Cyberbeveiligingswet: was darf dein Kunde verlangen?

Seit dem 15. August 2026 gilt in den Niederlanden die Cyberbeveiligingswet, die nationale Umsetzung der europäischen NIS2-Regeln. Hat dein Betrieb weniger als fünfzig Leute, fällst du selbst wahrscheinlich nicht darunter — und trotzdem kann demnächst ein Fragebogen eines Kunden mit 'NIS2' im Betreff in deinem Postfach liegen. Rund um diesen Fragebogen wird gerade viel verkauft: Zertifikate, Schulungen, Abos. Dieser Artikel erklärt, was im Gesetz selbst über Lieferanten steht, was dein Kunde dir auferlegen darf und was nicht, was der Staat dachte, dass es dich kostet, und was der Markt inzwischen dafür berechnet. Mit den Gesetzesartikeln dabei, damit du es nachschlagen kannst.

Fällst du selbst darunter?

Wahrscheinlich nicht. Das Gesetz richtet sich an gut 8.000 Organisationen in benannten Sektoren, und die Schwelle liegt bei 50 Mitarbeitenden oder 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme. Eine Übergangs- oder Duldungsfrist gab es nicht: Die Pflicht ist am 15. August 2026 schlicht in Kraft getreten.

Zwei Dinge werden dabei oft falsch erzählt. Erstens ist der 15. August ein Startdatum und keine Frist — ab diesem Tag gilt die Pflicht, es musste nicht bis dahin etwas fertig sein. Zweitens gilt die Registrierungspflicht nur für Organisationen, die selbst darunter fallen; sie registrieren sich über mijn.ncsc.nl mit eHerkenning auf Stufe EH2+ und müssen Änderungen binnen vierzehn Tagen melden. Fällst du nicht darunter, musst du dich nirgends anmelden.

Warum der Fragebogen trotzdem bei dir landet

Weil die Sorgfaltspflicht deines Kunden nicht an seiner eigenen Haustür endet. Der Cyberbeveiligingsbesluit bestimmt in Artikel 10 Absatz 2, dass eine Organisation, die unter das Gesetz fällt, prüft, ob ihre direkten Lieferanten und Dienstleister die Sicherheitsanforderungen erfüllen — und dabei steht ein Wort, das oft überlesen wird: Die Einheit 'kontrolliert dies regelmäßig'.

Das heißt: Du füllst nicht einmal ein Formular aus und bist fertig. Du landest in einem wiederkehrenden Zyklus. Und den Zeitpunkt der Frage suchst du dir nicht aus: meist bei einer Vertragsverlängerung, einer Ausschreibung, oder plötzlich, weil die zuständige Abteilung deines Kunden eine eigene Frist hat.

Es gibt keinen gesetzlichen Fragebogen — und das ist Absicht

Das ist der Teil, der die meisten Unternehmer überrascht. Es gibt keinen landesweiten Standardfragebogen für Lieferanten und keine gesetzliche Zertifizierungspflicht. Artikel 7 Absatz 5 legt fest, dass dein Kunde die Sicherheitsanforderungen selbst aufstellt, auf Basis seiner eigenen Risikoübersicht. Zwei Kunden derselben Branche können also völlig zu Recht Unterschiedliches von dir verlangen.

Das ist keine Nachlässigkeit des Gesetzgebers. In der öffentlichen Konsultation wurde vorgeschlagen, Lieferantenscreening und Kettenaudits verpflichtend zu machen, und dieser Vorschlag wurde ausdrücklich abgelehnt, weil er laut Begründung 'zu erhöhtem Regelaufwand und erheblich höheren Kosten führen würde'. Die ministeriellen Regelungen konkretisieren den Kettenartikel bewusst nicht weiter.

Daraus folgt etwas Praktisches. 'Wir erfüllen NIS2' ist als Lieferantenetikett inhaltsleer, denn für dich als Lieferant gibt es nichts zu erfüllen. Was zählt, ist, ob du die Fragen dieses einen Kunden mit etwas beantworten kannst, das du zeigen kannst.

Das Einzige, was das Gesetz über Lieferanten sagt

Eine Lieferanteneigenschaft wird ausdrücklich genannt. Artikel 21 Absatz 4 der Cyberbeveiligingswet trägt Organisationen auf, die allgemeine Qualität der Produkte und die Cybersicherheitspraktiken ihrer Lieferanten zu berücksichtigen, 'einschließlich ihrer sicheren Entwicklungsverfahren'.

