Fällt das Unternehmen selbst unter die NIS2-Richtlinie oder deren nationale Umsetzung?

Sektor und Größe bestimmen zusammen das Ergebnis

Ob das Unternehmen unter das Gesetz zur Cybersicherheit fällt, hängt von zwei Dingen ab: dem Sektor, in dem es tätig ist, und seiner Größe. Das Gesetz arbeitet mit einer Liste von Sektoren — darunter Energie, Verkehr, Trinkwasser, digitale Infrastruktur, Gesundheitswesen und eine Reihe von industriellen und digitalen Dienstleistungen — und innerhalb dieser Sektoren gibt es eine Einteilung nach Größe: mittlere und größere Unternehmen zählen in der Regel mit, wobei die Zahl der Arbeitnehmer und der Jahresumsatz oder die Bilanzsumme als Maßstab dienen. Fällt das Unternehmen außerhalb der benannten Sektoren, dann ist das Cybersicherheitsgesetz in der Regel nicht anwendbar, unabhängig von der Größe.

Es gibt zwei Seiten, die oft verwechselt werden. Die erste ist: unterliegt das Unternehmen direkt, als sogenannte wesentliche oder wichtige Einrichtung. Die zweite ist: wird es indirekt davon betroffen, weil ein Kunde, der selbst unter das Gesetz fällt, Anforderungen in der Lieferkette weitergeleitet. Das Letztere kann auch für Unternehmen gelten, die zu klein sind oder in einem nicht benannten Sektor tätig sind. Diese Suchfrage befasst sich mit der ersten Seite — der unmittelbaren Pflicht — und die Antwort darauf steht noch nicht fest, solange der endgültige Text und die entsprechende Sektorliste nicht gegen Namen und Daten des eigenen Unternehmens abgerufen wurden. Wer diese Frage bereits sicher beantwortet hat — mit oder ohne unmittelbare Pflicht — trifft in der Praxis häufig dennoch auf die gleichen Fragen, wenn ein Kunde danach fragt, zum Beispiel ob es eine Richtlinie für die Risikoanalyse und die Sicherheit von Informationssystemen gibt oder ob Mehrstufenauthentifizierung eingerichtet ist.

Woher das ersichtlich ist: die Sektor- und Größenkriterien

Diese Einteilung ergibt sich aus dem Cybersicherheitsgesetz, der niederländischen Umsetzung von NIS2, die am 15. August 2026 in Kraft tritt. Das Gesetz selbst, mit den Anlagen, in denen die Sektoren und die Größenschwellen angegeben sind, ist die maßgebliche Quelle, um das eigene Unternehmen dagegen abzugleichen; dieser Text steht auf wetten.overheid.nl.