Niederlande: NIS2-Gesetz betrifft 8.000 Firmen

Das niederländische NIS2-Cybersicherheitsgesetz, auf Niederländisch Cyberbeveiligingswet, tritt am Samstag, 15. August 2026, in Kraft und erlegt rund 8.000 Organisationen in 18 kritischen Sektoren strengere digitale Sicherheitspflichten auf. Krankenhäuser, Trinkwasserunternehmen, Kommunen, Telekommunikationsanbieter und öffentliche Verkehrsbetriebe müssen nun Cyberrisiken erfassen, konkrete Schutzmaßnahmen ergreifen und schwerwiegende Vorfälle innerhalb von 24 Stunden melden. Das Gesetz setzt die EU-NIS2-Richtlinie in niederländisches Recht um und ersetzt das ältere Netzwerk- und Informationssicherheitsgesetz (Wbni).

Was ist das niederländische NIS2-Cybersicherheitsgesetz?

Die Cyberbeveiligingswet (Cbw) überführt die EU-Richtlinie (EU) 2022/2555 in nationales Recht. Nach Angaben des Nationalen Cyber-Sicherheitszentrums der Niederlande (NCSC) trat das Gesetz am 15. August 2026 in Kraft, nachdem der Senat den Entwurf am 7. Juli 2026 verabschiedet hatte. Die Mitgliedstaaten hätten NIS2 bis zum 17. Oktober 2024 umsetzen sollen; Verzögerungen in den Niederlanden veranlassten die Europäische Kommission, Vertragsverletzungsverfahren einzuleiten. Der Druck zur EU-Cybersicherheitsrichtlinien-Compliance zeigt eine uneinheitliche Umsetzung in der EU; bis 2026 wenden nur 23 Mitgliedstaaten die Maßnahmen vollständig an.

Gegenüber den früheren NIS1-Regeln, die nur wenige hundert Einrichtungen erfassten, weitet NIS2 die Pflichten auf rund 8.000 Organisationen in 18 kritischen Sektoren aus.

Drei zentrale Pflichten: Sorgfalt, Meldung und Vorstandsverantwortung

Cybersicherheitsexpertin Lisa de Wilde nennt drei wesentliche Änderungen für betroffene Organisationen.

• Sorgfaltspflicht (zorgplicht): Organisationen müssen ihre Cyberrisiken erfassen und angemessene technische, operative und organisatorische Maßnahmen zum Schutz von Netz- und Informationssystemen ergreifen.
• 24-Stunden-Meldepflicht (meldplicht): Schwerwiegende Vorfälle müssen innerhalb von 24 Stunden an das zuständige CSIRT und die Aufsichtsbehörde gemeldet werden, mit einer vollständigen Meldung innerhalb von 72 Stunden.
• Verantwortung auf Vorstandsebene: Das Management muss Sicherheitsmaßnahmen genehmigen und die Umsetzung als Teil des integrierten Risikomanagements überwachen.

Zur Haftung des Vorstands warnte De Wilde: 'Der Vorstand ist dafür verantwortlich, dass die organisatorische Sicherheit in Ordnung bleibt. Versäumt er dies und kommt es zu einem Vorfall, kann er persönlich haftbar gemacht werden.'

Lieferketten-Auswirkungen über die 8.000 hinaus

Obwohl das Gesetz direkt 8.000 große und kritische Organisationen betrifft, wirkt es sich auf die gesamte niederländische Wirtschaft aus. Unternehmen müssen nun die Sicherheit ihrer gesamten Lieferkette bewerten. 'Es kann sein, dass sie eine Dienstleistung für eine kritische Organisation erbringen, die so relevant ist, dass auch an dieses Unternehmen Anforderungen gestellt werden,' erklärte De Wilde. 'Also schauen diese 8.000 Organisationen auch auf ihre Kette. Das bedeutet, dass das Gesetz tatsächlich weit mehr als diese 8.000 Organisationen betrifft.' Dies spiegelt umfassendere Cybersicherheitsvorschriften für kritische Infrastrukturen in ganz Europa wider.

Auch Datenschutzverletzungen fallen unter die Risiken, die Schutzmaßnahmen erfordern und nach dem neuen Gesetz gemeldet werden müssen – zusätzlich zu den bestehenden Pflichten aus der EU-Datenschutz-Grundverordnung (DSGVO).

Kosten, Durchsetzung und verzögerte Umsetzung

Niederländische Wirtschaftsverbände kritisieren den Verwaltungsaufwand und die Compliance-Kosten. De Wilde widerspricht teilweise: 'Ich denke, Organisationen hätten bereits daran arbeiten sollen. Es kostet zwar Geld, aber ein Cyberangriff oder dessen Auswirkungen sind enorm – nicht nur finanziell.'

Für gut vorbereitete Organisationen ändert sich wenig, für Nachzügler bedeuten die neuen Regeln erhebliche Ausgaben. Wie streng das Gesetz wirkt, hängt von der Aufsicht ab. 'Die Frage ist letztlich: Wird es durchgesetzt, und welche Konsequenzen hat das für diese Organisationen?' Unternehmen können ihre Pflichten anhand der niederländischen Cybersicherheits-Compliance-Checkliste der nationalen Regierung prüfen.

Häufig gestellte Fragen

Wann tritt das niederländische NIS2-Cybersicherheitsgesetz in Kraft?

Die Cyberbeveiligingswet trat am 15. August 2026 in Kraft.

Wie viele Organisationen sind direkt betroffen?

Etwa 8.000 Organisationen in 18 kritischen Sektoren sind direkt erfasst.

Wie lautet die Meldefrist für Vorfälle?

Schwerwiegende Vorfälle müssen innerhalb von 24 Stunden gemeldet werden, mit weiteren Details innerhalb von 72 Stunden.

Können Geschäftsführer persönlich haftbar gemacht werden?

Ja, Vorstände können haftbar gemacht werden, wenn sie keine angemessene Sicherheit gewährleisten und es zu einem Vorfall kommt.

Betrifft das Gesetz auch kleine Zulieferer?

Indirekt ja: Kritische Organisationen müssen ihre Lieferkette bewerten, sodass Anforderungen auf Zulieferer übertragen werden können.