Valt Uw Duitse Vestiging Ook Onder NIS2?

U levert al jaren aan Duitse klanten, en op enig moment richt u daar een GmbH op of opent u een vestiging. Verkoop, magazijn, een paar mensen op de loonlijst. Wat vaak onopgemerkt blijft, is dat u op dat moment niet alleen Duits arbeidsrecht en Duitse belastingregels binnenhaalt, maar mogelijk ook een tweede cyberbeveiligingswet.

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn. Duitsland heeft dezelfde richtlijn omgezet in het BSIG. Dezelfde Europese basis, maar een andere wet, een andere toezichthouder en een eigen registratieplicht. Wie in beide landen gevestigd is, heeft met beide te maken.

Valt uw Duitse vestiging ook onder NIS2?

NIS2 is een richtlijn, geen verordening. Dat betekent dat elke lidstaat hem in eigen wetgeving omzet, met eigen begrippen, eigen loketten en eigen termijnen. De richtlijn koppelt de bevoegdheid aan de plaats van vestiging: u valt onder het toezicht van de lidstaat waar u gevestigd bent, en bent u in meerdere lidstaten gevestigd, dan geldt dat voor elke vestiging afzonderlijk.

Voor de meeste Nederlandse bedrijven is dat goed nieuws. Exporteren naar Duitsland maakt u geen Duitse entiteit. Pas als u daar een dochteronderneming, filiaal of andere vestiging heeft die zelfstandig in een van de aangewezen sectoren actief is en de omvangsdrempel haalt, komt het BSIG in beeld.

Waarom geldt de Nederlandse wet niet in Duitsland?

Omdat de Cyberbeveiligingswet Nederlands recht is. De Rijksinspectie Digitale Infrastructuur houdt toezicht op entiteiten die onder Nederlandse jurisdictie vallen, met sectorale toezichthouders zoals de ACM voor energie en telecom en de IGJ voor de zorg. Een Duitse GmbH valt daar niet onder, ook niet als de aandelen in Nederlandse handen zijn.

In Duitsland ligt het toezicht bij het Bundesamt für Sicherheit in der Informationstechnik, het BSI. Dat is één centrale instantie, waar Nederland met meerdere toezichthouders werkt. Wilt u eerst weten hoe het Nederlandse toezicht is geregeld, lees dan het artikel over de RDI als NIS2-toezichthouder.

Het gevolg is praktisch: twee registraties, twee contactpunten, twee meldloketten. Uw maatregelen mogen dezelfde zijn, uw administratie is dat niet.

Wat zijn de verschillen tussen de Cyberbeveiligingswet en het BSIG?

De kern is gelijk, want beide wetten voeren dezelfde richtlijn uit. De verschillen zitten in terminologie, in het loket en in enkele drempelwaarden. De tabel zet ze naast elkaar.

Let op het woordje “en” bij de Duitse financiële drempels. Waar in de Nederlandse communicatie vaak alleen omzet wordt genoemd, koppelt het BSIG omzet aan balanstotaal. Dat kan betekenen dat u in het ene land wel de drempel haalt en in het andere net niet. De Duitstalige uitleg van de sectoren en drempels staat uitgewerkt op wie er in Duitsland onder NIS2 valt. Twijfelt u over uw eigen indeling in Nederland, dan helpt het artikel over essentiële of belangrijke entiteit.

Hoe verloopt de registratie bij het BSI?

Dit is het onderdeel waar Nederlandse organisaties het vaakst op vastlopen, en het heeft niets met beveiliging te maken. De Duitse registratie loopt in twee stappen, en de eerste kost de meeste tijd.

1. Mein Unternehmenskonto aanmaken. Dit is het centrale bedrijfsaccount voor de Duitse overheid. Het wordt aangemaakt met een ELSTER-organisatiecertificaat, en daarvoor heeft u een Duits belastingnummer nodig.
2. Registreren in het BSI-portaal. Dat portaal is op 6 januari 2026 opengesteld en is tegelijk het meldloket voor ernstige beveiligingsincidenten.
3. Een contactpunt aanwijzen. Het BSI moet dat punt op elk moment kunnen bereiken. Een algemeen mailadres dat niemand leest, voldoet niet.
4. Wijzigingen doorgeven. Verandert er iets aan de geregistreerde gegevens, dan meldt u dat onverwijld en uiterlijk binnen twee weken.

