NIS2-Gesetz: 8.000 Firmen in Niederlanden ab 15. August im Fokus
Veröffentlicht am: 23.07.2026 um 04:18 Uhr | Redaktion boerse-global.de
Die EU-Cybersicherheitsrichtlinie NIS2 erreicht diesen Sommer einen entscheidenden Meilenstein. Am 15. August 2026 tritt in den Niederlanden das neue Cybersicherheitsgesetz (Cbw) in Kraft – ohne Übergangsfrist. Mehr als 8.000 Organisationen müssen dann sofort handeln.
Betroffen sind mittlere und große Unternehmen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz von über zehn Millionen Euro. Die Pflichten gelten in 18 Sektoren – von Energie und Verkehr über Gesundheitswesen bis zur digitalen Infrastruktur. Ab Mitte August müssen die betroffenen Firmen beim niederländischen Nationalen Cybersicherheitszentrum (NCSC) registriert sein.
Persönliche Haftung für Vorstände
Ein zentraler Punkt der NIS2-Richtlinie: Die Unternehmensführung haftet persönlich. Artikel 20 verpflichtet die Geschäftsleitung, Cybersicherheitsmaßnahmen zu überwachen und freizugeben. Bei Verstößen drohen Vorstandsmitgliedern in den Niederlanden Bußgelder von bis zu 25.000 Euro.
Die Strafen für die Unternehmen selbst sind deutlich höher. „Essentielle“ Einrichtungen müssen mit Geldbußen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes rechnen – je nachdem, welcher Betrag höher ausfällt. Für „wichtige“ Einrichtungen liegt die Obergrenze bei sieben Millionen Euro oder 1,4 Prozent des globalen Umsatzes.
Angesichts der strengen Haftungsregeln für die Geschäftsführung wird ein proaktiver Schutz vor digitalen Bedrohungen zur Chefsache. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken zu schließen und gleichzeitig neue gesetzliche Anforderungen effizient zu erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Um diesen Anforderungen gerecht zu werden, müssen Führungskräfte spezielle Schulungen absolvieren. Diese vermitteln, wie man Risiken erkennt und Cybersicherheitsmaßnahmen bewertet. Spezielle Managementseminare für Anfang September 2026 fokussieren genau auf diese Haftungsrisiken.
Strenger Meldeplan bei Cyberangriffen
Die Richtlinie sieht ein dreistufiges Meldeverfahren für schwerwiegende Sicherheitsvorfälle vor:
- Erstmeldung: Innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls
- Detailmeldung: Nach 72 Stunden mit erster Schweregradeinschätzung
- Abschlussbericht: Nach einem Monat mit Ursachenanalyse und Gegenmaßnahmen
Diese Meldepflichten sind Teil der umfassenden Anforderungen aus Artikel 21. Sie verlangen ein „All-Gefahren“-Risikomanagement – inklusive kontinuierlicher Überwachung von IT- und OT-Umgebungen, Schwachstellenmanagement, Multi-Faktor-Authentifizierung und verschlüsselter Kommunikation.
Neben der klassischen IT-Sicherheit stellen auch neue Regulierungen wie der EU AI Act Unternehmen vor komplexe Dokumentationspflichten. Sichern Sie sich diesen kostenlosen Umsetzungsleitfaden, um Fristen, Pflichten und Risikoklassen der neuen KI-Verordnung rechtzeitig im Blick zu haben. Kostenlosen Leitfaden zum EU AI Act jetzt sichern
Lieferketten als Risikofaktor
Aktuelle Daten zeigen: Mehr als die Hälfte aller Sicherheitsvorfälle geht von externen IT-Dienstleistern aus. NIS2 legt daher großen Wert auf die Sicherheit der Lieferkette. Unternehmen müssen Risiken aus der Zusammenarbeit mit Drittanbietern aktiv managen. Das hat einen Dominoeffekt: Große, direkt betroffene Firmen zwingen zehntausende kleinere Zulieferer zur Compliance.
Für den Finanzsektor gilt eine Sonderregelung: Die Digital Operational Resilience Act (DORA), seit Januar 2025 in Kraft, ersetzt für Banken und Finanzinstitute die Risikomanagement- und Meldepflichten aus NIS2. Allerdings müssen Konzerne oft gemischte Umgebungen verwalten, in denen einige Töchter unter DORA fallen, andere unter die nationale NIS2-Umsetzung.
Deutschland vorne, Polen mit Fristen
Die ursprüngliche EU-Frist für die nationale Umsetzung lag im Oktober 2024 – doch die Mitgliedstaaten sind unterschiedlich weit. Deutschland verabschiedete sein Umsetzungsgesetz Ende 2025 und betrifft damit rund 30.000 Unternehmen.
In Polen läuft die Frist zur Selbsteinschätzung noch bis zum 3. Oktober 2026. Die vollständige Umsetzung der Sicherheitsmaßnahmen muss dort bis zum 3. April 2027 erfolgen. Branchenexperts weisen darauf hin, dass es kein offizielles NIS2-Zertifikat gibt. Unternehmen weisen ihre Compliance meist durch etablierte Standards wie ISO 27001 oder branchenspezifische Siegel nach.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
