NIS2 i Holland: Hvad cybersikkerhedsloven kræver

Den hollandske implementering af NIS2-direktivet, cybersikkerhedsloven ( Cyberbeveiligingswet , Cbw), har været i kraft siden den 15. august 2026. Den erstatter den tidligere lov om netværks- og informationssikkerhed ( Wet beveiliging netwerk- en informatiesystemen , Wbni) og gælder for organisationer, der er udpeget som væsentlige eller væsentlige enheder på tværs af atten sektorer, herunder energi, drikkevand, digital infrastruktur, sundhedspleje, transport, offentlig forvaltning, fremstilling, affald og posttjenester. Den omfatter anslået otte tusinde organisationer i Holland.

Tre forpligtelser definerer det. Den første er en omsorgspligt ( zorgplicht ): en enhed inden for anvendelsesområdet skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sine netværks- og informationssystemer og for at begrænse konsekvenserne af hændelser. Den anden er en rapporteringspligt ( meldplicht ): en væsentlig hændelse skal anmeldes til det kompetente team for håndtering af computersikkerhedshændelser og til sektortilsynet inden for de lovpligtige frister, startende med en tidlig varsling inden for 24 timer, en mere fuldstændig underretning inden for 72 timer og en endelig rapport inden for en måned. Den tredje er registrering ( registratieplicht ) hos det nationale cybersikkerhedscenter (NCSC).

Det, der adskiller NIS2 fra tidligere cybersikkerhedsreguleringer, er, hvor ansvaret ligger. Ledelsesorganer skal godkende risikostyringsforanstaltningerne og føre tilsyn med deres implementering, de kan holdes ansvarlige for fejl, og de er forpligtet til at følge træning. Omsorgspligten omfatter også forsyningskæden, hvilket betyder, at den skal implementeres gennem kontrakter med leverandører og tjenesteudbydere.

Denne artikel forklarer, hvordan du fastslår, om din organisation er omfattet af anvendelsesområdet, hvad omsorgspligten kræver i praksis, hvordan rapporteringsfristerne forløber, og hvad du skal arrangere først.

Indholdsfortegnelse

• Gælder NIS2 for din organisation?
  • Hvilke sektorer og organisationer er omfattet?
  • Hvad kræver omsorgspligten?
  • Hvordan fungerer indberetningspligten og håndhævelsen?
• Hvilke ændringer sker der for ledelse, medarbejdere og virksomheden?
  • Hvad betyder NIS2 for medarbejdere?
  • Hvad skal ledelsesorganet gøre?
  • Hvad er bøderne og andre konsekvenser?
• Hvordan bliver man NIS2-kompatibel, trin for trin?
  • Trin 1: fastlæg omfang og registrer
  • Trin 2: Opret styring og vurder risici
  • Trin 3: Forbered dig på hændelser og rapportering
• Hvordan håndterer du NIS2 i praksis?
  • Hvordan håndterer I leverandører og kontrakter?
  • Hvordan holder I compliance opdateret?
  • Hvad med budget, personale og personoplysninger?

NIS2 i korte træk

Gælder NIS2 for din organisation?

NIS2 gælder, hvis din organisation opererer i en af ​​de atten anførte sektorer og opfylder størrelsesgrænsen, eller hvis den tilhører en kategori, der er dækket uanset størrelse. Cybersikkerhedsloven har været gældende siden 15. august 2026, og der er ingen generel overgangsperiode: forpligtelserne gælder nu.

Holland implementerede direktivet senere end den europæiske frist. Mange ældre artikler refererer stadig til "en frist i 2025". Denne dato er ikke længere relevant. Det afgørende er, at de hollandske regler er gældende, og at tilsynsmyndighederne kan håndhæve dem. Kun en begrænset gruppe, såsom videregående uddannelsesinstitutioner, har fået en længere periode til at overholde reglerne.

Hvilke sektorer og organisationer er omfattet?