De termijn is drie maanden nadat uw vestiging voor het eerst onder de wet valt. Dat lijkt ruim, maar het ELSTER-certificaat en de bijbehorende volmachten binnen het concern zijn zelden in een middag geregeld, zeker niet als de Duitse administratie bij een externe partij ligt. Begin daarom met de registratie en niet met het beleid. Het stappenplan in het Duits staat beschreven bij de registratie bij het BSI.

Ter vergelijking: het BSI meldde dat tot 30 juni 2026 zo’n 17.729 bedrijven zich hadden geregistreerd, terwijl er naar schatting ongeveer 29.500 organisaties onder het toezicht vallen. Er is dus een aanzienlijke groep die nog niet in het portaal staat. Hoe de registratieplicht in Nederland werkt, leest u in het artikel over de NIS2-registratieplicht.

Twijfelt u of uw Duitse entiteit eronder valt?

Toets het voordat u documenten gaat schrijven, want de uitkomst bepaalt de urgentie. De volgorde is steeds dezelfde: eerst de sector, dan de omvang, dan de uitzonderingen.

• Sector. Valt de activiteit van de Duitse entiteit onder Anlage 1 of Anlage 2 van het BSIG? Beoordeel de activiteit, niet de statutaire doelomschrijving.
• Omvang. Tel de medewerkers en de financiële kengetallen van de Duitse entiteit, volgens de Europese definitie van het midden- en kleinbedrijf.
• Uitzonderingen. Sommige partijen vallen eronder ongeacht hun omvang, zoals gekwalificeerde vertrouwensdienstverleners, TLD-registers en DNS-diensten.
• Uitkomst vastleggen. Ook een negatieve uitkomst legt u vast, met datum en onderbouwing. Bij een controle of een overname is dat het enige bewijs dat u de vraag serieus heeft beantwoord.

Het Duitse artikel NIS2: Sind Sie betroffen? loopt die toets in vier stappen door, met de sectorbijlagen erbij. Voor de Nederlandse kant gebruikt u dezelfde volgorde, maar met de Nederlandse sectorindeling.

Welke documentatie heeft u in het Duits nodig?

Uw beveiligingsmaatregelen mogen concernbreed identiek zijn. Uw bewijs moet leesbaar zijn voor wie het beoordeelt. Het BSI voert correspondentie in het Duits, een Duitse auditor leest Duits, en Duitse medewerkers tekenen liever een gedragscode die zij begrijpen.

In de praktijk vertaalt u niet alles. Wat Duitstalig moet zijn, is het deel dat naar buiten gaat of dat door Duitse medewerkers wordt gebruikt: het beveiligingsbeleid, de meldprocedure met Duitse contactgegevens, de incidentregistratie, het bewustwordingsmateriaal en de verklaringen die u aan klanten overlegt. Interne werkinstructies van een Nederlands team mogen in het Nederlands blijven.

Wie niet alles opnieuw wil schrijven, kan werken met een Duitstalige documentenset die op dezelfde structuur is gebouwd als de Nederlandse. De Duitstalige NIS2-documentvoorlagen volgen de paragrafen van het BSIG, waar de Nederlandse NIS2 document templates de artikelen van de Cyberbeveiligingswet volgen. Dezelfde onderwerpen, andere verwijzingen.

Hoe houdt u één managementsysteem voor twee landen?

Ga niet twee systemen bouwen. Dat verdubbelt uw onderhoud en levert onvermijdelijk tegenstrijdige documenten op. Bouw één systeem met landspecifieke bijlagen.

