NIS2-Checkliste für den Mittelstand
NIS2-Checkliste für den Mittelstand: Fällt Ihre Organisation unter das niederländische Cybersicherheitsgesetz (seit 15. August 2026), und was regeln Sie?
NIS2 und das niederländische Cybersicherheitsgesetz in Kürze
Was gilt
NIS2 ist eine europäische Richtlinie: (EU) 2022/2555. Eine Richtlinie gilt nicht unmittelbar für Ihre Organisation. Jeder Mitgliedstaat setzt sie in ein eigenes Gesetz um, und die Mitgliedstaaten mussten das spätestens bis zum 17. Oktober 2024 tun.
In den Niederlanden ist das das Cybersicherheitsgesetz (Cyberbeveiligingswet, Cbw). Es gilt seit dem 15. August 2026 und löst das Gesetz zur Sicherheit von Netz- und Informationssystemen (Wet beveiliging netwerk- en informatiesystemen, Wbni) ab. Der Erlass zum Cybersicherheitsgesetz (Cyberbeveiligingsbesluit, Staatsblad 2026, 189) legte dieses Datum fest. Für Organisationen in den Niederlanden zählt also das niederländische Gesetz; die Richtlinie erklärt, woher dieses Gesetz kommt.
Dieser Kurzleitfaden hilft Ihnen festzustellen, ob Sie darunter fallen und was Sie regeln müssen. Er ist keine Rechtsberatung.
Fällt Ihre Organisation darunter?
Das niederländische Gesetz gilt für Organisationen, die wesentliche oder wichtige Dienste in 18 Sektoren erbringen. Sie stellen selbst fest, ob Sie darunter fallen. Eine Auswahl der Sektoren:
Wesentliche Einrichtungen
- Energie (Strom, Öl, Gas, Wasserstoff)
- Verkehr (Luft, Schiene, Wasser, Straße)
- Gesundheitswesen
- Trinkwasser
- Digitale Infrastruktur (DNS, Internetknoten, Top-Level-Domains, Cloud, Rechenzentren)
- Öffentliche Verwaltung
Wichtige Einrichtungen
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Herstellung von Medizinprodukten
- Digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
Was das Gesetz von Ihnen verlangt
Registrieren
Organisationen, die unter das Gesetz fallen, registrieren sich im nationalen Einrichtungsregister des NCSC. Danach erhalten Sie vom NCSC oder vom CSIRT Ihres Sektors Informationen über Bedrohungen und Hilfe bei Vorfällen.
Die Geschäftsleitung ist verantwortlich
Die Geschäftsleitung billigt die Sicherheitsmaßnahmen und überwacht die Umsetzung. Mitglieder der Geschäftsleitung müssen genug wissen, um Risiken und Maßnahmen zu beurteilen, und nehmen dazu an einer passenden Schulung teil.
Maßnahmen ergreifen (Sorgfaltspflicht, Artikel 21 der Richtlinie)
Sie ergreifen angemessene und verhältnismäßige Maßnahmen, um die Risiken für Ihre Netz- und Informationssysteme zu beherrschen. Die Richtlinie nennt unter anderem diese Themen:
| Maßnahme | Was es ist | Nachweis, den Sie zeigen können |
|---|---|---|
| Risikoanalyse | Regelmäßige Beurteilung von Bedrohungen | Risikoregister, BIA |
| Vorfallmanagement | Erkennung, Reaktion und Wiederherstellung | Vorfallprotokolle, Drehbücher |
| Betriebskontinuität | Backups und Wiederherstellung nach einer Katastrophe | Wiederherstellungspläne, Testberichte |
| Lieferkette | Lieferanten beurteilen und beobachten | Lieferantenbeurteilungen |
| Netz- und Systemsicherheit | Technische Sicherheit | Härtungsrichtlinien |
| Zugriffsverwaltung | Identitäten und Rechte verwalten | Zugriffsprotokolle, MFA-Übersicht |
| Kryptografie | Verschlüsselung gespeicherter und übertragener Daten | Zertifikate, Schlüsselverwaltung |
| Personal | Sensibilisierung und Überprüfung | Schulungsnachweis |
| Asset-Management | Inventar kritischer Systeme | CMDB, Asset-Register |
| Authentifizierung | MFA und starke Passwörter | MFA-Abdeckung |
Vorfälle melden (Meldepflicht, Artikel 23 der Richtlinie)
Einen erheblichen Vorfall melden Sie an Ihr CSIRT und Ihre Aufsichtsbehörde, über das Meldeportal des NCSC. Wann ein Vorfall erheblich ist, steht pro Sektor in einer ministeriellen Regelung. Die Fristen aus der Richtlinie:
- Eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie den Vorfall entdeckt haben.
