NIS2 in den Niederlanden: Cyberbeveiligingswet, RDI und NCSC-NL

Die Niederlande haben die NIS-2-Richtlinie erst mit deutlicher Verspätung in nationales Recht umgesetzt. Das niederländische Umsetzungsgesetz – die Cyberbeveiligingswet (Cbw) – ist seit dem 15. August 2026 in Kraft, knapp zwei Jahre nach Ablauf der EU-Umsetzungsfrist am 17. Oktober 2024. Für deutsche Unternehmen mit niederländischen Tochtergesellschaften – etwa im Logistik-Drehkreuz Rotterdam, im Hightech-Umfeld von Eindhoven und Amsterdam oder in der Hafen-Infrastruktur – ist die Kenntnis der niederländischen Umsetzungsbesonderheiten von unmittelbarer praktischer Relevanz. Den übergeordneten europäischen Rechtsrahmen beschreibt der Leitfaden zu den NIS2-Grundlagen.

Die Cyberbeveiligingswet – Umsetzungsstand und Rechtsrahmen

Die Niederlande setzen die NIS-2-Richtlinie (EU) 2022/2555 mit der Cyberbeveiligingswet (Cbw) vom 8. Juli 2026 (Staatsblad 2026, 187) um. Konkretisiert wird sie durch das Cyberbeveiligingsbesluit (Cbb) (Staatsblad 2026, 189), das zugleich das Inkrafttreten auf den 15. August 2026 festlegt. Fristgerecht war das nicht: Die Europäische Kommission hatte die Niederlande – gemeinsam mit Irland, Spanien und Frankreich – am 8. Juli 2026 wegen fehlender Umsetzung an den Gerichtshof der EU verwiesen; die Cbw trat gut fünf Wochen später in Kraft. Das bisherige NIS1-Gesetz, die Wet beveiliging netwerk- en informatiesystemen (Wbni), wurde aufgehoben. Am selben Tag trat die Wet weerbaarheid kritieke entiteiten (Wwke) zur Umsetzung der CER-Richtlinie in Kraft.

Die Cbw übernimmt die zweistufige Klassifizierung der NIS-2-Richtlinie:

• Essentiële entiteiten (wesentliche Einrichtungen): unter anderem Einrichtungen aus Bijlage 1 der Cbw (entspricht Anhang I NIS2) mit mindestens 250 Beschäftigten oder mehr als € 50 Mio. Jahresumsatz und mehr als € 43 Mio. Bilanzsumme.
• Belangrijke entiteiten (wichtige Einrichtungen): Einrichtungen aus Bijlage 1 und 2, die mindestens mittlere Unternehmen sind (≥ 50 Beschäftigte oder Jahresumsatz und Bilanzsumme jeweils über € 10 Mio.), soweit nicht wesentlich.

Im Gegensatz zum deutschen NIS2UmsuCG, das das BSIG vollständig neu fasste, ist die Cbw ein eigenständiges Gesetz. Die Registrierung erfolgt zentral im nationalen Register, das das Nationaal Cyber Security Centrum (NCSC) im Auftrag des Ministers für Justiz und Sicherheit über das Portal MijnNCSC führt. Die Umsetzung setzt auf ein dezentrales Aufsichtsmodell: Anders als in Deutschland, wo das BSI Melde- und Aufsichtsbehörde ist, ist zuständige Behörde das Fachministerium des Sektors; die Aufsicht üben sektorale Behörden wie RDI oder ILT aus. Das NCSC ist für die meisten Sektoren CSIRT, aber keine Aufsichtsbehörde.

Ein wesentlicher Unterschied zum deutschen Recht betrifft die Registrierungsfrist: In Deutschland endete die Frist nach § 33 BSIG für bereits erfasste Einrichtungen am 6. März 2026, drei Monate nach Inkrafttreten des NIS2UmsuCG. In den Niederlanden gilt die Registrierungspflicht nach Angaben von NCTV und NCSC seit dem 15. August 2026; eine Übergangsfrist sehen Cbw und Cbb nicht vor. Änderungen der registrierten Angaben sind binnen zwei Wochen mitzuteilen (Art. 44 Abs. 2 Cbw).

