Op deze pagina
Beveiligen, melden en de bestuurder aansprakelijk
Onder NIS2 moeten middelgrote en grote organisaties in kritieke sectoren hun systemen beveiligen, ernstige incidenten binnen 24 uur melden en hun bestuur verantwoordelijk maken. NIS staat voor network and information security. De 2 zegt dat het de tweede versie is: ze vervangt de eerste NIS-richtlijn uit 2016, die maar een smalle groep bedrijven raakte.
NIS2 gaat niet over persoonsgegevens, dat doet de AVG, met onder meer de regels voor je privacyverklaring. NIS2 gaat over de continuïteit van diensten: blijft het water lopen, rijdt de post, draait de fabriek als een aanvaller binnenraakt? Wat je met persoonsgegevens van klanten doet, regel je met een verwerkersovereenkomst; hoe je systemen bestand zijn tegen een aanval, regelt NIS2.
Goedgekeurd in 2022, Belgische wet in 2024
Het Europees Parlement en de Raad keurden de richtlijn goed op 14 december 2022. Lidstaten moesten ze tegen 17 oktober 2024 omzetten en toepassen vanaf 18 oktober 2024. België deed dat met de wet van 26 april 2024, van kracht sinds 18 oktober 2024. Het toezicht ligt bij het Centrum voor Cybersecurity België (CCB), de nationale autoriteit en het meldpunt voor incidenten. Organisaties die eronder vallen, moesten zich registreren via het platform Safeonweb@Work: de meeste uiterlijk op 18 maart 2025, digitale aanbieders zoals cloud, datacentra en beheerde IT-diensten al op 18 december 2024.
Wie eronder valt: sector en omvang
Twee vragen beslissen. Lever je een dienst uit bijlage I of II van de wet? En ben je minstens middelgroot? Bijlage I bevat de zeer kritieke sectoren: energie, vervoer, bankwezen, financiële markten, gezondheid, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstenbeheer voor bedrijven, overheid en ruimtevaart. Bijlage II bevat andere kritieke sectoren: post en koeriers, afvalbeheer, chemie, voeding, een groot deel van de maakindustrie, digitale aanbieders zoals onlinemarktplaatsen, en onderzoek. Middelgroot betekent vanaf 50 voltijdse werknemers, of meer dan 10 miljoen euro omzet en balanstotaal. Een paar soorten organisaties vallen eronder hoe klein ze ook zijn, zoals DNS-dienstverleners en verleners van vertrouwensdiensten.
Sector, omvang en de meldklok
Sector maal omvang
Belangrijke entiteit
Vanaf 50 VTE, of meer dan 10 miljoen euro omzet en balanstotaal. Toezicht achteraf, na een incident of een aanwijzing.
Belangrijke entiteit
Andere kritieke sector: post, afval, chemie, voeding, maakindustrie, digitale aanbieders, onderzoek.
In principe niet
Wel via je klant: een NIS2-entiteit moet haar toeleveringsketen beveiligen en legt dat op in je contract.
Na een significant incident
- Binnen 24 uurVroegtijdige waarschuwingAan het CCB, zodra je het incident kent.
- Binnen 72 uurIncidentmeldingEerste beoordeling: ernst, impact, aanwijzingen.
- Op verzoekTussentijds verslagAls het CCB of je sectorale overheid erom vraagt.
Uitzonderingen bestaan: DNS-dienstverleners, vertrouwensdiensten en kritieke entiteiten vallen eronder, wat hun omvang ook is.
Essentieel of belangrijk
De plichten zijn grotendeels dezelfde. Het verschil zit in het toezicht en de boetes.
| Essentiële entiteit | Belangrijke entiteit | |
|---|---|---|
| Wie | Bijlage I en groot, plus enkele soorten ongeacht omvang | De rest van bijlage I en II vanaf middelgroot |
| Toezicht | Vooraf en achteraf, met verplichte regelmatige conformiteitsbeoordeling | Achteraf: na een incident of een aanwijzing |
| Bewijs | CyFun-verificatie of ISO 27001, met een certificaat tegen 18 april 2027 | Een beoordeling mag, en geeft een vermoeden van conformiteit |
| Boete | 500 euro tot 10 miljoen euro of 2 procent van de wereldwijde omzet | 500 euro tot 7 miljoen euro of 1,4 procent |
| Herhaling | Verdubbeld binnen drie jaar | Verdubbeld binnen drie jaar |
Wat de mijlpalen van 2026 en 2027 voor essentiële entiteiten precies vragen, staat in ons nieuwsstuk over de NIS2-deadline van 18 april 2027.
Tien maatregelen en een meldklok
Artikel 21 noemt de maatregelen die minstens nodig zijn: een beleid voor risicoanalyse, een aanpak voor incidenten, back-ups en een plan voor als het misloopt, beveiliging van de toeleveringsketen, veilige ontwikkeling en onderhoud van systemen, opleiding, cryptografie en versleuteling, toegangsbeheer en, waar het past, multifactorauthenticatie. Het bestuur keurt die maatregelen goed, volgt ze op, volgt zelf een opleiding en is aansprakelijk als het misloopt. Het CCB raadt aan om het met het CyberFundamentals-kader te doen, kortweg CyFun, met vier niveaus: Small, Basic, Important en Essential. Een gevalideerde CyFun-toepassing geeft een vermoeden dat je voldoet.
