NIS2 staat voor Richtlijn (EU) 2022/2555 van 14 december 2022, die de lidstaten sinds 18 oktober 2024 toepassen. België zette ze om met de wet van 26 april 2024, die sinds diezelfde datum van kracht is, en het koninklijk besluit van 9 juni 2024 wijst het Centrum voor Cybersecurity België (CCB) aan als nationale cyberbeveiligingsautoriteit. De NIS2-pagina van het CCB blijft de officiële referentie.
Wie valt onder de NIS2-wet in België
Een organisatie valt in principe onder de wet als ze in de Europese Unie een dienst uit bijlage I of II van de wet levert, de drempels voor een middelgrote onderneming overschrijdt met minstens 50 voltijdequivalenten of meer dan 10 miljoen euro jaaromzet en jaarlijks balanstotaal, en in België gevestigd is. De betrokken diensten beslaan 18 sectoren:
- Bijlage I, zeer kritieke sectoren: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheid, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (B2B), overheid en ruimtevaart
- Bijlage II, andere kritieke sectoren: post- en koeriersdiensten, afvalbeheer, chemische stoffen, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek
Sommige entiteiten vallen eronder ongeacht hun omvang, zoals DNS-dienstverleners of de federale overheid. Zelfs buiten het toepassingsgebied kunt u via uw NIS2-klanten betrokken raken, want zij moeten hun toeleveringsketen beveiligen en het CCB raadt hun leveranciers aan om minstens CyFun® Basic toe te passen.
Essentiële of belangrijke entiteit, een verschil in toezicht
Beide categorieën hebben dezelfde inhoudelijke verplichtingen. Essentieel zijn in principe de grote ondernemingen uit de sectoren van bijlage I, met minstens 250 voltijdequivalenten of met zowel meer dan 50 miljoen euro jaaromzet als meer dan 43 miljoen euro balanstotaal, naast enkele categorieën die de wet zelf aanwijst, en de andere betrokken entiteiten zijn belangrijk.
Essentiële entiteiten staan onder ex-ante- en ex-posttoezicht met verplichte regelmatige conformiteitsbeoordelingen, terwijl belangrijke entiteiten in principe pas ex post worden gecontroleerd, na een incident of bij aanwijzingen dat ze de wet niet naleven. Het CyFun®-niveau dat u nastreeft, volgt dan weer uit uw risicobeoordeling, zoals we uitleggen in ons artikel over de CyFun®-niveaus Basic, Important en Essential.
De rol van het CCB, van registratie tot inspectie
Het CCB is tegelijk de nationale cyberbeveiligingsautoriteit en het nationale CSIRT, en u komt het bij elke stap tegen:
- het beheert de registratie op Safeonweb@Work, die uiterlijk op 18 maart 2025 moest gebeuren of al op 18 december 2024 voor bepaalde digitale aanbieders, en elke wijziging geeft u binnen twee weken door
- het ontvangt de meldingen van significante incidenten
- zijn inspectiedienst kan entiteiten ter plaatse controleren, ad-hocaudits of beveiligingsscans uitvoeren en elk nuttig bewijs opvragen
- het kan een organisatie als essentiële of belangrijke entiteit identificeren, bijvoorbeeld wanneer ze de enige aanbieder van een essentiële dienst in België is
Wat de wet van u verwacht
Entiteiten nemen technische, operationele en organisatorische maatregelen die in verhouding staan tot hun risico's, volgens een benadering die alle gevaren omvat en minstens elf domeinen dekt:
- beleid inzake risicoanalyse en beveiliging van informatiesystemen
- incidentenbehandeling
- bedrijfscontinuïteit en crisisbeheer
- beveiliging van de toeleveringsketen
- beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen
- beoordeling van de effectiviteit van de maatregelen
- cyberhygiëne en opleiding in cyberbeveiliging
- cryptografie en encryptie
- personeelsbeveiliging, toegangsbeleid en beheer van activa
- multifactorauthenticatie en beveiligde communicatie
- gecoördineerde bekendmaking van kwetsbaarheden
Het bestuursorgaan keurt die maatregelen goed, ziet toe op de uitvoering en is aansprakelijk voor inbreuken van de entiteit, en de leden ervan volgen een opleiding in cyberbeveiliging. Elk significant incident meldt u ten slotte aan het CCB met een vroegtijdige waarschuwing binnen 24 uur nadat u er kennis van kreeg, een incidentmelding binnen 72 uur en een eindverslag uiterlijk één maand na die melding.
Uw conformiteit aantonen en sancties vermijden
Voor hun regelmatige beoordeling kiezen essentiële entiteiten tussen CyFun® (certificering Essential of verificatie Basic of Important) en ISO/IEC 27001, telkens via een geaccrediteerde conformiteitsbeoordelingsinstantie (CAB) die door het CCB erkend is, of voor een inspectie door het CCB. Het attest dat ze zo krijgen, geeft hen een vermoeden van conformiteit, en belangrijke entiteiten kunnen vrijwillig dezelfde weg volgen.
Na een eerste mijlpaal op 18 april 2026 valt de volgende deadline op 18 april 2027 voor de ISO/IEC 27001-certificering of, als u dat niveau nastreeft, de CyFun®-certificering Essential, en een mededeling van de inspectiedienst van het CCB van augustus 2026 voorziet een overgangsaanpak met een plan om het niveau Essential tegen 18 april 2028 te bereiken.
Wie de verplichtingen rond risicobeheer of incidentmelding niet naleeft, riskeert een administratieve geldboete tot 10 miljoen euro of 2 procent van de totale wereldwijde jaaromzet voor een essentiële entiteit, en tot 7 miljoen euro of 1,4 procent voor een belangrijke entiteit, waarbij het hoogste bedrag geldt en dat bedrag verdubbelt bij herhaling binnen drie jaar.
Hoe Sinplify u verder helpt
Sinplify structureert en versnelt uw NIS2-aanpak door te vertrekken van wat u al hebt, want onze Europese AI leest uw beleidsdocumenten, procedures en auditrapporten, herkent de goede praktijken die al bestaan en bereidt voor wat nog ontbreekt, waarbij elk bewijs tegelijk telt voor CyFun®, ISO 27001 en ReCyF. Uw collega's beantwoorden korte vragen per e-mail zonder account, de incidentmelding aan het CCB staat vooraf ingevuld klaar met haar termijnen van 24 uur, 72 uur en één maand, en met één klik hebt u uw auditdossier per referentiekader.
De beoordeling blijft het werk van een geaccrediteerde instantie of van het CCB, maar u komt er met een dossier dat klaar is, dus ontdek het platform of boek een demo.