Niederländische Aufsichtsstruktur – RDI, NCSC-NL und Sektorbehörden

Das Charakteristikum der niederländischen Umsetzung ist die Multi-Behörden-Aufsicht. Zuständige Behörde ist nach Art. 15 Cbw das jeweilige Fachministerium, das die Aufsichtsbediensteten benennt (Art. 68 Cbw). CSIRT ist nach Art. 2 Cbb grundsätzlich der Minister für Justiz und Sicherheit, dessen CSIRT-Aufgaben das NCSC wahrnimmt; er ist auch zentrale Anlaufstelle (Art. 14 Cbw). Die Tabelle folgt der offiziellen „Doorverwijsboom Cyberbeveiligingswet“ der NCTV:

Sektor (Cbw/NIS2 Anh. I/II)	Zuständige Behörde	Besonderheit
Digitale Infrastruktur, DNS, TLD, Cloud, RZ, MSP/MSSP	RDI (Rijksinspectie Digitale Infrastructuur)	CSIRT: NCSC; für Cloud, RZ, MSP und DNS gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690
Telekommunikation / Elektronische Kommunikation	RDI (bis Ende 2022: Agentschap Telecom)	Teil der digitalen Infrastruktur; daneben Pflichten aus der Telecommunicatiewet (Tw)
Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff)	RDI	CSIRT: NCSC; für Strom können sektorale Melderegeln (Netzkodex Cybersicherheit) vorgehen
Finanzsektor (Banken, Finanzmarktinfrastruktur)	DNB (De Nederlandsche Bank) / AFM	DORA-Lex-specialis (Art. 1 Abs. 2 DORA); Banken und Finanzmarktinfrastrukturen melden an DNB/AFM und zusätzlich an das CSIRT (Art. 30 Cbb)
Gesundheitswesen	IGJ (Inspectie Gezondheidszorg en Jeugd)	Eigenes CSIRT: Z-CERT; IGJ beaufsichtigt auch Hersteller von Medizinprodukten
Verkehr inkl. Schifffahrt und Häfen, Trinkwasser, Abwasser, Abfall, Chemie	Inspectie Leefomgeving en Transport (ILT)	CSIRT: NCSC; die Hafenbehörde Rotterdam ist keine Cbw-Aufsichtsbehörde
Verarbeitendes Gewerbe (Maschinen, Elektronik, Fahrzeuge), digitale Anbieter, Post	RDI	Für deutsche Maschinenbauer mit NL-Tochter relevant; Lebensmittel beaufsichtigt dagegen die NVWA
CSIRT-Funktion, Register und Meldeportal	NCSC (Nationaal Cyber Security Centrum)	CSIRT für die meisten Sektoren; betreibt MijnNCSC; handelt im Auftrag des Ministers für Justiz und Sicherheit; keine Aufsichtsbehörde

Die Rijksinspectie Digitale Infrastructuur (RDI) – bis Ende 2022 Agentschap Telecom – ist für deutsche Technologie- und Industrieunternehmen die wohl wichtigste Aufsichtsbehörde: Sie beaufsichtigt unter anderem digitale Infrastruktur, verwaltete (Sicherheits-)Dienste, Energie, digitale Anbieter und das verarbeitende Gewerbe nach Bijlage 2. Wesentliche Einrichtungen unterliegen einer proaktiven, wichtige einer reaktiven Aufsicht. Das Instrumentarium reicht von Sicherheitsscans und Audits über verbindliche Anweisungen bis zu Bußgeldern (Art. 70 ff. Cbw). Das NCSC ist für die meisten Sektoren CSIRT und betreibt mit MijnNCSC das zentrale Register- und Meldeportal. Anders als das BSI übt es keine Aufsicht aus – nach eigener Darstellung ist das CSIRT Ansprechpartner für Unterstützung, nicht für Aufsicht.

