Vum Tom Meevis, Affekot bei Law & More
Cybersécherheet ass net méi nëmmen eng technesch Fro. Et ass och e juristescht a Governance-Fro, dat bal all Organisatioun vun egal wéi enger Gréisst betrëfft.
Mat der europäescher NIS2-Direktiv an dem hollännesche Cybersécherheetsgesetz gëtt d'Verantwortung fir digital Widderstandsfäegkeet fest op de Verwaltungsrot verlagert. Den hollännesche Cybersécherheetsgesetz trëtt de 15. August 2026 a Kraaft. Geschäftsleit, Direktere a Compliance Officers mussen dofir kuerzfristeg festleeën:
- ob hir Organisatioun ënnert den Ëmfang vun den neie Reegele fällt;
- wéi eng Verpflichtungen aus hinnen entstinn;
- wéi eng Moossnamen néideg sinn;
- a wéi d'Organisatioun dësen Verpflichtungen erfëlle kann.
Dësen Artikel beschreift déi wichtegst Elementer vum NIS2 an dem hollännesche Cybersécherheetsgesetz: den Ëmfang, d'Sorgfaltspflicht, d'Notifikatiounspflicht, d'Verantwortung vum Verwaltungsrot, d'Ëmsetzung an d'Schrëtt, déi d'Organisatiounen elo maache kënnen.
Wat ass NIS2?
NIS2 ass déi offiziell Bezeechnung vun der Direktiv (EU) 2022/2555. Si ersetzt déi éischt europäesch Direktiv iwwer Netzwierk- a Informatiounssécherheet, allgemeng als NIS1 bezeechent.
D'Memberstaaten waren verflicht, den NIS2 bis de 17. Oktober 2024 an nationaalt Recht ëmzesetzen. Vum 18. Oktober 2024 un huet den NIS2 déi fréier Direktiv formell ersat.
Säin Zil ass et, den Niveau vun der Cyberresilienz an der Europäescher Unioun ze erhéijen an besser auszegläichen. Dëst verleeft op zwou Haaptlinnen. Éischtens, e méi breede Kader: vill méi Organisatiounen falen ënner d'Reegele wéi ënner NIS1. Zweetens, verschäerft Iwwerwaachung a méi streng Ëmsetzung, mat engem méi breede Toolkit a méi kloere Verantwortung fir d'Direktere.
Wou den NIS1 tëscht Betreiber vun essentiellen Déngschtleeschtungen an Ubidder vun digitale Déngschtleeschtungen ënnerscheet huet, schafft den NIS2 mat essentiellen Entitéiten a wichtegen Entitéiten. Dës Ënnerscheedung ass net nëmmen terminologesch: ënner anerem bestëmmt se d'Intensitéit vun der Iwwerwaachung an den Niveau vun de potenziellen Geldstrofen.
Wéi eng Organisatiounen falen ënner NIS2?
NIS2 gëllt fir Organisatiounen, déi an uechtzéng designéierte Secteuren aktiv sinn, opgedeelt a Secteuren mat héijer Kritalitéit an aner kritesch Secteuren.
Zu de Secteure vu grousser Kritiz gehéieren Energie, Transport, Banken, Finanzmäertinfrastruktur, Gesondheetswiesen, Drénkwaasser an Ofwaasser, digital Infrastruktur, IKT-Servicemanagement fir Geschäftsbenotzer, ëffentlech Verwaltung a Weltraum.
Zu den anere kritesche Secteure gehéieren d'Post- a Kurierdéngschter, d'Offallwirtschaft, d'Chemikalien, d'Liewensmëttelindustrie, d'Produktioun, digital Ubidder a Fuerschungsinstituter.
D'Gréisstschwell
Bannent dëse Secteuren ass d'Haaptregel, datt eng Organisatioun ënner NIS2 fällt, wa se als mëttelgrouss oder grouss Entreprise qualifizéiert gëtt. D'Kriterien sinn op d'mannst 50 Mataarbechter, oder en jäerlechen Ëmsaz oder eng Bilanz vun iwwer 10 Milliounen Euro.
