Fragebogen fragt, ob wir Vorfälle bei einer Aufsichtsbehörde gemeldet haben

Meldepflicht gilt nur, wenn du selbst unter NIS2 fällst

Diese Frage ist nur relevant, wenn dein Unternehmen selbst eine NIS2-Entität ist — essentiell oder wichtig. Fällst du nicht darunter, dann ist die Antwort meist "nicht zutreffend" und du kannst das auch so vermerken, mit einer kurzen Erläuterung warum. Zweifelst du an diesem Status, dann ist das zunächst über oder ob das Unternehmen unter die NIS2-Richtlinie fällt — die Antwort auf diese Frage hängt direkt davon ab.

Fällst du unter NIS2, dann dreht sich die Frage darum, ob du Vorfälle, die die Meldekriteria erfüllen, auch tatsächlich dem CSIRT oder der zuständigen Aufsichtsbehörde gemeldet hast, innerhalb der gesetzten Fristen (erste Meldung, Zwischenmeldung, Abschlussbericht). Hast du das getan, dann kann "ja" mit der Meldebescheinigung oder dem Vorfallsregister als Beweismittel belegt werden. Hattest du im abgefragten Zeitraum einfach keinen meldepflichtigen Vorfall, dann ist "nein" die sachlich richtige Antwort — das ist keine Verfehlung, und das darfst du auch so im Freitextfeld erläutern. Problematisch wird es erst, wenn es tatsächlich einen Vorfall gab, der die Kriterien erfüllte, und keine Meldung erfolgt ist; das ist ein Fakt, den dein Dossier dann einfach widerspiegeln muss, nicht etwas, das man anders formuliert. Diese Frage hängt übrigens zusammen mit dem Verfahren zur Behandlung von Sicherheitsvorfällen: ohne ein funktionierendes Verfahren gibt es üblicherweise auch keinen lückenlosen Meldprozess.

Rechtsgrundlage dafür: Artikel 21 Absatz 2 Buchstabe b und das Cybersicherheitsgesetz

Die Meldepflicht selbst steht nicht in Artikel 21 Absatz 2 — dieser Artikel beschreibt die zehn Maßnahmen, darunter unter Buchstabe b Vorfallbehandlung als Kontrollmaßnahme. Die tatsächliche Meldepflicht mit Fristen ist separat in der Richtlinie geregelt und wird für die Niederlande im Cybersicherheitsgesetz umgesetzt, das am 15. August 2026 in Kraft tritt. Bis zu diesem Zeitpunkt gibt es keine niederländische gesetzliche Meldepflicht auf Grundlage von NIS2; was ein Kunde in einer Frageliste jetzt schon fragt, ist oft eine Vorwegnahme dieser Verpflichtung oder eine Frage nach ISO 27001 zur Vorfallregistrierung in Anlage A.