NIS2 und die niederländischen KMU
Was bedeutet das Cybersicherheitsgesetz für Ihre Organisation?
Digitale Resilienz ist mehr als nur eine Aufgabe der IT-Abteilung
Cybersicherheit ist schon lange nicht mehr nur ein Thema für die IT-Abteilung. Mit dem Inkrafttreten des Cybersicherheitsgesetzes wird die digitale Widerstandsfähigkeit ausdrücklich zu einer Verantwortung der Vorstände und Geschäftsführungen.
Das Gesetz tritt am 15. August 2026 in Kraft und stellt die niederländische Umsetzung der europäischen NIS2-Richtlinie dar. Ab diesem Zeitpunkt werden viele Organisationen in den Niederlanden direkt oder indirekt mit neuen Verpflichtungen im Bereich der Cybersicherheit konfrontiert sein.
Nicht jedes KMU fällt unmittelbar unter das Cybersicherheitsgesetz. Dennoch können die Auswirkungen weitaus umfassender sein. Organisationen, die unter das Gesetz fallen, müssen nämlich auch Risiken innerhalb ihrer Lieferkette berücksichtigen. Sie werden daher häufiger wissen wollen, wie Lieferanten ihre Informationssicherheit, Risiken und Maßnahmen organisiert haben.
Die Frage ist also nicht nur, ob Ihr Unternehmen sicher arbeitet, sondern vor allem, ob Sie dies auch nachweisen können.
Was verlangt das Cybersicherheitsgesetz von Organisationen?
NIS2 steht für „Network and Information Security Directive 2“. Diese europäische Richtlinie zielt darauf ab, die digitale Widerstandsfähigkeit innerhalb der Europäischen Union zu stärken. In den Niederlanden sind die Verpflichtungen aus der Richtlinie im Cybersicherheitsgesetz verankert.
Organisationen, die unter das Gesetz fallen, unterliegen unter anderem einer Sorgfaltspflicht, einer Registrierungspflicht und einer Meldepflicht. Sie müssen geeignete technische, betriebliche und organisatorische Maßnahmen ergreifen, um Cyberrisiken zu bewältigen und die Folgen von Vorfällen zu begrenzen.
Dazu gehören unter anderem:
- Die Bewertung und Steuerung von Cyberrisiken;
- Die Vermeidung, Erkennung und Bearbeitung von Vorfällen;
- Die Gewährleistung der Geschäftskontinuität;
- Risikomanagement bei Lieferanten;
- Die Regelung des Zugriffs auf Informationen und Systeme;
- Schulung und Sensibilisierung der Mitarbeiter.
Auch den Führungskräften wird eine klare Verantwortung übertragen. Sie müssen Maßnahmen genehmigen, deren Umsetzung überwachen und über ausreichende Kenntnisse verfügen, um Cyberrisiken und den gewählten Ansatz beurteilen zu können. Dadurch wird die digitale Widerstandsfähigkeit zu einem festen Bestandteil der Unternehmensführung.
Ob Ihre Organisation unmittelbar unter das Cybersicherheitsgesetz fällt, hängt unter anderem von der Branche, der Größe und den Tätigkeiten ab. Das Gesetz richtet sich an Organisationen, die wesentliche oder wichtige Dienste in achtzehn ausgewiesenen Branchen erbringen. Organisationen sind selbst dafür verantwortlich, zu prüfen, ob sie unter das Gesetz fallen. Fällt Ihre Organisation nicht unmittelbar unter das Gesetz? Dann können Kunden und Partner in der Lieferkette dennoch zusätzliche Anforderungen stellen. Schließlich müssen sie beurteilen können, welche Risiken ihre Lieferanten mit sich bringen und wie diese Risiken gesteuert werden.
Auch Lieferanten müssen nachweislich ihre Angelegenheiten in Ordnung haben
Für viele KMU wird sich der Einfluss von NIS2 vor allem in Kundenanfragen, Lieferantenbewertungen, Vertragsbedingungen und Audits bemerkbar machen.