Loven dækker atten sektorer, der er anført i to bilag. Det første bilag indeholder sektorer af høj kritisk karakter, såsom energi, transport, bankvæsen, finansiel markedsinfrastruktur, sundhedspleje, drikkevand, spildevand, digital infrastruktur, offentlig forvaltning og rumfart. Det andet bilag indeholder andre kritiske sektorer, såsom post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling, digitale udbydere og forskning.

Inden for disse sektorer afgør størrelsen, om du er dækket. Ifølge NCSC falder din organisation ind under området, hvis den opfylder mindst et af disse kriterier:

• Personaleden beskæftiger 50 eller flere personer (i fuldtidsækvivalenter)
• Omsætning og balanceDen beskæftiger færre end 50 medarbejdere, men både den årlige omsætning og den samlede balance overstiger 10 millioner euro
• gruppePartnervirksomheder og tilknyttede virksomheder tæller med i disse tal, så et lille datterselskab af en stor koncern kan stadig være dækket

Nogle organisationer er dækket uanset deres størrelse. Disse omfatter DNS-tjenesteudbydere, udbydere af offentlige elektroniske kommunikationsnetværk eller -tjenester, tillidstjenesteudbydere, topdomænenavnsregistre og offentlige organisationer.

Inden for sit anvendelsesområde skelner loven mellem essentielle og vigtige enheder. Som regel er større organisationer i de meget kritiske sektorer essentielle enheder; andre er vigtige enheder. Sondringen er vigtig for tilsyn og for den maksimale bøde. Den hollandske myndighed for digital infrastruktur (RDI) tilbyder et selvevalueringsværktøj (NIS2-Zelfevaluatie) på regelhulpenvoorbedrijven.nl, der kan hjælpe dig med at fastlægge din holdning. Hvis resultatet er uklart, for eksempel på grund af en gruppestruktur eller blandede aktiviteter, skal du få det vurderet og registrere begrundelsen.

Hvad kræver omsorgspligten?

Omsorgspligten kræver passende og forholdsmæssige foranstaltninger til at håndtere risiciene for dit netværk og dine informationssystemer. "Forholdsmæssig" betyder, at foranstaltningerne skal passe til din størrelse, din eksponering for risiko og den mulige indvirkning af en hændelse på samfundet og økonomien.

Direktivet fastsætter et minimumsgrundniveau i artikel 21(2) i NIS2-direktivet. Kort sagt skal dine foranstaltninger dække:

• RisikoanalysePolitikker for risikoanalyse og sikkerheden af ​​dine informationssystemer
• Hændelseshåndteringprocedurer for detektering, håndtering og genopretning efter hændelser
• Kontinuitetforretningskontinuitet, backup, gendannelse og krisestyring
• Forsyningskædesikkerhed i dine relationer med leverandører og serviceudbydere
• Udvikling og vedligeholdelsesikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer, herunder håndtering af sårbarheder
• Testprocedurer til at vurdere, om dine foranstaltninger er effektive
• Hygiejne og træninggrundlæggende cyberhygiejne- og cybersikkerhedstræning for personale
• Kryptografi og adgangbrugen af ​​kryptering, HR-sikkerhed, adgangskontrol og aktivstyring, herunder sikker godkendelse

Loven foreskriver ikke én specifik standard. Mange organisationer bruger en eksisterende informationssikkerhedsramme til at strukturere deres foranstaltninger. Det, der tæller for en supervisor, er, om du kan vise, at dine foranstaltninger er baseret på en risikovurdering og rent faktisk virker.

Hvordan fungerer indberetningspligten og håndhævelsen?

En væsentlig hændelse skal rapporteres i tre faser: en tidlig varsling inden for 24 timer, en hændelsesmeddelelse inden for 72 timer og en endelig rapport inden for en måned. Du rapporterer til det kompetente team for respons på computersikkerhedshændelser (CSIRT) og til din sektorleder.

