Die Cyberbeveiligingswet befindet sich kurz vor dem Abschluss: Am 6. und 7. Juli 2026 berät die Erste Kammer über das Gesetz zur Umsetzung der europäischen NIS2-Richtlinie. Im Anschluss folgt eine Abstimmung. Wenn das Vorhaben angenommen wird, ist mit einem Inkrafttreten am 15. August 2026 zu rechnen.
Für Organisationen, die unter die Regelung fallen, bedeutet das: Ab dann greifen neue Pflichten rund um digitale Widerstandsfähigkeit und Cybersecurity-Management. Jetzt ist der richtige Zeitpunkt, um Klarheit zu schaffen und die nächsten Schritte vorzubereiten.
Was die Cyberbeveiligingswet in Deutschland bewirkt
Die Cyberbeveiligingswet setzt die europäische NIS2-Richtlinie in den Niederlanden um. Ziel ist es, die digitale Widerstandsfähigkeit von Organisationen zu erhöhen. Laut den veröffentlichten Informationen betrifft das mehr als 8.000 Organisationen.
Entscheidend ist: Organisationen müssen selbst prüfen, ob sie vom Gesetz erfasst werden. Das ist die Grundlage für alle folgenden Maßnahmen – von organisatorischen Prozessen bis hin zu Meldewegen und Nachweisen gegenüber Aufsicht oder Stakeholdern.
Pflichten ab Inkrafttreten: Registrierung, Sorgfalt und Meldungen
Sobald die Cyberbeveiligingswet in Kraft tritt, kommen für betroffene Organisationen mehrere verbindliche Anforderungen hinzu. Die wichtigsten Punkte lassen sich in der Praxis in fünf Bereiche aufteilen.
1) Registrierung beim NCSC
Eine zentrale Neuerung ist die Registrierung beim Nationaal Cyber Security Centrum (NCSC). Damit wird die Behörde in die Lage versetzt, betroffene Akteure zu identifizieren und die Umsetzung der gesetzlichen Anforderungen besser nachzuvollziehen.
2) Gesetzliche Cybersecurity-Sorgfalt
Darüber hinaus besteht eine gesetzliche Sorgfaltspflicht im Bereich Cybersecurity. Vereinfacht gesagt heißt das: Es reicht nicht, einzelne technische Maßnahmen „irgendwie“ bereitzuhalten. Organisationen müssen ein angemessenes Sicherheitsniveau organisieren und verantworten.
3) Meldepflicht für signifikante Vorfälle
Wenn es zu signifikanten Vorfällen kommt, gilt eine Meldepflicht. Damit wird ein geregeltes Vorgehen erforderlich: interne Bewertung, Einstufung der Bedeutung und anschließende Meldung nach den Vorgaben.
4) Nachweisbare Cybersecurity-Kenntnisse der Führung
Ein weiterer Punkt betrifft die Unternehmensleitung: Führungskräfte müssen nachweisbar über Cybersecurity-Kenntnisse verfügen. Das kann in der Umsetzung beispielsweise durch Schulungen, Informations- und Entscheidungsprozesse sowie dokumentierte Verantwortlichkeiten abgesichert werden.
5) Risikomanagement für Lieferanten und gesamte Lieferkette
Schließlich verlangt das Gesetz ein verpflichtendes Risikomanagement – nicht nur für die eigene Organisation, sondern auch für Lieferanten und die gesamte Lieferkette. Damit rückt das Thema „Third-Party-Risiken“ stärker in den Mittelpunkt: Wer liefert? Wie werden Risiken bewertet? Welche Anforderungen werden vertraglich und organisatorisch umgesetzt?
Erste Vorbereitung: Risikoanalyse und Lagebild erstellen
Die Empfehlung lautet klar: nicht abwarten, sondern frühzeitig mit der Umsetzung beginnen. Ein sinnvoller Startpunkt ist eine erste Risikoanalyse, um ein realistisches Bild der aktuellen Lage zu erhalten.
Dabei sollten Sie nicht nur die größten Bedrohungen betrachten, sondern auch prüfen, welche Maßnahmen bereits vorhanden sind, um Cyberrisiken zu steuern. Oft entstehen Lücken nicht auf dem Papier, sondern in konkreten Prozessen: bei Incident Handling, bei Zugriffskontrollen oder beim Management externer Dienstleister.
Registrierung rechtzeitig vorbereiten
Neben der technischen und organisatorischen Arbeit spielt die Registrierung eine Rolle. Da die Umsetzung planbar sein muss, ist es ratsam, frühzeitig die dafür notwendigen Informationen zusammenzustellen. Auf diese Weise vermeiden Sie Stress kurz vor dem Stichtag.