Kunden können beispielsweise fragen:
- Gibt es eine aktuelle Richtlinie zur Informationssicherheit?
- Wie werden Risiken bewertet und überwacht?
- Wie werden Vorfälle erfasst und bearbeitet?
- Wer ist für Maßnahmen und Verbesserungsmaßnahmen verantwortlich?
- Sind die Verfahren aktuell und genehmigt?
- Lässt sich nachweisen, dass die vereinbarten Maßnahmen durchgeführt wurden?
Gerade Letzteres erweist sich in der Praxis oft als schwierig. Die Richtlinien sind zwar meist vorhanden, doch die dazugehörigen Informationen sind über Dokumente, E-Mails, Excel-Dateien und verschiedene Systeme verstreut. Aus vereinzelten Informationen lässt sich kein vollständiges Bild gewinnen. Dazu ist ein Zusammenhang zwischen Richtlinien, Prozessen, Aufzeichnungen und der Nachverfolgung erforderlich.
ISO 27001 als Grundlage für eine systematische Informationssicherheit
Die Norm ISO 27001 unterstützt Organisationen dabei, die Informationssicherheit strukturell zu organisieren. Im Rahmen eines Informationssicherheits-Managementsystems, auch ISMS genannt, werden unter anderem Risiken, Zuständigkeiten, Richtlinien, Vorfälle, Lieferanten, Audits und Verbesserungsmaßnahmen festgelegt.
Viele dieser Themen knüpfen an die organisatorischen Maßnahmen aus dem Cybersicherheitsgesetz an. Wenn Ihre Organisation bereits nach ISO 27001 arbeitet, ist oft bereits eine wertvolle Grundlage vorhanden. ISO 27001 und das Cybersicherheitsgesetz sind jedoch nicht identisch. Eine Zertifizierung bedeutet nicht automatisch, dass alle gesetzlichen Verpflichtungen erfüllt sind. Die Norm bietet jedoch einen nützlichen Rahmen, um die Informationssicherheit nachweisbar und kontinuierlich zu verbessern.
Auch neue Entwicklungen erfordern Ihre Aufmerksamkeit. So nutzen Mitarbeiter zunehmend KI für die Erstellung von Dokumenten, Analysen und anderen Aufgaben. Klare Vereinbarungen über zulässige Anwendungen, vertrauliche Informationen, Kontrollen und Verantwortlichkeiten tragen dazu bei, auch diese Risiken unter Kontrolle zu halten.
Von verstreuten Informationen zu nachweisbarer Beherrschung
Viele Organisationen haben ihre Richtlinien und Verfahren formell festgehalten. Die Herausforderung beginnt, wenn diese Informationen in der täglichen Praxis angewendet werden müssen.
Welche Version eines Verfahrens ist aktuell? Wer ist für die Risikobewertung zuständig? Wurde eine Verbesserungsmaßnahme tatsächlich umgesetzt? Welche Vorfälle sind noch offen? Und wie können Sie bei einem Audit schnell die richtigen Informationen einholen?
Wenn Dokumente, Datensätze und Maßnahmen auf verschiedene Systeme verteilt sind, kostet die Beantwortung solcher Fragen unnötig viel Zeit. Zudem besteht die Gefahr, dass Maßnahmen unerledigt bleiben, Mitarbeiter mit veralteten Informationen arbeiten oder Zuständigkeiten unklar sind.
Ein kontrolliertes Informationsmanagement ändert dies. Es schafft Klarheit:
- Welche Informationen aktuell und verfügbar sind;
- Wer für ein Dokument, einen Prozess oder eine Maßnahme verantwortlich ist;
- Welche Änderungen wurden vorgenommen?;
- Welche Risiken und Maßnahmen sind mit einem Prozess verbunden;
- Welche Maßnahmen sind noch offen?;
- Was nachweislich geprüft und durchgeführt wurde.