Anwendungsbereich und Schwellenwerte im niederländischen Recht

Die Cbw übernimmt die Größenschwellen der NIS-2-Richtlinie; nach Angaben des NCSC fallen rund 8.000 Organisationen in achtzehn Sektoren darunter:

• Wesentliche Einrichtungen (essentiële entiteiten): Einrichtungen aus Bijlage 1 mit ≥ 250 Beschäftigten oder (> € 50 Mio. Umsatz und > € 43 Mio. Bilanzsumme). Unabhängig von der Größe zählen unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter dazu, ferner kritische Einrichtungen nach der Wwke sowie Ministerien, Provinzen, Gemeinden und Wasserverbände (Art. 8 Cbw).
• Wichtige Einrichtungen (belangrijke entiteiten): Mittlere Unternehmen aus Bijlage 1 sowie mittlere und große Unternehmen aus Bijlage 2 (≥ 50 Beschäftigte oder Jahresumsatz und Bilanzsumme jeweils über € 10 Mio.), soweit nicht wesentlich (Art. 12 Cbw). Zudem kann das zuständige Ministerium Einrichtungen aus Bijlage 1 oder 2 nach gesetzlichen Kriterien – etwa als einziger Anbieter eines essenziellen Dienstes – als wesentliche Einrichtung benennen (Art. 9 Cbw).

Für die Schwellenberechnung gilt die Methodik der KMU-Empfehlung 2003/361/EG – und damit gerade keine isolierte Betrachtung der einzelnen Gesellschaft: Das NCSC weist ausdrücklich darauf hin, dass Partner- und verbundene Unternehmen, etwa Mutter- oder Tochtergesellschaften, bei Beschäftigtenzahl, Umsatz und Bilanzsumme mitzuzählen sind. Eine kleine niederländische Tochter eines größeren deutschen Konzerns kann die Schwellen daher, vorbehaltlich des Einzelfalls, über die Konzernzahlen erreichen. Einen umfassenden Überblick bietet der Leitfaden zum NIS2-Anwendungsbereich.

Sicherheitsanforderungen nach Artikel 21 NIS2 im niederländischen Kontext

Art. 21 Cbw setzt die Risikomanagementpflicht (zorgplicht) um. Niederländische Besonderheit: Art. 6 bis 18 Cbb legen Mindestmaßnahmen fest (Art. 5 Cbb). Laut Begründung dienten ISO 27001 und NEN 7510 als Ausgangspunkt; bestehende Normenwerke können weiter genutzt werden, sofern die Cbb-Maßnahmen abgedeckt sind:

Sicherheitsmaßnahme (Art. 21 Abs. 2 NIS2)	Niederländische Konkretisierung / Besonderheit
Risikoanalyse und Sicherheitsrichtlinien (lit. a)	Art. 6 und 7 Cbb; Art. 18 Cbb verlangt eine periodische, schriftlich dokumentierte Wirksamkeitsbewertung. Als Lagereferenz dient das von der NCTV veröffentlichte „Cybersecuritybeeld Nederland“
Behandlung von Sicherheitsvorfällen (lit. b)	Art. 8 Cbb; Meldung über das zentrale Meldeportal auf MijnNCSC, das an CSIRT und Aufsichtsbehörde weiterleitet
Lieferkettensicherheit (lit. d)	Art. 10 Cbb; nach Art. 21a Cbw kann das Ministerium aus Gründen der nationalen Sicherheit die Nutzung von Produkten bestimmter Anbieter untersagen. Relevant u. a. für Hightech-Zulieferketten um Eindhoven und den Hafen-Cluster Rotterdam
Kryptografie und Verschlüsselung (lit. h)	Art. 13 Cbb: schriftliche, nachweislich angewandte Kryptografie-Richtlinie; gefordert ist kryptografische Agilität (Austauschbarkeit mit geringem Aufwand, auch mit Blick auf Quantencomputer)
Cyberhygiene und Schulungen (lit. g)	Art. 12 Cbb: Sensibilisierung des Personals und regelmäßige Schulung sicherheitsrelevanter Rollen – eine feste jährliche Frequenz ist nicht vorgeschrieben; dazu die Schulungspflicht des Leitungsorgans (Art. 24 Cbw)

Die technische Konkretisierung durch die Durchführungsverordnung (EU) 2024/2690 gilt in den Niederlanden unmittelbar wie in allen EU-Mitgliedstaaten. Für Cloud-Anbieter, Rechenzentren, MSP/MSSP, DNS-Betreiber, TLD-Registries, Vertrauensdiensteanbieter und digitale Anbieter tritt sie an die Stelle der Art. 6 bis 18 Cbb (Art. 4 Cbb).

