La Ley de Ciberseguridad de los Países Bajos está a punto de entrar en vigor — Lo que necesita saber ahora

El parlamento neerlandés aprobó la Cyberbeveiligingswet (Cbw) el 15 de abril de 2026. Tras incumplir el plazo original de transposición de la UE por 18 meses, los Países Bajos cuentan ahora con su ley de implementación de NIS2 — y la aplicación seguirá semanas después de su entrada en vigor.

Si su organización opera en los Países Bajos, o si abastece a organizaciones neerlandesas en sectores regulados, esto es lo que necesita saber.

Por qué los Países Bajos llegaron tarde

La UE exigió a todos los Estados miembros que transpusieran NIS2 a la legislación nacional antes del 17 de octubre de 2024. Los Países Bajos no cumplieron ese plazo. El borrador de la Cyberbeveiligingswet fue presentado al parlamento el 2 de julio de 2024, pero los procedimientos legislativos retrasaron el proceso.

La Cámara de Representantes aprobó la ley el 15 de abril de 2026. La aprobación del Senado y la publicación en el Staatscourant son los pasos finales antes de la entrada en vigor — prevista para el segundo trimestre de 2026.

Durante el retraso, las organizaciones podían registrarse voluntariamente en el NCSC desde el 17 de octubre de 2024. La mayoría no lo hizo.

Qué exige la Cyberbeveiligingswet

La Cbw es una transposición directa de la Directiva NIS2. No añade medidas neerlandesas significativas — implementa el marco europeo tal como está redactado.

Eso significa que las mismas obligaciones que se aplican en Alemania, Bélgica y Portugal ahora se aplican en los Países Bajos:

Ámbito de aplicación. Las organizaciones con 50 o más empleados, o menos de 50 con facturación y balance ambos superiores a 10 millones de euros, que operen en uno de los 18 sectores NIS2 están dentro del ámbito de aplicación.

Registro. Las organizaciones incluidas deben registrarse ante su autoridad nacional competente designada. En los Países Bajos, esa es la RDI (Rijksinspectie Digitale Infrastructuur) para la mayoría de los sectores.

Medidas de seguridad del Article 21. Cada organización incluida debe implementar las diez medidas de gestión de riesgos de ciberseguridad: análisis de riesgos, gestión de incidentes, continuidad del negocio, seguridad de la cadena de suministro, seguridad de redes, gestión de vulnerabilidades, políticas de criptografía, control de acceso, MFA y formación en ciberseguridad.

Notificación de incidentes. Los incidentes significativos deben notificarse al NCSC en 24 horas (alerta temprana), 72 horas (notificación completa) y un mes (informe final).

Responsabilidad del consejo. Los órganos de dirección son personalmente responsables de aprobar y supervisar las medidas de ciberseguridad. El Article 20 de NIS2 hace que esto no sea delegable.

Quién supervisa a quién

Los Países Bajos han optado por un modelo de supervisión con múltiples autoridades:

• DNB (De Nederlandsche Bank) para banca e infraestructura de mercados financieros
• ACM (Autoriteit Consument & Markt) para infraestructura digital y proveedores de servicios TIC
• RDI para la mayoría de los demás sectores

Cómo son las multas

La Cbw sigue el marco de sanciones de NIS2:

• Entidades esenciales: hasta 10 millones de euros o el 2 % de la facturación anual global
• Entidades importantes: hasta 7 millones de euros o el 1,4 % de la facturación anual global

Estas no son sanciones hipotéticas. El BSI alemán y el CCB belga ya han utilizado sus poderes equivalentes.

Lo que las organizaciones neerlandesas deben hacer ahora

1. Determine si está incluido. Compruebe su número de empleados, su facturación anual y su clasificación sectorial.

2. Prepárese para el registro. La RDI abrirá su portal de registro una vez que la Cbw entre en vigor.

3. Comience su evaluación del Article 21. Un análisis de brechas le mostrará exactamente dónde se encuentra.

4. Póngalo en la agenda del consejo. NIS2 no es un proyecto de TI. La Cbw hace directamente responsables a los órganos de dirección.

5. Revise sus obligaciones en la cadena de suministro. Evalúe y gestione los riesgos en su cadena de suministro.

La ventaja de actuar antes de que comience la aplicación

De las cerca de 29.500 entidades que el BSI estima dentro del ámbito en Alemania, a 30 de junio de 2026 solo se habían registrado 17.729, cuatro meses después de vencer el plazo. Las demás se enfrentan ahora a un regulador con autoridad para auditar y multar, sin ninguna preparación.

Los Países Bajos aún no están ahí. Inicie el escaneo gratuito de preparación NIS2 antes de que llegue el plazo de registro.

La Cbw está en vigor — Qué viene después

El parlamento ha votado. El Senado y el Staatscourant son en este punto meras formalidades. La RDI está preparando su infraestructura de supervisión.

Para la gran mayoría de las organizaciones neerlandesas que aún no han comenzado — la pregunta ya no es si NIS2 se aplica. Es cuánto retraso llevan ya.