NIS2 in Belgien: Schritt-für-Schritt-Compliance-Leitfaden

Ein praktischer Weg durch das belgische NIS2-Gesetz: Geltungsbereich bestätigen, beim CCB registrieren, eine CyFun-Stufe oder ISO/IEC 27001 wählen, Vorfälle melden und die Konformitätsbewertung bestehen.

Schnelle erste Antwort: Probieren Sie den kostenlosen NIS2-Geltungsbereichs-Checker aus und sehen Sie, was NIS2 für Ihren Sektor in der Übersicht aller 18 NIS2-Sektoren bedeutet.

Dieser Leitfaden ist für die Person, die NIS2 in einer belgischen Organisation umsetzen muss, ob CISO, IT-Manager, Compliance-Leiter oder externer vCISO. Er deckt den gesamten Weg ab: Geltungsbereich bestätigen, sich beim CCB registrieren, ein Sicherheitsniveau wählen, Lücken schließen und eine Konformitätsbewertung bestehen. Sie erhalten am Ende einen datierten Plan, Verantwortliche und die Nachweise, die jeder Schritt erbringen sollte, geordnet nach dem, was eine Aufsichtsbehörde zuerst abfragen wird.

Bevor Sie beginnen

Benennen Sie einen einzigen NIS2-Koordinator mit direktem Zugang zum Leitungsorgan. Sammeln Sie Daten der juristischen Person (Unternehmensregisternummer, Mitarbeiterzahl, Umsatz, Bilanz, Konzernverbindungen) und eine Liste der in Belgien und anderswo in der EU erbrachten Dienstleistungen. Sie benötigen auch jemanden, der berechtigt ist, sich im Namen des Unternehmens bei Safeonweb@Work anzumelden. Schließlich tragen Sie einen Termin für das erste Management-Briefing in den Kalender ein. Nach NIS2 genehmigt und überwacht das Leitungsorgan die Risikomanagementmaßnahmen, daher müssen seine Mitglieder von Anfang an eingebunden sein.

Schritt 1: Geltungsbereich und Klassifizierung bestätigen

Nach belgischem Recht umfasst NIS2 Einrichtungen eines in Anlage I oder Anlage II aufgeführten Typs, die mindestens mittlere Größe gemäß Empfehlung 2003/361/EG der Kommission haben. Es umfasst auch einige Einrichtungen unabhängig von ihrer Größe, wie DNS-Dienstanbieter, TLD-Registrare, qualifizierte Vertrauensdienstanbieter und öffentliche Anbieter elektronischer Kommunikationsdienste^[4]. Große Einrichtungen aus Anlage I sind in der Regel wesentliche Einrichtungen. Mittlere Einrichtungen aus Anlage I und alle betroffenen Einrichtungen aus Anlage II sind in der Regel wichtige Einrichtungen. Das CCB bietet ein Scope-Test-Tool auf Safeonweb@Work an.^[3].

• Ordnen Sie jede Dienstleistung einem Sektor und Untersektor der Anlage I oder II zu. Dokumentieren Sie, warum Sie diese Zuordnung vorgenommen haben.
• Berechnen Sie die Größe anhand der Mitarbeiterzahl und Finanzdaten. Beziehen Sie verbundene und Partnerunternehmen ein, wie in der Empfehlung erforderlich.
• Überprüfen Sie, ob eine Regel für Einrichtungen unabhängig von ihrer Größe gilt und ob die CCB die Organisation direkt identifiziert hat.
• Dokumentieren Sie das Ergebnis als wesentlich, wichtig oder außerhalb des Geltungsbereichs, und lassen Sie es genehmigen.

Schritt 2: Registrierung bei der CCB auf Safeonweb@Work

Die Registrierung erfolgt über ein Online-Formular auf Safeonweb@Work. Einrichtungen in bestimmten digitalen Sektoren mussten sich bis zum 18. Dezember 2024 registrieren. Alle anderen wesentlichen und wichtigen Einrichtungen und DNS-Registrierungsdienstanbieter mussten sich bis zum 18. März 2025^[2] registrieren. Falls Sie sich noch nicht registriert haben, tun Sie dies jetzt.

• Registrieren Sie die juristische Person, ihren Sektor bzw. ihre Sektoren, Kontaktdaten, öffentliche IP-Bereiche und die Mitgliedstaaten, in denen Sie Dienstleistungen erbringen.
• Bestimmen Sie mindestens zwei Kontaktpersonen, damit die Kommunikation bei Vorfällen nicht von einer Person abhängt.
• Planen Sie eine Überprüfung der Registrierungsdaten vierteljährlich ein. Benachrichtigen Sie die CCB sofort bei Änderungen. Die Richtlinie sieht maximal zwei Wochen vor.^[4].

Schritt 3: Leitungsorgan briefen und schulen

Das Leitungsorgan muss die Risikomanagementmaßnahmen im Bereich der Cybersicherheit genehmigen und deren Umsetzung überwachen. Es kann haftbar gemacht werden, wenn das Unternehmen seinen Verpflichtungen nicht nachkommt. Seine Mitglieder müssen sich auch schulen lassen, um Risiken zu erkennen und Cybersicherheitspraktiken zu bewerten^[2]. Das CCB betrachtet Schulungen als einen frühen Schritt und fördert laufende Sensibilisierungsschulungen für Mitarbeiter.^[3].

