Niederlande: Cyberbeveiligingswet seit 15. August in Kraft – 8.000 Organisationen ohne Übergangsfrist

Seit dem 15. August 2026 gilt in den Niederlanden die Cyberbeveiligingswet (Cbw). Sie setzt die NIS2-Richtlinie in niederländisches Recht um und löst die bisherige Wet beveiliging netwerk- en informatiesystemen (Wbni) ab. Am selben Tag ist die Wet weerbaarheid kritieke entiteiten (Wwke) in Kraft getreten, mit der die Niederlande die CER-Richtlinie zur physischen Resilienz kritischer Einrichtungen umsetzen. Nach Angaben der Regierung fallen rund 8.000 Organisationen in den Anwendungsbereich – frühere Schätzungen waren noch von etwa 7.000 ausgegangen.

Keine Übergangsfrist – die Pflichten gelten ab Tag eins

Das ist der wichtigste Unterschied zum deutschen Vorgehen. In Deutschland lagen zwischen dem Inkrafttreten des neuen BSIG und dem Ende der BSI-Kulanz mehr als sieben Monate. In den Niederlanden gibt es diesen Puffer nicht: Registrierungspflicht, Sorgfaltspflicht (zorgplicht) und Meldepflicht (meldplicht) gelten seit dem 15. August unmittelbar. Wer an diesem Tag in den Anwendungsbereich fiel, ist seit diesem Tag verpflichtet.

• Registrierung: Betroffene Einrichtungen tragen sich im Register über das NCSC-Portal mijn.ncsc.nl ein. Die Registrierung ist seit dem 15. August verpflichtend – sie ist keine Vorstufe, sondern selbst eine Rechtspflicht.
• Meldepflicht: dreistufig und deckungsgleich mit dem NIS2-Standard – Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
• Sorgfaltspflicht: Risikomanagementmaßnahmen für die eigenen Netz- und Informationssysteme, einschließlich Lieferkettensicherheit, Business Continuity und Nachweispflichten der Leitungsebene.

Wer die Aufsicht führt

Die Niederlande verteilen die Rollen anders als Deutschland, wo das BSI beides in einer Hand hält. Das NCSC ist zentrale Anlaufstelle, CSIRT und Adressat der Meldungen. Die Aufsicht liegt dagegen sektoral bei den jeweils zuständigen Behörden – für digitale Infrastruktur und digitale Dienste bei der Rijksinspectie Digitale Infrastructuur (RDI). Die politische Koordination liegt beim NCTV. Für Unternehmen mit mehreren niederländischen Aktivitäten heißt das: Es kann mehr als eine zuständige Aufsichtsbehörde geben.

Warum das auch deutsche Unternehmen betrifft

Drei Konstellationen, von denen die dritte die häufigste und die am leichtesten übersehene ist:

1. Niederländische Tochtergesellschaften und Betriebsstätten. Die Betroffenheit wird je Rechtsträger im Sitzland beurteilt. Eine niederländische Tochter einer deutschen Gruppe kann unabhängig davon in den Anwendungsbereich fallen, ob die Muttergesellschaft dem BSIG unterliegt.
2. Abweichender Zuschnitt. Anwendungsbereich und Schwellenwerte sind zwischen den Mitgliedstaaten nicht identisch. Eine konzernweite Betroffenheitsanalyse, die nur gegen das BSIG geprüft wurde, trägt für die niederländischen Einheiten nicht.
3. Die Lieferkette. Niederländische Einrichtungen müssen seit dem 15. August die Sicherheit ihrer Lieferkette steuern. Das führt in der Praxis zu Fragebögen, Sicherheitsanhängen und Meldeklauseln bei ihren Lieferanten – und das gilt unabhängig davon, ob der deutsche Lieferant selbst unter NIS2 fällt. Wer niederländische Kunden in einem der 18 Sektoren hat, bekommt diese Anforderungen vertraglich zugestellt, ohne je selbst Adressat des Gesetzes zu sein.

Das EuGH-Verfahren ist durch das Inkrafttreten überholt

Am 8. Juli 2026 hatte die EU-Kommission die Niederlande – gemeinsam mit Irland, Spanien und Frankreich – wegen unvollständiger Umsetzung vor dem Europäischen Gerichtshof verklagt. Fünf Wochen später ist das Gesetz in Kraft. Damit ist der Klagegrund entfallen; die förmliche Rücknahme der Klage steht noch aus, ist aber Formsache. Von den vier verklagten Staaten hat damit einer geliefert – die anderen drei stehen weiterhin ohne geltendes Umsetzungsgesetz da.

Was jetzt zu tun ist

1. Prüfen, ob niederländische Einheiten der Gruppe unter die Cbw fallen – gegen den niederländischen Sektor- und Schwellenwertzuschnitt, nicht gegen den deutschen.
2. Für betroffene Einheiten die Registrierung über mijn.ncsc.nl unverzüglich nachholen; eine Übergangsfrist, auf die man sich berufen könnte, existiert nicht.
3. Den Meldeweg für die 24-Stunden-Frühwarnung an das NCSC benennen und testen – inklusive Vertretungsregelung und Erreichbarkeit außerhalb der Geschäftszeiten.
4. Bei Lieferbeziehungen in die Niederlande damit rechnen, dass Sicherheitsanforderungen jetzt vertraglich nachgezogen werden, und die eigenen Nachweise (Risikoanalyse, Maßnahmenübersicht, Meldeprozess) vorbereiten.