Am 15. April 2026 hat die Tweede Kamer die Gesetzesvorlagen zur Cyberbeveiligingswet (Cbw) sowie zur Wet weerbaarheid kritieke entiteiten angenommen. Damit ist ein wichtiger Schritt auf dem Weg zu mehr verbindlichen Regeln für Cybersecurity in den Niederlanden getan. Für viele Organisationen bedeutet das: Pflichten, Prozesse und Zuständigkeiten rücken deutlich näher an den Alltag.
Was die Entscheidung konkret auslöst und welche nächsten Schritte jetzt folgen, zeigt der Überblick unten.
Warum die Cyberbeveiligingswet jetzt so relevant ist
Die Cyberbeveiligingswet setzt eine europäische Vorgabe in nationales Recht um: die NIS2-Richtlinie. In der Praxis wird damit die bisherige Regelung Wbni durch die neue Cbw ersetzt.
Der zentrale Punkt: Die Cbw verankert künftig gesetzlich drei große Bausteine für sehr viele Organisationen. Dazu gehören Sorgfaltspflichten (Zorgplicht), Meldevorgaben (Meldplicht) und Registrierungspflichten (Registratieplicht).
Die Einführung der Cbw erweitert den Kreis der Organisationen deutlich. Laut den Informationen aus dem NCSC-Kontext fallen künftig mehr als etwa 8.000 Organisationen in einen Bereich, der unter die Verantwortung des NCSC fällt.
Das ist nicht nur eine politische Änderung, sondern auch organisatorisch spürbar. Wenn mehr Einrichtungen in den Anwendungsbereich fallen, steigt die Nachfrage nach Orientierung, Umsetzungshilfe und Aufsicht.
Die drei Pflichten: So verändern sich Anforderungen an Unternehmen
Mit der Cyberbeveiligingswet werden wesentliche Sicherheitsanforderungen rechtlich bindend. Damit rückt die Frage in den Vordergrund, wie Organisationen Risiken systematisch angehen und im Ernstfall reagieren.
Sorgfaltspflicht (Zorgplicht)
Die Sorgfaltspflicht sorgt dafür, dass Organisationen nachweisbar auf Cyberrisiken vorbereitet sind. Ziel ist, Sicherheitsmaßnahmen nicht nur „irgendwie“ zu machen, sondern so auszurichten, dass sie der gesetzlichen Erwartung entsprechen.
Welche konkreten Nachweise oder Ausprägungen im Detail gefordert werden, hängt von der Ausgestaltung der späteren Regelwerke ab.
Meldevorgaben (Meldplicht)
Zusätzlich wird eine Meldepflicht eingeführt. Das bedeutet: Wenn bestimmte Vorfälle auftreten, müssen entsprechende Informationen in geregelter Form gemeldet werden.
Für viele Organisationen ist das der Bereich, in dem Prozesse häufig nachgeschärft werden müssen—etwa durch klare Rollen, definierte Eskalationswege und ein vorbereitetes Incident-Reporting.
Registrierungspflicht (Registratieplicht)
Schließlich verlangt die Cbw eine Registrierungspflicht. Damit wird nicht nur die Reaktion auf Vorfälle, sondern auch die Transparenz gegenüber dem System gestärkt.
Organisationen sollten daher früh klären, ob und wie sie sich registrieren müssen und welche internen Daten dafür relevant sind.
Was passiert als Nächstes: Weg durch die Erste Kammer
Nach der Entscheidung in der Tweede Kamer gehen die Gesetzesvorlagen nun an die Eerste Kammer. Erwartet werden ein Bericht, eine begleitende Notiz und anschließend eine Plenarbehandlung.
Der Zeitplan bleibt ambitioniert: Als Ziel wird die Inkraftsetzung im zweiten Quartal 2026 genannt. Ob dieser Fahrplan exakt eingehalten wird, hängt auch vom Tempo der Beratungen in der Ersten Kammer ab.
Für betroffene Organisationen heißt das: Warten lohnt sich nur begrenzt. Wer bereits jetzt Struktur aufbaut, reduziert späteren Umsetzungsdruck.
