Holandia wiąże 8000 firm już dziś, nie za 10 miesięcy

Dwie ustawy, jedna data, natychmiastowe obowiązki

Cyberbeveiligingswet oraz towarzysząca jej Wet weerbaarheid kritieke entiteiten weszły w życie tego samego dnia, 15 sierpnia 2026 roku, i żadna z nich nie czekała na okres przejściowy, zanim zaczęły obowiązywać najważniejsze na starcie obowiązki: rejestracja i zgłaszanie naruszeń.

Cyberbeveiligingswet została podpisana 8 lipca 2026 roku i opublikowana jako Staatsblad 2026, 187 dwa dni później. Jej rozporządzenie wykonawcze, Cyberbeveiligingsbesluit, zostało opublikowane osobno jako Staatsblad 2026, 189. Razem transponują do prawa holenderskiego dyrektywę UE 2022/2555, czyli dyrektywę NIS2 (dyrektywa o bezpieczeństwie sieci i informacji). Zakres jest jak na standardy krajowe ogromny: ponad 8000 organizacji z 18 sektorów, w tym energetyki, wody pitnej, infrastruktury cyfrowej, ochrony zdrowia, administracji publicznej i transportu.

Poniższa tabela pokazuje, czym różnią się obie holenderskie ustawy pod względem zasięgu i pochodzenia.

Liczba dziewięciu miesięcy, która zniknęła w cieniu

Relacje medialne na temat ustawy skupiły się na frazie 'brak okresu karencji', a to prawda tylko w połowie. Zegarem, który rzeczywiście nie ma żadnego okresu karencji, jest ten dotyczący rejestracji w NCSC i zgłaszania incydentu, a nie ten dotyczący zakończenia budowy programu bezpieczeństwa.

Rejestracja w krajowym rejestrze, MijnNCSC, stała się obowiązkowa w chwili wejścia ustawy w życie, a każda zmiana danych zarejestrowanego podmiotu musi zostać zgłoszona w ciągu 14 dni. Dwa odrębne obowiązki mają dłuższy termin: obowiązek oceny ryzyka zaczyna się 9 miesięcy po formalnym wyznaczeniu podmiotu, a obowiązek posiadania wdrożonych środków bezpieczeństwa zaczyna się 10 miesięcy po wyznaczeniu.

To rozróżnienie ma znaczenie dla każdego, kto czyta ustawę jako sposób na zyskanie czasu. Nie o to chodzi. Ustawa daje czas na zbudowanie programu. Nie daje czasu na uniknięcie rejestracji i nie daje czasu na zegarze zgłaszania incydentów, gdy podmiot już wchodzi w zakres.

Inny zegar niż w Niemczech

Niemiecka transpozycja NIS2 działa według wolniejszego, opartego na audytach procesu: niemiecki urząd do spraw cyberbezpieczeństwa identyfikuje i potwierdza podmioty objęte zakresem w dłuższym oknie czasowym, zanim obowiązki zaczną w pełni obowiązywać. Firma, która sprawdziła harmonogram niemiecki i założyła, że to samo dotyczy jej holenderskiej spółki zależnej, sprawdzała niewłaściwy zegar.

Model holenderski wiąże wyznaczenie z rejestracją, a nie z krajowym cyklem audytowym, więc osobisty termin 9 do 10 miesięcy dla danego holenderskiego podmiotu zaczyna biec od chwili rejestracji lub wyznaczenia, a nie od ustalonej przez rząd daty krajowej. Dwa państwa członkowskie UE transponujące tę samą dyrektywę stworzyły dwa różne praktyczne harmonogramy, i żaden z nich nie jest bezpiecznym odniesieniem dla drugiego.

Co to oznacza dla Ciebie

Właściciel holenderskiej spółki zależnej, holenderskiego dostawcy przetwarzania danych albo holenderskiego partnera logistycznego lub energetycznego potrzebuje sprawdzenia zakresu w tym tygodniu, nie w grudniu. Zacznij od ustalenia, czy którykolwiek z 18 objętych sektorów dotyczy holenderskiego podmiotu, który kontrolujesz lub od którego zależysz.

Jeśli tak, potwierdź status rejestracji w MijnNCSC bezpośrednio, zamiast zakładać, że dostawca lub spółka zależna już to zgłosiła, ponieważ obowiązek rejestracji nie ma żadnego zapasu czasowego. Następnie ustal datę wyznaczenia podmiotu, ponieważ to ta data, a nie 15 sierpnia, uruchamia jego osobisty zegar 9 do 10 miesięcy na ocenę ryzyka i środki bezpieczeństwa.

Na koniec poinformuj zarząd bezpośrednio. Artykuł NIS2 dotyczący nadzoru nakłada odpowiedzialność na organ zarządzający podmiotu, nie tylko na funkcję compliance czy IT, a ta zasada nie łagodnieje tylko dlatego, że techniczne terminy są jeszcze odległe o kilka miesięcy.

Czytaj dalej: Dwa Narzędzia Open Source Padły w Kilka Godzin  |  OpenAI Potwierdza Wstrzymanie Prac nad Astrą