Relevanz für deutsche Unternehmen mit niederländischen Tochtergesellschaften

Deutsche Konzerne mit niederländischen Tochtergesellschaften stehen häufig vor doppelten Compliance-Pflichten: Die deutsche Gesellschaft kann dem BSIG mit dem BSI als zuständiger Behörde unterliegen, die niederländische Tochter zugleich der Cbw. Maßgeblich ist Art. 26 NIS2: Grundsätzlich gilt das Recht des Mitgliedstaats der Niederlassung; für DNS-, Cloud-, Rechenzentrums- und MSP-Anbieter sowie digitale Anbieter kommt es auf die Hauptniederlassung in der EU an, für Telekommunikationsanbieter auf den Ort der Diensterbringung.

Rotterdam-Logistik-Cluster: Der Hafen Rotterdam ist nach Angaben des Hafenbetriebs der größte Hafen Europas. Im Teilsektor Wasser erfasst Bijlage 1 der Cbw unter anderem Reedereien der Personen- und Güterbeförderung, Hafenleitungsorgane und Betreiber von Schiffsverkehrsdiensten; reine Speditionsleistungen fallen nicht automatisch darunter. Für die fünf Seehäfen von nationaler Bedeutung – darunter Rotterdam – fördert die Kooperationsplattform Ferm den Austausch von Vorfall- und Bedrohungsinformationen. Deutsche Reedereien, Terminalbetreiber und Logistikdienstleister sollten prüfen, ob ihre NL-Einheit eigenständig unter die Cbw fällt; registriert wird beim NCSC, Aufsicht führt die ILT.

Hightech-Cluster Eindhoven/Amsterdam: In der Region Eindhoven hat ASML, Hersteller von Lithografiesystemen einschließlich EUV-Anlagen, seinen Sitz (Veldhoven), umgeben von zahlreichen Zulieferern. Für deutsche Maschinenbau-, Elektronik- und Fahrzeugzulieferer ist relevant, dass das verarbeitende Gewerbe in Bijlage 2 erfasst ist und von der RDI beaufsichtigt wird. Unabhängig davon können Zulieferer über die Lieferkettenanforderungen ihrer Kunden (Art. 21 Abs. 2 lit. d NIS2) vertraglich einbezogen werden. Für digitale Dienstleister im Raum Amsterdam ist die Einordnung jeweils im Einzelfall zu prüfen.

Gruppenweite vs. einheitliche Compliance: NIS2 kennt keine „Konzernausnahme“: Eine Registrierung der deutschen Gesellschaft beim BSI ersetzt nicht die Registrierung einer betroffenen niederländischen Tochter beim NCSC. Gruppenweite Sicherheitsrahmenwerke können und sollten harmonisiert werden; Registrierung, Meldepflichten und Aufsichtsbeziehungen bleiben territorial. Laut Begründung zum Cbb wird an einer Portalfunktion für gebündelte Registrierungen von Unternehmensgruppen gearbeitet. Die Anmeldung bei MijnNCSC setzt eHerkenning (Niveau EH2+) voraus, verknüpft mit der KvK-Nummer der Gesellschaft. Konzerne sollten prüfen, ob die NL-Tochter unter Einbeziehung der Konzerndaten die Schwellen erreicht, und eine lokale Kontaktperson für Registrierung und Vorfallmeldungen benennen. Die Unterschiede erläutert der Leitfaden zur NIS2-Umsetzung in Deutschland im direkten Vergleich.

Meldepflichten und grenzüberschreitende Koordination

Die Meldepflichten nach Art. 23 NIS2 sind in Art. 25 bis 29 Cbw umgesetzt: Erhebliche Sicherheitsvorfälle sind unverzüglich, spätestens innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als Meldung an CSIRT und zuständige Behörde zu übermitteln; ein Abschlussbericht folgt spätestens einen Monat nach der Meldung. Eine Meldung über MijnNCSC erreicht beide Stellen zugleich. Für Finanzunternehmen und Strom können sektorale Sonderregeln gelten.

Für Vorfälle, die gleichzeitig eine niederländische Tochtergesellschaft und die deutsche Muttergesellschaft betreffen (z. B. ein gruppenweiter Ransomware-Angriff), entstehen parallele Meldepflichten:

• Die niederländische Tochtergesellschaft meldet über MijnNCSC an ihr CSIRT und die zuständige Aufsichtsbehörde.
• Die deutsche Muttergesellschaft meldet (soweit selbst betroffen und Einrichtung im Sinne des BSIG) nach § 32 BSIG an das BSI.
• Bei grenzüberschreitenden Auswirkungen informieren die Behörden die anderen betroffenen Mitgliedstaaten und ENISA (Art. 23 Abs. 6 NIS2); die eigenen Meldungen der Gesellschaften ersetzt das nicht.

