Een Belgisch referentiekader van het CCB op basis van erkende normen
CyFun® is het cyberbeveiligingskader dat het Centrum voor Cybersecurity België (CCB) heeft ontwikkeld, er eigenaar van blijft en gratis ter beschikking stelt. Het steunt op het NIST Cybersecurity Framework, ISO 27001, IEC 62443 en de CIS Controls en put uit geanonimiseerde gegevens over geslaagde cyberaanvallen om zich te richten op wat echt beschermt.
De versie CyFun® 2025, gelanceerd in oktober 2025, is afgestemd op NIST CSF 2.0 en NIS2 en ordent de vereisten in zes functies die van governance tot herstel na een incident lopen. Ze bestaat naast CyFun® 2023 tot 18 april 2027 en tot dan kiest u zelf uw versie, waarbij het kader en de tools op de CyberFundamentals-pagina van het CCB staan.
Drie zekerheidsniveaus die van Basic tot Essential op elkaar voortbouwen
Elk niveau neemt alles van het vorige over en voegt eigen vereisten toe, waaronder kernmaatregelen die op basis van de meest voorkomende aanvallen hoe dan ook in orde moeten zijn.
- Basic bundelt de standaardmaatregelen voor elke onderneming en de 13 kernmaatregelen gaan onder meer over multifactorauthenticatie, minimale toegangsrechten, firewalls, back-ups, patches en antivirus.
- Important richt zich ook op gerichte aanvallen door actoren met gangbare vaardigheden en middelen en voegt 9 kernmaatregelen toe, van toegang op afstand tot kritieke systemen tot kwetsbaarheidsbeheer en het melden van significante incidenten aan de autoriteiten.
- Essential is bedoeld voor geavanceerde aanvallen door actoren met uitgebreide middelen en voegt 7 kernmaatregelen toe rond contracten met leveranciers, onderhoud, draagbare opslagmedia en het in kaart brengen van netwerkstromen.
Ook de maturiteitsdrempel stijgt, want elke kernmaatregel moet 2,5 op 5 halen in Basic en 3 op 5 in Important en Essential, dat bovendien 3 op 5 vraagt in elke categorie. Het startniveau Small voor micro-organisaties dient als eerste beoordeling, maar behoort niet tot de wegen naar het vermoeden van conformiteit met NIS2 die het CCB beschrijft.
Een risicobeoordeling die uw niveau bepaalt
Uw niveau volgt uit een risicobeoordeling en niet alleen uit uw NIS2-status. Het CCB stelt daarvoor de CyFun® Selection Tool ter beschikking, een Excelbestand per NIS2-sector waarin u voor vijf soorten aanvallen, van sabotage tot ransomware, de impact op uw organisatie inschat en de kans dat elk type aanvaller toeslaat. Gewogen naar uw grootte en het gerichte karakter van de aanvallen wijst het totaal Basic aan onder 100 punten, Important van 100 tot 199 en Essential vanaf 200.
Een essentiële entiteit kan ook een lager niveau verantwoorden, bijvoorbeeld Important, als haar risicobeoordeling dat aantoont. Daarvoor is geen voorafgaand akkoord van het CCB nodig, maar de keuze moet gedocumenteerd zijn omdat de inspectiedienst ze kan nagaan en een verkeerd gekozen niveau kan bestraffen.
Een verificatie of een certificering naargelang het beoogde niveau
In België verkrijgt u het vermoeden van conformiteit met NIS2 via een CyFun®-verificatie voor Basic en Important, een CyFun®-certificering voor Essential of een ISO 27001-certificering waarvan het CCB het toepassingsgebied en de verklaring van toepasselijkheid aanvaardt. De CyFun®-beoordelingen gebeuren door een conformiteitsbeoordelingsinstantie (CAB) die door BELAC geaccrediteerd en door het CCB geautoriseerd is, op basis van uw zelfevaluatie en de bewijzen van implementatie.
De timing hangt af van uw status:
- Essentiële entiteiten die voor CyFun® kozen, moesten uiterlijk op 18 april 2026 over een verificatie Basic of Important beschikken.
- Komt hun risicobeoordeling uit op Essential, dan moeten ze uiterlijk op 18 april 2027 gecertificeerd zijn of anders een verificatie Important voorleggen met een plan om Essential uiterlijk op 18 april 2028 te bereiken.
- Belangrijke entiteiten worden in principe alleen achteraf gecontroleerd, maar moeten de maatregelen van de wet toepassen en kunnen zich vrijwillig laten beoordelen om ook het vermoeden van conformiteit te genieten.
- Het CCB raadt leveranciers van NIS2-entiteiten aan om minstens het niveau Basic toe te passen, wat een NIS2-klant hen ook contractueel zou kunnen opleggen.
Onze tips om goed te starten
- Voer de risicobeoordeling als eerste uit en bewaar de verantwoording van het gekozen niveau.
- Begin met de 13 kernmaatregelen van Basic die op elk niveau meetellen en ga daarna stap voor stap verder.
- Beoordeel elke vereiste op documentatie en op dagelijkse toepassing, want de Self-Assessment tool scoort beide afzonderlijk van 1 tot 5 en een CAB verwacht voor allebei bewijs.
- Baken uw toepassingsgebied af in het besef dat het de hele organisatie omvat, tenzij IT- of OT-omgevingen fysiek of technisch gescheiden zijn.
- Onthoud dat een kernmaatregel nooit kan worden uitgesloten en dat elke uitzondering gemotiveerd, gedocumenteerd en door het management goedgekeurd moet zijn.
- Neem tijdig contact op met een CAB van de lijst die het CCB publiceert om uw planning vast te leggen.
Hoe Sinplify u helpt uw CyFun®-niveau voor te bereiden
Sinplify is een Belgisch platform met een CyFun®-gebruiksovereenkomst met het CCB dat Basic, Important en Essential ondersteunt. Elke vereiste staat er in heldere taal en onze Europese AI leest uw documenten om te herkennen wat u al doet, waarna ze voorbereidt wat ontbreekt zonder u ooit meer dan drie acties tegelijk voor te leggen. Elk bevestigd bewijs telt ook voor ISO 27001 en ReCyF en het dossier van uw niveau maakt u met één klik aan.
Sinplify structureert en versnelt uw aanpak en bereidt uw dossier voor, terwijl de verificatie of certificering de taak van een geautoriseerde CAB blijft. Ontdek het platform, lees ons artikel over ISO 27001 en CyFun® of boek een demo om te zien waar u staat.