Am 3. September 2026 saßen vier Personen, deren Aufgabe die Überwachung des Cyberbeveiligingswet ist, an einem Tisch und erläuterten eine Stunde lang, wie sie dies umsetzen wollen. Lies van Harten und Myrthe Aresvik von der Rijksinspectie Digitale Infrastructuur, Allard de Rond von der Nederlandse Voedsel- en Warenautoriteit und Patrick van de Heisteeg von der Inspectie Leefomgeving en Transport, moderiert vom NCSC. Die RDI veröffentlichte die Aufzeichnung am 11. September. Sie dauert 58 Minuten und ist mit niederländischen Untertiteln versehen.
Dies ist eine andere Art von Quelle als das Gesetz selbst. Hier beschreiben die Aufsichtsbehörden offiziell ihre eigene Arbeitsweise und beantworten live Fragen der Organisationen, die sie künftig prüfen werden.
Vier Punkte sind für alle betroffenen Unternehmen besonders wichtig.
- Das Gesetz ist seit dem 15. August 2026 in Kraft und es gibt keine Übergangsfrist. Die Aufsichtsbehörden sind bereits befugt, tätig zu werden. In der Praxis standen sie zwar nicht am 16. August vor der Tür, aber rechtlich spricht nichts dagegen.
- Die Aufsicht ist nach Sektoren unterteilt. Mehrere Aufsichtsbehörden teilen sich die Arbeit, und manche Organisationen fallen unter mehr als eine Zuständigkeit. Wenn Sie Ihre Registrierung abschließen, erfahren Sie, welche Aufsichtsbehörde für Sie zuständig ist.
- Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht, die auf einer Risikobewertung basiert. Wichtige Einrichtungen unterliegen einer reaktiven Aufsicht: Die Aufsichtsbehörde kann tätig werden, sobald sie Beweise, Hinweise oder Informationen erhält, die auf einen möglichen Verstoß hindeuten. Ein Vorfall kann diesen Prozess auslösen, ist aber nicht der einzige Auslöser.
- Ein Zuschauer stellte die Frage, die sich jede zertifizierte Organisation stellt: Erfülle ich die Anforderungen des Cyberbeveiligingswet, wenn ich ein Zertifikat besitze? Die Antwort lautete Nein. Ein Zertifikat hilft Ihnen zwar bei der Anwendung des Gesetzes und bei der Umsetzung der richtigen Maßnahmen, und die Aufsichtsbehörden bezeichneten es als nützliches Instrument. Es ist jedoch keine rechtsverbindliche Bestätigung für Ihre Konformität. Die Aufsichtsbehörde prüft, ob Sie die Anforderungen erfüllen, und sie hat das letzte Wort.
Dieser letzte Punkt sollte aufmerksam gelesen werden, denn er wirkt in beide Richtungen. Ein Zertifikat ist kein Schutzschild. Es ist jedoch auch keine Zeitverschwendung, was die Inspektoren selbst betonten, ohne dass man sie dazu hätte drängen müssen.
Die Befugnisse sind nicht neu. Im Rahmen des Cyberbeveiligingswet arbeiten die Inspektoren mit denselben Befugnissen, die sie bereits aus anderen Gesetzen auf Basis des Algemene wet bestuursrecht haben: Sie können Dokumente anfordern und einsehen, Zugang zu den Orten erhalten, an denen eine Inspektion durchgeführt wird, Produkte und Prozesse untersuchen und Kooperation verlangen. Es sind dieselben Aufsichtsbehörden, die ihre gewohnte Arbeit verrichten, wobei der Cbw lediglich als zusätzlicher Prüfgegenstand hinzukommt.