24-timers varslet er kort og behøver ikke at være fuldstændigt. Det signalerer primært, at der sker noget, og om der kan være ondsindede hensigter eller grænseoverskridende virkninger. 72-timers varslet giver en første vurdering af alvoren og virkningen. Den endelige rapport beskriver årsagen, de trufne foranstaltninger og eventuelle grænseoverskridende konsekvenser.

Tilsynet er opdelt efter sektor. Afhængigt af dine aktiviteter kan din vejleder f.eks. være Miljø- og Transporttilsynet (ILT), De Nederlandsche Bank (DNB), den hollandske Finansmarkedsmyndighed (AFM), Sundheds- og Ungdomstilsynet (IGJ), den hollandske Fødevare- og Forbrugervaresikkerhedsmyndighed (NVWA) eller RDI. Vejledere har håndhævelsesbeføjelser, som omfatter pålæggelse af administrative bøder.

Hvilke ændringer sker der for ledelse, medarbejdere og virksomheden?

Den vigtigste ændring er, at cybersikkerhed ikke længere kun er et anliggende for IT-afdelingen. NIS2 placerer ansvaret hos ledelsen og forventer, at hele organisationen, inklusive medarbejdere og leverandører, bidrager.

Det betyder ikke, at alle medarbejdere får nye lovpligtige pligter. Forpligtelserne påhviler organisationen. Men organisationen kan kun opfylde dem, hvis medarbejderne ved, hvad der forventes af dem, og derfor er træning og klare interne regler en del af omsorgspligten.

Hvad betyder NIS2 for medarbejdere?

NIS2 skaber ikke nye individuelle rettigheder eller forpligtelser direkte for medarbejdere; forpligtelserne påhviler organisationen. I praksis skal arbejdsgiveren dog omsætte omsorgspligten til regler og træning af personalet.

Grundlæggende cyberhygiejne- og cybersikkerhedstræning er en del af minimumsforanstaltningerne. Det betyder, at dine medarbejdere for eksempel bør:

• AwarenessDeltag i træning i phishing, adgangskoder og sikker arbejdsgang
• Intern rapporteringvide, hvordan og til hvem de rapporterer en mistænkt hændelse eller sårbarhed, så du kan overholde 24-timersfristen
• Adgangbruger sikker godkendelse og har kun adgang til de systemer, de har brug for til deres arbejde

Registrer disse regler i en politik eller en personalehåndbog. Hvis du introducerer ny overvågning af medarbejdernes systemer eller adfærd, skal du kontrollere reglerne om privatliv og, hvor det er relevant, samarbejdsudvalgets rolle.

Hvad skal ledelsesorganet gøre?

Ledelsesorganet skal godkende foranstaltningerne til risikostyring inden for cybersikkerhed og føre tilsyn med deres implementering. Medlemmerne skal følge træning, så de har tilstrækkelig viden til at vurdere risici og foranstaltninger. Hvis organisationen ikke overholder disse, kan ledelsesorganet holdes ansvarligt.

I praksis betyder det, at bestyrelsen ikke længere blot kan uddelegere cybersikkerhed. Bestyrelsesmedlemmer bør:

• Beslutgodkender formelt risikovurderingen og foranstaltningerne og registrerer denne beslutning
• Overvågemodtage regelmæssige rapporter om status for foranstaltningerne og om hændelser
• Learn: Følg træning og hold din viden opdateret
• AfsætteSørg for, at der er tilstrækkeligt budget, tilstrækkelige medarbejdere og klare roller

Om en direktør kan holdes personligt ansvarlig for skader, afhænger af de almindelige regler i hollandsk selskabsret og sagens faktiske omstændigheder. Klar beslutningstagning og dokumentation er med til at vise, at bestyrelsen tog sin rolle alvorligt.

Hvad er bøderne og andre konsekvenser?

Tilsynsmyndighederne kan pålægge bøder på op til 10 millioner euro eller 2 % af den globale årlige omsætning for væsentlige enheder og op til 7 millioner euro eller 1.4 % for vigtige enheder, alt efter hvad der er højest. Disse er maksimumbeløb; den faktiske bøde afhænger af overtrædelsens alvor og omstændighederne.

