NIS-2 in den Niederlanden und ISO 27001 im Vergleich

Ein niederländisches Unternehmen hat sein ISMS aufgebaut, das Zertifizierungsaudit überstanden und hält nun zufrieden sein Zertifikat hoch: „Wir sind nach ISO 27001 zertifiziert. Die Cyberbeveiligingswet können wir damit abhaken, toch?“

Das niederländische toch macht die Sache leider auch nicht wahrer.

Die gute Nachricht: Die niederländische NIS-2-Umsetzung und ISO 27001 passen fachlich ausgesprochen gut zusammen. Das ist kein Zufall. In der amtlichen Begründung zum Cyberbeveiligingsbesluit steht ausdrücklich, dass vorhandene Normgerüste wie ISO 27001 und NEN 7510 als Ausgangspunkt verwendet wurden.

Die weniger bequeme Nachricht: Die Niederlande haben es nicht bei den zehn bekannten NIS-2-Themen belassen. Das Cyberbeveiligingsbesluit beschreibt viele Maßnahmen ziemlich konkret. Es verlangt beispielsweise schriftliche und nachweislich angewendete Richtlinien, eine vollständige und aktuelle Assetübersicht, geschützte Logdateien, getestete Notfallpläne und regelmäßige Kontrollen von Lieferanten und Berechtigungen.

Ein ISO 27001-Zertifikat ist daher ein sehr kräftiges Fundament. Es ist aber keine behördliche Abkürzungstaste.

Die kurze Antwort

ISO 27001 mappt sehr gut auf die niederländische Cyberbeveiligingswet und das Cyberbeveiligingsbesluit. Ein Zertifikat erfüllt die gesetzlichen Pflichten aber nicht automatisch.

Warum nicht?

• Gesetzlicher Anwendungsbereich und Zertifikats-Scope können auseinanderfallen.
• Die Controls aus Anhang A werden bei ISO 27001 risikobasiert ausgewählt; das niederländische Recht nennt dagegen konkrete Mindestmaßnahmen.
• Registrierung und gesetzliche Vorfallmeldungen sind keine ISO-Anforderungen.
• Das niederländische Recht verpflichtet die Leitung ausdrücklich zu Genehmigung, Fachkunde und nachweisbarer Schulung.
• Behörden können beaufsichtigen, untersuchen, anweisen und sanktionieren.
• Für einige digitale Anbieter gilt unmittelbar die noch detailliertere EU-Durchführungsverordnung 2024/2690.

Wer bereits ein belastbares ISMS hat, sollte kein zweites NIS-2-Paralleluniversum bauen. Er sollte die gesetzlichen Anforderungen sauber auf seine bestehenden Prozesse und Nachweise mappen – und die Lücken schließen.

Welches niederländische NIS-2-Gesetz meinen wir?

Die niederländische Umsetzung besteht vor allem aus zwei Bausteinen:

• der Cyberbeveiligingswet, kurz Cbw;
• und dem Cyberbeveiligingsbesluit, kurz Cbb.

Beide treten am 15. August 2026 in Kraft. Die Cbw ersetzt die bisherige Wet beveiliging netwerk- en informatiesystemen. Das Cbb konkretisiert insbesondere die Sorgfaltspflicht – auf Niederländisch zorgplicht – und enthält außerdem Einzelheiten zu Leitungsschulungen, Meldungen und Registrierung.

Dieser Vergleich hat den Stand 14. August 2026. Das ist hier besonders wichtig: Es können sektorale ministerielle Regelungen, behördliche Vorgaben und europäische Durchführungsakte hinzukommen.

Wer fällt in den Niederlanden unter NIS-2?

Die Cbw unterscheidet essentielle entiteiten und belangrijke entiteiten, also wesentliche und wichtige Einrichtungen. Entscheidend sind vor allem:

• die Tätigkeit in einem der 18 erfassten Sektoren;
• die Art der Einrichtung aus Anlage 1 oder 2;
• und regelmäßig die Größe des Unternehmens.