In die Praxis übersetzt: Wenn etwas für dich gebaut wird — eine Website, ein Shop, eine Anbindung, ein Stück Automatisierung — dann ist die Art, wie das gebaut wird, Teil deiner Antwort an den Kunden. Es ist auch der einzige Punkt, von dem du sicher weißt, dass er wiederkommt. Wer sich auf etwas vorbereitet, bereitet sich hierauf vor:

• Wer hat Zugang zu den Systemen, in denen mit den Daten deines Kunden gearbeitet wird, und wie wird dieser Zugang entzogen, wenn jemand geht?
• Wird mit Zwei-Schritt-Verifizierung angemeldet, und wo steht das geschrieben?
• Wer baut von außen mit, und was ist mit dieser Partei vereinbart?
• Gibt es Sicherungskopien, und wurde je getestet, ob sie sich zurückspielen lassen?
• Was passiert, wenn etwas schiefgeht, und ab wann erfährt dein Kunde davon?

Diese Liste kostet dich kein Zertifikat. Sie kostet dich einen Nachmittag, ein Dokument mit Datum und Namen darauf und die Disziplin, es jährlich zu aktualisieren.

Was das Gesetz deinen Kunden kostet — und was auf deiner Seite mit null angesetzt wurde

Der niederländische Staat hat in der Begründung selbst ausgerechnet, was das die betroffenen Unternehmen kostet: 142.000 Euro pro Unternehmen und Jahr, strukturell, und 1,071 Milliarden Euro für die 7.550 Unternehmen zusammen. Der Löwenanteil steckt in der Sorgfaltspflicht: 1.758 Stunden im Jahr zu 63 Euro plus 30.646 Euro externe Kosten. Zeitlich ist das grob eine Vollzeitstelle, jedes Jahr aufs Neue.

Und jetzt das Interessante. Was in dieser Rechnung nicht steckt, ist die Rechnung bei den Zulieferern. Das niederländische Gremium zur Prüfung des Regelaufwands hat darauf hingewiesen; die Antwort in der Begründung lautet, es gehe nur um Lieferanten, die für die Systeme der Organisation relevant sind, 'weshalb die Einschätzung ist, dass Gesetz und Verordnung an diesem Punkt keinen höheren Regelaufwand verursachen'. Die Last in der Kette ist also offiziell mit null angesetzt.

Zwei Seiten früher im selben Dokument sagen die befragten Unternehmen das Gegenteil: Betriebe, die viel auf Projektbasis mit Kettenpartnern arbeiten, erwarten, dass Vereinbarungen mit diesen Parteien strukturell mehr Zeit kosten werden, und das befragte Mittelstandspanel warnt, kleinere Zulieferer würden 'die Anforderungen nur schwer erfüllen können'. Das steht so da, im Staatsblatt, im selben Dokument.

Der Markt hat diese Null inzwischen bepreist

Das Gesetz schreibt kein Lieferantenzertifikat vor, aber die niederländischen Arbeitgeberverbände MKB-Nederland und VNO-NCW haben über ihre Initiative Samen Digitaal Veilig selbst eines gebaut: NIS2 Supply Chain. Es gibt ein kostenloses Startpaket, die bezahlten Stufen beginnen bei 725 Euro im Jahr und steigen mit der Mitarbeiterzahl. Das externe Audit ist nicht enthalten. Angeschlossene Branchenverbände — 96 an der Zahl, darunter die Verbände für Technik, Bau, Transport und Metall — geben ihren Mitgliedern Rabatt.

Fairerweise: So ein Siegel kann schlicht praktisch sein. Eine wiedererkennbare Antwort ist angenehmer als zehn verschiedene Formulare, und der Weg dorthin zwingt dich, Dinge aufzuschreiben, die du ohnehin hättest aufschreiben sollen. Aber es ist keine gesetzliche Pflicht, und niemand kann es unter Berufung auf das Gesetz von dir verlangen. Kurz: Der Gesetzgeber setzte die Kettenkosten mit null an, und der Markt bepreist dieselbe Kette pro Lieferant und Jahr.