Bøder er ikke den eneste risiko. En supervisor kan også bruge andre håndhævelsesforanstaltninger for at få dig til at overholde reglerne. En alvorlig hændelse kan også føre til krav fra kunder eller forretningspartnere, til kontraktlige konsekvenser med leverandører og til omdømmeskade. God forberedelse beskytter dig derfor på flere måder.

Hvordan bliver man NIS2-kompatibel, trin for trin?

Start med at fastslå, om og hvordan loven gælder for dig, registrer dig derefter, opret styring, og tag de foranstaltninger, der følger af din risikovurdering. Da loven allerede er trådt i kraft, giver det mening først at håndtere de grundlæggende forpligtelser og derefter forbedre dem trin for trin.

Trinene nedenfor giver en praktisk rækkefølge. De er ikke et juridisk krav i sig selv, men de følger strukturen af ​​forpligtelserne.

Trin 1: fastlæg omfang og registrer

Først skal du afgøre, om din organisation er dækket, og om den er en essentiel eller vigtig enhed. Brug RDI-selvvurderingsværktøjet, og tjek din sektor, din størrelse og eventuelle grupperelationer.

Punkter, der skal registreres i dette trin:

• SektorHvilke af dine aktiviteter falder inden for en af ​​de atten sektorer
• Størrelsedit antal medarbejdere, omsætning og balancesum, inklusive partnervirksomheder og tilknyttede virksomheder
• Klassifikationom du er en essentiel eller vigtig enhed, og hvilken supervisor der er kompetent
• RegistreringRegistrering hos NCSC og ajourføring af registreringen

Trin 2: Opret styring og vurder risici

Dernæst skal du organisere ansvaret og udføre en risikovurdering. Ledelsesorganet godkender vurderingen og foranstaltningerne, så involver det fra starten.

Praktiske trin omfatter:

• rollerudpege en ansvarlig for cybersikkerhed og definere, hvem der rapporterer til bestyrelsen
• InventoryKortlæg dine kritiske processer, systemer, data og leverandører
• RisikovurderingIdentificer trusler og sårbarheder og vurder deres sandsynlige indvirkning
• Kurserplanlægge træning for ledelsesorganet og for personalet

Trin 3: Forbered dig på hændelser og rapportering

Endelig skal du sørge for at kunne opdage en hændelse, håndtere den og rapportere den til tiden. Fristen på 24 timer giver ikke plads til at fastlægge proceduren under en krise.

Sørg for, at du har:

• HændelsesberedskabsplanHvem gør hvad, når en hændelse indtræffer, inklusive eksterne eksperter
• RapporteringsprocedureHvem afgør, om en hændelse er væsentlig, og hvem rapporterer til CSIRT og supervisoren
• Skabeloner: forberedte formater til tidlig varsling, meddelelse og den endelige rapport
• Testregelmæssige øvelser og kontroller af, at dine sikkerhedskopier og gendannelser rent faktisk fungerer

Hold styr på hændelser, beslutninger og rapporter. Denne registrering hjælper dig med at opfylde rapporteringspligten og viser en supervisor, hvordan du håndterede situationen.

Hvordan håndterer du NIS2 i praksis?

NIS2-compliance er ikke et engangsprojekt. Trusler, systemer og leverandører ændrer sig, så din risikovurdering og dine foranstaltninger skal gennemgås regelmæssigt. De praktiske spørgsmål nedenfor afgør ofte, om compliance fungerer i den daglige drift.

Hvordan håndterer I leverandører og kontrakter?

Omsorgspligten omfatter din forsyningskæde, så du skal også håndtere dine leverandørers og tjenesteudbyderes cybersikkerhedsrisici. I praksis gøres dette i vid udstrækning gennem kontrakter.

