Auf dem Weg zum 15. August: In 8 Schritten startklar für das Cybersicherheitsgesetz

Das Gesetz gilt für Organisationen, die wesentliche oder wichtige Dienste in 18 Sektoren erbringen, darunter Energie, Trinkwasser, digitale Infrastruktur, Gesundheitswesen, öffentliche Verwaltung und Verkehr. Organisationen sind selbst dafür verantwortlich zu prüfen, ob sie unter das Gesetz fallen und ob dies als wesentliche oder als wichtige Einrichtung der Fall ist. Diese Unterscheidung bestimmt den Umfang der Aufsicht: Wesentliche Einrichtungen werden proaktiv kontrolliert, auch ohne Vorfall, wichtige Einrichtungen vor allem im Nachhinein. Nutzen Sie dafür die offizielle Selbstbewertung der niederländischen Regierung (regelhulp).

Achtung: Auch wenn eine Organisation selbst nicht unter das Gesetz fällt, kann sie über Cbw-pflichtige Kunden dennoch mit den Anforderungen konfrontiert werden. Cybersicherheit wird zur Voraussetzung für Geschäftsbeziehungen.

Unter dem Cbw trägt der Vorstand die Endverantwortung für das Cyberrisikomanagement. Vorstandsmitglieder müssen Risiken und Maßnahmen beurteilen können und absolvieren dafür eine spezifische Schulung. Setzen Sie das Thema also jetzt auf die Vorstandsagenda, mit einem klaren Überblick über die wichtigsten Risiken, die ergriffenen Maßnahmen und das, was noch zu tun ist.

Worldstream kann für ihre Kunden die technischen Informationen liefern, die das Gespräch im Vorstand konkret machen: Einblick in den Aufbau der Infrastruktur, welche Sicherheits- und Kontinuitätsmaßnahmen auf Infrastrukturebene ergriffen wurden und wie diese in unseren Zertifizierungen und Berichten festgehalten sind.

Die Registrierung im Entitätenregister über das NCSC ist ab dem 15. August verpflichtend. Das NCSC empfiehlt Organisationen, die Registrierung jetzt schon vorzubereiten; dafür steht eine Checkliste zur Verfügung. Die Registrierung ist mehr als eine administrative Pflicht: Sie gibt Zugang zu den Dienstleistungen des Computer Security Incident Response Team (CSIRT) für Ihren Sektor. Für die meisten Organisationen ist das das NCSC. Denken Sie an maßgeschneiderte Bedrohungsinformationen, Warnungen bei aktuellen Schwachstellen und Unterstützung bei Sicherheitsvorfällen. Erst nach der Registrierung weiß das CSIRT, wer Sie sind und welche Dienstleistung Sie erbringen, und kann gezielt helfen. Ist die Registrierung einmal erfolgt, zählt bei einem Vorfall vor allem Geschwindigkeit, und dabei können wir als Infrastrukturpartner unterstützen (siehe Schritt 6).

Wissen Sie, welche Systeme online erreichbar sind und welche Schwachstellen ausgenutzt werden können. Die Risikoanalyse ist ein Teil der Sorgfaltspflicht, neben unter anderem Kettensicherheit, Kontinuität und Zugriffsmanagement. Noch keine Sicherheitsrichtlinie? Beginnen Sie mit den Grundlagen: den 5 Basisprinzipien des NCSC. Arbeiten Sie bereits mit einem Informationssicherheits-Managementsystem (ISMS)? Prüfen Sie es anhand des Cbw (NIS2) Control Framework von NOREA und dem Auditdienst Rijk.

Läuft eine Infrastruktur bei uns, wissen wir genau, wie sie aufgebaut ist. Wir helfen Organisationen mit Einblick in ihren Online-Footprint auf unserer Infrastruktur und mit Schutz an der Vorderseite, etwa DDoS-Mitigation über unser eigenes Netzwerk. So können sie bestimmen, welche Erkenntnisse ein Risiko darstellen.

