Op deze pagina
Het laatste halfjaar voor het certificaat
De NIS2-deadline van 18 april 2027 is de dag waarop essentiële entiteiten onder de Belgische NIS2-wet gecertificeerd moeten zijn: met CyFun Essential of met ISO 27001. Een jaar eerder, op 18 april 2026, moesten ze al een geverifieerde CyFun Basic of Important hebben, of bij de ISO-route hun scope en verklaring van toepasselijkheid aan het Centrum voor Cybersecurity België bezorgen.
Vandaag blijft er een halfjaar over, en een certificeringsaudit plan je niet op een week. Wie zelf geen NIS2-entiteit is maar er wel software, hosting of beheer aan levert, krijgt de vragen van zijn klant op zijn bord. Hieronder zie je wie wat moet, welke route past en wat een auditor in je systemen wil zien.
Essentiële entiteit
Certificaat tegen 18 april 2027
Moet CyFun Essential of ISO 27001 halen, of een remediatieplan voorleggen.
De audit nu inplannen bij een erkende instantie.
Belgische vestiging van een buitenlandse groep
Certificaat tegen 18 april 2027
Volgt de Belgische wet, ook als de groep elders onder een andere wet valt.
Nagaan welke entiteit geregistreerd is en op welke route.
Belangrijke entiteit
Eigen plichten
Maatregelen en meldplicht gelden, een certificaat is vrijwillig.
Een CyFun-beoordeling overwegen als bewijs.
IT- of softwareleverancier van een NIS2-entiteit
Eigen plichten
De klant moet zijn toeleveringsketen beheren.
Toegang, logging en back-ups kunnen aantonen.
Bureau dat platformen of sites beheert
Via een klant
Een schakel in de keten van de klant, zonder eigen certificaat.
Eigen toegangen documenteren en tweestapsverificatie aanzetten.
Webshop of kmo buiten de NIS2-sectoren
Niet geraakt
Valt niet onder de wet.
Gewoon goed onderhoud en veilige toegang.
Of je essentieel of belangrijk bent, hangt af van je sector en je grootte; je registratie bij het CCB zegt het.
Twee routes naar hetzelfde bewijs
Het CCB aanvaardt twee routes voor essentiële entiteiten. CyFun, het Belgische Cyber Fundamentals-raamwerk, werkt met niveaus: Basic, Important en Essential. ISO 27001 is de internationale norm voor informatiebeveiliging. Welke route past, hangt af van wat je al hebt en van wie je klanten zijn.
| Vraag | CyFun Essential | ISO 27001 |
|---|---|---|
| Wat het is | Belgisch raamwerk met vaste maatregelen per niveau | Internationale norm voor een beheersysteem voor informatiebeveiliging |
| Wat je tegen 18 april 2027 nodig hebt | Certificering op het hoogste niveau, Essential | Een certificaat waarvan de scope de NIS2-diensten dekt |
| Wie het toetst | Een geaccrediteerde certificeringsinstantie | Een geaccrediteerde certificeringsinstantie |
| Past vooral bij | Organisaties die in België werken en een vaste lijst willen | Wie internationaal werkt of al met ISO bezig is |
Het begrip NIS2 zelf, met de sectoren en de verschillen tussen essentieel en belangrijk, lees je in onze begrippenlijst.
Wat het CCB over achterstand zei
De inspectiedienst van het CCB schreef de essentiële entiteiten aan over hun verplichte conformiteitsbeoordeling. Wie op 18 april 2027 het niveau van CyFun Essential niet kan aantonen, moet een remediatieplan voorleggen: bewijs dat hij CyFun Important haalt, en een beschrijving van de maatregelen om Essential te halen tegen 18 april 2028. Dat geldt voor elke route, ook voor wie via ISO 27001 of via een inspectie door het CCB zelf gaat. Het CCB benadrukt dat de wettelijke verplichtingen en termijnen niet veranderen.
Een remediatieplan is geen uitstel
Het plan legt vast hoe en wanneer je alsnog in orde komt. De verplichting blijft, en een boete blijft mogelijk: voor essentiële entiteiten tot 10 miljoen euro of 2 procent van de wereldwijde omzet, verdubbeld bij herhaling binnen drie jaar.