Was der Cbw hinzufügt, findet sich am anderen Ende der Skala. Zu den zusätzlichen Befugnissen gehören verbindliche Anweisungen und für wesentliche Einrichtungen die Ernennung eines unabhängigen Überwachungsbeauftragten. Bei schwerwiegenden Verstößen können die maximalen Bußgelder für wesentliche Einrichtungen bis zu 10 Millionen Euro oder, falls höher, 2 % des weltweiten Jahresumsatzes betragen; für wichtige Einrichtungen liegt das entsprechende Maximum bei 7 Millionen Euro oder 1,4 %. In eskalierten Fällen bei einer wesentlichen Einrichtung kann die Behörde ein Zivilgericht bitten, ein oder mehrere Vorstandsmitglieder vorübergehend zu suspendieren. Einer der Aufseher beschrieb dies als ein interessantes zusätzliches Instrumentarium über das allgemeine Verwaltungsrecht hinaus, was es treffend beschreibt: Die Basis ist gewöhnlich, die Ergänzungen sind es nicht.
Zwischen diesen beiden Extremen liegt ein Prozess, und dieser Prozess ist keine Razzia.
Die Inspectie Leefomgeving en Transport hat beschrieben, wie sie eine Inspektion durchführt, basierend auf ihren Erfahrungen unter dem vorherigen Gesetz. Sie kontaktiert die bekannte Kontaktperson, fordert Unterlagen an und führt eine Schreibtischrecherche durch. Die sensibelsten Materialien, also die Dokumente zur Risikoanalyse, belässt sie bevorzugt bei der Organisation, anstatt Kopien anzufertigen, um das Risiko einer Offenlegung zu minimieren. Anschließend wird ein Vor-Ort-Termin vereinbart, bei dem die Angaben in den Dokumenten durch Realitätschecks und Interviews überprüft werden. Am Ende des Tages werden die Ergebnisse geteilt und die Organisation gefragt, ob sie dies ebenso sieht. Es folgt ein Inspektionsbericht, der zunächst zur Stellungnahme vorgelegt wird, damit Sie ihn korrigieren oder anfechten können. Wenn etwas nicht in Ordnung ist, folgt in der Regel die Aufforderung zur Erstellung eines Verbesserungsplans mit einer angemessenen Frist. Wenn diese eingehalten wird, ist die Angelegenheit – in ihren Worten – erledigt.
Zwei Details sind besonders beachtenswert.
Sie gehen über das Papier hinaus. Auf die direkte Frage, ob sie nur Richtlinien und Verfahren prüfen oder auch den tatsächlichen operativen Betrieb, war die Antwort eindeutig. Papier sagt etwas über das Design aus, aber Design allein reicht nicht. Ist die Risikoanalyse vollständig? Sind alle Prozesse tatsächlich im Blick? Funktioniert die Maßnahme, und wird sie auch in sechs Monaten noch funktionieren, wenn die Inspektoren wieder weg sind? Betriebstechnologien (OT) stehen explizit im Fokus und rücken immer stärker in den Mittelpunkt.
Sie werden aufgefordert, Ihre Überlegungen zu erläutern. Ein Inspektor drückte es so aus, dass Organisationen zwar erklären dürfen, warum sie eine bestimmte Wahl getroffen haben, dies aber letztlich einer Rechenschaftspflicht gleichkommt. Was nach Ihren Maßnahmen übrig bleibt, ist das Restrisiko, und dieses entspricht der Risikobereitschaft des Vorstands. Der Vorstand legt die Maßnahmen fest, akzeptiert das verbleibende Risiko und sollte in der Lage sein, dies zu begründen. Bereiten Sie dies vor dem Besuch vor, nicht erst währenddessen. Wenn die Aufsichtsbehörde anderer Meinung ist, geht es in dem Gespräch darum, ob die Maßnahmen in einem angemessenen Verhältnis zum Risiko stehen, nicht darum, ob Sie ein Formular ausgefüllt haben.
Der nützlichste Teil der Stunde war die Antwort auf eine einfache Frage: Was machen Organisationen am häufigsten falsch?
Das Muster, das aus den tatsächlichen Inspektionen unter dem vorherigen Gesetz hervorging, war konsistent.
- Der Vorstand setzt sich nicht ausreichend mit den Risiken auseinander.
