Das niederländische Cybersicherheitsgesetz gilt: Ist Ihre Organisation vorbereitet?

Am 15. August 2026 ist die Cyberbeveiligingswet in Kraft getreten: die niederländische Umsetzung der europäischen NIS2-Richtlinie. Das Gesetz ersetzt die bisherige Wbni und betrifft Schätzungen zufolge mehr als 8.000 niederländische Organisationen – deutlich mehr als die Vorgängerregelung, die vor allem auf eine kleine Gruppe kritischer Anbieter zielte. Betroffen sind unter anderem Energie, Trinkwasser, Transport, Gesundheitswesen, digitale Infrastruktur, verwaltete IT-Dienste, Abfallwirtschaft, Lebensmittelproduktion, Teile der Fertigungsindustrie sowie öffentliche Stellen.

Das Gesetz ist keine reine Formsache: Es gibt Aufsicht und letztlich auch Durchsetzung. Der Kern ist dabei erstaunlich nüchtern. Es geht nicht um ein umfangreiches Zertifizierungsprojekt, sondern um die Frage, ob Sie wissen, was Sie betreiben, ob Sie es in Ordnung halten und ob Sie wissen, was zu tun ist, wenn etwas schiefgeht.

Vier Pflichten in Kurzform

• Registrierungspflicht – betroffene Organisationen müssen sich über das Portal des niederländischen NCSC im Entitätenregister eintragen. Der erste Schritt ist also festzustellen, ob Sie darunter fallen; das ist nicht immer offensichtlich, gerade für Zulieferer.
• Sorgfaltspflicht – Sie müssen auf Basis einer Risikobewertung angemessene technische und organisatorische Maßnahmen treffen. Angemessen heißt: im Verhältnis zu Größe, Risiken und Stand der Technik.
• Meldepflicht – erhebliche Cybervorfälle sind dem zuständigen CSIRT und der Aufsichtsbehörde zu melden: eine Frühwarnung innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der ersten Meldung. Diese Fristen halten Sie nur ein, wenn vorher feststeht, wer meldet, auf welcher Grundlage und mit welchen Angaben.
• Verantwortung der Geschäftsleitung – die Leitung muss die Maßnahmen genehmigen, ihre Umsetzung überwachen und sich schulen lassen; der Cyberbeveiligingsbesluit konkretisiert diese Schulungspflicht. Cybersicherheit ist damit ausdrücklich kein Thema mehr, das vollständig "an die IT" delegiert werden kann.

Die Lieferkette zählt mit

Neu und wichtig ist der Fokus auf die Sicherheit der Lieferkette. Organisationen müssen nicht nur ihre eigene Umgebung betrachten, sondern auch die Lieferanten und Dienstleister, die Zugang zu ihren Systemen haben. Eine gut geschützte Organisation mit einem schlecht geschützten Dienstleister bleibt verwundbar.

Genau daraus entsteht ein Effekt, der weit über das Gesetz hinausreicht: Auch wenn Ihre Organisation nicht direkt unter das Gesetz fällt, können Auftraggeber oder Partner in der Kette höhere Sicherheitsanforderungen stellen. Fragebögen in Ausschreibungen, vertragliche Vorgaben zu Patch-Politik und Wiederherstellungszeiten, Nachweise über getestete Backups – die Richtung ist eindeutig. Digitale Widerstandsfähigkeit wird immer weniger freiwillig.

Cybersicherheit ist mehr als eine Firewall

In der Praxis scheitert es selten an einer fehlenden Firewall oder einem fehlenden Virenscanner. Es scheitert an den weniger sichtbaren Punkten:

• Patchmanagement – werden Server, Arbeitsplätze und Netzwerkgeräte strukturiert aktualisiert oder nur, wenn Zeit übrig ist?
• Backups und Wiederherstellungsverfahren – ein Backup, das nie zurückgespielt wurde, ist eine Annahme. Getestete Wiederherstellung ist eine Maßnahme.
• Zugriffsverwaltung – wer hat Administratorrechte, wer sollte sie längst nicht mehr haben, und ist Mehrfaktor-Authentifizierung (2FA/MFA) auf den wichtigen Zugängen aktiv?
• Monitoring und Protokollierung – würden Sie es bemerken, und könnten Sie nachträglich rekonstruieren, was passiert ist?
• Dokumentation – eine aktuelle Übersicht über Systeme, Schnittstellen und Lieferanten ist die Grundlage jeder Risikobewertung und jeder schnellen Meldung.
• Server und Arbeitsplätze – veraltete Betriebssysteme ohne Sicherheitsupdates sind ein Risiko, das sich mit dem Gesetz im Rücken schwerer ignorieren lässt.

Klein anfangen, aber anfangen

Die Behörden betonen selbst, dass Organisationen zunächst feststellen müssen, ob sie unter das Gesetz fallen, und dann Maßnahmen treffen und sich registrieren müssen. Für viele ist der erste Schritt einfacher als gedacht: erfassen, was vorhanden ist, wer Zugriff hat, was bei einem Ausfall passiert und wie lange die Wiederherstellung dauert. Aus dieser Bestandsaufnahme ergibt sich von selbst eine nach Risiko geordnete Maßnahmenliste.

Wie digital widerstandsfähig ist Ihre Organisation?

Apptimate unterstützt Organisationen dabei, ihre IT-Umgebung praxisnah zu bewerten und zu verbessern – etwa bei Server- und Arbeitsplatzverwaltung, Linux- und Windows-Administration, Backup & Recovery, Zugriffssicherheit und Kontinuität. Kein dicker Bericht, sondern ein konkretes Bild davon, wo Sie stehen und welche Schritte am meisten bringen.

Möchten Sie wissen, wie es um Ihre Umgebung steht? Nehmen Sie Kontakt mit uns auf für ein unverbindliches Gespräch.

Weitere Informationen zum Gesetz selbst bei Digitale Overheid und beim NCSC (niederländisch).