NIS2 / Cyberbeveiligingswet Selbstcheck

1/20Haben Sie mit der NIS2-Selbstevaluierung auf regelhulpenvoorbedrijven.nl festgestellt, ob Ihre Organisation unter die Cyberbeveiligingswet fällt und ob Sie eine wesentliche oder wichtige Entität sind?

Die niederländische Regierung bietet eine kostenlose Selbstevaluierung an, die anhand Ihres Sektors, Ihrer Dienste und Ihrer Größe bestimmt, ob das Gesetz auf Sie anwendbar ist. Das Ergebnis bestimmt auch, ob Sie unter aktive oder reguläre Aufsicht fallen.

2/20Wissen Sie, ob Ihre Organisation die Größenkriterien des Gesetzes erfüllt: 50 oder mehr Vollzeitstellen (FTE) oder ein Jahresumsatz und eine Bilanzsumme, die beide über 10 Millionen Euro liegen?

Die Cyberbeveiligingswet gilt in den ausgewiesenen Sektoren für mittlere und große Organisationen. Einige Arten von Organisationen, etwa DNS-Dienstleister und Anbieter von Vertrauensdiensten, fallen unabhängig von ihrer Größe darunter.

3/20Sind Sie im Entitätenregister registriert oder haben Sie die Registrierung so vorbereitet, dass Sie sie sofort durchführen können, sobald das Gesetz am 15. August 2026 in Kraft tritt?

Die Cyberbeveiligingswet kennt eine Registrierungspflicht: Organisationen, die unter das Gesetz fallen, müssen ihre Daten für das Entitätenregister einreichen. Die Registrierung läuft über das NCSC; für den digitalen Sektor ist die RDI, die niederländische Aufsichtsbehörde für digitale Infrastruktur, zuständig.

4/20Hat Ihre Unternehmensleitung oder Geschäftsführung die Maßnahmen zum Management von Cybersicherheitsrisiken formell genehmigt und überwacht sie deren Umsetzung nachweisbar?

Das Gesetz legt die Verantwortung ausdrücklich bei der Leitung: Sie muss die Risikomanagementmaßnahmen genehmigen und deren Umsetzung überwachen und kann bei Fahrlässigkeit haftbar gemacht werden.

5/20Haben Ihre Leitungsmitglieder eine Ausbildung oder Schulung absolviert, mit der sie Cyberrisiken und Managementmaßnahmen ausreichend beurteilen können?

Leitungsmitglieder sind nach dem Gesetz verpflichtet, eine Schulung zu absolvieren, damit sie über ausreichende Kenntnisse verfügen, um Risiken und Maßnahmen beurteilen zu können. Auch Mitarbeitenden muss regelmäßig eine vergleichbare Schulung angeboten werden.

6/20Sind die Rollen und Verantwortlichkeiten für die Informationssicherheit in Ihrer Organisation klar zugewiesen und schriftlich festgehalten?

Ohne zugewiesene Verantwortlichkeiten bleibt Sicherheit bei guten Absichten hängen. Aufsichtsbehörden erwarten, dass klar ist, wer wofür verantwortlich ist, von der Richtlinie bis zur Behandlung von Sicherheitsvorfällen.

7/20Verfügen Sie über eine aktuelle Risikoanalyse Ihrer Netz- und Informationssysteme und eine darauf basierende Sicherheitsrichtlinie?

Eine Richtlinie zur Risikoanalyse und zur Sicherheit von Informationssystemen ist die erste der zehn Sorgfaltspflichtmaßnahmen des Gesetzes (Artikel 21 Absatz 2 NIS2). Risikomanagement ist die Basis, aus der alle anderen Maßnahmen folgen.

8/20Haben Sie einen festgelegten Prozess für die Behandlung von Sicherheitsvorfällen: das Erkennen, Analysieren, Priorisieren und Abwickeln von Vorfällen?

Die Behandlung von Sicherheitsvorfällen ist eine verpflichtende Sorgfaltspflichtmaßnahme. Es geht um den gesamten Prozess vom ersten Signal bis zum Abschluss, einschließlich des Lernens aus Vorfällen, und er ist die Grundlage der gesetzlichen Meldepflicht.

9/20Haben Sie die Geschäftskontinuität geregelt, mit getesteten Backups, Wiederherstellungsplänen und Vereinbarungen für das Krisenmanagement?

Die Sorgfaltspflicht verlangt Maßnahmen zur Geschäftskontinuität, etwa Backup-Management, Wiederherstellungspläne und Krisenmanagement. Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Hoffnung.

10/20Stellen Sie die Sicherheit von Netz- und Informationssystemen bei Beschaffung, Entwicklung und Wartung sicher, einschließlich eines Prozesses für das Schwachstellenmanagement?

