Waarom deze wet verder reikt dan u denkt

De NIS2-uitvoeringswet geldt in Duitsland sinds december 2025, en raakt niet alleen energiecentrales en banken. Ze trekt zo'n 29.500 bedrijven binnen 18 sectoren mee, van logistiek en voedselproductie tot machinebouw, afvalbeheer en digitale diensten. De drempel is laag. Een bedrijf met 50 of meer werknemers, of 10 miljoen euro omzet, in een van deze sectoren valt standaard binnen het bereik.

De meeste ondernemers in de Mittelstand hebben hun bedrijf nooit als kritieke infrastructuur beschouwd. De wet vraagt niet om dat zelfbeeld. Ze kijkt naar de sector en de omvang, classificeert u als een belangrijke of een bijzonder belangrijke entiteit, en hangt er bindende beveiligingsverplichtingen aan die een jaar geleden niet bestonden.

De plicht die persoonlijk bij de ondernemer terechtkomt

De scherpste verandering is wie de plicht draagt. Onder de nieuwe Duitse wet moet het bestuursorgaan de cyberveiligheidsrisicomaatregelen goedkeuren en bewaken dat ze daadwerkelijk zijn ingevoerd. Dit is geen taak die u aan een IT-leverancier kunt overdragen en vergeten. Waar de leiding handelt met grove nalatigheid of opzet, staat de wet boetes tegen de individuen toe en, in ernstige gevallen, een tijdelijk verbod om een bestuursfunctie te bekleden.

Voor een door de eigenaar geleid bedrijf is dit het deel dat ertoe doet. Wie voor het bedrijf tekent, tekent nu voor de cyberhouding ervan. Een keurig uitbestedingscontract verschuift de verantwoordelijkheid niet weg van het bestuur. Het verandert alleen wie u belt als er iets misgaat, en tegen die tijd is de plicht al getoetst.

De registratielijst waarover niemand u vertelde

Goed verdedigd zijn is op zichzelf niet genoeg. Betrokken bedrijven moeten zich registreren bij het Federale Bureau voor Informatiebeveiliging, de BSI, en zich identificeren. De wettelijke deadline was maart 2026, en op die datum hadden slechts ongeveer 11.500 van de zo'n 29.500 bedrijven het gedaan. Meer dan de helft ontbrak op de lijst.

De BSI heeft een definitieve verlenging tot 31 juli 2026 vastgesteld en heeft aangegeven dat ze na deze zomer de eerste sancties zal onderzoeken. Het niet registreren is op zich een beboetbaar feit, tot 500.000 euro, los van enige inbreuk. Het stille risico is geen cyberaanval. Het is een bedrijf zijn dat de toezichthouder niet kan vinden op een lijst die ze nu actief controleert.

Wat u dit kwartaal in gang moet zetten

Drie stappen dragen het meeste gewicht. Bevestig of uw bedrijf binnen het bereik valt, want de toets op sector en omvang is mechanisch en gemakkelijk verkeerd te lezen. Registreer u bij de BSI voor de uiterste datum in juli als u binnen het bereik valt. Leg vervolgens een gedocumenteerd risicobeheerproces voor aan uw bestuursorgaan, zodat aan de goedkeurings- en toezichtsplicht wordt voldaan en dit wordt vastgelegd, niet verondersteld.

Niets hiervan vereist een grote beveiligingsafdeling. Het vereist een heldere lezing van waar u staat, bewijs dat de leiding naar het risico heeft gekeken, en een vastlegging die u kunt tonen als de toezichthouder erom vraagt. De bedrijven die het moeilijk krijgen, zijn die welke een nationale cyberveiligheidswet als een IT-voetnoot behandelden.

Lees hierna: Uw hardware is nu gereguleerde software  ·  Is uw cyberverdediging klaar voor aanvallen op machinesnelheid?