Was ist das Cybersicherheitsgesetz und was ändert sich

Das Cybersicherheitsgesetz setzt die NIS2-Richtlinie in niederländisches Recht um

Das Cybersicherheitsgesetz ist das niederländische Gesetz, das die europäische NIS2-Richtlinie in nationale Regeln umsetzt. Die NIS2-Richtlinie ist eine europäische Richtlinie, und eine Richtlinie gilt nicht automatisch in jedem Land — dafür ist nationale Gesetzgebung erforderlich. In den Niederlanden ist dies das Cybersicherheitsgesetz, zu finden bei der Wettenoverheid. Im Wesentlichen folgt das Gesetz der Richtlinie: dieselben Sektoren, dieselbe Einteilung in wesentliche und wichtige Einrichtungen und dieselben Kernverpflichtungen. Wer möchte wissen, ob sein Sektor unter die Anlagen fällt, findet dort die Übersicht, die diesem Gesetz zugrunde liegt.

Was sich für Organisationen, die unter das Gesetz fallen, in erster Linie ändert, ist der Umfang der Verpflichtungen. Es gibt eine Sorgfaltspflicht: angemessene Maßnahmen ergreifen, um die eigenen digitalen Systeme zu schützen. Es gibt eine Registrierungspflicht bei der Aufsichtsbehörde. Und es gibt eine Meldepflicht bei Vorfällen, verbunden mit der Frage, wann und bei wem gemeldet werden muss. Für Organisationen, die selbst nicht unter das Gesetz fallen, ändert sich indirekt auch etwas: Verpflichtete Organisationen müssen ihre Lieferanten bewerten, und das bedeutet, dass auch nicht verpflichtete Unternehmen Fragelisten und Vertragsbedingungen erhalten können. Wer sich fragt, warum diese Fragen trotzdem eingehen, liest dort, wie diese Auswirkung über die Lieferkette funktioniert.

Woraus dies folgt: die Umsetzung von Artikel 21 und 23

Die Verpflichtungen im Cybersicherheitsgesetz folgen unmittelbar aus der NIS2-Richtlinie: Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt die zehn Maßnahmen, die die Grundlage der Sorgfaltspflicht bilden, und die Meldepflicht ist ebenfalls in der Richtlinie festgelegt. Das niederländische Gesetz konkretisiert diese Anforderungen in nationalen Bestimmungen, die bei der Wettenoverheid eingesehen werden können. Das NCSC gibt Informationen darüber, wie die Sorgfaltspflicht und die Meldepflicht in der Praxis umgesetzt werden.