NIS2 für die Geschäftsleitung: fallen Sie darunter und wofür stehen Sie ein?

Sie sitzen im Vorstand einer Pflegeeinrichtung oder eines mittelgroßen Unternehmens. Der IT-Leiter erwähnt NIS2 in einem Nebensatz. Sie fragen, ob das etwas für die Geschäftsleitung ist. Die Antwort ist ja, und eigentlich vor allem für die Geschäftsleitung.

Seit dem 15. August 2026 ist das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet) in Kraft, die niederländische Umsetzung der europäischen NIS2-Richtlinie (rijksoverheid.nl, 15. August 2026). Das Gesetz löst das alte Wbni ab. Nach diesem Beitrag wissen Sie, ob Sie darunter fallen und was Sie diesen Monat regeln. Sind Sie selbst IT-Verantwortlicher, lesen Sie auch unseren Leitfaden für die ersten 30 Tage.

Was hat sich geändert?

Die erste NIS-Richtlinie von 2016 galt für eine kleine Gruppe wichtiger Anbieter. NIS2 (Richtlinie (EU) 2022/2555) zog den Kreis deutlich weiter:

• Von 7 auf 18 Sektoren, von Energie und Gesundheit bis zu Abfallwirtschaft, Lebensmitteln und digitalen Diensten.
• Die Geschäftsleitung billigt die Maßnahmen, überwacht sie und nimmt selbst an einer Schulung teil.
• Eine Meldepflicht mit festen Fristen, beginnend mit einer Warnung innerhalb von 24 Stunden.
• Anforderungen an die Sicherheit Ihrer Lieferanten.
• Höhere Bußgelder.

Fallen Sie darunter?

Das niederländische Gesetz unterscheidet wesentliche und wichtige Einrichtungen. Welche Sie sind, hängt von Ihrem Sektor und Ihrer Größe ab.

• In Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Raumfahrt ist eine große Organisation meist eine wesentliche Einrichtung und eine mittelgroße meist eine wichtige.
• In Sektoren wie Post und Kurierdiensten, Abfallwirtschaft, Chemie, Lebensmitteln, verarbeitendem Gewerbe, digitalen Anbietern und Forschung ist eine mittelgroße oder große Organisation eine wichtige Einrichtung.

Als Faustregel gilt das Gesetz ab mittlerer Größe: 50 Mitarbeitende oder mehr, oder ein Jahresumsatz und eine Bilanzsumme über 10 Millionen Euro. Kleinere Organisationen können darunter fallen, wenn sie eine besondere Rolle haben, zum Beispiel als einziger Anbieter einer Dienstleistung.

Beachten Sie: Sie bestimmen selbst, ob Sie darunter fallen. Niemand schickt Ihnen einen Brief. Fallen Sie darunter, registrieren Sie sich im Einrichtungsregister des NCSC.

Wofür sind Sie selbst verantwortlich?

Die Geschäftsleitung billigt die Sicherheitsmaßnahmen und überwacht ihre Umsetzung. Sie können die Arbeit an die IT delegieren, die Verantwortung nicht. In der Praxis heißt das: Cybersicherheit steht fest auf der Tagesordnung der Geschäftsleitung, mit einem Bericht der IT, genau wie die Zahlen. Bei wesentlichen Einrichtungen kann eine Aufsichtsbehörde im äußersten Fall sogar ein Mitglied der Geschäftsleitung vorübergehend suspendieren (Artikel 32 der Richtlinie).

Die Maßnahmen selbst betreffen das Risikomanagement: eine Risikoanalyse, Vorfallbehandlung, Backups und Wiederherstellung, die Sicherheit Ihrer Lieferanten, Verschlüsselung und Zugriffsverwaltung. Nichts davon ist exotisch. Der Unterschied ist, dass Sie es jetzt zeigen können müssen.

Was, wenn etwas schiefgeht?

Einen erheblichen Vorfall melden Sie in drei Schritten. Zuerst eine Frühwarnung innerhalb von 24 Stunden, dann eine Meldung innerhalb von 72 Stunden und zuletzt ein Abschlussbericht innerhalb eines Monats. Sie melden an Ihr CSIRT und Ihre Aufsichtsbehörde, über das Meldeportal des NCSC.

Die Bußgelder folgen Artikel 34 der Richtlinie. Für wesentliche Einrichtungen geht es um höchstens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen sind es 7 Millionen Euro oder 1,4 Prozent. Der höhere Betrag zählt.

Was Sie diesen Monat regeln

1. Lassen Sie feststellen, ob Sie darunter fallen, und als was. Halten Sie die Begründung fest.
2. Registrieren Sie sich beim NCSC, wenn Sie darunter fallen.
3. Bitten Sie um eine Nullmessung: Wo steht die Organisation im Verhältnis zur Sorgfaltspflicht?
4. Tragen Sie die Schulung der Geschäftsleitung in Ihren eigenen Kalender ein, nicht nur in den der IT.
5. Vereinbaren Sie, wer einen Vorfall meldet, auch mitten in der Nacht und am Wochenende.

Viele Maßnahmen knüpfen an das an, was Sie vielleicht schon für ISO 27001 tun. Beginnen Sie dort und ergänzen Sie, was fehlt. Und fragen Sie Ihre wichtigsten Lieferanten, wie sie mit NIS2 umgehen. Ihre Antwort sagt viel.

Wie Noveu diese Maßnahmen technisch ausgestaltet, mit dem Status pro Rahmenwerk, lesen Sie auf unserer Compliance-Seite.