Wer bereits weiß, dass er zu den vom Gesetz erfassten Organisationen gehört, kann die Registrierung mit den Ergebnissen der Risikoarbeit verbinden: Zuständigkeiten, Sicherheitsziele und Kommunikationswege lassen sich dann konsistent dokumentieren.
Stand der Gesetzgebung: Beratung und Antworten in der Phase kurz vor der Abstimmung
Die Cyberbeveiligingswet befindet sich in der letzten Phase der parlamentarischen Behandlung. Am 2. Juni 2026 hat die Erste Kammer einen Bericht zum Gesetzentwurf veröffentlicht. In diesem Bericht wurden unter anderem Fragen zu Durchführung, Aufsicht und den Folgen für Organisationen angesprochen.
Die Regierung hat die Fragen in einer Nota beantwortet. Außerdem zeigte sich während der Sitzung am 23. Juni 2026, dass eine Frage einer Fraktion zunächst noch offen geblieben war. Diese ist inzwischen beantwortet worden, wodurch die schriftliche Behandlung als abgeschlossen gilt.
Damit ist der Weg für die abschließenden Beratungen im Juli vorbereitet. Für Unternehmen bedeutet das: Politisch wird es bald konkreter, organisatorisch sollten Sie jedoch bereits jetzt handeln.
Zusatzthema: Wwke und zusätzliche Resilienzanforderungen
In der gleichen Zeit wird parallel auch die Wet weerbaarheid kritieke entiteiten (Wwke) behandelt. Diese Regelung zielt darauf ab, die Widerstandsfähigkeit von Organisationen zu verbessern, die in den Niederlanden essentielle Dienste liefern.
Wichtig ist: Der Fokus liegt nicht ausschließlich auf Cybersecurity. Die Wwke betrachtet auch Schutz gegen verschiedene Bedrohungen, etwa durch Naturkatastrophen, Terrorismus, Sabotage und andere Störungen. Dadurch sollen Organisationen vorbereitet sein, um ihre wichtigen Aufgaben auch bei unterschiedlichen Risiken weiter ausführen zu können.
Wenn Sie bereits an der Cyberbeveiligingswet arbeiten, kann es sinnvoll sein, diese Anforderungen mit den Überlegungen zur Wwke zu verknüpfen – etwa durch gemeinsame Notfallplanungs- oder Resilienzprozesse.
Was Sie jetzt konkret tun können
Damit aus der Vorbereitung keine reine Theorie wird, bietet sich eine pragmatische Reihenfolge an:
- Prüfen Sie frühzeitig, ob Ihre Organisation unter die Cyberbeveiligingswet fällt.
- Erstellen Sie eine erste Risikoanalyse und halten Sie fest, welche Sicherheitsmaßnahmen bereits greifen.
- Stärken Sie Incident-Response- und Meldewege für signifikante Vorfälle, bevor ein Ernstfall entsteht.
- Dokumentieren Sie, wie Führungskräfte nachweisbar über Cybersecurity-Kenntnisse verfügen.
- Bewerten Sie Lieferanten- und Lieferkettenrisiken und planen Sie geeignete Anforderungen für Dritte.
- Bereiten Sie die Registrierung beim NCSC frühzeitig vor, damit organisatorische Details rechtzeitig stehen.
Mit diesem Vorgehen schaffen Sie eine belastbare Grundlage für die kommenden Pflichten und reduzieren das Risiko, kurz vor dem Inkrafttreten Lücken schließen zu müssen.
Fazit: Jetzt handeln, um ab August handlungsfähig zu sein
Die Cyberbeveiligingswet tritt voraussichtlich am 15. August 2026 in Kraft. Ab diesem Zeitpunkt gelten für betroffene Organisationen neue Anforderungen: Registrierung, eine gesetzliche Cybersecurity-Sorgfalt, Meldepflichten bei signifikanten Vorfällen, nachweisbare Cybersecurity-Kenntnisse der Leitung sowie Risikomanagement in der gesamten Lieferkette.
Wer jetzt mit einer ersten Risikoanalyse startet, den eigenen Umsetzungsstand erfasst und die Registrierung sowie Prozesse vorbereitet, geht deutlich besser vorbereitet in die Umsetzungsphase. Warten Sie daher nicht ab – nutzen Sie die verbleibende Zeit, um strukturiert auf Kurs zu kommen.
Quelle: https://www.ncsc.nl/nieuws/de-cyberbeveiligingswet-in-laatste-fase-van-vaststelling