• Führen Sie eine Schulungssitzung für Geschäftsführer zu NIS2-Pflichten, dem Risikoprofil des Unternehmens und der Eskalation von Vorfällen durch.
• Vereinbaren Sie einen regelmäßigen Tagesordnungspunkt zur Cybersicherheit mit fester Häufigkeit, mindestens vierteljährlich.
• Dokumentieren Sie die Genehmigung des NIS2-Programms, des Budgets und der gewählten Konformitätsroute in den Protokollen.

Schritt 4: Konformitätsroute und CyFun-Stufe wählen

In Belgien ergibt sich eine Vermutung der Konformität aus einem von zwei anerkannten Rahmenwerken: CyberFundamentals (CyFun) oder ISO/IEC 27001. CyFun hat drei Sicherheitsstufen: BASIC, IMPORTANT und ESSENTIAL. Das CyFun-Auswahlwerkzeug des CCB, das auf einer Risikobewertung basiert, zeigt Ihnen, welche Stufe passt^[3]. Die Stufe ESSENTIAL ist das normale Ziel für wesentliche Einrichtungen. Eine wesentliche Einrichtung, die auf einer niedrigeren Stufe arbeiten möchte, muss diese Wahl begründen können, und Inspektoren können eine zu niedrig gewählte Stufe sanktionieren^[2]. Der ISO/IEC 27001-Weg erfordert einen Geltungsbereich und eine Erklärung zur Anwendbarkeit, die die NIS2-Dienste abdecken und die das CCB akzeptiert.

• Führen Sie das CyFun-Auswahlwerkzeug aus und dokumentieren Sie das Ergebnis.
• Falls Sie bereits ISO/IEC 27001 besitzen, prüfen Sie, dass der Geltungsbereich jeden betroffenen Dienst und Standort abdeckt.
• Entscheiden Sie, welche CyFun-Version Sie verwenden. CyFun 2025 wurde am 29. Oktober 2025 veröffentlicht, und CyFun 2023 bleibt nur für einen Übergangszeitraum verfügbar^[5].

Schritt 5: Gap-Analyse durchführen und einen gestaffelten Plan erstellen

Der empfohlene Ansatz des CCB umfasst drei Schritte. Bewerten Sie zunächst Ihre aktuelle Reife mit dem CyFun-Selbstbewertungswerkzeug. Implementieren Sie dann die fehlenden Maßnahmen in Phasen, die zu den Überprüfungsfristen passen. Aktualisieren Sie abschließend die Selbstbewertung und sammeln Sie Nachweise während des Prozesses^[3]. Beginnen Sie mit den CyFun-Schlüsselmaßnahmen, da Prüfer diese zuerst betrachten.

• Bewerten Sie jede Kontrolle auf Ihr Zielniveau und identifizieren Sie die Lücken in den Schlüsselmaßnahmen.
• Gliedern Sie die Behebungsarbeiten in vierteljährliche Phasen, jede mit einem Verantwortlichen, einem Budget und einem Zieldatum.
• Verknüpfen Sie jede Kontrolle mit dem Risikoregister, damit Sie Ausschlüsse mit einer dokumentierten Risikoentscheidung begründen können.

Schritt 6: Implementieren Sie die Maßnahmen nach Artikel 21

Artikel 21 Absatz 2 der Richtlinie listet zehn Bereiche auf: Risikoanalyse und Sicherheitsrichtlinien, Behandlung von Vorfällen, Geschäftsfortführung und Krisenbewältigung, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung einschließlich Umgang mit Schwachstellen, Bewertung der Wirksamkeit, Cyber-Hygiene und Schulung, Kryptografie, Personalsicherheit zusammen mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung mit gesicherten Kommunikationen^[4]. CyFun und ISO/IEC 27001 Anhang A decken diese Bereiche ab. Die ordnungsgemäße Umsetzung des gewählten Rahmenwerks deckt daher Artikel 21 ab.

• Führen Sie MFA zunächst für Fernzugriff, privilegierte Konten und E-Mail ein, da diese hohe Auswirkungen haben und schnell nachzuweisen sind.
• Testen Sie die Sicherungswiederherstellung und den Krisenplan, und dokumentieren Sie die Ergebnisse.
• Fordern Sie von wichtigen Lieferanten mindestens CyFun BASIC oder ein Äquivalent an. Dies empfiehlt die CCB für Lieferketten.^[3].

Schritt 7: Richten Sie die Vorfallmeldung an die CCB ein

Seit 18. Oktober 2024 müssen wesentliche Einrichtungen und wichtige Einrichtungen erhebliche Vorfälle dem CCB^[3] melden. Ein Vorfall ist erheblich, wenn er zu erheblichen Betriebsstörungen oder finanziellem Schaden geführt hat oder führen könnte, oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Die Meldung folgt der Abfolge der Richtlinie: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Vorfallmitteilung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Vertrauensdiensteanbieter haben eine Frist von 24 Stunden für die Meldung^[4]. In einigen Fällen müssen Sie auch die Empfänger Ihrer Dienstleistungen informieren.