Et gëtt Ausnamen vun dëser Haaptregel. Verschidde Organisatiounen falen onofhängeg vun hirer Gréisst ënner dem Ëmfang, well hir Servicer als besonnesch kritesch ugesi ginn:
- Ubidder vun ëffentlechen elektronesche Kommunikatiounsnetzwierker a -déngschter;
- Vertrauensdéngschtleeschter;
- Ubidder vun Domainnummregistréierungsdéngschter;
- Top-Level-Domain-Registrierungen;
- ëffentleche Secteur Organer.
Vum 15. August 2026 un gëllen déi nei Verpflichtungen fir iwwer 8,000 Organisatiounen an den Nidderlanden. Dat ass eng beträchtlech Erweiderung am Verglach mat der Zuel, déi vum aktuelle Gesetz iwwer d'Sécherheet vu Netzwierker an Informatiounssystemer ofgedeckt ass.
Organisatiounen, déi sech virdru net als Deel vun engem kritesche Secteur gesinn hunn, kéinten dofir agefaangen ginn, dorënner mëttelgrouss Hiersteller, Liewensmëttelproduzenten, Fuerschungsinstituter an digital Déngschtleeschter. Wichteg ass, datt d'Organisatiounen selwer verantwortlech sinn fir ze evaluéieren, ob se ënner den Ëmfang falen. Et wäert kee Bréif vun engem Supervisor ukommen, deen hinnen dat seet.
D'Sorgfaltspflicht: wéi eng Moossname si néideg?
De Kär vum NIS2 an dem hollännesche Cybersécherheetsgesetz ass d'Sorgfaltspflicht. Essentiell an wichteg Entitéite mussen entspriechend an proportional technesch, operationell an organisatoresch Moossname treffen, fir d'Risike fir hir Netzwierker an Informatiounssystemer ze verwalten.
D'Reegele bestëmmen d'Themen, déi d'Politik awer muss behandelen:
- Risikoanalyse a Informatiounssécherheetspolitik;
- Behandlung vun Incidenter;
- Geschäftskontinuitéit, Backup-Management a Katastrophenherstellung;
- Sécherheet vun der Versuergungskette;
- Cyberhygiene a Personalausbildung;
- Politik fir d'Behandlung vu Schwachstelle;
- Multi-Faktor-Authentifikatioun;
- geséchert Kommunikatiounen;
- Kryptographie;
- periodesch Evaluatioun vun der Effizienz vun de Moossnamen.
D'Mesure mussen proportional zu der Gréisst vun der Organisatioun an de Risiken sinn, deenen se tatsächlech ausgesat ass. Eng méi kleng wichteg Entitéit muss dofir net déiselwecht Moossname treffen wéi eng grouss essentiell Entitéit an engem Secteur mat héijem Risiko.
Dat mécht d'Sorgfaltspflicht net fakultativ. Organisatioune musse fäeg sinn ze begrënnen, wéi eng Risiken si identifizéiert hunn, wéi eng Moossname si geholl hunn a firwat dës Moossname passend sinn. Net nëmmen d'Moossname selwer, mä och d'Aart a Weis wéi se ofgewien, opgeholl a periodesch evaluéiert ginn, ass ënnerworf der Iwwerwaachung.
Notifikatiounspflicht no engem Tëschefall
Nieft der Suergfaltspflicht verhängt den NIS2 eng stufenweis Notifikatiounspflicht fir bedeitend Incidenter. Wa en Incident e wesentlechen Impakt op d'Kontinuitéit vun de Servicer huet oder kéint hunn, gëllen am Groussen a Ganzen déi folgend Fristen:
- bannent 24 Stonnen, eng fréizäiteg Warnung un den nationalen Team fir d'Reaktioun op Computersécherheetsincidenter oder un déi zoustänneg Autoritéit;
- bannent 72 Stonnen, eng formell Notifikatioun mat enger éischter Bewäertung vun der Gravitéit an den Auswierkungen;
- spéitstens bannent engem Mount e Schlussbericht, deen den Tëschefall, seng warscheinlech Ursaach, déi geholl Moossnamen an all grenziwwerschreidend Auswierkungen beschreift.