Praktisch betekent dat: één risicoanalyse waarin de Duitse vestiging als eigen scope-onderdeel zit, één set beleidsdocumenten met per land een bijlage voor toezichthouder, meldloket en contactpunt, en één incidentprocedure met twee meldroutes erin. De tien maatregelgebieden zijn in beide landen dezelfde, dus daar valt niets te splitsen.

Een ISO 27001-certificaat helpt daarbij meer dan in Nederland alleen. Het is in beide landen hetzelfde certificaat, het dekt een groot deel van de gevraagde maatregelen en het bespaart u discussie bij Duitse klanten. Let daar wel op de accreditatie van de certificerende instelling, want in Duitse aanbestedingen wordt daar strenger naar gekeken dan Nederlandse bedrijven gewend zijn. Meer over de opzet van een ISO 27001-systeem leest u op de pagina over ISO 27001.

Veelgestelde vragen over NIS2 in Duitsland

1. Val ik onder het BSIG als ik alleen aan Duitse klanten lever?

Nee. De verplichtingen volgen uw vestiging, niet uw afzetmarkt. Levert u vanuit Nederland aan Duitse afnemers zonder daar gevestigd te zijn, dan blijft alleen de Cyberbeveiligingswet gelden. Wel kunnen Duitse klanten u contractueel om beveiligingseisen vragen, omdat zij u als leverancier in hun eigen keten moeten beoordelen.

2. Moet ik mij in beide landen registreren?

Als u in beide landen een vestiging heeft die sector en omvang haalt, ja. De registraties staan los van elkaar: een registratie in Nederland telt niet als registratie bij het BSI, en omgekeerd. Houd er rekening mee dat de Duitse registratie een eigen termijn van drie maanden kent en een eigen contactpunt vraagt.

3. Geldt mijn ISO 27001-certificaat ook in Duitsland?

Ja. ISO 27001 is een internationale norm en een certificaat van een geaccrediteerde instelling wordt in heel Europa erkend. Wat u wel nakijkt, is de scope van het certificaat: dekt die ook de Duitse vestiging en de processen die daar draaien? Een certificaat dat alleen de Nederlandse locatie noemt, helpt u in een Duitse aanbesteding niet.

4. Zijn de meldtermijnen in Duitsland anders?

Nee, het ritme is hetzelfde: een eerste melding binnen 24 uur, een volledige melding binnen 72 uur en een eindmelding binnen een maand. Wat verschilt, is waar u meldt. In Duitsland gaat de melding via het BSI-portaal, hetzelfde portaal waarin u zich registreert. Zie ook het artikel over de Nederlandse meldtermijnen.

5. Kan ik mijn Nederlandse documenten gewoon laten vertalen?

Voor een deel wel, maar let op de verwijzingen. Nederlandse documenten verwijzen naar de Cyberbeveiligingswet, naar de RDI en naar Nederlandse artikelnummers. Een letterlijke vertaling daarvan is in Duitsland onbruikbaar, want daar gelden het BSIG, het BSI en andere paragraafnummers. Vertaal de tekst en vervang de juridische verwijzingen.

Conclusie

NIS2 is Europees bedacht en nationaal uitgevoerd. Dat betekent dat een Nederlandse organisatie met een Duitse vestiging niet met één wet te maken heeft, maar met twee uitvoeringen van dezelfde richtlijn. De maatregelen overlappen vrijwel volledig, de administratie niet: twee registraties, twee toezichthouders, twee meldloketten en documentatie in twee talen.

Begin bij de vraag of uw Duitse entiteit zelfstandig onder het BSIG valt, en leg het antwoord vast. Valt zij eronder, regel dan eerst de registratie, want het Duitse bedrijfsaccount kost meer doorlooptijd dan mensen verwachten. Bouw daarna één managementsysteem met landspecifieke bijlagen in plaats van twee losse systemen.

Wilt u de Nederlandse kant in één keer op orde hebben, dan bevat het NIS2 compliance pakket het beleid, de procedures en de registers die daarbij horen, en houdt de digitale Coach bij welke onderdelen nog aandacht vragen. Voor de Duitse vestiging vindt u op online-iso.de dezelfde opzet, maar dan afgestemd op het BSIG.