Am 7. Juli 2026 hat die Eerste Kamer (der niederländische Senat) die Cyberbeveiligingswet (CBW) einstimmig verabschiedet. Das Gesetz setzt die NIS2-Richtlinie in niederländisches Recht um und tritt am 15. August 2026 in Kraft – kein Übergangszeitraum, kein weiteres Zuwarten. Für die rund 7.000 Einrichtungen, die unter das Gesetz fallen, läuft die Uhr seit dem 7. Juli.
Was sich gegenüber dem bisherigen Recht ändert
Die CBW ersetzt das bisherige Wet beveiliging netwerk- en informatiesystemen (Wbni), das die erste NIS-Richtlinie umsetzte. Die wichtigsten Neuerungen:
- Erheblich erweiterter Anwendungsbereich: statt bislang rund 300 Einrichtungen nun rund 7.000 Organisationen in 18 Sektoren
- Unterscheidung zwischen wesentlichen Einrichtungen (essentiele entiteiten) und wichtigen Einrichtungen (belangrijke entiteiten) mit abgestuften Pflichten
- Neue Governance-Pflichten: Vorstände und Geschäftsleitungen haften persönlich für die Umsetzung der Sicherheitsmaßnahmen
- Dreigliedriger Meldeprozess: Frühwarnung (24 Stunden), offizieller Bericht (72 Stunden), Abschlussbericht (1 Monat)
- Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen
Zuständige Behörden
Die Aufsicht liegt in den Niederlanden sektorseitig aufgeteilt bei mehreren Behörden. Das Rijksinspectoraat voor Digitale Infrastructuur (RDI) übernimmt die Gesamtkoordination; sektorspezifische Aufsicht erfolgt u. a. durch De Nederlandsche Bank (Finanzsektor), ACM (Energie, Telekommunikation) und IGJ (Gesundheit). Die Behörden haben angekündigt, nach einer kurzen Orientierungsphase aktiv mit Compliance-Prüfungen zu beginnen.
Was Unternehmen bis 15. August tun müssen
- Prüfen, ob man betroffen ist: Das niederländische RDI stellt einen Selbstauskunftsdienst bereit. Faustformel: Mehr als 50 Beschäftigte oder 10 Mio. Euro Jahresumsatz in einem der 18 NIS2-Sektoren.
- Meldestelle registrieren: Die zuständige Sektorbehörde benötigt eine definierte Kontaktstelle.
- Gap-Analyse starten: Welche der Mindestanforderungen nach Art. 21 NIS2 sind noch nicht umgesetzt?
- Incident-Response-Prozess aufsetzen: Der 24-Stunden-Frühwarnprozess muss operativ funktionieren – nicht nur auf dem Papier.
Anders als in Deutschland und Belgien, wo die Behörden Unternehmen monatelang nachgejagt haben, hat die niederländische Aufsicht signalisiert, dass sie mit dem Inkrafttreten des Gesetzes keine lange Anlaufzeit nehmen wird.