NIS2 und die Cyberbeveiligingswet: Fällt Ihr Unternehmen darunter?

Seit dem 15. August 2026 gilt in den Niederlanden das Cybersicherheitsgesetz (Cyberbeveiligingswet). Vielleicht haben Sie den Begriff NIS2 schon von einem Kunden, einem Lieferanten oder einem Berater gehört. In diesem Artikel erfahren Sie kurz, was das Gesetz ist, wer darunter fällt und was es für ein kleines Unternehmen bedeutet, das selbst nicht darunter fällt.

Dieser Artikel bietet allgemeine Informationen und ist keine Rechtsberatung. Die aktuellen Regeln finden Sie beim NCSC und im Gesetzestext.

Was ist das?

NIS2 ist eine europäische Richtlinie aus dem Jahr 2022 (Richtlinie (EU) 2022/2555), die Organisationen in wichtigen Sektoren digital widerstandsfähiger machen soll. Jedes Land setzt die Richtlinie in ein eigenes Gesetz um. In den Niederlanden ist das die Cyberbeveiligingswet (Cbw), das Cybersicherheitsgesetz. Das Gesetz gilt seit dem 15. August 2026 ohne Übergangsfrist und ersetzt das frühere Gesetz über die Sicherheit von Netz- und Informationssystemen (Wbni). Laut NCSC fallen gut 8.000 Organisationen darunter. Das NCSC ist die zentrale Anlaufstelle.

Fällt mein Unternehmen darunter?

Das hängt von zwei Fragen ab: Ihrem Sektor und Ihrer Größe.

1. Sind Sie in einem Sektor aus dem Gesetz tätig?

Für einige Sektoren gelten zusätzliche Bedingungen. Nicht jedes Unternehmen, das etwas mit Lebensmitteln zu tun hat, fällt also automatisch darunter.

2. Ist Ihr Unternehmen groß genug? Kurz gesagt fallen mittlere und große Organisationen darunter. Sie zählen dazu, wenn Sie:

• 50 oder mehr Mitarbeitende (Vollzeitäquivalente) haben, oder
• weniger als 50 Mitarbeitende haben, Ihr Jahresumsatz und Ihre Bilanzsumme aber beide über 10 Millionen Euro liegen.

Partnerunternehmen und verbundene Unternehmen werden mitgezählt. Ein Unternehmen mit 20 Mitarbeitenden, das zu einer Gruppe mit 200 Mitarbeitenden gehört, kann also trotzdem darunter fallen.

Ausnahmen, unabhängig von der Größe. Einige Arten von Organisationen fallen immer darunter, egal wie klein sie sind. Zum Beispiel DNS-Diensteanbieter, Register für Top-Level-Domains, Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter und Organisationen der öffentlichen Verwaltung. Sind Sie nach dem Gesetz über die Resilienz kritischer Einrichtungen (Wet weerbaarheid kritieke entiteiten) benannt, fallen Sie ebenfalls unter das Cybersicherheitsgesetz.

Selbst prüfen mit der Selbstbewertung

Die niederländische Aufsichtsbehörde für digitale Infrastruktur (Rijksinspectie Digitale Infrastructuur, RDI) bietet eine kostenlose NIS2-Selbstbewertung an. Sie beantworten Fragen zu Ihrem Sektor, Ihrer Größe und Ihren Dienstleistungen und erhalten ein Ergebnis. Daraus geht auch hervor, ob Sie eine wesentliche oder eine wichtige Einrichtung sind. Der Unterschied liegt vor allem in der Aufsicht: Bei wesentlichen Einrichtungen darf die Aufsichtsbehörde auch von sich aus prüfen, bei wichtigen Einrichtungen vor allem im Nachhinein. Gehört Ihr Unternehmen zu einer Gruppe oder sind Sie in mehreren Ländern tätig? Dann hilft Ihnen der Leitfaden zu komplexen Geschäftsmodellen des NCSC.