Als grobe Schwelle gilt: Wer mindestens 50 Beschäftigte hat oder bei Umsatz beziehungsweise Bilanzsumme die einschlägigen Schwellen von mehr als 10 Millionen Euro erreicht, kann in den Anwendungsbereich fallen. Für große Einrichtungen, regelmäßig ab 250 Beschäftigten oder entsprechend höheren Finanzkennzahlen, kommt in den besonders kritischen Sektoren häufig die Einordnung als wesentliche Einrichtung in Betracht.

Einige Einrichtungen fallen unabhängig von ihrer Größe unter die Cbw. Dazu gehören unter anderem bestimmte öffentliche Stellen, qualifizierte Vertrauensdienste, TLD-Register und DNS-Dienste. Auch kleinere Organisationen können aufgrund ihrer Bedeutung ausdrücklich einbezogen werden.

Wer betroffen ist, muss das grundsätzlich selbst feststellen. Das niederländische NCSC stellt dafür eine Erläuterung zum Anwendungsbereich und eine Selbsteinschätzung bereit. Ein gepflegtes „Wir sind bestimmt zu klein“ ersetzt diese Prüfung nicht.

Was regelt ISO 27001?

ISO 27001 beschreibt ein Informationssicherheitsmanagementsystem. Eine Organisation bestimmt ihren Kontext und Geltungsbereich, bewertet Risiken, behandelt sie, weist Verantwortlichkeiten zu, setzt Maßnahmen um, prüft die Wirksamkeit und verbessert das System fortlaufend.

Eine akkreditierte Zertifizierungsstelle kann bestätigen, dass dieses ISMS die Normanforderungen erfüllt. Unser Artikel zu den sieben Schritten zum ISO 27001-Zertifikat zeigt, wie der Weg typischerweise aussieht.

Der entscheidende Punkt ist der Geltungsbereich. Die Cbw erfasst die Netzwerk- und Informationssysteme, die eine betroffene Einrichtung für ihre Tätigkeiten oder Dienstleistungen verwendet. Das Zertifikat kann dagegen nur einen Teil der Gesellschaft, einzelne Standorte oder bestimmte Dienstleistungen umfassen. Ein schmaler Zertifikats-Scope zieht keine gesetzliche Schutzfolie über den Rest des Unternehmens.

NIS-2 Niederlande und ISO 27001: das Mapping

Die folgende Tabelle ordnet die wichtigsten niederländischen Pflichten naheliegenden ISO-Anforderungen zu. Sie ist eine Orientierung, keine automatische Konformitätserklärung.

Wichtig bleibt die Anwendbarkeitserklärung. Sie zeigt, welche Controls aus Anhang A umgesetzt oder ausgeschlossen wurden und warum. Ein Zertifikat allein verrät nicht, ob genau die Maßnahmen vorhanden sind, die das Cbb für Ihre konkrete Situation verlangt.

Wo passen Cbw, Cbb und ISO 27001 besonders gut zusammen?

Risikomanagement als Ausgangspunkt

Artikel 21 Cbw verlangt angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen. Berücksichtigt werden unter anderem Risikoexposition, Unternehmensgröße, Eintrittswahrscheinlichkeit, Schwere, gesellschaftliche Folgen, Stand der Technik und Umsetzungskosten.

Das ist sehr nah am Risikomanagement nach ISO 27001. Das Cbb geht sogar noch ins Detail: Die Organisation soll eine Methode, Risikoakzeptanzkriterien und geregelte Prozesse für Analyse, Bewertung und Behandlung haben und daraus Sicherheitsanforderungen ableiten.

Ein echtes Managementsystem

Das Cbb verlangt ausdrücklich eine Managementsystematik, mit der die Erfüllung der gesetzlichen Maßnahmen nachweisbar wird. Richtlinien sollen schriftlich festgelegt und nachweislich angewendet werden. Rollen, Verantwortlichkeiten und Befugnisse sind zu klären; widersprüchliche Rollen sollen möglichst getrennt werden.

