Status NIS 2 w Holandii
Holandia dokonała transpozycji unijnej dyrektywy NIS 2 poprzez Cyberbeveiligingswet (Cbw). Ustawa pojawiła się z opóźnieniem i obowiązuje od 15 sierpnia 2026 r., bez okresu przejściowego.
Przegląd
Podstawą prawną jest unijna dyrektywa NIS 2 (2022/2555). Ustanawia ona próg minimalny dla obowiązków cyberbezpieczeństwa we wszystkich państwach członkowskich. Holandia wpisuje ten próg minimalny do prawa krajowego poprzez Cyberbeveiligingswet (Cbw), która zastępuje starszą Wbni (Wet beveiliging netwerk- en informatiesystemen), wdrażającą NIS 1.
Termin transpozycji unijnej 17 października 2024 r. został przekroczony przez Holandię i przez większość państw członkowskich, w tym Niemcy. Holenderski projekt przeszedł konsultacje publiczne w 2024 r., został złożony do Tweede Kamer w czerwcu 2025 r. i przyjęty jako ustawa z 8 lipca 2026 r. (Staatsblad 2026, 187). Komisja skierowała Holandię do Trybunału Sprawiedliwości UE 8 lipca 2026 r., miesiąc przed wejściem Cbw w życie 15 sierpnia 2026 r.
Cbw i jej rozporządzenie wykonawcze, Cyberbeveiligingsbesluit (Staatsblad 2026, 189), weszły w życie 15 sierpnia 2026 r. bez okresu przejściowego, odzwierciedlając sposób, w jaki Niemcy potraktowały BSIG. Przyjęta Cbw wraz z dyrektywą unijną jest teraz punktem odniesienia przy określaniu zakresu prac.
Dyrektywa unijna
Dyrektywa (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na obszarze Unii (NIS 2).
Ustanawia obowiązki w zakresie zarządzania ryzykiem (art. 21), zgłaszania incydentów (art. 23), rozliczalność organu zarządzającego (art. 20) oraz rejestrację podmiotów (art. 3 ust. 4 NIS 2). Państwa członkowskie muszą transponować do prawa krajowego, ale nie mogą zejść poniżej progu minimalnego.
Unijne rozporządzenie wykonawcze
Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. (CIR).
Szczegółowo określa, jak wyglądają środki z art. 21 dla dostawców DNS, rejestrów nazw domen TLD, dostawców chmury, centrów danych i sieci dostarczania treści (CDN), dostawców usług zarządzanych (w tym usług bezpieczeństwa), internetowych platform handlowych, wyszukiwarek, sieci społecznościowych i dostawców usług zaufania. Stosowane bezpośrednio w Holandii bez dalszego aktu krajowego.
Holenderska transpozycja
Cyberbeveiligingswet (Cbw), ustawa z 8 lipca 2026 r. (Staatsblad 2026, 187), obowiązuje od 15 sierpnia 2026 r.; zastąpiła Wbni.
Cbw przydziela role nadzoru i CSIRT, definiuje podmioty kluczowe i ważne dla Holandii oraz dodaje krajowe specyfiki, takie jak opłaty, procedury wyznaczania i przekazania sektorowe. Jej rozporządzenie wykonawcze, Cyberbeveiligingsbesluit (Staatsblad 2026, 189), weszło w życie razem z nią 15 sierpnia 2026 r.
Cyberbeveiligingswet (Cbw)
Transponuje NIS 2 do prawa holenderskiego i obowiązuje od 15 sierpnia 2026 r. Definiuje podmioty kluczowe (essentiële) i ważne (belangrijke), ustanawia uprawnienia nadzorcze, kary i procedury zgłaszania incydentów oraz integruje unijne CIR przez odesłanie.
RDI, regulatorzy sektorowi, NCSC-NL
Nadzór jest podzielony według sektorów: Rijksinspectie Digitale Infrastructuur (RDI) dla infrastruktury cyfrowej, dostawców cyfrowych, zarządzania usługami ICT, energii i administracji publicznej; ILT dla transportu, wody i chemii; DNB dla bankowości; AFM dla infrastruktury rynków finansowych; NVWA dla żywności. NCSC jest CSIRT dla większości sektorów.
Unijny termin przekroczony, rejestracja przez holenderski portal
Unijny termin 17 października 2024 r. minął bez holenderskiej transpozycji. Od 15 sierpnia 2026 r. podmioty objęte zakresem muszą zarejestrować się w krajowym rejestrze podmiotów na MijnNCSC (mijn.ncsc.nl), logując się przez eHerkenning, a zmiany zgłaszać bez zbędnej zwłoki i w ciągu dwóch tygodni. Poważne incydenty trafiają zarówno do CSIRT, jak i do organu nadzoru w ciągu 24 godzin (wczesne ostrzeżenie) oraz 72 godzin (pełne powiadomienie), zgodnie z art. 23 NIS 2.
Prawo krajowe podąża za miejscem siedziby
Podmiot podlega prawu państwa, w którym ma siedzibę. Tylko niektórzy dostawcy cyfrowi (chmura, centra danych, dostawcy usług zarządzanych, internetowe platformy handlowe i podobni) podlegają państwu swojej głównej siedziby w UE, a dostawcy usług telekomunikacyjnych podlegają każdemu państwu, w którym świadczą usługi (art. 26 ust. 1 NIS 2).