Punkter, der skal tages op i leverandørkontrakter, omfatter:

• Sikkerhedskravde foranstaltninger, som leverandøren skal træffe i overensstemmelse med din egen risikovurdering
• Hændelsesanmeldelseen kort frist for leverandøren til at informere dig om hændelser, så du kan overholde dine egne rapporteringsfrister
• Revision og informationdin ret til at anmode om oplysninger og få kontrolleret overholdelsen
• UnderentrepriseRegler om brug af underleverandører og overførsel af forpligtelser
• Ansvar og opsigelseHvad sker der, hvis leverandøren ikke overholder reglerne, og hvordan du kan afslutte forholdet

Gennemgå først eksisterende kontrakter med dine vigtigste IT- og serviceudbydere. Nye kontrakter kan indeholde standard NIS2-klausuler fra starten.

Hvordan holder I compliance opdateret?

Planlæg regelmæssige gennemgange af din risikovurdering og dine foranstaltninger, og opdater dem efter hændelser, større ændringer i dine systemer eller ny vejledning fra din leder. Test om dine foranstaltninger er effektive, for eksempel gennem interne revisioner, øvelser eller tekniske tests.

Praktiske trin omfatter:

• Gennemgangscyklusfastsætte et fast tidspunkt, for eksempel én gang om året, hvor bestyrelsen skal gennemgå risikovurderingen
• Erfaringeranalyser hver hændelse og juster dine foranstaltninger, hvor det er nødvendigt
• DokumentationHold dine politikker, beslutninger og testresultater opdaterede, så du kan vise en supervisor, hvad du har gjort
• Overvågningfølg vejledningen fra NCSC og din sektorleder

Hvad med budget, personale og personoplysninger?

Compliance kræver investering i mennesker, processer og teknologi. Loven fastsætter ikke et beløb: foranstaltningerne skal stå i forhold til din størrelse og dine risici. Gør budgettet til en del af bestyrelsens beslutning om risikovurderingen, så forbindelsen mellem risici og foranstaltninger er tydelig.

Mange organisationer har også brug for specialviden, som de ikke har internt. Ekstern støtte kan hjælpe, men ansvaret ligger stadig hos din organisation og dens ledelsesorgan.

NIS2 overlapper også med den generelle forordning om databeskyttelse (GDPR). Hvis en hændelse involverer personoplysninger, kan det være påkrævet en separat anmeldelse til den hollandske databeskyttelsesmyndighed ( Autoriteit Persoonsgegevens ). Tilpas din NIS2-procedure med din procedure for databrud, så én hændelse ikke fører til to separate, ukoordinerede processer.

Et illustrativt eksempel: En mellemstor logistikvirksomhed med 80 ansatte opdager ransomware i sit planlægningssystem en fredag ​​aften. Dens hændelsesplan udpeger den person, der afgør, om hændelsen er betydelig. Denne person sender en tidlig advarsel inden for 24 timer, følger op med en notifikation inden for 72 timer, og fordi kundedata kan være påvirket, vurderer den også, om en anmeldelse af databrud er nødvendig. Den endelige rapport følger inden for en måned.

Ofte stillede spørgsmål

Sammenfattende

• Cybersikkerhedsloven, den hollandske implementering af NIS2, har været gældende siden den 15. august 2026 for anslået otte tusinde organisationer i atten sektorer.
• Din organisation er generelt dækket, hvis den har mindst 50 ansatte, eller en omsætning og en samlet balancesum begge over 10 millioner euro. Nogle udbydere er dækket uanset størrelse.
• Kerneforpligtelserne er omsorgspligten, rapportering af væsentlige hændelser (24 timer, 72 timer, en måned) og registrering hos NCSC.
• Ledelsesorganet godkender og fører tilsyn med foranstaltningerne, følger træning og kan holdes ansvarlig; forsyningskædens sikkerhed foregår i vid udstrækning gennem kontrakter.
• Bøderne kan nå op på 10 millioner euro eller 2 % af den globale omsætning for essentielle enheder og 7 millioner euro eller 1.4 % for vigtige enheder.

Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.

Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .