NIS2 und das Cybersicherheitsgesetz: Fällt Ihr Unternehmen darunter?
Seit dem 15. August 2026 gilt in den Niederlanden das Cyberbeveiligingswet (Cybersicherheitsgesetz). Vielleicht haben Sie den Begriff NIS2 bereits von einem Kunden, einem Lieferanten oder einem Berater gehört. In diesem Artikel lesen Sie kurz, was das Gesetz ist, wer darunter fällt und was es für ein kleines Unternehmen bedeutet, das selbst nicht darunter fällt.
Dieser Artikel bietet eine allgemeine Erläuterung und ist keine Rechtsberatung. Die aktuellen Regeln finden Sie beim NCSC und im Gesetzestext.
Was ist das?
NIS2 ist eine europäische Richtlinie aus dem Jahr 2022 (Richtlinie (EU) 2022/2555), die Organisationen in wichtigen Sektoren digital widerstandsfähiger machen soll. Jedes Land setzt die Richtlinie in ein eigenes Gesetz um. In den Niederlanden ist dies das Cyberbeveiligingswet (Cbw, Cybersicherheitsgesetz). Das Gesetz gilt seit dem 15. August 2026, ohne Übergangsfrist, und ersetzt das frühere Wet beveiliging netwerk- en informatiesystemen (Wbni). Laut dem NCSC fallen über 8.000 Organisationen darunter. Das NCSC ist die Ansprechstelle.
Fällt mein Unternehmen darunter?
Das hängt von zwei Fragen ab: Ihrer Branche und Ihrer Größe.
1. Sind Sie in einer Branche tätig, die im Gesetz genannt wird?
| Anhang 1 | Anhang 2 |
|---|---|
| Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Raumfahrt | Post- und Kurierdienste, Abfallbewirtschaftung, Chemikalien, Lebensmittel, verarbeitendes Gewerbe (herstellende Industrie), Anbieter digitaler Dienste, Forschung |
Für einige Branchen gelten zusätzliche Bedingungen. Nicht jedes Unternehmen, das etwas mit Lebensmitteln zu tun hat, fällt daher automatisch darunter.
2. Sind Sie groß genug? Kurz gesagt fallen mittlere und große Organisationen darunter. Sie zählen dazu, wenn Sie:
- 50 oder mehr Mitarbeiter (VZÄ) haben, oder
- weniger als 50 Mitarbeiter haben, aber Ihr Jahresumsatz und Ihre Bilanzsumme beide über 10 Millionen Euro liegen.
Partnerunternehmen und verbundene Unternehmen zählen mit. Ein Unternehmen mit 20 Mitarbeitern, das zu einer Gruppe von 200 gehört, kann also dennoch darunter fallen.
Ausnahmen, unabhängig von der Größe. Einige Arten von Organisationen fallen stets darunter, egal wie klein sie sind. Dazu zählen beispielsweise DNS-Diensteanbieter, Register für Top-Level-Domains, Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter und öffentliche Verwaltungen. Wurden Sie gemäß dem Wet weerbaarheid kritieke entiteiten (Gesetz zur Widerstandsfähigkeit kritischer Einrichtungen) benannt, dann fallen Sie ebenfalls unter das Cyberbeveiligingswet.
Selbst prüfen mit der Selbstbewertung
Die Rijksinspectie Digitale Infrastructuur (RDI) bietet eine kostenlose NIS2-Selbstbewertung. Sie beantworten Fragen zu Ihrer Branche, Größe und Ihren Diensten und erhalten ein Ergebnis. Daraus geht auch hervor, ob Sie eine wesentliche oder eine wichtige Einrichtung sind. Der Unterschied liegt vor allem in der Aufsicht: Bei wesentlichen Einrichtungen darf die Aufsichtsbehörde auch aus eigener Initiative kontrollieren, bei wichtigen Einrichtungen vor allem im Nachhinein. Gehört Ihr Unternehmen zu einer Gruppe oder sind Sie in mehreren Ländern tätig? Dann hilft der Leitfaden für komplexe Geschäftsmodelle des NCSC.
Was müssen Sie tun, wenn Sie darunter fallen?
- Registrieren. Sie melden Ihre Organisation über MijnNCSC an.
- Sorgfaltspflicht. Sie erstellen eine Risikoanalyse und ergreifen angemessene und verhältnismäßige Maßnahmen. Das NCSC nennt mindestens zehn Themen, darunter Vorfallbehandlung, Backups und Wiederherstellung, die Sicherheit Ihrer Lieferkette, Schulungen, Updates, Zugriffsverwaltung, Multi-Faktor-Authentifizierung oder Passkeys, Verschlüsselung und das Testen, ob Ihre Maßnahmen funktionieren. Die Geschäftsleitung genehmigt die Maßnahmen und übt die Aufsicht aus.
- Meldepflicht. Einen erheblichen Sicherheitsvorfall melden Sie über MijnNCSC: innerhalb von 24 Stunden eine erste Warnmeldung, innerhalb von 72 Stunden eine Meldung mit einer ersten Einschätzung von Schwere und Auswirkung, und innerhalb eines Monats einen Abschlussbericht.
Diese Meldung steht unabhängig von der Meldepflicht für Datenschutzverletzungen aus der DSGVO. Diese gilt für jeden, der personenbezogene Daten verarbeitet, auch für Selbstständige, und wird bei der Autoriteit Persoonsgegevens gemeldet. Ein Angriff, bei dem auch Kundendaten gestohlen wurden, muss daher möglicherweise bei beiden Stellen gemeldet werden.
Fallen Sie nicht darunter? Dann kann die Lieferkette Sie dennoch betreffen
Die meisten kleinen Unternehmen fallen nicht unter das Gesetz. Dann haben Sie keine Registrierungspflicht, keine Meldepflicht beim NCSC und keine Aufsicht. Aber Organisationen, die darunter fallen, müssen auch die Risiken bei ihren direkten Lieferanten und Dienstleistern berücksichtigen. Laut dem NCSC legt das Gesetz Lieferanten selbst keine Verpflichtungen auf, aber Kunden dürfen Anforderungen an deren digitale Sicherheit stellen. Diese werden dann in einem Vertrag oder einem Fragebogen festgehalten.
Liefern Sie an eine größere Organisation, zum Beispiel als Webentwickler, IT-Verwalter oder Buchhaltungsbüro? Dann könnten Sie Fragen erhalten wie: Verwenden Sie Zwei-Faktor-Authentifizierung, wer hat Zugriff auf unsere Daten, wo werden die Backups gespeichert und wie schnell melden Sie einen Vorfall?
- Anforderungen sollten dem Risiko Ihrer Dienstleistung angemessen sein. Ein Lieferant mit Zugriff auf die Systeme erhält strengere Anforderungen als der Bäcker, der das Mittagessen liefert.
- Es geht um direkte Lieferanten. Die Lieferanten Ihrer Lieferanten fallen nicht darunter.
- Ein Zertifikat schreibt das Gesetz nicht vor. Es kann im Gespräch hilfreich sein, ist aber keine Garantie.
- Beginnen Sie rechtzeitig: Erfassen Sie, welche Maßnahmen Sie bereits ergriffen haben, und halten Sie Vereinbarungen mit Ihrem Kunden schriftlich fest.