NIS2 in België: stap-voor-stap compliancegids

Een praktische route door de Belgische NIS2-wet: bevestig de scope, registreer bij de CCB, kies een CyFun-niveau of ISO/IEC 27001, meld incidenten en doorsta de conformiteitsbeoordeling.

Snel eerste antwoord: probeer de gratis NIS2 scope checker, en zie wat NIS2 betekent voor je sector in het overzicht van alle 18 NIS2-sectoren.

Deze gids is voor degene die NIS2 binnen een Belgische organisatie moet laten werken, of je nu CISO, IT-manager, compliance lead of externe vCISO bent. Hij behandelt de hele route: de scope bevestigen, registreren bij de CCB, een zekerheidsgraad kiezen, hiaten dichten en door een conformiteitsbeoordeling komen. Je eindigt met een gedateerd plan, eigenaren en het bewijs dat elke stap moet opleveren, geordend naar wat een toezichthouder eerst zal vragen.

Voordat je begint

Wijs één NIS2-coördinator aan met een directe lijn naar het bestuursorgaan. Verzamel gegevens van de rechtspersoon (ondernemingsnummer, personeelsbestand, omzet, balans, groepsverbanden) en een lijst van diensten die in België en elders in de EU worden geleverd. Je hebt ook iemand nodig die bevoegd is om zich namens de onderneming aan te melden bij Safeonweb@Work. Zet ten slotte een datum in de agenda voor de eerste briefing van het bestuursorgaan. Onder NIS2 keurt het bestuursorgaan de maatregelen voor risicobeheer goed en houdt toezicht op de uitvoering ervan, dus de leden moeten van het begin af aan betrokken zijn.

Stap 1: Bevestig scope en classificatie

Onder de Belgische wetgeving valt NIS2 van toepassing op entiteiten van een type vermeld in Bijlage I of Bijlage II die minstens middelgroot zijn volgens Aanbeveling 2003/361/EG van de Commissie. Het is ook van toepassing op bepaalde entiteiten ongeacht hun grootte, zoals DNS-dienstverleners, TLD-registers, gekwalificeerde vertrouwensdienstaanbieders en openbare aanbieders van elektronische communicatiediensten^[4]. Grote entiteiten in Bijlage I zijn over het algemeen essentieel. Middelgrote entiteiten in Bijlage I en alle entiteiten in Bijlage II die in scope vallen zijn over het algemeen belangrijk. De CCB biedt een scopetesttool op Safeonweb@Work.^[3].

• Wijs elke dienst toe aan een sector en subsector van Bijlage I of II. Noteer waarom je deze toewijzing hebt gemaakt.
• Bereken grootte aan de hand van personeelsbestand en financiële gegevens. Neem gekoppelde en partnerbedrijven op zoals de Aanbeveling vereist.
• Controleer of een regel ongeacht grootte van toepassing is en of de CCB de organisatie rechtstreeks heeft geïdentificeerd.
• Noteer het resultaat als essentieel, belangrijk of buiten scope en laat het goedkeuren.

Stap 2: Registreer bij de CCB op Safeonweb@Work

Registratie gebeurt via een onlineformulier op Safeonweb@Work. Entiteiten in bepaalde digitale sectoren moesten tegen 18 december 2024 registreren. Alle andere essentiële en belangrijke entiteiten, en DNS-registratiedienstverleners, moesten tegen 18 maart 2025 registreren^[2]. Als je nog niet hebt geregistreerd, doe het nu.

• Registreer de rechtspersoon, zijn sector(en), contactgegevens, openbare IP-bereiken en de lidstaten waar je diensten levert.
• Benoem minstens twee contactpersonen zodat incidentcommunicatie niet van één persoon afhangt.
• Zet elk kwartaal een controle van de registratiegegevens in de agenda. Meld wijzigingen onmiddellijk aan de CCB. De richtlijn staat maximaal twee weken toe.^[4].

Stap 3: Informeer en train het bestuursorgaan

Het bestuursorgaan moet de maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren en toezicht houden op de implementatie ervan. Het kan aansprakelijk worden gesteld als de entiteit haar verplichtingen schendt. De leden moeten ook training volgen zodat ze risico's kunnen identificeren en cyberbeveiligingspraktijken kunnen beoordelen^[2]. De CCB beschouwt training als een vroege stap en moedigt voortdurende bewustmakingstraining voor personeel aan.^[3].

• Organiseer een trainingssessie voor directeuren over NIS2-verplichtingen, het risicoprofiel van de organisatie en hoe incidenten worden geëscaleerd.
• Spreek een vast cybersecurity-agendapunt af met een vaste frequentie, minstens per kwartaal.
• Notuleer de goedkeuring van het NIS2-programma, het budget en de gekozen conformiteitsroute.

Stap 4: Kies de conformiteitsroute en CyFun-niveau

In België ontstaat een vermoeden van conformiteit uit één van twee erkende kaders: CyberFundamentals (CyFun) of ISO/IEC 27001. CyFun heeft drie assuranceniveaus: BASIC, IMPORTANT en ESSENTIAL. De CyFun-selectietool van de CCB, die is gebaseerd op een risicobeoordeling, vertelt je welk niveau past^[3]. Het ESSENTIAL-niveau is het normale doel voor essentiële entiteiten. Een essentiële entiteit die op een lager niveau wil werken, moet die keuze kunnen rechtvaardigen, en inspecteurs kunnen een niveau dat onterecht laag is sanctioneren^[2]. De ISO/IEC 27001-route vereist een scope en verklaring van toepasselijkheid die de NIS2-diensten dekken en die de CCB accepteert.

