Zwei Wochen Cyberbeveiligingswet: weniger als die Hälfte der Organisationen ist registriert

Die niederländische Cyberbeveiligingswet (Cbw) gilt seit dem 15. August 2026, und die erste Bilanz fällt ähnlich aus wie die deutsche – nur schneller sichtbar, weil das Register am selben Tag scharf gestellt wurde wie das Gesetz. Am Abend des Inkrafttretens standen nach Angaben des NCSC 2.942 Registrierungen im Cbw-Entitätenregister. Kurz danach waren es rund 3.200. Betroffen sind nach Regierungsangaben über 8.000 Organisationen. Es hat sich also noch nicht einmal die Hälfte eingetragen.

Der Rückstand wächst langsamer, als er müsste

Das Tempo hat zwar angezogen: In der ersten Augusthälfte kamen 653 Registrierungen hinzu und damit mehr, als der gesamte Juli mit 599 gebracht hatte. Aber das ist die falsche Größenordnung. Bei diesem Tempo dauert es Jahre, nicht Monate, bis das Register die Grundgesamtheit abbildet – und anders als in Deutschland gibt es hier keine Nachfrist, auf die man sich zurückziehen könnte: Registrierungspflicht, Sorgfaltspflicht und Meldepflicht gelten seit dem ersten Tag.

Der Unterschied zur deutschen Debatte

Es liegt nahe, das mit dem deutschen Befund zusammenzuwerfen – dort sind rund 19.000 Einrichtungen registriert, und die Bundesregierung hat inzwischen erklärt, die erwarteten 29.850 seien nur eine veraltete Schätzung gewesen (wir haben das hier eingeordnet). Der Vergleich trägt aber nur bis zu einem Punkt.

In Deutschland stammt der Nenner aus einer Hochrechnung des Statistischen Bundesamtes auf Daten von 2019 bis 2022. In den Niederlanden ist die Zahl von rund 8.000 Organisationen die Zahl, mit der die Regierung selbst die Wirkung des Gesetzes begründet hat – sie ist kein Nebenprodukt einer Statistik, sondern Teil der Gesetzesfolgenabschätzung. Ein Rückstand gegenüber dieser Zahl lässt sich nicht so leicht wegdefinieren.

Was die Aufsicht angekündigt hat – und was daran wichtig ist

Die Rijksinspectie Digitale Infrastructuur (RDI) hat erkennen lassen, dass sie das erste Jahr vor allem darauf verwenden will, die neuen Sektoren kennenzulernen: über Fragebögen, über Kennenlerngespräche, über Sektordialoge statt über Bußgeldbescheide.

Das ist eine wichtige Information, und sie wird leicht falsch gelesen. Sie macht die Pflichten nicht freiwillig. Die Sorgfaltspflicht und die dreistufige Meldepflicht (24 Stunden, 72 Stunden, ein Monat) gelten unverändert und in vollem Umfang; wer in diesem Jahr einen meldepflichtigen Vorfall hat, meldet ihn nach denselben Fristen wie in jedem späteren Jahr. Was die Ankündigung verschiebt, ist nicht die Pflicht, sondern die Reihenfolge, in der die Aufsicht auf die Sektoren zugeht.

Praktisch heißt das: Organisationen, die nachweisbar systematisch arbeiten – dokumentierte Risikoanalyse, benannte Verantwortlichkeiten, getesteter Meldeweg – gehen aus diesem ersten Jahr mit einer deutlich besseren Ausgangsposition heraus als solche, die auf das erste Anschreiben warten. In einer Aufsicht, die mit Fragebögen beginnt, ist die Qualität der Antwort das erste Signal, das die Behörde von einer Organisation bekommt.

Was das für deutsche Unternehmen bedeutet

1. Niederländische Einheiten: registrieren, jetzt. Die Eintragung läuft über das NCSC-Portal mijn.ncsc.nl und ist selbst eine Rechtspflicht, keine Vorstufe. Eine späte, aber eigenständige Registrierung ist erkennbar etwas anderes als eine nach behördlicher Aufforderung.
2. Das erste Jahr als Aufbaufenster nutzen. Die angekündigte Kennenlernphase ist genau die Zeit, in der sich Nachweise ohne Termindruck aufbauen lassen – und der einzige Zeitraum, in dem das noch stimmt.
3. Bei Lieferbeziehungen in die Niederlande: mit Fragebögen rechnen. Wenn die Aufsicht ihre Sektoren per Fragebogen kennenlernt, geben betroffene Organisationen dieselben Fragen an ihre Lieferanten weiter. Das trifft deutsche Zulieferer unabhängig davon, ob sie selbst unter NIS2 fallen.