Das ist ISO-Land mit Deich, Windmühle und allem Drum und Dran: planen, umsetzen, prüfen, verbessern und belegen.

Vorfälle erkennen und beherrschen

Das Cbb verlangt geregelte Abläufe zum Erkennen, Analysieren, Bewerten, Eindämmen, Beseitigen, Wiederherstellen, Dokumentieren und Lernen. Sicherheitsrelevante Ereignisse sollen protokolliert, Logdateien aufbewahrt und gegen unbefugte Änderungen geschützt werden.

Die ISO-Controls A.5.24 bis A.5.28 sowie A.8.15 und A.8.16 liefern dafür ein sehr gutes Gerüst. Wie daraus ein brauchbarer Prozess wird, beschreiben wir im Artikel zum Informationssicherheitsvorfall-Management nach NIS-2.

Business Continuity, Wiederherstellung und Backups

ISO 27001 und das niederländische Recht verlangen beide, dass der Betrieb bei Störungen nicht vom heldenhaften Admin mit dem USB-Stick in der Jackentasche abhängt. Das Cbb verlangt schriftliche BCM-, Wiederherstellungs- und Krisenpläne, die angewendet und periodisch getestet werden. Auch die Zuverlässigkeit von Backups ist regelmäßig zu verifizieren.

Wie man aus Prozessen, Assets und Risiken die richtigen Ausfallsituationen ableitet, erklären wir in BCM einfach erklärt.

Lieferanten, Entwicklung und Assets

Lieferketten, sichere Beschaffung, sichere Entwicklung, Konfigurations- und Änderungsmanagement sowie Asset Management finden sich auf beiden Seiten. Besonders handfest ist das Cbb bei der Assetübersicht: Sie soll vollständig, aktuell und gepflegt sein.

Das ist mehr als „Der Kollege aus der IT weiß ungefähr, was wir haben“.

Wo sind Cbw und Cbb genauer als ISO 27001?

Das Cbb nennt konkrete Mindestumsetzungen

ISO 27001 formuliert überwiegend Anforderungen an ein Managementsystem und lässt bei der konkreten Umsetzung risikobasiert Spielraum. Das Cbb benennt dagegen zahlreiche Ergebnisse ausdrücklich: schriftliche Richtlinien, Prozesse und Verfahren, eine vollständige Assetübersicht, geschützte Logs, getestete Pläne, regelmäßige Berechtigungsprüfungen, festgelegte Kryptografieverantwortung und dokumentierte Bewertungen von Warnungen und Bedrohungsinformationen.

Ein zertifiziertes Unternehmen kann vieles davon bereits haben. Es muss das aber Punkt für Punkt prüfen, statt das Zertifikat erwartungsvoll vor die Paragraphen zu halten.

Die Leitung braucht nachweisbare Kenntnisse

Artikel 24 Cbw verlangt, dass das Leitungsorgan die Maßnahmen genehmigt. Jedes Mitglied muss Risiken, Maßnahmen und deren Auswirkungen auf die Dienstleistungen beurteilen können. Innerhalb von zwei Jahren muss diese Kompetenz vorhanden sein und anschließend nachweisbar aktuell gehalten werden.

Bemerkenswert konkret: Die Teilnahme an einer passenden Schulung ist durch ein Zertifikat nachzuweisen. Das Cbb legt sogar Mindestinhalte und Angaben auf dem Schulungsnachweis fest. ISO 27001 verlangt Führung und Kompetenz, aber keinen solchen persönlichen Schulungsnachweis für jedes Leitungsmitglied.

Registrierung ist eine eigene Pflicht

Betroffene Einrichtungen müssen sich im nationalen Register registrieren. Dafür werden unter anderem Name, Kontaktdaten, IP-Bereiche, Sektor, gegebenenfalls Tätigkeiten in anderen EU-Staaten, Handelsregisternummer und Domainnamen benötigt. Änderungen bestimmter Angaben sind unverzüglich, spätestens innerhalb von zwei Wochen, mitzuteilen.

Die Registrierung läuft über MijnNCSC. ISO 27001 kennt weder dieses Register noch die Meldefrist.

