Zwei Gesetze, ein Datum, sofortige Pflichten
Das Cyberbeveiligingswet (das niederländische Cybersicherheitsgesetz) und das begleitende Wet weerbaarheid kritieke entiteiten traten beide am 15. August 2026 in Kraft, und keines der beiden Gesetze sah eine Übergangsfrist für die wichtigsten Pflichten vor: Registrierung und Meldung von Sicherheitsvorfällen galten ab dem ersten Tag.
Das Cyberbeveiligingswet wurde am 8. Juli 2026 unterzeichnet und zwei Tage später als Staatsblad 2026, 187 veröffentlicht. Die zugehörige Durchführungsverordnung, das Cyberbeveiligingsbesluit, erschien separat als Staatsblad 2026, 189. Gemeinsam setzen beide die EU-Richtlinie 2022/2555, die NIS2-Richtlinie, in niederländisches Recht um. Der Geltungsbereich ist nach nationalen Maßstäben groß: mehr als 8.000 Organisationen aus 18 Sektoren, darunter Energie, Trinkwasser, digitale Infrastruktur, Gesundheitswesen, öffentliche Verwaltung und Verkehr.
Die folgende Tabelle zeigt, wie sich die beiden niederländischen Gesetze in Reichweite und Ursprung unterscheiden.
| Gesetz | Umgesetzte EU-Richtlinie | Erfasste Einrichtungen |
|---|---|---|
| Cyberbeveiligingswet | NIS2 (2022/2555) | Über 8.000 aus 18 Sektoren |
| Wet weerbaarheid kritieke entiteiten | CER (2022/2557) | Rund 500 kritische Einrichtungen |
Die Neun-Monats-Zahl, die unterging
Die Berichterstattung über das Gesetz hat sich auf die Formel 'keine Übergangsfrist' festgelegt, und das trifft nur zur Hälfte zu. Die Uhr, die tatsächlich keine Übergangsfrist kennt, ist die für die Registrierung beim NCSC und die Meldung eines Vorfalls, nicht die für den Abschluss des Sicherheitsprogramms.
Die Registrierung über das nationale Register, MijnNCSC, wurde in dem Moment verpflichtend, in dem das Gesetz in Kraft trat, und jede Änderung an den Angaben einer registrierten Einrichtung muss innerhalb von 14 Tagen gemeldet werden. Zwei weitere Pflichten laufen auf einer längeren Frist: Die Pflicht zur Risikobewertung beginnt 9 Monate nach der förmlichen Einstufung einer Einrichtung, und die Pflicht, Sicherheitsmaßnahmen umgesetzt zu haben, beginnt 10 Monate nach dieser Einstufung.
Dieser Unterschied ist entscheidend für jeden, der das Gesetz als Zeitgewinn liest. Das ist es nicht. Es verschafft Zeit, das Programm aufzubauen. Es verschafft keine Zeit, die Registrierung zu umgehen, und es verschafft keine Zeit auf der Uhr für die Meldepflicht, sobald der Geltungsbereich erreicht ist.
Eine andere Uhr als in Deutschland
Deutschlands eigene Umsetzung von NIS2 folgt einem langsameren, prüfungsgestützten Verfahren: Die deutsche Cyberbehörde identifiziert und bestätigt Einrichtungen im Geltungsbereich über ein längeres Zeitfenster, bevor die Pflichten vollständig greifen. Ein Unternehmen, das Deutschlands Zeitplan geprüft und angenommen hat, dasselbe gelte für seine niederländische Tochtergesellschaft, hat auf die falsche Uhr geschaut.
Das niederländische Modell knüpft die Einstufung an die Registrierung und nicht an einen nationalen Prüfzyklus, sodass die persönliche Frist von 9 bis 10 Monaten einer niederländischen Einrichtung ab dem Moment der Registrierung oder Einstufung läuft, nicht ab einem staatlich festgelegten nationalen Datum. Zwei EU-Mitgliedstaaten, die dieselbe Richtlinie umsetzen, haben zwei unterschiedliche praktische Zeitpläne hervorgebracht, und keiner davon ist ein sicherer Anhaltspunkt für den anderen.
Was das für Sie bedeutet
Ein Eigentümer mit einer niederländischen Tochtergesellschaft, einem niederländischen Datenverarbeitungs-Dienstleister oder einem niederländischen Logistik- oder Energiepartner braucht diese Woche eine Prüfung des Geltungsbereichs, nicht im Dezember. Beginnen Sie damit, ob einer der 18 erfassten Sektoren eine niederländische Einrichtung betrifft, die Sie kontrollieren oder von der Sie abhängen.
Wenn das der Fall ist, bestätigen Sie den MijnNCSC-Registrierungsstatus direkt, statt anzunehmen, ein Dienstleister oder eine Tochtergesellschaft habe die Meldung bereits vorgenommen, denn die Registrierungspflicht kennt überhaupt keine Übergangsfrist. Ermitteln Sie anschließend das Einstufungsdatum der Einrichtung, denn dieses Datum, nicht der 15. August, setzt ihre persönliche Frist von 9 bis 10 Monaten für Risikobewertung und Sicherheitsmaßnahmen in Gang.
Zuletzt: Informieren Sie gezielt die Geschäftsführung. Der Governance-Artikel von NIS2 legt die Verantwortung auf das Leitungsorgan der Einrichtung, nicht nur auf eine Compliance- oder IT-Funktion, und diese Linie wird nicht weicher, nur weil die technischen Fristen noch Monate entfernt liegen.
Weiterlesen: Zwei Open-Source-Tools fielen innerhalb von Stunden | OpenAI bestätigt Astra-Pause, fordert KI-Standard