Auf diese Weise entwickelt sich das Informationsmanagement von einer rein administrativen Aufgabe zu einem praktischen Instrument für das Risikomanagement, die Compliance und die kontinuierliche Verbesserung.
Von der Strategie zur nachweisbaren Umsetzung
Richtlinien und Verfahren sind nur dann von Nutzen, wenn sie auch in der Praxis umgesetzt werden. Mit LeanForms und LeanBMS erfassen Sie Risikoanalysen, Störungsmeldungen, Lieferantenbewertungen, Audits und Verbesserungsmaßnahmen zentral.
Intelligente Arbeitsabläufe sorgen dafür, dass Meldungen und Maßnahmen automatisch an die richtige Person weitergeleitet werden. Erinnerungen unterstützen eine zeitnahe Nachverfolgung, und dank aktueller Statusangaben und Berichte erkennen Sie sofort, wo Handlungsbedarf besteht.
Diese Aufzeichnungen können den entsprechenden Prozessen, Dokumenten und Zuständigkeiten zugeordnet werden. So entsteht eine einheitliche Umgebung, in der Folgendes klar ersichtlich ist:
- Welche Maßnahmen wurden vereinbart;
- Wer ist für was verantwortlich?;
- Welche Maßnahmen sind noch offen?;
- Was tatsächlich durchgeführt wurde;
- Wo Risiken oder Verbesserungsmöglichkeiten bestehen.
Anstatt Informationen nachträglich zusammenzusuchen, verfügen Sie jederzeit über einen aktuellen und zuverlässigen Überblick. Dadurch lässt sich die Informationssicherheit besser steuern und gegenüber Kunden, Auditoren und Partnern in der Lieferkette nachweisen.
Machen Sie digitale Resilienz zu einem festen Bestandteil Ihrer Unternehmensführung
Das Cybersicherheitsgesetz ist kein einmaliges Compliance-Projekt. Neue Risiken, Vorfälle, Lieferanten und technologische Entwicklungen erfordern ständige Aufmerksamkeit.
Für niederländische KMU geht es daher nicht nur um die Frage, ob ein Unternehmen unmittelbar unter das Gesetz fällt. Es geht auch um Vertrauen. Können Sie Ihren Kunden und Partnern zeigen, dass Risiken beherrscht werden, Zuständigkeiten klar sind und Maßnahmen nachweislich umgesetzt werden?
Durch die Verknüpfung von Informationsmanagement, Risikomanagement und Informationssicherheit gewinnen Sie mehr Kontrolle über das gesamte Unternehmen. Sie bereiten sich nicht nur besser auf gesetzliche und vertragliche Anforderungen vor, sondern sorgen gleichzeitig für effizientere Audits, geringere operative Risiken und eine stärkere Position innerhalb der Lieferkette.
FMEA: Digitale Innovation für ein besseres Risikomanagement
Die Integration des Risikomanagements in Standards wie ISO oder Wkb erfordert aktuelle und strukturierte Informationen. Digitale Lösungen helfen dabei, Risiken zentral zu erfassen, zu verfolgen und strukturell zu verbessern.
Die Fehlermöglichkeits- und Einflussanalyse(FMEA), die von der NASA entwickelt wurde und später in der Automobilindustrie breite Anwendung fand, ist eine strukturierte Methode zur..:
- Identifizieren Sie mögliche Fehlerarten, Ursachen und Folgen
- Analysieren und priorisieren Sie Risiken
- Planen Sie gezielte Verbesserungsmaßnahmen
Durch die digitale Verwaltung einer FMEA in einem Informationsmanagementsystem wird das Risikomanagement zu einem kontinuierlichen Prozess. Dies ermöglicht es Ihnen:
- Führen Sie neue Mitarbeiter mit aktuellen Risikoinformationen ein.
- Bereiten Sie interne und externe Audits effizient vor.
- Analysieren Sie Vorfälle und Beschwerden auf strukturierte Weise.
- Optimieren Sie kontinuierlich Wartungspläne und Inspektionslisten auf der Grundlage der neuesten Erkenntnisse und Daten.