Dës Fristen erfuerderen et, kloer Prozeduren am Viraus festzeleeën. D'Organisatioun muss wëssen, wéini en Tëschefall mellenpflichteg ass, wien autoriséiert ass ze mellen, wéi eng Informatioune verfügbar musse sinn, wien koordinéiert a wéi de Verwaltungsrot an de Supervisor informéiert ginn.
Eng Organisatioun, déi nëmme probéiert, e Notifikatiounsprozess während engem Tëschefall opzesetzen, leeft e groussen Risiko, net fäeg ze sinn, rechtzäiteg oder vollstänneg ze mellen.
Verantwortung vum Verwaltungsrot
E wichtegt Element vum NIS2 ass, datt d'Verantwortung fir d'Gestioun vu Cyberrisiken ausdrécklech beim Verwaltungsrot läit. De Verwaltungsrot muss d'Sécherheetsmoossname guttgeheescht hunn, hir Ëmsetzung iwwerwaachen, d'Cyberrisike vun der Organisatioun bewäerten kënnen a selwer eng adäquat Ausbildung absolvéieren.
Cybersécherheet kann dofir net méi eleng als d'Verantwortung vun der IT-Ofdeelung behandelt ginn. Et ass en Thema vun der Governance, dat Deel vun der reegelméisseger Entscheedungsfindung a vum Risikomanagement muss sinn.
D'Direktiv behandelt och ausdrécklech d'perséinlech Haftung vum Senior Management, wann d'Organisatioun sech net un d'Ufuerderungen hält. D'Bedeelegung vum Verwaltungsrot deementspriechend opschreiwen, zum Beispill andeems d'Ausbildung, d'Entscheedunge vum Verwaltungsrot, déi guttgeheescht Politik, d'Risikobewertungen, d'Rapportéierung an d'Iwwerwaachung vun der Ëmsetzung dokumentéiert ginn.
Déi hollännesch Ëmsetzung
Déi hollännesch Ëmsetzung vum NIS2 gouf däitlech verspéit. Den Ëmsetzungstermin vum 17. Oktober 2024 gouf net agehalen.
Den 8. Juli 2026 huet d'Europäesch Kommissioun decidéiert, Holland, zesumme mat Irland, Spuenien a Frankräich, virum Geriichtshaff vun der Europäescher Unioun ze verleeën, well se d'Ëmsetzungsmoossnamen net gemellt hunn. Holland war domat zu de véier Réckstandslänner vun der Europäescher Unioun gehéiert.
Den Timing ass opfälleg. Een Dag virdrun, de 7. Juli 2026, hat de Senat de Cybersecurity Act an de Critical Entities Resilience Act guttgeheescht. Ob d'Tatsaach, datt d'Gesetz virum Referenzpunkt ugeholl gouf, den Ausgang vun der Prozedur beaflosst, bleift ofzewaarden; dat ass un der Geriichtshaff ze entscheeden.
Béid Gesetzer trieden de 15. August 2026 a Kraaft. De Cybersécherheetsgesetz setzt d'NIS2-Direktiv ëm; de Critical Entities Resilience Act setzt d'europäesch CER-Direktiv ëm, déi op d'Widderstandsfäegkeet vu kritescher Infrastruktur abzielt. Organisatiounen, déi vun der leschter betraff sinn, ginn ab dem 15. August 2026 formell als kritesch Entitéite designéiert.
Beim Akraafttrieden vum aktuelle Gesetz iwwer d'Sécherheet vu Netzwierker an Informatiounssystemer (Wbni) verléiert en. Fir Organisatiounen, déi scho vun dësem Gesetz betraff sinn, bedeit dat méi schwéier Verpflichtungen; fir Organisatiounen, déi fir d'éischt Kéier ënner dëse Gesetz falen, gëtt et e komplett neit Regime.