Neben dem Gesetz selbst wird an weiteren Regelwerken gearbeitet. Parallel wird an dem Cyberbeveiligingsbesluit sowie an den ministeriellen Regelungen zur Cyberbeveiligingswet und zur Wet weerbaarheid kritieke entiteiten gearbeitet.
Diese Dokumente sind wichtig, weil sie in der Regel die Details liefern: Wie die Pflichten praktisch anzuwenden sind, welche Anforderungen konkretisiert werden und wie Zuständigkeiten und Abläufe aussehen.
Wer jetzt startet, kann die Grundlagen schaffen und die Feinanpassung im nächsten Schritt auf Basis der finalen Regeltexte vorbereiten.
Wet weerbaarheid kritieke entiteiten: Zusätzlicher Fokus auf Widerstandsfähigkeit
Die Gesetzesvorlage Wet weerbaarheid kritieke entiteiten ergänzt die Cbw. Der Kern liegt dabei auf der Widerstandsfähigkeit kritischer Einrichtungen.
Für Organisationen im relevanten Bereich bedeutet das: Cybersecurity wird nicht nur als technisches Thema behandelt, sondern als Teil der Fähigkeit, auch bei Störungen funktionsfähig zu bleiben.
Welche Fragen sich jetzt stellen: Orientierung für den Start
Viele Verantwortliche fragen sich konkret, wie sie sich auf die Cyberbeveiligingswet vorbereiten sollen. Die typischen Themen, die sich im Kontext der gesetzlichen Pflichten stellen, lassen sich in mehrere Gruppen bündeln:
- Welche Organisationen fallen unter die Cbw?
- Was bedeutet die Zorgplicht im praktischen Sinne?
- Wie funktioniert die Meldplicht für relevante Vorfälle?
- Müssen sich Organisationen registrieren—und ab wann?
- Wie beginnt man sinnvoll mit der Umsetzung?
Um handlungsfähig zu werden, hilft es, zuerst den eigenen Status im Anwendungsbereich zu klären und anschließend die Pflichten in konkrete Aufgabenpakete zu übersetzen.
Wie Sie jetzt sinnvoll handeln können (auch vor der endgültigen Inkraftsetzung)
Auch wenn die Inkraftsetzung für das zweite Quartal 2026 anvisiert wird, ist die Vorbereitung in der Regel bereits jetzt möglich. Aus der Logik der Cbw lassen sich einige sinnvolle Schritte ableiten:
- Gap-Analyse durchführen: Wo unterscheiden sich bestehende Sicherheitsmaßnahmen von den erwarteten gesetzlichen Anforderungen?
- Incident-Reporting vorbereiten: Definieren Sie Rollen, Verantwortlichkeiten und Informationswege für mögliche Meldeanlässe.
- Registrierungsfähigkeit schaffen: Stellen Sie sicher, dass die benötigten Informationen intern verfügbar und aktuell gehalten werden.
- Dokumentation aufbauen: Sorgfaltspflicht heißt auch, dass Prozesse nachvollziehbar organisiert sind.
So können Organisationen die Zeit bis zur finalen Ausgestaltung der Regelwerke nutzen, um die Umsetzung strukturiert zu planen.
Fazit: Annahme ist ein Signal – die Umsetzung startet jetzt
Mit der Annahme der Gesetzesvorlagen zur Cyberbeveiligingswet und zur Wet weerbaarheid kritieke entiteiten ist die Richtung klar: Die NIS2-Vorgaben werden in den Niederlanden verbindlicher umgesetzt. Die Cbw verankert künftig Sorgfaltspflichten, Meldepflichten und Registrierungspflichten für tausende Organisationen.
Der nächste entscheidende Schritt liegt bei der Eerste Kammer, während parallel das Cyberbeveiligingsbesluit und ministerielle Regelungen ausgearbeitet werden. Wer die kommenden Monate strategisch nutzt, kann die Umstellung auf die neuen Anforderungen deutlich entspannter angehen.
Quelle: https://www.ncsc.nl/nieuws/tweede-kamer-stemt-in-met-cyberbeveiligingswet
