NIS2-Umsetzung: Niederlande verschärfen Cybersicherheit für 8.000 Firmen
Veröffentlicht am: 17.08.2026 um 01:04 Uhr | Redaktion boerse-global.de
In den Niederlanden sind am 15. August 2026 zwei zentrale Gesetze zur Stärkung der digitalen und physischen Resilienz in Kraft getreten. Mit der Cyberbeveiligingswet (Cbw) und der Wet weerbaarheid kritieke entiteiten (Wwke) setzt das Land die europäischen Vorgaben der NIS2- sowie der CER-Richtlinie um. Die neuen Regelungen verschärfen die Anforderungen an tausende Organisationen und führen eine persönliche Haftung für Vorstandsmitglieder ein.
Mit der Einführung der Cyberbeveiligingswet (Cbw) am vergangenen Samstag vollziehen die Niederlande einen bedeutenden Schritt in ihrer nationalen Cybersicherheitsstrategie. Das Gesetz dient der Umsetzung der europäischen NIS2-Richtlinie und löst die bisherige gesetzliche Grundlage, die Wet beveiliging netwerk- und informatiesystemen (Wbni), ab.
Parallel dazu trat die Wet weerbaarheid kritieke entiteiten (Wwke) in Kraft, welche die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER) in nationales Recht überführt.
Die Umsetzung dieser Gesetze erfolgte nach einer Verzögerung, die zuvor zu einem Vertragsverletzungsverfahren durch die Europäische Union geführt hatte. Der niederländische Senat hatte den entsprechenden Gesetzentwurf erst am 7. Juli 2026 verabschiedet. Bereits im Juni 2026 hatte das Ministerium für Inneres und Königreichsbeziehungen (BZK) im Rahmen eines Symposiums über die bevorstehenden Änderungen informiert.
Erweiterter Anwendungsbereich und Pflichten für Unternehmen
Die Tragweite der neuen Gesetzgebung ist erheblich. Während die Wwke auf etwa 500 Organisationen abzielt, fallen unter die Cbw rund 8.000 Organisationen aus 18 kritischen Sektoren. Art de Blaauw, Direktor CIO Rijk, betonte in diesem Zusammenhang, dass die Cbw das Ende der Freiwilligkeit im Bereich der Cybersicherheit markiere.
Als Begründung für die Notwendigkeit solch strenger Vorgaben wird in Fachkreisen unter anderem auf die Log4j-Schwachstelle aus dem Jahr 2021 verwiesen, die die Verwundbarkeit digitaler Infrastrukturen verdeutlichte.
Wer sich mit den Auswirkungen neuer Regulierungen auf die Unternehmenssicherheit befasst, findet in diesem Report wichtige Orientierung zu rechtlichen Pflichten. Neue KI-Gesetze und Cyberrisiken: Jetzt kostenlosen Report sichern
Die Cbw umfasst vier wesentliche Säulen für betroffene Einrichtungen: eine allgemeine Sorgfaltspflicht, spezifische Meldepflichten bei Sicherheitsvorfällen, die verpflichtende Registrierung der Organisation sowie die Teilnahme an Schulungen.
Eine wesentliche Neuerung betrifft die Führungsebene: Vorstandsmitglieder sind künftig gesetzlich zur Teilnahme an Schulungen verpflichtet und können bei Verstößen gegen die Sicherheitsauflagen persönlich haftbar gemacht werden.
Strenge Zeitvorgaben für Meldungen und Risikobewertungen
Die neuen Gesetze etablieren ein präzises Zeitmanagement für das Krisenmanagement. Unternehmen, die unter die Cbw fallen, müssen schwere Sicherheitsvorfälle innerhalb von 24 Stunden erstmals melden. Eine erweiterte Meldung hat innerhalb von 72 Stunden zu erfolgen, während ein abschließender Endbericht nach spätestens einem Monat eingereicht werden muss.
Angesichts der steigenden Zahl von Cyberangriffen und strengerer Vorgaben ist proaktives Handeln für Unternehmen heute unerlässlich. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken effizient zu schließen und aktuelle gesetzliche Anforderungen zu erfüllen. Gratis-E-Book: Cyber-Sicherheit proaktiv stärken
Für Organisationen unter der Wwke gelten ebenfalls strikte Fristen. Sie sind verpflichtet, Vorfälle innerhalb von 24 Stunden anzuzeigen. Darüber hinaus sieht das Gesetz vor, dass innerhalb von neun Monaten nach Inkrafttreten eine umfassende Risikobewertung durchgeführt werden muss. Die Umsetzung der daraus resultierenden Maßnahmen muss innerhalb von zehn Monaten abgeschlossen sein.
Besonderheiten für den Finanz- und Kryptosektor
Für Kryptounternehmen, die bereits unter die europäische Verordnung über Märkte für Kryptowerte (MiCA) fallen, ergeben sich spezifische Überschneidungen. Hier fungiert der Digital Operational Resilience Act (DORA) als vorrangige Spezialregelung (lex specialis).
Diese Unternehmen müssen die Anforderungen an das Risikomanagement im Bereich der Informations- und Kommunikationstechnologie (ICT) erfüllen und Vorfälle über die niederländische Finanzmarktaufsicht (AFM) melden.
Durch die Verzahnung dieser nationalen und europäischen Regelwerke streben die Niederlande eine lückenlose Überwachung und Absicherung ihrer kritischen Infrastrukturen an, um die nationale Widerstandsfähigkeit gegen Cyberbedrohungen und physische Ausfälle nachhaltig zu erhöhen.