Und dann die schwerste Variante, die manchmal verlangt wird: ISO 27001. Ganz Niederlande zählt 1.568 gültige ISO-27001-Zertifikate, inklusive jeder Bank, jedes Versicherers, jedes Konzerns und jedes Krankenhauses (ISO Survey 2024). Für einen Betrieb unter fünfzig Mitarbeitenden ist dieses Zertifikat also eine Ausnahme und keine Norm. Das sieht man am Preis: Allein das Audit kostet einen kleinen Betrieb im ersten Jahr grob 4.000 bis 12.500 Euro, plus 2.000 bis 4.500 Euro jährlich für Zwischenkontrollen.

Zwei Dinge, die als Gesetzespflicht verkauft werden und keine sind

• 'Du brauchst ein Zertifikat.' Nein. Das Gesetz kennt keine Zertifizierungspflicht für Lieferanten, und es gibt keine Norm, die ein Lieferant erfüllen müsste. Ein Siegel erleichtert das Antworten; es ist keine Zugangsvoraussetzung.
• 'Die Vorstandsschulung muss von einer unabhängigen, externen Partei gegeben werden.' Diese Anforderung stand im Entwurf und wurde gestrichen. Die Begründung sagt es wörtlich: Die Anforderung eines unabhängigen Trainers wurde nach der öffentlichen Konsultation gestrichen. Die Schulungspflicht selbst bleibt — sie kommt aus der europäischen Richtlinie — aber wer sie gibt, ist frei. Und sie gilt für die Leitung der Organisation, die unter das Gesetz fällt, nicht für dich als Lieferant.

Was du jetzt sinnvoll tun kannst

• Geh deine Kundenliste durch und markiere, wer wahrscheinlich unter das Gesetz fällt: Gesundheit, Behörden, Energie, Wasser, Transport, größere Unternehmen. Von dort kommen die Fragebögen.
• Halte die Grundlagen schriftlich fest: Zugang, Zwei-Schritt-Verifizierung, Sicherungskopien, was bei einem Vorfall passiert und wer wofür verantwortlich ist. Jedes Dokument mit Datum und Namen.
• Schreib dazu, wer von außen an deinen Systemen mitbaut und was du mit denen vereinbart hast. Das ist der eine Punkt, den das Gesetz ausdrücklich nennt.
• Beantworte einen Fragebogen immer mit Verweis auf ein Dokument. Eine Antwort ohne Quelle ist ein Versprechen, eine Antwort mit Quelle ist ein Nachweis.
• Hast du etwas nicht, schreib das mit einem Datum auf, bis wann es da ist. Eine ehrliche Lücke mit Plan schlägt ein leeres Feld — und schlägt ein Versprechen, das du beim nächsten Durchgang nicht halten kannst.
• Kauf erst etwas, wenn dieselbe Frage zweimal kam. Dann weißt du, welche Frage es ist, und zahlst nicht für eine Antwort, die niemand stellt.

Und ruhig bleiben ist auch erlaubt

Es gibt keine Panikwelle, und das ist messbar. Der Anteil niederländischer Unternehmer, der Cyberkriminalität als (sehr) hohes Risiko sieht, lag 2023 bei 35%, 2024 bei 40%, 2025 bei 33% und 2026 bei 37% — die Studie selbst nennt diese letzte Bewegung 'nicht signifikant' (ABN AMRO/MWM2 Cybertrends 2026, n=777). Vier flache Jahre. Wer dir erzählt, die Welt habe sich plötzlich geändert, verkauft etwas.

Aber das Kettenrisiko ist real, und die Niederlande haben dieses Jahr ein Beispiel gesehen. Am 7. April 2026 wurde ChipSoft von Erpressungssoftware getroffen — der Anbieter, der die Patientenakten von rund 76% aller niederländischen Krankenhäuser betreut. Elf bis fünfzehn Krankenhäuser nahmen ihre Patientenportale vom Netz (Quellen: security.nl und NOS, April 2026). Der Punkt ist nicht der Sektor, sondern der Mechanismus: Die eigene Sicherheit all dieser Organisationen kann tadellos gewesen sein, und sie lagen trotzdem still. Deshalb stellt dein Kunde dir diese Fragen. Nicht, weil er dir misstraut.