15 sierpnia 2026 r. weszła w życie Cyberbeveiligingswet, ustawa wdrażająca w Niderlandach dyrektywę NIS2. Senat przyjął ją 7 lipca; zastępuje wcześniejszą Wbni, która zostaje uchylona.
Bezpośrednio objętych jest około ośmiu tysięcy organizacji: działających w sektorze z załącznika I lub II dyrektywy, będących średnimi lub dużymi przedsiębiorstwami i świadczących usługi w Unii. Niektóre podmioty wysokiego ryzyka są objęte niezależnie od wielkości.
Liczba, która naprawdę liczy, jest inna
Poprzez odpowiedzialność za łańcuch dostaw ustawa sięga około stu trzydziestu trzech tysięcy niderlandzkich małych i średnich przedsiębiorstw. Nie dlatego, że im podlegają, lecz dlatego, że dostarczają komuś, kto podlega — a ten będzie musiał żądać od nich gwarancji, których dziś nie ma.
To ten sam mechanizm, który RODO uruchomiło przez art. 28: formalny obowiązek spoczywa na nielicznych, ale wymagania umowne rozchodzą się w dół. Kto doradza MŚP, zauważy to najpierw w kwestionariuszach, które klienci zaczną otrzymywać od swoich zleceniodawców.
Co obowiązuje od razu
- obowiązek rejestracji u właściwego organu
- obowiązek staranności co do środków technicznych i organizacyjnych
- obowiązek zgłaszania incydentów
- obowiązki zarządcze spoczywające na organie zarządzającym, który odpowiada bezpośrednio
Ten ostatni punkt zasługuje na uwagę: NIS2 przenosi odpowiedzialność na zarząd, który musi zatwierdzić środki i nadzorować ich wdrożenie. Nie jest to obowiązek, który można scedować na dział informatyczny.
Brak okresu przejściowego
Kancelarie komentujące ustawę są zgodne w jednym: nie przewidziano okresu przejściowego. Od 15 sierpnia obowiązki są egzekwowalne, a kto nie działał wcześniej, jest już spóźniony.
Dlaczego to ważne poza Niderlandami
NIS2 musi zostać wdrożona przez wszystkie państwa członkowskie, w rozłożonych terminach. Ustawa niderlandzka jest zapowiedzią tego, co nadejdzie gdzie indziej: ta sama struktura obowiązków, to samo rozchodzenie się wzdłuż łańcucha, ta sama odpowiedzialność kierownictwa.
Dla inspektora ochrony danych punktem uwagi jest nakładanie się z art. 33 RODO. Jeden incydent może uruchomić dwa zgłoszenia, do dwóch różnych organów, z różnymi terminami i adresatami: zgłoszenie bezpieczeństwa na podstawie NIS2 i zgłoszenie naruszenia ochrony danych osobowych na podstawie rozporządzenia. To odrębne obowiązki i jeden nie pochłania drugiego.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