Zes maanden tot 18 april: een planning
| Wanneer | Wat |
|---|---|
| Eind oktober en november 2026 | Gap-analyse tegen CyFun Essential of ISO 27001: wat ontbreekt nog? |
| December 2026 | Een certificeringsinstantie kiezen en de audit inplannen |
| Januari en februari 2027 | Ontbrekende maatregelen invoeren: toegang, logging, back-ups, leveranciers |
| Maart 2027 | Interne controle, documenten en bewijsstukken op orde |
| Voor 18 april 2027 | Certificeringsaudit afgerond |
De krapste stap is de certificeerder zelf: wie in maart nog een auditor zoekt, deelt zijn agenda met elke andere entiteit die laat begon.
Wat een auditor in je software wil zien
Een certificeerder vraagt niet of je veilig bent, maar of je het kan aantonen. De richtlijn noemt onder meer multifactorauthenticatie, back-ups, beveiliging van de toeleveringsketen en een aanpak voor incidenten. Voor elk systeem waar je bedrijf op draait, betekent dat concreet:
- wie toegang heeft, en hoe je die intrekt als iemand vertrekt;
- of inloggen met tweestapsverificatie gebeurt;
- wat versleuteld is, in de database en onderweg;
- wat in het logboek staat en hoe lang;
- waar en hoe vaak back-ups gemaakt worden, en wanneer je er voor het laatst een terugzette;
- hoe je een incident meldt: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand.
Een webapplicatie of klantenportaal die je laat bouwen, moet die antwoorden kunnen geven. Zet ze in het lastenboek, bijvoorbeeld met ons sjabloon voor een lastenboek.
Leveranciers en bureaus in de keten
Een essentiële entiteit moet haar toeleveringsketen beheren. Lever je software, hosting of beheer aan zo'n klant, verwacht dan vragenlijsten over je beveiliging, afspraken over het melden van incidenten en soms een audit. Software die je zelf op de markt brengt, valt bovendien onder de meldplicht van de Cyber Resilience Act, en wie software levert, krijgt ook met de nieuwe productaansprakelijkheid voor software te maken. Een bureau dat platformen of websites voor een NIS2-klant beheert, documenteert zijn eigen toegangen en houdt zijn beveiliging op het niveau dat de klant moet aantonen.
Een gewone webshop is zelden een NIS2-entiteit. Wat daar telt, is een site die bijgewerkt en beveiligd is: lees is WordPress veilig en laat het onderhoud van je website regelen.
Wat bedrijven ons vragen over NIS2
Hoe weet ik of ik een essentiële of een belangrijke entiteit ben?
Dat hangt af van je sector en je grootte, en je registratie bij het CCB zegt het. Essentiële entiteiten zijn grotere spelers in sectoren met een hoog risico. Belangrijke entiteiten volgen lichtere regels.
Moet een belangrijke entiteit ook gecertificeerd zijn?
Nee, voor belangrijke entiteiten is een conformiteitsbeoordeling vrijwillig. De maatregelen en de meldplicht gelden wel.
Ik lever software aan een NIS2-entiteit. Moet ik zelf iets?
De wet legt het niet rechtstreeks op jou, maar je klant moet zijn toeleveringsketen beveiligen. Reken op vragen over je beveiliging en op afspraken in je contract.
Wat riskeert een belangrijke entiteit die niet in orde is?
Een boete tot 7 miljoen euro of 1,4 procent van de wereldwijde omzet, verdubbeld bij herhaling binnen drie jaar.
Wat er in Brussel nog beweegt
De Europese Commissie stelde op 20 januari 2026 gerichte wijzigingen aan de NIS2-richtlijn voor, om de regels duidelijker en lichter te maken. Het is een voorstel: de Belgische termijn van 18 april 2027 blijft. In de Digital Omnibus koos de Raad op 21 oktober 2026 voor een nationaal meldpunt per lidstaat, waar je incidenten onder verschillende EU-wetten op een plek meldt; lees wat de Raad over cookies en datalekken besliste. Alle andere data van volgend jaar staan in wat verandert er in 2027.