NIS2-Richtlinie: Niederlande setzt 8.000 Organisationen unter Druck
Veröffentlicht am: 18.08.2026 um 00:43 Uhr | Redaktion boerse-global.de
In den Niederlanden ist am 15. August 2026 die nationale Umsetzung der europäischen NIS2-Richtlinie in Form des neuen Cybersicherheitsgesetzes (Cyberbeveiligingswet) in Kraft getreten. Von den verschärften Regularien sind nach offiziellen Angaben über 8.000 Organisationen in kritischen Sektoren betroffen. Die Neuregelung sieht weitreichende Pflichten für das Risikomanagement und die Meldung von Sicherheitsvorfällen vor.
Verpflichtungen für Management und Lieferketten
Mit dem Inkrafttreten der Cyberbeveiligingswet müssen betroffene Organisationen in den Niederlanden zwingend ein aktives Risikomanagement betreiben. Sicherheitsrelevante Vorfälle sind künftig an das nationale Cybersicherheitszentrum (NCSC) zu melden.
Zudem besteht die Pflicht, sich in einem nationalen Entitätenregister zu registrieren. Ein zentraler Aspekt der Gesetzgebung ist die ausdrückliche Haftung der Geschäftsleitung: Die sogenannten Bestuurders tragen die direkte Verantwortung für die Informationssicherheit ihrer Organisationen.
Die gesetzlichen Anforderungen beschränken sich dabei nicht nur auf die unmittelbar betroffenen Unternehmen. Auch Partner und Lieferanten, die nicht primär zur Zielgruppe der kritischen Infrastruktur gehören, müssen künftig spezifische Sicherheitsanforderungen erfüllen, um die Integrität der gesamten Wertschöpfungskette zu gewährleisten.
Vergleich zur Rechtslage in Deutschland
Während die Niederlande ihre Gesetzgebung im August 2026 finalisiert haben, gilt in Deutschland das entsprechende NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz bereits seit dem 6. Dezember 2025. Hierbei wurde auf eine Übergangsfrist verzichtet.
Wer die IT-Sicherheit im eigenen Unternehmen proaktiv stärken will, findet in diesem Ratgeber wertvolle Tipps zu aktuellen Bedrohungen und neuen gesetzlichen Anforderungen. Gratis-E-Book zur Cyber Security jetzt herunterladen
In Deutschland sind schätzungsweise 29.500 bis 30.000 Einrichtungen und Unternehmen von den Regelungen betroffen. Diese Organisationen waren verpflichtet, sich innerhalb von drei Monaten nach Inkrafttreten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren.
Das deutsche BSI-Gesetz sieht strikte Zeitpläne für die Meldung von Sicherheitsvorfällen vor. Eine erste Meldung muss innerhalb von 24 Stunden erfolgen, gefolgt von einem ausführlichen Bericht nach 72 Stunden. Ein finaler Abschlussbericht wird nach einem Monat fällig.
Ähnlich wie in den Niederlanden verankert auch das deutsche Recht in §38 BSIG die Informationssicherheit als wesentliche Leitungsaufgabe. Zudem fordert §30 BSIG ein umfassendes Krisenmanagement sowie die Berücksichtigung von Risiken innerhalb der Lieferketten.
Angesichts steigender Anforderungen an die IT-Infrastruktur hilft eine strukturierte Checkliste dabei, Sicherheitslücken frühzeitig zu erkennen und präventiv zu schließen. Kostenlose Experten-Checkliste für IT-Sicherheit sichern
Sanktionen und europäischer Rahmen
Die EU-weite Frist zur Umsetzung der NIS2-Richtlinie, die ursprünglich auf den 17. Oktober 2024 datiert war, wurde von zahlreichen Mitgliedstaaten verpasst.
Während Deutschland Ende 2025 und Luxemburg im Mai 2026 folgten, markiert der jetzige Schritt in den Niederlanden einen weiteren Meilenstein in der europäischen Harmonisierung der Cybersicherheit. Ergänzt wird NIS2 durch die CER-Richtlinie, welche die physische Resilienz kritischer Infrastrukturen fokussiert.
Bei Verstößen gegen die neuen Sicherheitsvorgaben drohen empfindliche Bußgelder. Für sogenannte „wesentliche Einrichtungen“ (Essential Entities) können Strafen von bis zu 10 Millionen Euro oder alternativ bis zu 2 Prozent des weltweiten Jahresumsatzes verhängt werden. Für „wichtige Einrichtungen“ (Important Entities) liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent des globalen Umsatzes.
In Irland hat das NCSC bereits reagiert und einen Leitfaden für Management-Boards veröffentlicht. Dieser sieht vor, dass Geschäftsleitungen Cybersicherheitsmaßnahmen nicht nur zustimmen, sondern diese auch aktiv überwachen und Schulungen für die Belegschaft sicherstellen müssen.
Aktuelle Bedrohungslage in der IT-Infrastruktur
Die Dringlichkeit der gesetzlichen Maßnahmen wird durch aktuelle Daten zur Cybersicherheit untermauert. Eine Analyse von 15 Millionen IT-Systemen weltweit bescheinigt Deutschland eine Risikodichte von 34 Prozent, wobei 7 Prozent der Systeme hochgradig schwere Schwachstellen aufweisen.
Besonders verwundbar zeigen sich KRITIS-Sektoren wie die Forschung mit einer Quote von 57 Prozent und das Gesundheitswesen mit 50 Prozent. Im Finanzsektor liegt dieser Wert bei 10 Prozent. Laut Berichten des BSI werden täglich 119 neue Schwachstellen registriert, was einem Anstieg von 25 Prozent gegenüber dem Vorjahr entspricht.