Sorgen Sie für sichere Speicherung, Wiederherstellungskapazität und vermeiden Sie Single Points of Failure. Und mindestens genauso wichtig: Testen Sie Wiederherstellungsverfahren in der Praxis. Ohne Wiederherstellungstest wissen Sie nicht, ob ein Backup funktioniert.

Kontinuität liegt in unserer DNA. Unsere eigenen Rechenzentren in den Niederlanden sind redundant ausgelegt, unser weltweites Netzwerk ist redundant aufgebaut, und wir bieten Lösungen für sichere Speicherung und Wiederherstellung an getrennten Standorten. Darüber hinaus denken wir gerne über einen Wiederherstellungstest mit, der belegt, dass eine Organisation ihre Sorgfaltspflicht erfüllt, einschließlich der Frage, die wirklich zählt: Wie schnell sind Sie wieder online?

Die Meldefristen sind strikt: eine Frühwarnung innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Wissen Sie also, wer meldet, innerhalb welcher Frist, und stellen Sie sicher, dass Lieferanten schnell die richtigen technischen Informationen liefern können.

Bei einem Vorfall zählt jede Minute. Unsere Support-Abteilung ist rund um die Uhr erreichbar, und wir können schnell die technischen Informationen liefern, die eine Organisation für eine Meldung benötigt, etwa Netzwerkdaten, Logging und den Status der Infrastruktur. Organisationen tun gut daran, jetzt schon festzulegen, wer bei ihren Lieferanten der Ansprechpartner ist und welche Informationen in welchem Szenario benötigt werden. So müssen sie in den ersten 24 Stunden nicht improvisieren.

Kettensicherheit ist ausdrücklich Teil der Sorgfaltspflicht: Organisationen sind auch für die Risiken in ihrer Lieferkette verantwortlich. Fragen Sie IT-Lieferanten nach Zertifizierungen, SLAs, Vorfallprozessen und Klarheit über Datenstandort und Zugriff. Legen Sie die Bewertung fest, denn auch das müssen Organisationen nachweisen können.

Wir machen diese Bewertung einfach. Wir sind ISO 27001-, ISO 9001- und PCI-DSS-zertifiziert und werden jährlich unabhängig geprüft. Daten befinden sich in unseren eigenen Rechenzentren in den Niederlanden, mit klaren Vereinbarungen zu Zugriff und SLAs. Wir liefern die Dokumentation, die Organisationen für ihre Lieferantenakte benötigen, damit sie der Aufsichtsbehörde zeigen können, dass die Kette in Ordnung ist.

Aufsichtsbehörden prüfen die Einhaltung und können durchgreifen. Dokumentation ist Ihr stärkster Beweis, auch wenn Prüfer auch Interviews und Inspektionen akzeptieren. Halten Sie also Risikoanalysen, Maßnahmen, Tests, Lieferantenbewertungen und Vorstandsbeschlüsse fest.

Für alles rund um die Infrastruktur können Organisationen auf uns zählen: Zertifikate, SLAs, Beschreibungen der Sicherheitsmaßnahmen und Vereinbarungen zu Datenstandort und Vorfallunterstützung.

Das Cbw verlangt organisationsweite Maßnahmen, von Governance und Schulung bis hin zur Technik. Niemand kann die Compliance für eine Organisation übernehmen, aber Organisationen müssen es nicht allein tun. Sie können schon jetzt die technische Grundlage ihrer Widerstandsfähigkeit in Ordnung bringen: Infrastruktur, Kontinuität und Einblick in die Lieferkette.

Neugierig, wie die Infrastruktur von Worldstream zu den Cbw-Verpflichtungen Ihrer Organisation beiträgt? Nehmen Sie Kontakt mit unserem Team auf für ein unverbindliches Gespräch.

Weitere Informationen zur Gesetzgebung: https://www.ncsc.nl/nieuws/cbw-en-wwke-vanaf-15-augustus-2026-van-kracht