- Es klafft eine Lücke zwischen dem, was der CISO fordert, und den tatsächlich bereitgestellten Ressourcen.
- Dokumente wurden nicht formell verabschiedet und genehmigt, was bereits ein Signal für mangelndes Engagement ist.
- Systeme fehlen in der Risikoanalyse, sodass das Asset-Inventar unvollständig ist. Kleinere Systeme, die irrelevant erscheinen, aber Teil eines Prozesses sind, wurden als guter Nährboden für Angriffe bezeichnet.
- Vereinbarungen mit Lieferanten und der Lieferkette sind nicht ordnungsgemäß organisiert, einschließlich der Parteien, die auf Ihr Gelände kommen.
Keiner dieser Punkte ist ein Firewall-Problem. Jeder einzelne ist ein Management-Problem: Governance, Verantwortlichkeiten, Dokumentation, Inventarisierung und Lieferantenmanagement. Eine Organisation mit exzellenten technischen Kontrollen, aber ohne Vorstandsprotokolle, die diese genehmigen, wird bei dieser Prüfung scheitern.
Aus der Sitzung gingen zudem drei praktische Mechanismen hervor.
Wenn mehrere Aufsichtsbehörden für eine Organisation zuständig sind, stimmen sie sich untereinander ab. Ein Kooperationsprotokoll wurde im Staatscourant veröffentlicht; es wird eine federführende Aufsichtsbehörde benannt, und gemeinsame Inspektionen sind möglich. Das Ziel ist es, wie es dort formuliert wird, zu verhindern, dass sich ein Unternehmen am Montag mit einer Aufsichtsbehörde, am Dienstag mit einer zweiten und am Mittwoch mit einer dritten auseinandersetzen muss. Es können zwar zwei Aufseher gleichzeitig erscheinen, aber Sie führen nur ein Gespräch.
Die Meldung erfolgt über eine zentrale Anlaufstelle, mit einer wichtigen Ausnahme. Eine Meldung über das NCSC-Portal informiert sowohl das CSIRT als auch Ihre Aufsichtsbehörde, sodass Sie für das Cyberbeveiligingswet nur einmal tätig werden müssen. Die Datenschutz-Grundverordnung (DSGVO) ist ein anderes Gesetz. Aufsichtsbehörden sind verpflichtet, den Vorfall an die Autoriteit Persoonsgegevens weiterzuleiten, wenn personenbezogene Daten betroffen sind. Diese Weiterleitung entbindet Sie jedoch nicht von Ihrer eigenen Meldepflicht bei einer Datenschutzverletzung. Wenn personenbezogene Daten abfließen, müssen Sie dies weiterhin selbst bei der AP melden. Auch die Schwellenwerte sind unterschiedlich, sodass die beiden Meldungen durchaus unterschiedliche Ereignisse betreffen können.
Für das Hochschulwesen gelten andere Regeln. Wer in diesem Sektor tätig ist, wurde für die Details an die Inspectie van het Onderwijs verwiesen und nicht an die allgemeinen Leitlinien.
Ein weiterer Punkt wurde vom Podium offen angesprochen, statt ihn zu beschönigen. Eine Live-Umfrage fragte die Zuschauer, ob sie die wichtigsten Verpflichtungen bereits erfüllten, und nur ein Prozent gab zu, noch am Anfang zu stehen. Einer der Inspektoren hinterfragte das eigene Umfrageergebnis sofort und wies darauf hin, dass der Begriff „wichtigste“ in diesem Satz viel Spielraum lässt: Es gibt vier Pflichten, und die Erfüllung der Anforderungen auf Vorstandsebene ist etwas anderes, als die Sorgfaltspflichten im Griff zu haben. Der Moderator hatte bereits auf die Auswahlverzerrung bei einem Publikum hingewiesen, das sich freiwillig für ein Webinar über Aufsicht entscheidet. Betrachten Sie die beruhigende Zahl also unter Berücksichtigung dieser beiden Aspekte.
