Die Niederlande haben einen wichtigen Meilenstein bei der NIS2-Umsetzung erreicht: Das Parlament hat die Wet beveiliging netwerk- en informatiesystemen (Cyberbeveiligingswet) final verabschiedet. Das Gesetz tritt am 1. Juli 2026 in Kraft.
Das NCSC Niederlande (Nationaal Cyber Security Centrum) wird als zentrale Aufsichtsbehörde bestätigt. Schätzungsweise 5.000 Einrichtungen fallen in den Geltungsbereich – deutlich mehr als unter der bisherigen Wbni.
Was ändert sich gegenüber der bisherigen Wbni?
Die bisherige Wbni erfasste nur rund 300 Anbieter essenzieller Dienste. Die neue Cyberbeveiligingswet weitet den Geltungsbereich massiv aus: 18 Sektoren statt 7, deutlich niedrigere Schwellenwerte und erstmals eine Kategorie für „wichtige Einrichtungen" neben den wesentlichen.
Wer ist betroffen?
Betroffen sind Unternehmen mit mehr als 50 Mitarbeitern oder mehr als 10 Mio. EUR Jahresumsatz in NIS2-relevanten Sektoren – darunter Energie, Verkehr, Wasser, Gesundheit, digitale Infrastruktur, IKT-Dienste, Bankwesen sowie Lebensmittelproduktion und Chemie. Das NCSC erwartet rund 5.000 erstmals regulierte Einrichtungen.
Aufsichtsstruktur
Das NCSC koordiniert zentral; sektorspezifische Toezichthouders bleiben zuständig: die ACM für Energie und Telekommunikation, die NZa für das Gesundheitswesen. Einrichtungen registrieren sich bei der jeweils zuständigen Behörde.
Kernpflichten ab 1. Juli 2026
- Registrierung: Binnen 3 Monaten nach Inkrafttreten (bis 1. Oktober 2026).
- Risikomanagement: Dokumentierte Risikoanalyse und verhältnismäßige Sicherheitsmaßnahmen.
- Vorfallsmeldung: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden an NCSC/CSIRT.
- Lieferkettensicherheit: Sicherheitsanforderungen an Lieferanten definieren und vertraglich absichern.
- Management-Haftung: Bestuurders tragen persönliche Verantwortung für NIS2-Compliance.
Empfohlene Schritte jetzt
Bis zum 1. Juli 2026 bleiben noch rund 10 Wochen. Das NCSC empfiehlt: Betroffenheit und zuständige Behörde klären, Gap Analysis durchführen, Registrierungsprozess starten und Meldeprozesse intern proben. Wer ISO 27001 implementiert hat, sollte spezifisch die NIS2-Meldepflichten und Governance-Anforderungen ergänzen.