Den hollandske cybersikkerhedslov, Cyberbeveiligingswet, implementerer det europæiske NIS2-direktiv. Det kræver, at organisationer, der leverer en væsentlig eller vigtig tjeneste i atten udpegede sektorer, træffer passende risikostyringsforanstaltninger, rapporterer betydelige hændelser og registrerer sig hos regeringen.
Lovgrundlag
Loven implementerer direktiv (EU) 2022/2555 og trådte i kraft den 15. august 2026 sammen med loven om modstandsdygtighed over for kritiske enheder. Den påvirker anslået otte tusinde organisationer i sektorer, herunder energi, drikkevand, digital infrastruktur, sundhedspleje, transport og offentlig forvaltning. Direktivet pålægger en trindelt rapporteringspligt: en tidlig varsling inden for 24 timer efter, at man er blevet opmærksom på situationen, en mere fuldstændig hændelsesmeddelelse inden for 72 timer og en endelig rapport inden for en måned. I modsætning til den tidligere ordning er der ikke længere udpegelse af individuelle organisationer; sektoren kombineret med virksomhedens størrelse afgør, om man bliver fanget. Bestyrelsesmedlemmer er selv ansvarlige for at godkende foranstaltningerne og skal gennemgå træning.
Sådan fungerer det i praksis
Det første trin er selvevaluering: falder din organisation inden for en af sektorerne, og i så fald, er den essentiel eller vigtig? Denne sondring bestemmer primært tilsynet, som for essentielle enheder kan finde sted uden nogen særlig årsag. Omsorgspligten følger: risikoanalyse, håndtering af hændelser, forretningskontinuitet, forsyningskæde, adgangskontrol og kryptering. Forsyningskædeforpligtelsen gælder for leverandører, der ikke selv er omfattet af loven, fordi kravene videregives gennem kontrakter.
Hvor det går galt
Organisationer antager alt for let, at de falder uden for anvendelsesområdet, fordi de ikke er kritisk infrastruktur; sektorlisten er bred og omfatter affaldshåndtering, posttjenester, fødevarer og digitale leverandører. En anden fejl er at behandle rapporteringspligten som et IT-anliggende, når 24-timersfristen kun kan opnås med en beslutningslinje, der er aftalt på forhånd op til bestyrelsesniveau. For det tredje er videregivelsen til leverandører generelt ikke adresseret i eksisterende kontrakter.
Relaterede termer
Indberetningspligten løber sideløbende med den for brud på persondatasikkerheden , med sin egen frist og en anden regulator, og den indgår i SaaS-aftalen og databehandleraftalen.
Yderligere læsning
Mere om dette emne: NIS2 i Holland: Juridisk rådgivning og forretningsskridt , NIS2 og den hollandske cybersikkerhedslov: hvad din organisation har brug for at vide.
Vil du vide, om loven gælder for dig, og hvad det betyder? Vores IT-advokater udfører vurderingen sammen med dig.