Konzerne sollten ihren Incident-Response-Plan explizit auf dieses Szenario ausrichten: Wer meldet, an welche Behörde, in welcher Sprache und in welchem Zeitfenster, sollte vorab definiert sein. Eine ausdrückliche Sprachvorgabe für Vorfallmeldungen enthalten Cbw und Cbb nach unserer Durchsicht nicht. Mehrsprachige Meldeschablonensets können die Reaktionszeit erheblich verkürzen.

Compliance-Fahrplan für niederländische NIS2-Tochterunternehmen

Für deutsche Konzerne mit niederländischen Einheiten empfiehlt sich ein fünfstufiger Ansatz:

Schritt 1: Betroffenheitsanalyse und Sektorzuordnung. Prüfen Sie für jede niederländische Einheit, ob sie – unter Einbeziehung verbundener Unternehmen – die Schwellenwerte der Cbw erreicht. Identifizieren Sie die zuständige Aufsichtsbehörde (z. B. RDI, ILT, IGJ, DNB/AFM oder NVWA) und das CSIRT. Die Zuordnung kann von der deutschen Einheit abweichen, wenn die NL-Tochter in einem anderen Sektor tätig ist.

Schritt 2: Registrierung beim NCSC über MijnNCSC. Registrieren Sie die Einheit über MijnNCSC; abgefragt werden unter anderem Sektor, Dienste, EU-Mitgliedstaaten, Kontaktdaten, IP-Bereiche und Domainnamen. Eine zusätzliche Registrierung bei der Aufsichtsbehörde sieht die Cbw nicht vor. Halten Sie die Angaben aktuell und benennen Sie eine im Vorfall erreichbare Kontaktperson.

Schritt 3: Gap-Analyse und Sicherheitskonzept. Nehmen Sie die gruppenweite Sicherheitsrichtlinie der deutschen Muttergesellschaft als Ausgangspunkt; prüfen Sie, ob sie die Mindestmaßnahmen der Art. 6 bis 18 Cbb (bzw. der Durchführungsverordnung (EU) 2024/2690) abdeckt. Passen Sie das Sicherheitskonzept an, wo Abweichungen bestehen – insbesondere bei Kryptografie (Art. 13 Cbb), Lieferkettenbewertung und Wirksamkeitsbewertung (Art. 18 Cbb).

Schritt 4: Meldeprozesse harmonisieren. Definieren Sie konzernweit, wie Sicherheitsvorfälle die parallelen Meldestellen (BSI und MijnNCSC) in den gesetzlichen Fristen (24h/72h) erreichen. Erstellen Sie mehrsprachige Meldevorlagen (DE/EN/NL) und üben Sie den Meldeprozess in einer Tabletop-Übung.

Schritt 5: Governance, Schulung und Review. Nach Art. 24 Cbw billigt das Leitungsorgan der niederländischen Tochter die Risikomanagementmaßnahmen; jedes Mitglied muss ausreichende Kenntnisse durch ein Schulungszertifikat (Niederländisch oder Englisch, Art. 22 Cbb) belegen – amtierende Mitglieder binnen zwei Jahren nach Inkrafttreten, neu bestellte binnen zwei Jahren nach Bestellung. Planen Sie diese Schulungen rechtzeitig ein und überprüfen Sie die Cbw-Compliance der NL-Einheit regelmäßig im Rahmen des konzernweiten NIS2-Audits.

Häufig gestellte Fragen

Muss sich eine niederländische Tochtergesellschaft separat registrieren, wenn die deutsche Muttergesellschaft bereits beim BSI angemeldet ist?

In der Regel ja, sofern die Tochtergesellschaft selbst unter die Cbw fällt. Nach Art. 26 NIS2 gilt grundsätzlich das Recht des Mitgliedstaats der Niederlassung (mit Sonderregeln u. a. für digitale Dienste). Eine betroffene niederländische Gesellschaft registriert sich beim NCSC über MijnNCSC; die BSI-Registrierung der Muttergesellschaft ersetzt das nicht. Bei der Größenberechnung sind verbundene Unternehmen einzubeziehen. Gruppenweite Sicherheitsrahmenwerke können zusammengeführt werden, die Registrierung bleibt territorial.