Ob Ihre Organisation unter das Cybersicherheitsgesetz fällt, hängt unter anderem von der Branche, der Größe und den Tätigkeiten ab. Das Gesetz gilt für Organisationen in achtzehn ausgewiesenen Branchen. Organisationen müssen selbst beurteilen, ob sie unter das Gesetz fallen. Auch wenn dies nicht der Fall ist, können Sie über Kunden oder Partner in der Lieferkette mit zusätzlichen Anforderungen im Bereich der Informationssicherheit konfrontiert werden.
Organisationen, die unter das Cybersicherheitsgesetz fallen, müssen auch Risiken innerhalb ihrer Lieferkette berücksichtigen. Als Lieferant können Ihnen daher Fragen oder Anforderungen beispielsweise in Bezug auf Informationssicherheit, Risikomanagement, Vorfälle und die Nachverfolgung von Maßnahmen gestellt werden. Daher wird es immer wichtiger, nicht nur Maßnahmen zu ergreifen, sondern auch nachweisen zu können, wie diese organisiert und umgesetzt wurden.
Nein. Eine ISO 27001-Zertifizierung bedeutet nicht automatisch, dass Ihre Organisation alle Verpflichtungen aus dem Cybersicherheitsgesetz erfüllt. Die Norm bietet jedoch eine gute Grundlage für Themen wie Risikomanagement, Vorfallmanagement, Lieferantenmanagement und kontinuierliche Verbesserung. Welche zusätzlichen Maßnahmen erforderlich sind, hängt von den für Ihre Organisation geltenden Verpflichtungen ab.
Es reicht nicht aus, lediglich Richtlinien und Verfahren festzulegen. Es ist wichtig, dass auch ersichtlich ist, wer für Maßnahmen verantwortlich ist, welche Maßnahmen durchgeführt wurden, was noch offen ist und welche Änderungen oder Kontrollen stattgefunden haben. Durch die strukturierte Verknüpfung von Prozessen, Dokumenten, Aufzeichnungen und Maßnahmen wird es einfacher, die Umsetzung gegenüber der Geschäftsleitung, den Kunden und den Auditoren nachzuweisen.
Häufig gestellte Fragen
Inspirationsnachmittag MKG & LeanForms
Wenn Daten aus der Produktion, Prozesswissen und Systeme zusammenfließen, entsteht ein Gesamtüberblick. Im Mittelpunkt des Inspirationsnachmittags von MKG und LeanForms am 1. Juli 2026 stand dieser Zusammenhang. Auf dem Brainport Industries Campus (BIC) in Eindhoven wurde die Frage beleuchtet, wie man Informationen aus der Praxis direkt in den eigenen Prozessen nutzbar machen kann.
Was ist ein Qualitätsmanagementsystem?
Qualitätsmanagement ist für viele Unternehmer ein Sammelbegriff. Es wird von Managern als ein notwendiges Übel angesehen, um das Zertifikat an die Wand zu hängen. Ein Beweis für gutes Verhalten gegenüber den Kunden. Wenn die Grundsätze des Qualitätsmanagements jedoch richtig angewandt werden, tragen sie täglich zu einem effizienteren Betrieb bei. Und damit zu einem besseren Ergebnis. Genau aus diesem Grund kann jede Organisation von einem praktischen Qualitätsmanagement profitieren. Und das macht sicherlich alle glücklich.
Vorausschauende Risikoanalyse, intelligente Ausführung - eine Sorge weniger!
Mit einer vorausschauenden Risikoanalyse analysieren Sie die Risiken. Die Stärke einer guten PRI liegt in ihrer Integration in die täglichen Aktivitäten.
RI&E: von der Verpflichtung zum dynamischen Instrument
Die Erstellung einer Risikoinventarisierung und -bewertung (RI&E) ist seit geraumer Zeit gesetzlich vorgeschrieben, aber trotzdem tun sich viele Unternehmen schwer, ihre RI&E korrekt zu erstellen.