- Eine Vorfallmeldung innerhalb von 72 Stunden, mit einer ersten Einschätzung der Folgen.
- Zwischenberichte, wenn die Aufsichtsbehörde darum bittet.
- Ein Abschlussbericht innerhalb eines Monats, mit der Ursache und den getroffenen Maßnahmen.
Aufsicht und Bußgelder
Aufsichtsbehörden prüfen, ob Sie die Pflichten einhalten. Die Richtlinie (Artikel 34) nennt als Höchstbetrag eines Bußgelds mindestens:
- für wesentliche Einrichtungen: 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes
- für wichtige Einrichtungen: 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes
Außerdem kann eine Aufsichtsbehörde Audits und Inspektionen durchführen und verbindliche Anweisungen erteilen.
Checkliste für den Start
Geschäftsleitung (Woche 1 bis 4)
- Bestimmen Sie eine verantwortliche Person mit einem Mandat der Geschäftsleitung
- Lassen Sie die Geschäftsleitung die Schulung zu den Pflichten absolvieren
- Stellen Sie fest, ob Ihre Organisation darunter fällt, als wesentliche oder als wichtige Einrichtung
- Registrieren Sie Ihre Organisation im Einrichtungsregister des NCSC
Technik (Woche 4 bis 12)
- Erstellen Sie ein Inventar Ihrer Systeme und Daten
- Führen Sie eine Risikoanalyse der kritischen Systeme durch
- Schalten Sie MFA für jeden Zugang ein
- Richten Sie zentrales Logging ein
- Trennen Sie Ihr Netzwerk in Segmente
Organisation (Woche 8 bis 16)
- Schreiben Sie einen Plan zur Reaktion auf Vorfälle
- Üben Sie den Plan mit einer Tischübung
- Halten Sie fest, wie Sie an das CSIRT und die Aufsichtsbehörde melden
- Erfassen Sie die Risiken Ihrer Lieferanten
- Richten Sie Backups und Wiederherstellung ein, und testen Sie sie
Laufend
- Scannen Sie regelmäßig auf Schwachstellen
- Überprüfen Sie Ihre Risikoanalyse jedes Jahr
- Halten Sie die Sensibilisierung aktuell, zum Beispiel jedes Quartal
- Prüfen Sie jeden Monat, ob die Updates installiert sind
Wo Noveu steht
Noveu unterstützt Ihre Organisation mit diesen technischen Maßnahmen und Informationen:
| Thema | Was Noveu tut |
|---|---|
| Zugriffsverwaltung | Ein Noveu-Login über OpenID Connect, mit TOTP und Passkeys, für Nutzer optional |
| Datenstandort | Ihre Daten und Backups werden in Deutschland gespeichert, in einem Hetzner-Rechenzentrum in Falkenstein. Cloudflare (USA) sitzt am Rand des Netzwerks, Mistral (Frankreich) schreibt den Text der KI-Funktionen, und Zahlungsdaten gehen an Stripe. |
| Lieferkette | Alle Unterauftragsverarbeiter stehen auf unserer Liste der Unterauftragsverarbeiter (auf Niederländisch) |
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex, abgerufen am 29. September 2026
- Rijksoverheid: Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht, Nachricht vom 15. August 2026, abgerufen am 29. September 2026
- Cyberbeveiligingsbesluit, Staatsblad 2026, 189, abgerufen am 29. September 2026
- Nationaal Cyber Security Centrum (NCSC), abgerufen am 29. September 2026
Dieses Dokument ist informativ. Holen Sie für Ihre eigene Situation Rechtsberatung ein.
Wie geht es weiter?
Möchten Sie wissen, wie das für Ihre Organisation aussieht? Sehen Sie, wie Noveu dabei vorgeht, oder vereinbaren Sie ein Gespräch.