Welche Behörde ist für eine deutsche Reederei mit Hafenoperationen in Rotterdam zuständig?

Für Einheiten im Teilsektor Wasser – etwa Reedereien, Hafenleitungsorgane oder Betreiber von Schiffsverkehrsdiensten – ist die Inspectie Leefomgeving en Transport (ILT) Aufsichtsbehörde; CSIRT ist das NCSC, Registrierung und Meldungen laufen über MijnNCSC. Ergänzend bietet die Plattform Ferm den Seehäfen von nationaler Bedeutung Informationsaustausch zu Vorfällen und Bedrohungen. Die deutsche Gesellschaft unterliegt, soweit selbst betroffen, dem BSIG mit dem BSI als Aufsichtsbehörde.

Gelten für NL und DE unterschiedliche Bußgeldrahmen bei NIS2-Verstößen?

Die Obergrenzen beruhen auf Art. 34 NIS2: Bei Verstößen gegen Risikomanagement- und Meldepflichten drohen wesentlichen Einrichtungen nach Art. 80 Cbw Geldbußen von bis zu € 10 Mio. oder 2 % des weltweiten Vorjahresumsatzes des Unternehmens, dem sie angehören (der höhere Betrag ist maßgeblich); wichtigen Einrichtungen nach Art. 87 Cbw bis zu € 7 Mio. oder 1,4 %. Für andere Verstöße, etwa gegen die Registrierungspflicht, sind bis zu € 1 Mio. möglich. Die zuständige Behörde berücksichtigt unter anderem Schwere, Dauer und Wiederholung (Art. 69 Cbw). Die Durchsetzungspraxis kann zwischen BSI und niederländischen Behörden variieren; Erfahrungswerte liegen in den Niederlanden noch kaum vor.

Welche Sprache müssen Vorfallmeldungen an das NCSC-NL haben?

Cbw und Cbb enthalten nach unserer Durchsicht keine ausdrückliche Sprachvorgabe für Vorfallmeldungen; eine Regel (Niederländisch oder Englisch) besteht nur für das Schulungszertifikat der Leitungsorgane (Art. 22 Abs. 2 Cbb). Ob Meldungen über MijnNCSC auf Englisch möglich sind, lässt sich vorab mit dem NCSC klären. Meldungen an BSI (Deutsch) und NCSC sollten in mehrsprachigen Vorlagen vorbereitet werden, um die 24-Stunden-Frühwarnfrist nicht durch Übersetzungsarbeit zu gefährden.

Dieser Artikel stellt allgemeine Informationen bereit (Stand: Oktober 2026) und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen können je nach Sektor, Einrichtungsgröße und individuellem Sachverhalt variieren. Für eine auf Ihre Einrichtung zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie) — EUR-Lex, insbesondere Artikel 2, 3, 21, 23, 26, 34 und Anhänge I und II
2. Cyberbeveiligingswet, Staatsblad 2026, 187 — Officiële bekendmakingen
3. Cyberbeveiligingsbesluit, Staatsblad 2026, 189 — Officiële bekendmakingen, u. a. Art. 35 (Inkrafttreten 15. August 2026) und Begründung
4. Doorverwijsboom Cyberbeveiligingswet — NCTV, Fachministerien, CSIRTs und Aufsichtsbehörden je Sektor
5. Nationaal Cyber Security Centrum (NCSC) — Cyberbeveiligingswet (NIS2) — Anwendungsbereich, Registrierung und Meldepflicht über MijnNCSC
6. Rijksinspectie Digitale Infrastructuur (RDI) — Offizielle Website — Aufsichtsbehörde u. a. für digitale Infrastruktur, IKT-Dienste, Energie und verarbeitendes Gewerbe nach Cbw
7. Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity — Europäische Kommission, Juli 2026
8. NIS-2-regulierte Unternehmen — Bundesamt für Sicherheit in der Informationstechnik (BSI)
9. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) in der Fassung des NIS2UmsuCG — Bundesministerium der Justiz, Gesetze im Internet, insbesondere §§ 28, 30, 32, 33, 38, 65