Was müssen Sie tun, wenn Sie darunter fallen?

• Registrieren. Sie melden Ihre Organisation über MijnNCSC an.
• Sorgfaltspflicht. Sie erstellen eine Risikoanalyse und ergreifen geeignete und verhältnismäßige Maßnahmen. Das NCSC nennt mindestens zehn Themen, darunter die Bewältigung von Sicherheitsvorfällen, Backups und Wiederherstellung, die Sicherheit Ihrer Lieferkette, Schulungen, Updates, Zugriffsverwaltung, Multi-Faktor-Authentifizierung oder Passkeys, Verschlüsselung und die Prüfung, ob Ihre Maßnahmen wirksam sind. Die Geschäftsleitung genehmigt die Maßnahmen und überwacht ihre Umsetzung.
• Meldepflicht. Einen erheblichen Sicherheitsvorfall melden Sie über MijnNCSC: innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine Meldung mit einer ersten Einschätzung von Schweregrad und Auswirkungen und innerhalb eines Monats einen Abschlussbericht.

Diese Meldung ist unabhängig von der Meldepflicht für Datenpannen nach der DSGVO. Diese gilt für alle, die personenbezogene Daten verarbeiten, auch für Selbstständige, und die Meldung erfolgt bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens). Wann es sich um eine Datenpanne handelt und ob Sie sie melden müssen, lesen Sie in Ist das eine Datenpanne und muss ich sie melden? Ein Angriff, bei dem auch Kundendaten gestohlen wurden, muss also unter Umständen bei beiden Stellen gemeldet werden.

Sie fallen nicht darunter? Die Lieferkette kann Sie trotzdem betreffen

Die meisten kleinen Unternehmen fallen nicht unter das Gesetz. Dann haben Sie keine Registrierungspflicht, keine Meldepflicht beim NCSC und unterliegen keiner Aufsicht. Organisationen, die darunter fallen, müssen jedoch auch die Risiken bei ihren direkten Lieferanten und Dienstleistern berücksichtigen. Laut NCSC erlegt das Gesetz Zulieferern selbst keine Pflichten auf, Kunden dürfen aber Anforderungen an deren digitale Sicherheit stellen. Diese finden sich dann in einem Vertrag oder einem Fragebogen.

Sie liefern an eine größere Organisation, zum Beispiel als Webentwickler, IT-Administrator oder Buchhaltungsbüro? Dann erhalten Sie möglicherweise Fragen wie: Nutzen Sie die Zwei-Faktor-Authentifizierung, wer hat Zugriff auf unsere Daten, wo werden die Backups gespeichert und wie schnell melden Sie einen Sicherheitsvorfall?

• Anforderungen sollten dem Risiko Ihrer Dienstleistung angemessen sein. Ein Lieferant mit Zugriff auf die Systeme erhält strengere Anforderungen als der Bäcker, der das Mittagessen liefert.
• Es geht um direkte Lieferanten. Die Lieferanten Ihrer Lieferanten fallen nicht darunter.
• Ein Zertifikat schreibt das Gesetz nicht vor. Es kann im Gespräch hilfreich sein, ist aber keine Garantie.
• Beginnen Sie rechtzeitig: Erfassen Sie, welche Maßnahmen Sie bereits getroffen haben, und halten Sie Vereinbarungen mit Ihrem Kunden schriftlich fest.

Weiterlesen

• NCSC: Cybersicherheitsgesetz (NIS2)
• NCSC: Fällt meine Organisation unter das Cybersicherheitsgesetz?
• NCSC: Sorgfaltspflicht
• NCSC: Meldepflicht
• NCSC: Das Cybersicherheitsgesetz und Zulieferer
• RDI: NIS2-Selbstbewertung
• Gesetzestext des Cybersicherheitsgesetzes

Möchten Sie mehr erfahren? Besuchen Sie den kostenlosen Kurs Sicher online für Unternehmer, Lektion 9.1 NIS2 und das Cybersicherheitsgesetz.