Dyrektywa jest progiem minimalnym, nigdy pułapem
Cbw nie może zejść poniżej NIS 2. Może być surowsza w zakresie krajowych specyfik (procedury wyznaczania, opłaty, listy sektorowe). W przypadku środków zarządzania ryzykiem i zgłaszania incydentów tekst unijny i CIR ustalają treść; holenderska ustawa dodaje proceduralną oprawę.
Rijksinspectie Digitale Infrastructuur (RDI)
Organ nadzoru dla infrastruktury cyfrowej, dostawców cyfrowych, zarządzania usługami ICT, energii, przestrzeni kosmicznej, poczty, przetwórstwa przemysłowego i administracji publicznej. Organem właściwym w rozumieniu ustawy jest odpowiedzialny minister. Następca Agentschap Telecom; podlega Ministerstwu Spraw Gospodarczych.
NCSC-NL (Nationaal Cyber Security Centrum)
Krajowy CSIRT podlegający Ministerstwu Sprawiedliwości i Bezpieczeństwa. Przyjmuje powiadomienia o incydentach na mocy art. 23, prowadzi doradztwo sektorowe i koordynuje z ENISA oraz innymi krajowymi CSIRT. Od 1 stycznia 2026 r. Digital Trust Center jest częścią NCSC, które jest teraz jedynym punktem kontaktowym ds. odporności cyfrowej i CSIRT dla większości sektorów objętych Cbw. Prowadzi rejestr podmiotów na MijnNCSC.
ENISA
Wydaje wytyczne na poziomie unijnym oraz raporty z technicznego wdrożenia. Nie jest regulatorem holenderskich podmiotów. Jej Technical Implementation Guidance do CIR (z mapowaniami do ISO 27001) jest pisane dla dostawców cyfrowych objętych CIR; inne podmioty mogą z niego korzystać jako z punktu odniesienia.
Holenderski NIS 2 odzwierciedla niemiecki BSIG jeden do jednego.
Oba transponują tę samą dyrektywę, ale teksty się różnią. Holandia utrzymuje silniejszy model regulatora sektorowego i wykorzystuje RDI jako nadzorcę horyzontalnego; Niemcy kierują niemal wszystko przez BSI. Poziomy kar, mechanika rejestracji i obowiązki szkoleniowe kierownictwa są zapisane inaczej. Czytaj Cbw według jej własnych zasad, a nie jako tłumaczenie BSIG.
Nie ma jeszcze holenderskiego obowiązku rejestracji, więc możemy poczekać.
Art. 3 ust. 4 NIS 2 wymaga, by każde państwo członkowskie prowadziło rejestr, a podmioty dostarczały swoje dane. W Holandii rejestracja jest obowiązkowa od 15 sierpnia 2026 r., bez okresu karencji: podmioty objęte zakresem rejestrują się w krajowym rejestrze podmiotów na MijnNCSC, który prowadzi minister sprawiedliwości i bezpieczeństwa (art. 43 Cbw). Zmiany należy zgłaszać bez zbędnej zwłoki, w każdym razie w ciągu dwóch tygodni od daty zmiany (art. 44 ust. 2 Cbw).
Mój regulator sektorowy zajmuje się wszystkim, RDI nie jest istotny.
Nadzór na mocy Cbw jest podzielony według sektorów: DNB dla bankowości, AFM dla infrastruktury rynków finansowych, ILT dla transportu, wody i chemii, NVWA dla żywności oraz RDI dla infrastruktury cyfrowej, energii, administracji publicznej i kilku innych sektorów. Dla podmiotów finansowych objętych DORA, DORA działa jako lex specialis w zakresie cyberbezpieczeństwa, ale rejestracja w NIS 2 na mocy art. 3 ust. 4 nadal obowiązuje.
Większość holenderskich podmiotów objętych zakresem już wiedziała, że będzie nim objęta. Cbw obowiązuje od 15 sierpnia 2026 r. bez okresu przejściowego, więc teraz liczą się dwie rzeczy: rejestracja w rejestrze podmiotów na MijnNCSC oraz każda komunikacja organu nadzoru dla Twojego sektora, która rozstrzyga kwestię zakresu.
Operacyjnie na mocy Cbw, która transponuje te unijne artykuły, obowiązują cztery stałe obowiązki: zarządzaj bezpieczeństwem z rozliczalnością kierownictwa (art. 20), prowadź środki zarządzania ryzykiem (art. 21), zgłaszaj poważne incydenty w rytmie 24 i 72 godzin (art. 23) oraz zarejestruj się i utrzymuj rejestrację w aktualnym stanie (art. 3 ust. 4).
- Dyrektywa (UE) 2022/2555 (NIS 2): EUR-Lex, Dz.U. L 333, 27 grudnia 2022 r.
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r.
- Cyberbeveiligingswet (Cbw), ustawa z 8 lipca 2026 r., Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (transpozycja NIS 1, zastąpiona przez Cbw 15 sierpnia 2026 r.)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, informacje nadzorcze NIS 2
- NCSC-NL, ncsc.nl, powiadamianie o incydentach i wytyczne CSIRT
- ENISA, NIS 2 Technical Implementation Guidance, wersja 1.0, czerwiec 2025 r. (tabela mapowań w wersji 1.2, wrzesień 2025 r.)
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