Die Sorgfaltspflicht umfasst die Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, mit der Behandlung und Offenlegung von Schwachstellen als ausdrücklichem Bestandteil.

11/20Haben Sie eine aktuelle Übersicht Ihrer Lieferanten und Dienstleister, die Zugriff auf Ihre Systeme oder Daten haben oder von denen Ihre Dienstleistung abhängt?

Die Sicherheit der Lieferkette ist eine verpflichtende Sorgfaltspflichtmaßnahme. Ohne Übersicht, wer zu Ihrer Kette gehört, können Sie Lieferkettenrisiken nicht beherrschen.

12/20Haben Sie mit Ihren kritischen Lieferanten vertragliche Vereinbarungen über Sicherheit getroffen, etwa Sicherheitsanforderungen, Meldung von Vorfällen und Auditrechte?

Das Gesetz erwartet, dass Sie sicherheitsbezogene Aspekte in der Beziehung zu Ihren direkten Lieferanten regeln. Kunden, die unter das Gesetz fallen, werden solche Anforderungen auch an Sie als IT-Dienstleister stellen.

13/20Beurteilen Sie regelmäßig die Sicherheitsrisiken Ihrer Lieferanten, zum Beispiel anhand ihrer Zertifizierungen, Berichte oder Vorfallhistorie?

Lieferkettensicherheit ist keine einmalige Vertragsklausel, sondern ein fortlaufender Prozess. Die Schwachstellen jedes Lieferanten und die Qualität seiner Sicherheitspraxis gehören in Ihre Risikobeurteilung.

14/20Wenden Ihre Mitarbeitenden Basispraktiken der Cyberhygiene an und erhalten sie regelmäßig eine Aus- oder Weiterbildung im Bereich Cybersicherheit?

Basispraktiken der Cyberhygiene und Schulung bilden zusammen eine der zehn Sorgfaltspflichtmaßnahmen. Denken Sie an starke Passwörter, Updates, das Erkennen von Phishing und den sicheren Umgang mit Daten.

15/20Haben Sie Richtlinien und Verfahren für den Einsatz von Kryptografie und Verschlüsselung, etwa die Verschlüsselung von Datenverkehr, Speicherung und Geräten?

Richtlinien und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung sind eine verpflichtende Sorgfaltspflichtmaßnahme. Es geht um bewusste Entscheidungen: was Sie verschlüsseln, womit, und wie Sie Schlüssel verwalten.

16/20Haben Sie Personalsicherheit, Zugriffsrichtlinie und Asset-Management im Griff: rollenbasierter Zugriff, ein funktionierender On- und Offboarding-Prozess und eine aktuelle Übersicht über Hardware und Software?

Sicherheitsaspekte in Bezug auf Personal, Zugriffsrichtlinie und Asset-Management sind eine der zehn Sorgfaltspflichtmaßnahmen. Ehemalige Mitarbeitende mit funktionierenden Konten und unbekannte Geräte sind klassische Lücken.

17/20Verwenden Sie Multi-Faktor-Authentifizierung für alle wichtigen Konten und gesicherte Kommunikationsmittel für sensible Informationen?

Der Einsatz von Multi-Faktor-Authentifizierung oder Lösungen zur kontinuierlichen Authentifizierung sowie gesicherter Kommunikation ist eine ausdrückliche Sorgfaltspflichtmaßnahme. MFA ist eine der wirksamsten Maßnahmen gegen Kontoübernahmen.

18/20Können Sie Sicherheitsvorfälle in Ihren Systemen rechtzeitig erkennen, und bewahren Sie Protokolldateien auf, mit denen Sie einen Vorfall nachträglich untersuchen können?

Ohne Detektion und Logging können Sie die Meldefristen des Gesetzes nicht einhalten und einen Vorfall nicht rekonstruieren. Die 24-Stunden-Frist beginnt, sobald Sie Kenntnis von einem erheblichen Vorfall haben.

19/20Ist Ihr Meldeprozess für erhebliche Sicherheitsvorfälle festgelegt und geübt, mit den gesetzlichen Fristen von 24 Stunden (Frühwarnung), 72 Stunden (Folgemeldung) und 1 Monat (Abschlussbericht)?

Die Meldepflicht kennt drei Schritte: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Folgemeldung mit einer ersten Beurteilung innerhalb von 72 Stunden und einen Abschlussbericht spätestens 1 Monat nach der Meldung.

20/20Sind Ihre Kontaktdaten aktuell und ist der Zugang zum zentralen Meldeportal des NCSC vorbereitet, sodass Sie bei einem Vorfall sofort melden können?

Die Meldung erfolgt über das zentrale Meldeportal des NCSC (mijn.ncsc.nl), das die Meldung in einem Zug an das CSIRT und die Aufsichtsbehörde weiterleitet. Während eines Vorfalls wollen Sie nicht erst noch ein Konto einrichten müssen.