Wenn Sie sich noch nicht registriert haben, ist dies der erste und längst überfällige Schritt. Das liegt auch in Ihrem eigenen Interesse und ist nicht nur eine Frage des Gehorsams: Eine Organisation, die nicht registriert ist, ist nicht mit dem NCSC oder dem zuständigen CSIRT verbunden und erhält von dort keine Unterstützung, wenn etwas schiefgeht.
Wenn Sie in den Anwendungsbereich fallen und im Rückstand sind, war der Rat der Experten pragmatisch und korrekt. Verschaffen Sie sich einen Überblick über Ihre Risiken, identifizieren Sie Ihre Kronjuwelen und ergreifen Sie zuerst Maßnahmen gegen die größten Risiken. Gehen Sie schrittweise vor, anstatt zu versuchen, alles auf einmal umzusetzen. Holen Sie den Vorstand mit ins Boot und führen Sie die gesetzlich vorgeschriebenen Schulungen durch, damit die verantwortliche Person fundierte Entscheidungen treffen kann. Und halten Sie alles schriftlich fest, in welcher Form auch immer, damit jemand, der später hinzukommt, Ihre Analyse nachvollziehen kann.
Diese letzte Anweisung wird von den meisten Organisationen unterschätzt. Die Inspektoren verlangen keine bestimmte Vorlage. Sie möchten Ihre Argumentation nachvollziehen können. Eine gut durchdachte, aber nie dokumentierte Entscheidung sieht von außen betrachtet genauso aus wie eine Entscheidung, die nie getroffen wurde.
Hier zahlt sich ein Zertifikat aus, innerhalb der Grenzen, die die Aufsichtsbehörden dafür setzen. ISO 27001 überträgt die Beurteilung nicht auf Ihre Zertifizierungsstelle und beantwortet nicht stellvertretend für Sie die Anforderungen des Cyberbeveiligingswet. Was es jedoch liefert, wenn Sie es korrekt anwenden, ist genau das Material, nach dem ein Inspektor fragt: eine dokumentierte Risikobewertung, Maßnahmen, die auf die sie rechtfertigenden Risiken zurückführbar sind, formal von den Verantwortlichen genehmigte Entscheidungen, ein tatsächlich vollständiges Inventar der Vermögenswerte, Lieferantenkontrollen und eine Aufzeichnung darüber, warum Sie welche Entscheidungen getroffen haben.
Ein Großteil der zugrunde liegenden Arbeit im Risikomanagement und bei der Nachweisführung überschneidet sich, daher ist es sinnvoll, dies als einen zusammenhängenden Prozess zu verwalten. Das Cbw fügt jedoch gesetzliche Verpflichtungen hinzu, die ein ISO 27001-Managementsystem nicht automatisch abdeckt, einschließlich Registrierung, Anforderungen an die Meldung von Vorfällen und spezifischer Governance-Pflichten.
ISOPlanner™ bündelt diese Arbeit an einem zentralen Ort innerhalb Ihres bestehenden Microsoft 365-Tenants. So liegen Risikobewertungen, Kontrollen, Genehmigungen und das Lieferantenverzeichnis direkt beieinander, anstatt in einem Ordner, der erst kurz vor einem Audit mühsam zusammengestellt werden muss. Es macht Sie nicht automatisch regelkonform – denn das kann kein Tool leisten. Aber es sorgt dafür, dass die Nachweise ganz nebenbei als Nebenprodukt Ihrer täglichen Arbeit entstehen, statt ein eigenes Projekt zu erfordern. Das ist der entscheidende Unterschied zwischen einer Prüfung, durch die Sie entspannt führen können, und einer, auf die Sie sich erst vorbereiten müssen.
Das nächste Webinar der Reihe findet am 1. Oktober statt und behandelt die Berichtspflicht. Wenn Ihr Unternehmen davon betroffen ist, ist diese Stunde gut investierte Zeit.
Zum vollständigen Webinar hier
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial