Am 15. August 2026 wird es für viele Organisationen in den Niederlanden konkreter: Die Cyberbeveiligingswet Cbw und die Wet weerbaarheid kritieke entiteiten treten dann gleichzeitig in Kraft. Mit der Cyberbeveiligingswet setzt das Land die europäische NIS2-Richtlinie um und schafft neue Anforderungen an die digitale Absicherung – damit wesentliche Dienstleistungen auch bei Störungen verlässlich weiterlaufen können.
Für Betroffene gilt ab diesem Datum: Es gibt neue Pflichten, neue Wege zur Meldung von Vorfällen und klare Erwartungen an verantwortliche Stellen im Unternehmen. In diesem Beitrag erklären wir verständlich, worum es bei der Cyberbeveiligingswet Cbw geht und wie man sich frühzeitig vorbereiten kann.
Was ändert sich ab 15. August 2026?
Die Zustimmung des Senats am 7. Juli 2026 ebnet den Weg: Die Gesetze werden am 15. August 2026 wirksam. Ab dann gelten für mehr als 8.000 Organisationen neue Verpflichtungen rund um die Cybersecurity.
Zusätzlich werden Organisationen, die unter das Gesetz zur Widerstandsfähigkeit kritischer Entitäten fallen, ab diesem Zeitpunkt formell als kritische Entität ausgewiesen. Das schafft Klarheit darüber, wer besonders eng in den Schutz kritischer Leistungen eingebunden ist.
Cyberbeveiligingswet Cbw: Zweck und Einordnung
Die Cyberbeveiligingswet Cbw implementiert die europäische NIS2-Richtlinie in niederländisches Recht. Sie ersetzt die bisherige Regelung zur Sicherheit von Netzwerk- und Informationssystemen (Wbni).
Wichtig ist: Ob eine Organisation tatsächlich unter die Cyberbeveiligingswet fällt, liegt nicht „automatisch“ fest. Der Gesetzgeber macht deutlich, dass Unternehmen selbst prüfen müssen, ob ihre Leistungen in den Anwendungsbereich fallen.
Welche Organisationen sind betroffen?
Die Cyberbeveiligingswet gilt für Organisationen, die essenzielle oder wichtige Dienste bereitstellen. Dabei überwacht die Regelung Organisationen aus 18 Sektoren.
Zu den genannten Bereichen zählen unter anderem:
- Energie
- Trinkwasser
- Digitale Infrastruktur
- Gesundheitsversorgung
- Behörden (öffentliche Verwaltung)
- Transport
Wenn Ihre Organisation in einem dieser Sektoren aktiv ist, lohnt sich eine sorgfältige Bewertung, ob die konkreten Tätigkeiten als „essentiell“ oder „wichtig“ einzuordnen sind.
Neue Pflichten unter der Cyberbeveiligingswet Cbw
Für betroffene Organisationen bringt die Cyberbeveiligingswet Cbw mehrere zentrale Anforderungen mit sich. Im Mittelpunkt stehen dabei Registrierung, verantwortungsvolle Schutzmaßnahmen, strukturierte Kommunikation bei Vorfällen und ein klarer Rahmen für Governance.
1) Registrierung im Entitätenregister
Eine der ersten und sichtbarsten Maßnahmen ist die Registrierungspflicht. Organisationen müssen sich im Entitätenregister eintragen. Zuständig dafür ist das Nationaal Cyber Security Centrum (NCSC).
Die Registrierung wird ab dem 15. August 2026 verbindlich. Wer rechtzeitig startet, reduziert das Risiko von Verzögerungen im Prozess.
2) Sorgfaltspflicht für Netzwerk- und Informationssysteme
Mit der Zorgplicht wird erwartet, dass Organisationen Risiken für die Sicherheit ihrer Netzwerk- und Informationssysteme wirksam steuern. Dazu gehört nicht nur, Sicherheitsmaßnahmen einzuführen, sondern auch, sie so auszulegen, dass Zwischenfälle verhindert oder zumindest deren Folgen begrenzt werden.
Praktisch bedeutet das: Es reicht nicht, „irgendwelche“ Kontrollen zu haben. Organisationen müssen ein nachvollziehbares Sicherheitsniveau aufbauen und aufrechterhalten.
3) Meldepflicht bei signifikanten Vorfällen
Außerdem gibt es eine Meldpflicht: Signifikante Vorfälle müssen innerhalb der gesetzlichen Fristen an das CSIRT und die zuständige Behörde gemeldet werden. Die Meldung erfolgt über ein Meldeportal.
Damit der Prozess im Ernstfall funktioniert, sollten Organisationen die Rollen, Informationswege und Meldekriterien vorher definieren und üben.
4) Verantwortlichkeit des Vorstands
Ein weiterer Kernpunkt betrifft die bestuurlijke verantwoordelijkheid – also die Verantwortung auf Vorstandsebene. Das bedeutet: Das Management trägt die Endverantwortung für das Cyber-Risikomanagement.
Für diese Aufgabe wird erwartet, dass Entscheider über ausreichendes Wissen verfügen, um Risiken und Sicherheitsmaßnahmen bewerten zu können. Dazu zählt auch eine passende Schulung für Führungskräfte.
5) Aufsicht und Durchsetzung
Schließlich wird die Einhaltung überwacht: Aufsichtsbehörden prüfen, ob Organisationen die Anforderungen der Cyberbeveiligingswet erfüllen. Wer seine Pflichten nicht erfüllt, muss damit rechnen, dass Kontrollen folgen.
So bereiten sich Organisationen Richtung 15. August 2026 vor
Da die Umstellung zeitlich eng ist, sollten betroffene Organisationen jetzt strukturiert planen. Eine sinnvolle Reihenfolge hilft dabei, keine wichtigen Schritte zu übersehen.
Erster Schritt: Registrierung vorbereiten
Da die Registrierung beim NCSC ab dem 15. August 2026 verpflichtend ist, empfiehlt es sich, den Prozess frühzeitig vorzubereiten. Eine Checkliste kann helfen, interne Daten, Verantwortlichkeiten und Dokumente rechtzeitig zusammenzustellen.
Wer die Registrierung sauber vorbereitet, kann außerdem sicherstellen, dass die Organisation nach der Eintragung nahtlos Unterstützung abrufen kann.
Anschluss an die CSIRT-Dienstleistungen
Nach erfolgter Registrierung können Organisationen sich an die Dienstleistungen ihres CSIRT anschließen. Dort erhalten sie Produkte und Services, die die Widerstandsfähigkeit des Unternehmens erhöhen sollen – inklusive Unterstützung für den Fall eines Vorfalls.
Das ist ein wichtiger Hebel: Cybersecurity wird damit nicht nur als „Pflicht“, sondern auch als durch Unterstützung gestützte Aufgabe verstanden.
Wet weerbaarheid kritieke entiteiten: Was steht zusätzlich an?
Neben der Cyberbeveiligingswet tritt auch die Wet weerbaarheid kritieke entiteiten in Kraft. Diese setzt die europäische CER-Richtlinie um und zielt darauf ab, kritische Infrastruktur und wirtschaftliche Aktivitäten in Europa besser vor Bedrohungen zu schützen.
Als mögliche Risiken werden unter anderem Folgen von terroristischen Straftaten, Sabotage und Naturkatastrophen genannt. Das Gesetz betrifft etwa 500 Organisationen.
Genannt werden (unter anderem) folgende Sektoren:
- Energie
- Transport
- Bankwesen
- Infrastruktur für den Finanzmarkt
- Gesundheitsversorgung
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- Behörden
- Raumfahrt
- Nuklear
- Chemie
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Meteorologie
Ob eine Organisation unter dieses Gesetz fällt, entscheidet eine Fachministerin bzw. ein Fachminister durch die Benennung als kritische Entität.
Warum das für Organisationen mehr als „IT“ ist
Die neue Ausrichtung macht deutlich: Cybersecurity hängt direkt mit der Kontinuität essentieller Dienstleistungen zusammen. Der Gedanke dahinter ist, dass Angriffe oder andere Störungen – auch durch physische Ereignisse – die Funktionsfähigkeit kritischer Leistungen treffen können.
Entsprechend wird von Organisationen erwartet, dass sie Risiken nicht isoliert betrachten, sondern in ein Gesamtbild aus Technik, Prozessen und Verantwortung einordnen.
Fazit: Jetzt aktiv werden
Die Cyberbeveiligingswet Cbw tritt am 15. August 2026 in Kraft und bringt neue Pflichten für über 8.000 Organisationen mit sich. Dazu zählen die Registrierung im Entitätenregister, eine Sorgfaltspflicht für Sicherheitsmaßnahmen, eine Meldpflicht für signifikante Vorfälle, die Verantwortung des Vorstands sowie die Aufsicht durch zuständige Stellen.
Wer frühzeitig mit der Vorbereitung beginnt – insbesondere bei der Registrierung und beim Aufbau klarer Melde- und Verantwortungsprozesse – schafft die Grundlage, um ab dem Stichtag nicht nur formal konform zu sein, sondern auch operativ handlungsfähig zu bleiben.
Quelle: https://www.ncsc.nl/nieuws/cbw-en-wwke-vanaf-15-augustus-2026-van-kracht