Vorfallmeldungen laufen gegen die Uhr

Bei einem erheblichen Vorfall verlangt die Cbw grundsätzlich:

• unverzüglich, spätestens innerhalb von 24 Stunden, eine Frühwarnung;
• unverzüglich, spätestens innerhalb von 72 Stunden, eine ausführlichere Meldung;
• auf Verlangen einen Zwischenbericht;
• und grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung einen Abschlussbericht.

Ist der Vorfall dann noch nicht abgeschlossen, wird zunächst ein Fortschrittsbericht fällig; der Abschlussbericht folgt grundsätzlich innerhalb eines Monats nach Erledigung. Betroffene Empfänger der Dienstleistung müssen gegebenenfalls ebenfalls informiert werden.

ISO 27001 verlangt einen funktionierenden Incident-Prozess, bestimmt aber keine niederländische Behörde, kein Portal und keine solchen gesetzlichen Fristen.

Staatliche Aufsicht ist keine Zertifizierung

Wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen grundsätzlich reaktiv bei Hinweisen auf mögliche Verstöße. Behörden können unter anderem Sicherheitsprüfungen, Audits, Nachweise und Abhilfemaßnahmen verlangen.

Für schwere Verstöße sind bei wesentlichen Einrichtungen Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vorgesehen; bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Zusätzlich sieht das Gesetz Maßnahmen gegenüber Leitungsmitgliedern vor.

Ein Zertifizierungsauditor entscheidet über ein Zertifikat. Eine Aufsichtsbehörde setzt Recht durch. Das sind zwei verschiedene Hüte – auch wenn beide Menschen unangenehm genaue Fragen stellen können.

Wo geht ISO 27001 weiter als das niederländische NIS-2-Recht?

Der vollständige Verbesserungszyklus

ISO 27001 verlangt nicht nur Sicherheitsmaßnahmen. Sie verlangt Kontextanalyse, interessierte Parteien, Sicherheitsziele, Überwachung und Messung, Interne Audits, Managementbewertungen, Nichtkonformitäten, Korrekturmaßnahmen und fortlaufende Verbesserung.

Das Cbb verlangt zwar eine Managementsystematik und regelmäßige Wirksamkeitsbewertungen. ISO 27001 beschreibt den Gesamtmechanismus jedoch systematischer. Wer ihn ernsthaft betreibt, hat nicht nur Einzelmaßnahmen, sondern ein dauerhaft steuerbares ISMS. Warum reine Aktivität noch keine Wirksamkeit ist, steht in Wirksamkeit in NIS-2: Bringt das was?.

Ein breiterer organisatorischer Blick

ISO 27001 verlangt, externe und interne Themen, interessierte Parteien, vertragliche Pflichten und selbst gesetzte Anforderungen zu berücksichtigen. Das hilft, Informationssicherheit nicht auf die von der Cbw unmittelbar erfassten Systeme und Dienste zu verengen.

Gerade internationale Unternehmen profitieren davon: Das ISMS kann einen gemeinsamen Rahmen bilden, während länderspezifische Gesetze als verbindliche Anforderungen darin gepflegt werden. Unser Artikel zu rechtlichen und vertraglichen Anforderungen zeigt, wie diese Pflichten in das ISMS gelangen.

Reicht ein ISO 27001-Zertifikat für NIS-2 in den Niederlanden?

Nein – aber es kann den größten Teil der organisatorischen und technischen Basis liefern.

Besonders interessant ist die amtliche Begründung des Cbb: Dort wird ausdrücklich erklärt, dass ISO 27001 und NEN 7510 als Ausgangspunkte verwendet wurden. Gleichzeitig wird klargestellt, dass kein einziges Normgerüst verbindlich vorgeschrieben wird. Einrichtungen dürfen ihr bestehendes Framework verwenden, müssen aber sicherstellen, dass die Anforderungen des Cbb darin tatsächlich verankert sind.