Aschreiwung beim NCSC
Eng wichteg nei Verpflichtung ass d'Aschreiwung beim Nationale Cybersécherheetszentrum. Essentiell an wichteg Entitéite mussen am nationale Entitéitsregister agedroe ginn. Dës Aschreiwung ass vum 15. August 2026 un obligatoresch a leeft iwwer de Portal MijnNCSC, woubei eHerkenning fir normal Organisatiounen an SSOnRijk fir ëffentlech Organer benotzt ginn. Ännerungen un den registréierten Donnéeë mussen innerhalb vu véierzéng Deeg gemellt ginn.
D'Aschreiwung ass net nëmmen eng administrativ Formalitéit. Soubal d'Organisatiounen registréiert sinn, kënnen se sech un d'Servicer vun hirem CSIRT wenden, deen Produkter a Servicer ubitt fir d'Widderstandsfäegkeet ze erhéijen, souwéi Ënnerstëtzung am Fall vun engem Tëschefall. Preparéiert d'Aschreiwung rechtzäiteg, sou datt d'Ëmsetzung net eréischt nom Inkrafttrieden ufänkt.
Iwwerwaachung an Ëmsetzung
De Cybersécherheetsgesetz gesäit e differenzéierten Iwwerwaachungsregime vir. Essentiell Entitéite sinn enger proaktiver Iwwerwaachung ënnerworf: de Supervisor kann kontinuéierlech an op eegen Initiativ kontrolléieren, ouni spezifeschen Tëschefall oder Signal. Wichteg Entitéite sinn enger reaktiver Iwwerwaachung ënnerworf, wou de Supervisor am Prinzip als Reaktioun op en Tëschefall, eng Reklamatioun oder en anert konkret Signal handelt.
D'Iwwerwaachung ass iwwer verschidden Autoritéiten opgedeelt. Vum 15. August 2026 un iwwerwaacht déi hollännesch Autoriteit fir Digital Infrastruktur Organisatiounen an néng Secteuren; aner Supervisore ginn fir aner Secteuren designéiert. Bestëmmt wéi ee Supervisor fir Är Organisatioun kompetent ass.
D'Toolkit fir d'Ëmsetzung vun der Ëmsetzung ass breet gefächert an ëmfaasst:
- e Sécherheetsscan oder e Sécherheetsaudit;
- eng verbindlech Instruktioun;
- eng administrativ Vollstreckungsuerdnung oder eng Uerdnung, déi mat enger Strof belaascht ass;
- Verëffentlechung vun enger Verletzung;
- eng administrativ Geldstrof;
- fir essentiell Entitéiten: Suspensioun vun enger Zertifizéierung, enger Autorisatioun oder engem Verwaltungsrotsmember.
Fir wesentlech Entitéite läit déi maximal Geldstrof bei mindestens 10 Milliounen Euro oder 2% vum weltwäite Joresëmsaz, jee nodeem wat méi héich ass. Fir wichteg Entitéite läit se bei mindestens 7 Milliounen Euro oder 1.4% vum weltwäite Joresëmsaz, nach eng Kéier jee nodeem wat méi héich ass. Déi schlussendlech Héicht hänkt vun den Ëmstänn vum Fall of, dorënner d'Natur, d'Gravitéit an d'Dauer vun der Verletzung, de Grad vun der Schold an de gehollene Moossnamen.
Wat kann Är Organisatioun elo maachen?
- Maacht eng Selbstbeurteilung. Feststellt, ob d'Organisatioun an engem designéierte Secteur aktiv ass a d'Gréisstgrenz erfëllt.
- Bestëmmt déi richteg Kategorie. Feststellt ob d'Organisatioun als essentiell oder wichteg Entitéit qualifizéiert ass, a wéi ee Supervisor kompetent ass.
- D'Aschreiwung virbereeden. Sammelt d'Donnéeën, déi fir d'Aschreiwung beim NCSC iwwer MijnNCSC gebraucht ginn.
