Das Gesetz zur Cybersicherheit: was in den Niederlanden gilt
Die niederländische Umsetzung von NIS2 und warum es keine Übergangsfrist gibt.
Keine Übergangsfrist
Die Niederlande haben NIS2 in das Cybersicherheitsgesetz umgesetzt. Anders als bei vielen Gesetzen gibt es keine Übergangsfrist: Die Pflichten gelten ab Inkrafttreten. Organisationen, die darunter fallen, müssen sich registrieren und die Sorgfaltspflicht erfüllen.
Das ist der Grund, warum es jetzt so viel Aufruhr gibt. Tausende von Organisationen entdecken in diesem Jahr erst, dass sie darunter fallen, und ihre Lieferanten bemerken es durch die Fragebogen, die darauf folgen.
Wer tut was
Es gibt eine Aufsichtsbehörde, die durchsetzt, und ein CSIRT, an das Vorfallmeldungen gehen und von dem Bedrohungsinformationen stammen. Für einige Sektoren ist eine eigene Aufsichtsbehörde bestimmt; welche das ist, hängt von Ihrem Sektor ab.
Die Regierung selbst bietet Selbstevaluierungen und Handreichungen an. Diese sind gut und kostenlos, und wir verweisen darauf. Wo wir weiter gehen, ist bei der Frage, die danach kommt: wie dokumentieren Sie es, wie halten Sie es aktuell, und wie beantworten Sie damit den Fragebogen Ihres Kunden.
Die Organschaftspflicht
Ein Punkt, der in den Niederlanden schärfer festgelegt ist als in der Richtlinie selbst: Das Leitungsorgan muss die Maßnahmen genehmigen, überwacht deren Umsetzung und muss dafür geschult werden. Diese Haftung liegt bei dem Organschaftsmitglied persönlich und kann nicht vertraglich ausgelagert werden.
Für Mitarbeiter ist es anders. Dort folgt Schulung aus der Sorgfaltspflicht, aber es gibt keine separate Pflicht im Gesetz. Wir benennen diesen Unterschied, weil er ausmacht, was Sie regeln müssen und was es kostet.
Häufig gestellte Fragen
Wo melde ich mich an?
Bei der Aufsichtsbehörde über das dafür vorgesehene Portal. Sie benötigen dort ein Anmeldeinstrument, das auf Ihre Organisation registriert ist. Wir bereiten die erfragten Daten vor; die Einreichung machen Sie selbst.
Was passiert, wenn ich mich nicht registriere?
Nicht zu registrieren ist selbst eine Ordnungswidrigkeit, unabhängig davon, ob Ihre Sicherheit in Ordnung ist. Es ist auch das Erste, das eine Aufsichtsbehörde sieht.
Gelten niedrigere Anforderungen für kleine Organisationen?
Die Maßnahmen müssen angemessen und verhältnismäßig sein, also ja: Von einer Organisation mit sechzig Personen wird weniger erwartet als von einer mit sechstausend. Aber die Themen sind dieselben, und die Registrierungs- und Meldepflicht kennen keinen Rabatt.
Dies ist Erläuterung, keine Beratung zu Ihrer eigenen Situation. secria.eu bewertet Ihre Organisation nicht und gibt keine Assurance.