Am 15. August 2026 ist in den Niederlanden das Cybersicherheitsgesetz (Cyberbeveiligingswet, Cbw) in Kraft getreten. Heute, am 22. Oktober, liegt das gut zwei Monate zurück. Die ersten Organisationen haben sich registriert, die Aufsichtsbehörden richten ihre Arbeit ein und die ersten Fragen von Kunden und Lieferkettenpartnern treffen ein. Ein guter Zeitpunkt für einen Zwischenstand: nicht, was das Gesetz vorschreibt, das haben wir bereits beschrieben, sondern wo Ihre Organisation jetzt steht.
Nachfolgend finden Sie einen Selbstcheck mit zehn Ja/Nein-Fragen, verteilt auf die Registrierungspflicht, die Sorgfaltspflicht, die Meldepflicht und die Governance. Anschließend betrachten wir, was in der kommenden Zeit noch auf Sie zukommt.
Zwei Monate später: drei Pflichten, eine Frage
Die Cbw, die niederländische Umsetzung der europäischen NIS2-Richtlinie, betrifft schätzungsweise 8.000 niederländische Organisationen in den wesentlichen und wichtigen Sektoren. Für alle geht es um dieselben drei Pflichten: registrieren, Sorgfalt walten lassen und melden. Darüber steht die Geschäftsleitung, die die Maßnahmen genehmigt und deren Umsetzung überwacht. Nach zwei Monaten lautet die Frage nicht, ob Sie "fertig" sind. Die Frage lautet, ob Sie jede dieser Pflichten erfüllt haben und das auch nachweisen können.
Selbstcheck Teil 1: Registrierungspflicht
Die Registrierungspflicht ist die konkreteste der drei Pflichten. Organisationen, die unter das Gesetz fallen, registrieren sich im Entitätenregister über Mijn.NCSC.nl, das Portal des NCSC (des niederländischen Nationalen Cybersicherheitszentrums), unter anderem mit Name, Sektor, Kontaktdaten und, soweit zutreffend, IP-Bereichen. Diese Pflicht gilt seit dem 15. August 2026 und ist durchsetzbar: Wer sich nicht oder fehlerhaft registriert, riskiert laut RDI (der niederländischen Behörde für digitale Infrastruktur) ein Bußgeld oder ein Zwangsgeld. Ob Sie unter das Gesetz fallen, beurteilen Sie selbst, zum Beispiel mit dem NIS2-Selbstbewertungstool der niederländischen Regierung.
Selbstcheck Teil 2: Sorgfaltspflicht
Die Sorgfaltspflicht verlangt eine Risikoanalyse und darauf aufbauende angemessene und verhältnismäßige Maßnahmen. Dazu gehören Richtlinien, Incident-Handling, Geschäftskontinuität, Sicherheit der Lieferkette, Kryptografie, Multi-Faktor-Authentifizierung und Schulung. Die Geschäftsleitung genehmigt diese Maßnahmen. Nach zwei Monaten geht es nicht darum, ob Sie bereits alles erfüllen, sondern ob Sie wissen, wo Sie stehen, und ob das belegt ist.
Selbstcheck Teil 3: Meldepflicht
Bei einem erheblichen Sicherheitsvorfall melden Sie innerhalb von 24 Stunden eine Frühwarnung an das CSIRT und die Aufsichtsbehörde, innerhalb von 72 Stunden eine Vorfallsmeldung und spätestens einen Monat nach der ersten Meldung einen Abschlussbericht. Diese Fristen sind nur einzuhalten, wenn vorab klar ist, wer was tut. Ein Verfahren, das im August erstellt, aber nie durchgespielt wurde, ist im Ernstfall wenig wert.
Selbstcheck Teil 4: Governance
Die Cbw legt die Verantwortung bei der Geschäftsleitung. Das ist keine Formalität: Die Geschäftsleitung genehmigt die Maßnahmen, überwacht die Umsetzung und muss selbst über ausreichende Kenntnisse verfügen.
Ihr Ergebnis
Zehnmal Ja bedeutet nicht, dass Sie fertig sind, aber dass Sie die Kontrolle haben. Bei sieben bis neun Ja wissen Sie genau, worauf sich die Aufmerksamkeit in den kommenden Monaten richten muss. Bei weniger als sieben ist es ratsam, die offenen Punkte jetzt als konkrete Aufgaben mit Verantwortlichem und Frist zu vergeben. Gerade die Punkte, bei denen die Antwort "eigentlich ja, aber nicht dokumentiert" lautet, verdienen Priorität: Sie zählen bei einer Anfrage der Aufsicht nicht.
Was noch kommt
Wie uComply hilft
Das vom NCSC entwickelte CBW/NIS2-Kontrollframework, einschließlich des Cybersicherheitsbeschlusses (Cyberbeveiligingsbesluit), ist in uComply als funktionsfähiges Normenwerk hinterlegt. Den obigen Selbstcheck übertragen Sie darin eins zu eins in Aufgaben: Jede Frage, deren Antwort "Nein" oder "nicht dokumentiert" lautet, wird zu einer Maßnahme mit Verantwortlichem und Frist. Je Maßnahme hinterlegen Sie den Nachweis, sodass Sie bei einer Anfrage der Aufsichtsbehörde oder eines Kunden nicht suchen müssen. Maßnahmen, die Sie bereits für ISO 27001 oder NEN 7510 eingerichtet haben, verknüpfen Sie direkt mit den Anforderungen der Cbw, ohne Doppelarbeit.
Im Flightdeck-Dashboard sieht die Geschäftsleitung den Compliance-Score, offene Risiken, Feststellungen und den Fortschritt je Norm, genau die Einsicht, die das Gesetz von der Geschäftsleitung verlangt. Und mit Reminders und geplanten Aufgaben überwachen Sie die Meldefristen von 24 Stunden, 72 Stunden und einem Monat und planen die Schulung der Geschäftsleitung bis zum 15. August 2028 als Serie ein, sodass sich niemand diese Frist merken muss.
Zusammenfassung
Zwei Monate nach Inkrafttreten des Cybersicherheitsgesetzes lautet die Frage nicht mehr, ob Sie etwas tun müssen, sondern was Sie bereits vorzeigen können. Registrierung, Sorgfaltspflicht, Meldepflicht und Governance: Zehn Fragen geben Ihnen ein ehrliches Bild. Wandeln Sie die offenen Punkte in Aufgaben mit Verantwortlichem und Frist um, und Sie sind bereit für die Anfrage, die früher oder später kommt.
Möchten Sie sehen, wie Sie den Selbstcheck in uComply in nachweisbare Beherrschung umsetzen? Vereinbaren Sie eine unverbindliche Demo oder sehen Sie sich unsere Preise an.
