zugriffskontrolle und Multi-Faktor-Authentifizierung, Verschlüsselung von Geräten und Backups, Patching, Trennung von Umgebungen, Protokollierung und ein getestetes Wiederherstellungsverfahren. Was eine Organisation auszeichnet, die einer Prüfung standhält, ist, dass diese Maßnahmen dokumentiert und überprüft wurden, bevor etwas schiefging.

Wann muss eine Datenschutzverletzung gemeldet werden?

Eine Verletzung des Schutzes personenbezogener Daten muss der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) innerhalb von 72 Stunden nach Kenntniserlangung gemeldet werden, es sei denn, es ist unwahrscheinlich, dass dadurch ein Risiko für die betroffenen Personen entsteht. Besteht ein hohes Risiko, müssen die betroffenen Personen unverzüglich informiert werden.

72 Stunden sind kurz, und die Frist beginnt mit der Kenntnisnahme des Vorfalls, nicht erst mit dem Abschluss der Untersuchung. Deshalb ist ein Verfahren für den Umgang mit Vorfällen – wer entscheidet, wer benachrichtigt wird, was dokumentiert wird – wichtiger als jede einzelne technische Kontrollmaßnahme. Jeder Verstoß muss intern dokumentiert werden, auch solche, die nicht der Aufsichtsbehörde gemeldet werden, zusammen mit der Begründung für die jeweilige Entscheidung.

Was fügt die Cybersicherheitstechnologie hinzu?

Die Cybersicherheitsverordnung (Cyberbeveiligingswet) und die zugehörige Verordnung über die Sicherheit kritischer Einrichtungen (Wet weerbaarheid kritieke entiteiten) traten am 15. August 2026 in Kraft und ersetzten die bisherigen Vorschriften zur Netzwerk- und Informationssystemsicherheit. Organisationen, die unter ihren Geltungsbereich fallen – systemrelevante und wichtige Einrichtungen in Sektoren wie Energie, Transport, Gesundheitswesen, digitale Infrastruktur und öffentliche Verwaltung – müssen sich bei den Behörden registrieren, geeignete Risikomanagementmaßnahmen ergreifen und schwerwiegende Vorfälle dem nationalen CSIRT (Communications Security Response Team) und ihrem jeweiligen Sektorbeauftragten melden.

Die Leitungsorgane tragen die persönliche Verantwortung für die Genehmigung und Überwachung dieser Maßnahmen; diese Verantwortung kann nicht einfach an eine IT-Abteilung delegiert werden. Finanzinstitute unterliegen stattdessen ihrem eigenen EU-Regime zur operativen Resilienz (DORA) und nicht dem Cybersicherheitsgesetz.

Wie erreicht dies Organisationen außerhalb des Geltungsbereichs der Cybersicherheitsinitiative?

Auch außerhalb der festgelegten Sektoren werden dieselben Standards tendenziell vertraglich verankert. Größere Kunden fordern zunehmend Sicherheitsvorkehrungen, Prüfrechte und Meldefristen bei Datenschutzverletzungen in ihren Verträgen, und eine Auftragsverarbeitungsvereinbarung ist obligatorisch, sobald personenbezogene Daten im Auftrag Dritter verarbeitet werden. In der Praxis erfüllen viele niederländische Unternehmen diese Standards zunächst, weil ein Vertragspartner sie verlangt, nicht etwa aufgrund behördlicher Vorgaben.

Wer kann nach einem Vorfall Ansprüche geltend machen?

Ein Vorfall kann Ansprüche aus verschiedenen Richtungen gleichzeitig auslösen: von der Aufsichtsbehörde, von Personen, deren Daten offengelegt wurden, von Vertragskunden und zunehmend auch durch Sammelklagen. Ob die Versicherung greift, hängt vom Wortlaut der Police ab und davon, ob der Versicherer nachweisen kann, dass die vereinbarten Maßnahmen nicht eingehalten wurden – ein weiterer Grund, den bestehenden Zustand belegen zu können.

Was sollten Sie zuerst tun?

Drei Dinge sind mit minimalem Aufwand am wirksamsten: ein schriftliches Notfallverfahren, in dem Personen statt Rollen genannt werden; eine aktuelle Dokumentation der Verarbeitungstätigkeiten und der eingesetzten Prozessoren; und eine getestete Wiederherstellung, denn der Unterschied zwischen einem Vorfall und einer Katastrophe liegt meist darin, ob die Datensicherung funktioniert hat. Falls Ihre Organisation unter die Cybersicherheitsverordnung fällt, prüfen Sie umgehend Ihre Registrierungspflicht.

Zusammenfassend

• Die DSGVO verlangt von jeder Organisation, die personenbezogene Daten verarbeitet, Sicherheitsmaßnahmen, die dem Stand der Technik und dem damit verbundenen Risiko entsprechen.
• Eine Datenschutzverletzung muss in der Regel innerhalb von zweiundsiebzig Stunden nach ihrer Entdeckung der Autoriteit Persoonsgegevens gemeldet werden.
• Seit dem 15. August 2026 kommen durch die Cybersicherheitsverordnung Registrierungs-, Risikomanagement- und Vorfallsmeldepflichten für rund 8,000 benannte Organisationen hinzu, wobei die persönliche Verantwortung für das Management übernommen wird.
• Finanzinstitute fallen unter DORA und nicht unter das Cybersicherheitsgesetz.
• Ein solcher Vorfall kann Ansprüche von Aufsichtsbehörden, betroffenen Personen, Vertragspartnern und zunehmend auch kollektive Klagen auslösen.

Beratung

Wir beraten zu Sicherheits- und Verarbeitungsvereinbarungen, zu Meldungen von Datenschutzverletzungen und Korrespondenz mit Aufsichtsbehörden, zur Einhaltung der Cybersicherheitsvorschriften sowie zur Haftung nach einem Vorfall.

Sie sind sich unsicher, wie Ihre Situation aussieht? Schildern Sie uns Ihre Lage. Wir informieren Sie innerhalb eines Werktages über Ihre Möglichkeiten.

Wie Law & More Wie wir Ihnen dabei helfen können, wird auf unserer Website erklärt. IT-Anwalt