Phase	Frist	Inhalt
Frühwarnung	24 Stunden	Vermuteter böswilliger Ursprung und mögliche grenzüberschreitende Auswirkungen
Vorfallmeldung	72 Stunden	Erste Bewertung, Schweregrad, Auswirkungen und Kompromittierungsindikatoren
Zwischenbericht	Auf Anfrage	Statusaktualisierungen
Abschlussbericht	1 Monat nach der Meldung	Grundursache, Abhilfemaßnahmen und grenzüberschreitende Auswirkungen

• Integrieren Sie die Kriterien für Erheblichkeit in Ihr Verfahren zur Vorfallklassifizierung.
• Speichern Sie den Zugang zur CCB-Plattform und die Notfallkontaktdaten in Ihrem Vorfallmanagement-Runbook.
• Führen Sie eine Tischübung durch, die die 24-Stunden- und 72-Stunden-Schritte zeitlich erfasst.

Schritt 8: Konformitätsbewertung bestehen

Wesentliche Einrichtungen müssen sich einer regelmäßigen Konformitätsbewertung unterziehen. Bis zum 18. April 2026 erwartete der CCB von jeder wesentlichen Einrichtung, dass sie eine CyFun BASIC- oder IMPORTANT-Verifizierung besitzt oder aktiv darauf hinarbeitet, oder dass sie eine unterzeichnete Vereinbarung mit einer akkreditierten Stelle hat. Nach der ISO-Route musste die Einrichtung ihren Zertifizierungsumfang, ihre Erklärung zur Anwendbarkeit und ihren letzten internen Audit-Bericht einreichen. Eine dritte Möglichkeit war die Einreichung einer Selbstbewertung und die Anforderung einer Inspektion, wobei der CCB warnt, dass dies unmittelbar zu Aufsichtsmaßnahmen führen kann. Die endgültige Zertifizierung auf der gewählten Stufe ist bis April 2027^[1] fällig, die der CCB auf seiner NIS2-Seite auf den 18. April 2027^[2] festlegt. CyFun-Bewertungen werden von Konformitätsbewertungsstellen durchgeführt, die BELAC akkreditiert hat und die der CCB autorisiert hat.^[6].

• Buchen Sie die Bewertungsstelle frühzeitig, da die Kapazität vor April 2027 begrenzt ist.
• Führen Sie vor der externen Bewertung einen internen Audit und eine Managementbewertung durch.
• Wenn Sie den 18. April 2026 verpasst haben, dokumentieren Sie den Grund und den Wiederherstellungsplan und senden Sie ihn proaktiv an das CCB.

Schritt 9: Am Laufen halten

NIS2 ist eine kontinuierliche Verpflichtung. Überprüfen Sie die Risikobewertung jährlich, führen Sie die CyFun-Selbstbewertung nach größeren Änderungen erneut durch und berichten Sie regelmäßig an das Leitungsorgan. Die begleitende Vorlage enthält die vollständige Bereitschafts-Checkliste, einen Fristenverfolgungstracker und ein Managementberichtsformular. In Secrato ist jeder Schritt einer CyFun- oder ISO-Kontrolle in der Einheitlichen Kontrollbibliothek zugeordnet, sodass ein Satz Nachweise die Verifizierung, das ISO-Audit und jede CCB-Inspektion unterstützt.

Wie dies mit anderen Rahmenwerken verbunden ist

CyFun basiert auf dem NIST Cybersecurity Framework und ist mit ISO/IEC 27001 abgestimmt. Arbeiten für das eine sind daher auf das andere übertragbar (siehe CyFun und ISO/IEC 27001). Für Finanzeinrichtungen gilt DORA als lex specialis für das IKT-Risikomanagement und die Vorfallmeldung. Lieferketten-Maßnahmen überschneiden sich mit der Sorgfaltspflicht gegenüber DSGVO-Auftragsverarbeitern.

Häufig gestellte Fragen

Wir sind eine wichtige Einrichtung. Benötigen wir eine CyFun-Überprüfung?

Es ist nicht verpflichtend. Wichtige Einrichtungen werden ex post überwacht, können aber die gleiche Konformitätsbewertung wie wesentliche Einrichtungen wählen und eine Vermutung der Konformität erlangen^[2]. Nach einem Vorfall macht eine Bestätigungserklärung es viel einfacher nachzuweisen, dass Sie konform waren.

Wird ISO/IEC 27001 statt CyFun akzeptiert?

Ja, wenn der Zertifizierungsumfang und die Erklärung zur Anwendbarkeit die NIS2-Dienste abdecken und die CCB diese akzeptiert. Nutzen Sie eine Zertifizierungsstelle, die akkreditiert und berechtigt ist, nach den belgischen NIS2-Gesetzen zu zertifizieren.^[1][6].

Wie hoch sind die Bußgelder?

Die Richtlinie sieht Höchstbußgelder von mindestens 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen vor^[4]. In Belgien werden Bußgelder bei wiederholten Verstößen innerhalb von drei Jahren verdoppelt.^[2].