- Test d'Moossname vun der Suergfaltsplicht. Evaluéiert déi existent Moossnamen zu Risikoanalyse, Incidentreaktioun, Geschäftskontinuitéit, Sécherheet vun der Liwwerkette, Cyberhygiene, Schwachstelle, Multifaktor-Authentifikatioun a Kryptographie.
- De Notifikatiounsprozess opsetzen. Opzeechnen, wien iwwerpréift, ob en Tëschefall mellenpflichteg ass, wien mellt, a wéi d'Fristen vun 24 Stonnen, 72 Stonnen an ee Mount agehale ginn.
- Bezitt de Verwaltungsrot noweisbar an. Schreift fest, wéi eng Entscheedungen de Verwaltungsrot getraff huet, wéi eng Ausbildung gemaach gouf a wéi d'Iwwerwaachung vun der Ëmsetzung ausgeübt gëtt.
- Betruecht d'Liwwerketten. E groussen Deel vu Schwachstelle entstinn net an der Organisatioun selwer, mä bei Liwweranten a Serviceprovider. Iwwerpréift Är Kontrakter iwwer Sécherheetsarrangementer, Notifikatiounspflichten an Auditrechter.
Schließlech
De Cybersecurity Act an de Critical Entities Resilience Act stellen eng bedeitend Verschäerfung vun de Cybersécherheetsverpflichtungen duer. E méi breede Spektrum, konkret Suergfaltsmoossnamen, knapp Notifikatiounsfristen, perséinlech Verantwortung vun de Direkteren an e wesentlecht Toolkit fir d'Ëmsetzung bedeiten, datt Organisatiounen dëst Thema net eleng loossen kënnen. Mat dem Inkrafttrieden de 15. August 2026 ass d'Virbereedungszäit kuerz.
Law & More ënnerstëtzt Geschäfter, Direktere a Compliance Officers bei der Bestëmmung vun hirer Positioun ënner NIS2 an dem hollännesche Cybersécherheetsgesetz, andeems se d'Sorgfaltsmoossnamen opstellt an test, d'Aschreiwung beim NCSC virbereet an d'Cybersécherheetspolitik legal verankert.
Wëllt Dir d'Positioun vun Ärer Organisatioun no den neie Reegelen iwwerpréift kréien? Kontaktéiert eis gären fir e Gespréich ouni Verpflichtung.
Oft gestallten Froen
Hei ënnendrënner beäntwerte mir déi Froen, déi eis am heefegsten zu dësem Thema gestallt ginn.
Wéini trëtt den hollännesche Cybersécherheetsgesetz a Kraaft?
De 15. August 2026 huet de Senat de Cybersecurity Act an de Critical Entities Resilience Act de 7. Juli 2026 guttgeheescht. Mat sengem Akraafttrieden verléiert den aktuellen Network and Information Systems Security Act (Wbni).
Fallt meng Organisatioun ënner NIS2?
Dat hänkt vun Ärem Secteur an Ärer Gréisst of. NIS2 deckt uechtzéng designéiert Secteuren of a bannent dëse Secteuren als Haaptregel Organisatiounen mat op d'mannst 50 Mataarbechter oder engem jäerlechen Ëmsaz oder enger Bilanz vun iwwer 10 Milliounen Euro. Verschidde Parteien sinn onofhängeg vun der Gréisst ofgedeckt.
Ginn ech informéiert, wann meng Organisatioun ënner dem Schutz läit?
Nee. D'Organisatioune sinn selwer verantwortlech fir ze evaluéieren, ob se ënner de Cybersécherheetsgesetz falen. Waarden riskéiert, datt Verpflichtungen gëllen, ier d'Evaluatioun gemaach gouf.
Wat ass den Ënnerscheed tëscht enger essentieller an enger wichteger Entitéit?
Et bestëmmt d'Intensitéit vun der Iwwerwaachung an den Niveau vu potenziellen Geldstrofen. Essentiell Entitéite sinn enger proaktiver Iwwerwaachung ënnerworf, wou de Supervisor op eegen Initiativ kontrolléiere kann. Wichteg Entitéite sinn enger reaktiver Iwwerwaachung ënnerworf, ausgeléist duerch en Tëschefall, eng Reklamatioun oder en anert Signal.
