Am 15. August 2026 ist die Cyberbeveiligingswet in Kraft getreten, mit der die Niederlande die NIS2-Richtlinie umsetzen. Der Senat hatte sie am 7. Juli angenommen; sie ersetzt das bisherige Wbni, das aufgehoben wird.
Unmittelbar erfasst sind rund achttausend Organisationen: solche, die in einem Sektor der Anhänge I oder II der Richtlinie tätig sind, mittlere oder große Unternehmen darstellen und Dienste in der Union erbringen. Bestimmte Hochrisikoeinrichtungen fallen unabhängig von ihrer Größe darunter.
Die entscheidende Zahl ist eine andere
Über die Verantwortung für die Lieferkette erreicht das Gesetz schätzungsweise hundertdreiunddreißigtausend niederländische kleine und mittlere Unternehmen. Nicht weil sie verpflichtet wären, sondern weil sie jemanden beliefern, der es ist — und dieser wird von ihnen Zusicherungen verlangen müssen, die er heute nicht hat.
Es ist derselbe Mechanismus, den die DSGVO mit Art. 28 ausgelöst hat: Die formale Pflicht trifft wenige, doch die vertraglichen Anforderungen wandern nach unten. Wer KMU berät, wird es zuerst an den Fragebögen merken, die seine Mandanten von ihren eigenen Auftraggebern erhalten.
Was sofort gilt
- Registrierungspflicht bei der zuständigen Behörde
- Sorgfaltspflicht hinsichtlich technischer und organisatorischer Maßnahmen
- Meldepflicht bei Sicherheitsvorfällen
- Governance-Pflichten des Leitungsorgans, das dafür unmittelbar einsteht
Der letzte Punkt verdient Aufmerksamkeit: NIS2 verlagert die Verantwortung auf die Unternehmensleitung, die die Maßnahmen zu billigen und ihre Umsetzung zu überwachen hat. Eine Delegation an die IT genügt nicht.
Keine Schonfrist
Die Kanzleien, die das Gesetz kommentiert haben, sind sich in einem Punkt einig: Ein Übergangszeitraum ist nicht vorgesehen. Seit dem 15. August sind die Pflichten durchsetzbar, und wer sich nicht vorher bewegt hat, ist bereits spät dran.
Warum es auch außerhalb der Niederlande zählt
NIS2 ist von allen Mitgliedstaaten umzusetzen, mit gestaffelten Fristen. Das niederländische Gesetz ist eine Vorschau auf das, was andernorts kommt: dieselbe Pflichtenstruktur, dieselbe Fortpflanzung entlang der Kette, dieselbe Verantwortung der Leitung.
Für Datenschutzbeauftragte liegt der Aufmerksamkeitspunkt in der Überschneidung mit Art. 33 DSGVO. Ein einziger Vorfall kann zwei Meldungen auslösen, an zwei verschiedene Behörden, mit unterschiedlichen Fristen und Adressaten: die Sicherheitsmeldung nach NIS2 und die Meldung der Verletzung des Schutzes personenbezogener Daten nach der Verordnung. Es sind eigenständige Pflichten; die eine ersetzt die andere nicht.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