De Belgische wet, mijlpaal per mijlpaal
- 18 oktober 2024De wet geldtDe Belgische NIS2-wet van 26 april 2024 treedt in werking.
- 18 december 2024Digitale aanbieders registrerenCloud, datacentra, DNS, beheerde IT-diensten en onlinemarktplaatsen melden zich op Safeonweb@Work.
- 18 maart 2025Alle anderen registrerenEssentiële en belangrijke entiteiten staan bij het CCB geregistreerd.
- 18 april 2026Eerste bewijsEssentiële entiteiten tonen een CyFun-verificatie op Basic of Important, of hun ISO 27001-scope.
- 18 april 2027CertificaatEssentiële entiteiten hebben CyFun Essential of een ISO 27001-certificaat.
Een kleine leverancier van een grote klant
De meeste Vlaamse kmo's vallen zelf niet onder NIS2. Toch krijgen veel van hen ermee te maken, via hun klanten. Artikel 21 verplicht een NIS2-entiteit om haar toeleveringsketen te beveiligen, inclusief de relatie met elke rechtstreekse leverancier en dienstverlener. Het CCB zegt het zonder omwegen: een NIS2-entiteit kan haar directe leveranciers een CyFun-niveau opleggen, en het raadt elke organisatie in zo'n keten minstens CyFun Basic aan.
Stel: een softwarebedrijf van acht mensen in Kortrijk onderhoudt het bestelportaal van een vleesverwerker in Roeselare met 140 werknemers. Voeding staat in bijlage II, de verwerker is middelgroot, dus een belangrijke entiteit. Bij de verlenging van het contract komt een vragenlijst: gebruiken jullie multifactorauthenticatie op elke beheerderslogin? Wie heeft toegang tot onze server, en hoe trekken jullie die in als iemand vertrekt? Hoe snel horen we van een incident? De vleesverwerker moet zelf binnen 24 uur melden; hij vraagt daarom een melding binnen enkele uren. Het softwarebedrijf valt niet onder de wet, maar wie de vragenlijst niet kan beantwoorden, verliest de klant. Werk je zelf met SaaS-pakketten voor je klanten, dan stel je die leveranciers dezelfde vragen.
Wat het kost: de CyFun-tools van het CCB, een selectietool en een zelfevaluatie in Excel, zijn gratis. Een verificatie of certificaat laat je doen door een conformiteitsbeoordelingsinstantie die het CCB erkent; die werkt op offerte. Het meeste werk zit in je eigen tijd: maatregelen invoeren, bijhouden en kunnen tonen. Voor wie eronder valt, staat daartegenover een boete tot 7 of 10 miljoen euro. Software die je zelf laat bouwen, valt mee in de scope; wie software verkoopt, krijgt ook met de Cyber Resilience Act en de nieuwe regels over productaansprakelijkheid voor software te maken.
De vragenlijst van je klant: wat je klaar hebt
- Multifactorauthenticatie op elke beheerderslogin, ook bij je hosting en je mail.
- Een lijst van wie toegang heeft tot welk systeem, en hoe je die intrekt.
- Back-ups die je ook echt terugzet, met de datum van de laatste test.
- Updates van software en plugins binnen een vaste termijn.
- Versleuteling van verkeer (https) en van gevoelige gegevens.
- Een logboek van wie wat deed in de systemen van je klant.
- Een contactpersoon en een termijn voor incidentmeldingen aan je klant.
- Een zelfevaluatie op CyFun Basic, ook als niemand ze nog vraagt.
Vier vragen van kleinere bedrijven
Valt mijn kmo onder NIS2?
Alleen als je een dienst levert uit bijlage I of II en minstens 50 voltijdse werknemers hebt of meer dan 10 miljoen euro omzet en balanstotaal, of als je tot een van de uitzonderingen hoort, zoals DNS-diensten. De meeste kleine kmo's vallen er niet onder, maar krijgen er via hun klanten mee te maken.
Wat is het verschil tussen NIS2 en de AVG?
De AVG beschermt persoonsgegevens: wie je gegevens heeft en wat hij ermee doet. NIS2 beschermt de werking van diensten: dat systemen blijven draaien en incidenten snel gemeld worden. Een datalek kan onder beide vallen, met elk een eigen melding.
Moet ik me als leverancier registreren?
Nee, registratie geldt voor entiteiten die zelf onder de wet vallen. Als leverancier krijg je de plichten via je contract met de klant. Het CCB kan in uitzonderlijke gevallen een organisatie wel zelf aanwijzen, bijvoorbeeld als ze de enige aanbieder van een kritieke dienst is.
Wat is CyberFundamentals?
Het Belgische kader van het CCB om je cyberbeveiliging op te bouwen en te laten toetsen, met de niveaus Small, Basic, Important en Essential. Small is voor micro-organisaties en wie weinig technische kennis heeft; Basic is wat het CCB leveranciers van NIS2-entiteiten minstens aanraadt.