Wat ëmfaasst d'Sorgfaltspflicht?
Entspriechend an proportionell technesch, operationell an organisatoresch Moossnamen ergräifen, fir d'Risike fir Äert Netzwierk an Informatiounssystemer ze verwalten, andeems Dir Themen wéi Risikoanalyse, Incidentbehandlung, Geschäftskontinuitéit, Sécherheet an der Liwwerkette, Cyberhygiene, Schwachstelle, Multifaktor-Authentifikatioun a Kryptographie ofdeckt. Dir musst fäeg sinn ze begrënnen, firwat déi gewielte Moossname passend sinn.
Wéi eng Notifikatiounsfristen gëllen no engem Tëschefall?
Eng fréizäiteg Warnung bannent 24 Stonnen, eng formell Notifikatioun bannent 72 Stonnen mat enger éischter Bewäertung vun der Schwéierkraaft an den Auswierkungen, an e Schlussbericht spéitstens bannent engem Mount. De Notifikatiounsprozess am Viraus festleeën.
Muss meng Organisatioun sech registréieren?
Jo. D'Aschreiwung am nationale Entitéitsregister ass vum 15. August 2026 un obligatoresch a leeft iwwer MijnNCSC, iwwer eHerkenning oder, fir ëffentlech Organer, iwwer SSOnRijk. Ännerunge mussen innerhalb vu véierzéng Deeg gemellt ginn. Soubal Dir Iech registréiert hutt, kënnt Dir Iech mat de Servicer vun Ärem CSIRT verbannen.
Wéi eng Verantwortung läit beim Verwaltungsrot?
De Verwaltungsrot muss d'Sécherheetsmoossname guttgeheescht hunn, hir Ëmsetzung iwwerwaachen, d'Cyberrisiken evaluéiere kënnen a selwer eng Ausbildung absolvéieren. D'Direktiv behandelt d'perséinlech Haftung vum Senior Management fir Net-Konformitéit, dofir sollen Entscheedungen, Ausbildungen an Iwwerwaachung noweisbar festgehale ginn.
Wéi héich sinn d'Strofen?
Fir wesentlech Entitéiten op d'mannst 10 Milliounen EUR oder 2% vum weltwäite Joresëmsaz; fir wichteg Entitéiten op d'mannst 7 Milliounen EUR oder 1.4%, jee nodeem wat méi héich ass. De schlussendleche Betrag hänkt vu Faktoren of, wéi der Natur, dem Schwéiergrad an der Dauer vun der Verletzung an dem Grad vun der Schold.
Wien iwwerwaacht d'Konformitéit?
Dat variéiert jee no Secteur. Vum 15. August 2026 un iwwerwaacht déi hollännesch Autoritéit fir Digital Infrastruktur Organisatiounen an néng Secteuren; fir aner Secteuren ginn aner Supervisoren designéiert. Fannt eraus, wéi ee Supervisor fir Är Organisatioun kompetent ass.
Firwat gouf Holland virum Geriichtshaff bruecht?
Fir déi spéit Ëmsetzung vum NIS2. Den 8. Juli 2026 huet d'Europäesch Kommissioun decidéiert, Holland, zesumme mat Irland, Spuenien a Frankräich, viru Geriicht ze ruffen, well se d'Ëmsetzungsmoossnamen net gemellt hunn. D'Tatsaach, datt de Cybersécherheetsgesetz een Dag virdrun ugeholl gouf, beendet dëse Prozess net eleng.
Gëllt dat och fir meng Fournisseuren?
D'Sécherheet vun der Liwwerketten ass ee vun den Themen, déi d'Sorgfaltspflicht betreffen. E groussen Deel vu Schwachstelle gëtt et bei Liwweranten a Serviceprovider. Iwwerpréift Är Kontrakter iwwer Sécherheetsarrangementer, Notifikatiounspflichten an Auditrechter.