Das ist eine ziemlich vernünftige Haltung. Sie müssen das Rad nicht neu erfinden. Sie müssen nur nachweisen können, dass an Ihrem Rad sämtliche gesetzlich verlangten Speichen vorhanden sind.

Ein brauchbares Mapping enthält pro Cbw- und Cbb-Anforderung:

1. den anwendbaren Paragraphen oder Absatz;
2. den verantwortlichen Prozess und die zuständige Person;
3. die vorhandene Richtlinie oder Arbeitsanweisung;
4. konkrete Nachweise der Umsetzung;
5. die zugehörigen ISO-Anforderungen und Controls;
6. eine offene Lücke samt Maßnahme und Termin.

Prüfen Sie außerdem den gesetzlichen Anwendungsbereich gegen den Zertifikats-Scope. Wenn die Cbw fünf Niederlassungen und zentrale Systeme erfasst, das Zertifikat aber nur eine kleine Produktgruppe in Amsterdam, bleibt der Rest nicht deshalb ungesichert, weil das Zertifikat hübsch gerahmt ist.

So gehen ISO 27001-zertifizierte Unternehmen praktisch vor

1. Betroffenheit sauber prüfen

Ordnen Sie Tätigkeiten, Sektoren, Unternehmensgröße, verbundene Unternehmen und mögliche Sondertatbestände ein. Dokumentieren Sie das Ergebnis – auch wenn Sie zu dem Schluss kommen, nicht unmittelbar betroffen zu sein. Einen allgemeinen Einstieg bietet unser Überblick Was ist NIS-2?.

2. Cbw und Cbb vollständig erfassen

Nehmen Sie nicht nur die zehn Stichwörter aus Artikel 21 Cbw. Prüfen Sie auch die Konkretisierungen in den Artikeln 6 bis 18 Cbb, die Leitungspflichten, Registrierung, Vorfallmeldungen, Aufsicht und gegebenenfalls sektorale Vorgaben.

3. Den Zertifikats-Scope danebenlegen

Welche Gesellschaften, Standorte, Dienste, Prozesse und Systeme erfasst das Gesetz? Welche davon stehen tatsächlich im Zertifikats-Geltungsbereich? Die Differenz ist eine Lücke, kein Schönheitsfehler.

4. Bestehende Prozesse und Nachweise zuordnen

Nutzen Sie vorhandenes Risikomanagement, Lieferantenmanagement, Incident Management, BCM, Asset Management, Berechtigungsmanagement, sichere Entwicklung und Wirksamkeitsprüfungen. Ein Link auf eine Richtlinie reicht nicht: Zeigen Sie auch, dass sie angewendet wird.

5. Gesetzliche Zusatzprozesse ergänzen

Richten Sie Registrierung, Änderungsmeldungen, Vorfallklassifizierung, 24- und 72-Stunden-Meldungen, Abschlussberichte und Leitungsschulungen ausdrücklich ein. Legen Sie Ansprechpartner und Stellvertretungen fest – ein meldepflichtiger Vorfall wartet nicht höflich, bis die einzige zuständige Person aus dem Urlaub zurückkommt.

6. Das Mapping pflegen

Gesetze, Durchführungsbestimmungen, sektorale Regeln, Ihr Unternehmen und Ihr ISMS ändern sich. Behandeln Sie das Mapping daher wie ein gelenktes Arbeitsdokument und nicht wie eine einmalige Pflichtübung, die anschließend in einem Ordner mit dem Namen Final_final_wirklichfinal verschwindet.

Interesse geweckt?

Sie haben bereits ein ISO 27001-ISMS und möchten wissen, welche niederländischen NIS-2-Pflichten es tatsächlich abdeckt? Oder Sie möchten die Cbw-Anforderungen gleich in ein neues ISMS integrieren, statt zwei Parallelwelten aufzubauen?

Sprechen Sie mit uns. Wir helfen Ihnen dabei, die gesetzlichen Anforderungen sauber auf Prozesse, Verantwortlichkeiten und Nachweise abzubilden – ohne aus dem Mapping eine Tulpenzwiebelbörse zu machen.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.