• Voer de CyFun-selectietool uit en noteer het resultaat.
• Als je al ISO/IEC 27001 hebt, controleer dan of de scope elke dienst en locatie in scope dekt.
• Bepaal welke CyFun-versie je gebruikt. CyFun 2025 is gepubliceerd op 29 oktober 2025, en CyFun 2023 blijft alleen beschikbaar voor een overgangsperiode^[5].

Stap 5: Voer een gap-analyse uit en stel een gefaseerd plan op

De voorgestelde aanpak van de CCB bestaat uit drie stappen. Eerst beoordeel je je huidige volwassenheid met de CyFun-zelfbeoordelingstool. Implementeer vervolgens de ontbrekende maatregelen in fasen die passen bij de beoordelingsdeadlines. Werk ten slotte de zelfbeoordeling bij en verzamel bewijs terwijl je voortgaat^[3]. Begin met de CyFun-sleutelmaatregelen, omdat beoordelaars die eerst bekijken.

• Beoordeel elk control op je doelniveau en identificeer de gaten in de sleutelmaatregelen.
• Groepeer het herstelwerk in driemaandelijkse fasen, elk met een eigenaar, een budget en een doeldatum.
• Koppel elk control aan het risicoregister zodat je eventuele uitsluitingen kunt rechtvaardigen met een geregistreerde risicobeslissing.

Stap 6: Implementeer de maatregelen van artikel 21

Artikel 21(2) van de Richtlijn noemt tien gebieden: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, veilige verwerving en ontwikkeling inclusief kwetsbaarheidsafhandeling, effectiviteitsbeoordeling, cyberhygiëne en training, cryptografie, HR-beveiliging samen met toegangscontrole en activabeheer, en MFA met beveiligde communicatie^[4]. CyFun en ISO/IEC 27001 Bijlage A dekken beide deze gebieden. Het correct implementeren van je gekozen framework dekt daarom artikel 21.

• Zet MFA eerst uit op externe toegang, bevoorrechte accounts en e-mail, omdat deze veel impact hebben en snel te bewijzen zijn.
• Test de back-upherstel en het crisisplan, en leg de resultaten vast.
• Vraag sleuteltoeleveranciers om minstens CyFun BASIC of een equivalent. Dit is wat de CCB aanbeveelt voor toeleveringsketens^[3].

Stap 7: Zet incidentmelding aan de CCB op

Sinds 18 oktober 2024 moeten essentiële en belangrijke entiteiten significante incidenten melden bij de CCB^[3]. Een incident is significant als het ernstige operationele verstoring of financieel verlies heeft veroorzaakt, of zou kunnen veroorzaken, of als het anderen treft door aanzienlijke materiële of immateriële schade. Melding volgt de volgorde van de Richtlijn: een vroegtijdige waarschuwing binnen 24 uur nadat je ervan op de hoogte bent, een incidentmelding binnen 72 uur en een eindrapport binnen één maand. Vertrouwensdienstaanbieders hebben een limiet van 24 uur voor de melding^[4]. In sommige gevallen moet je ook de ontvangers van je diensten informeren.

Fase	Deadline	Inhoud
Vroegtijdige waarschuwing	24 uur	Vermoeden van kwaadwillige oorzaak en mogelijke grensoverschrijdende impact
Incidentmelding	72 uur	Initiële beoordeling, ernst, impact en indicatoren van compromittering
Tussenrapport	Op verzoek	Statusupdates
Eindrapport	1 maand na melding	Hoofdoorzaak, risicobeperkende maatregelen en grensoverschrijdende impact

• Bouw de significantiecriteria in je incidentclassificatieprocedure in.
• Bewaar de CCB-platformtoegang en de noodcontactgegevens in het incidenthandboek.
• Voer een tafeltopoefening uit die de stappen van 24 uur en 72 uur minutieus bijhoudt.

Stap 8: Doorloop de conformiteitsbeoordeling

Essentiële entiteiten moeten regelmatig een conformiteitsbeoordeling ondergaan. Tegen 18 april 2026 verwachtte de CCB dat elke essentiële entiteit een CyFun BASIC of IMPORTANT-verificatie zou hebben, of hier actief aan zou werken, of een ondertekende overeenkomst met een geaccrediteerd orgaan zou hebben. Via de ISO-route moest de entiteit haar certificeringsscope, haar verklaring van toepasselijkheid en haar meest recente interne auditrapport indienen. Een derde optie was het indienen van een zelfbeoordeling en het aanvragen van een inspectie, waarvan de CCB waarschuwt dat dit rechtstreeks tot toezichtmaatregelen kan leiden. De uiteindelijke certificering op het gekozen niveau is verschuldigd in april 2027^[1], wat de NIS2-pagina van de CCB stelt op 18 april 2027^[2]. CyFun-beoordelingen worden uitgevoerd door conformiteitsbeoordelingsorganen die BELAC heeft geaccrediteerd en de CCB heeft gemachtigd^[6].

• Boek het beoordelingsorgaan vroeg in, want de capaciteit is beperkt voor april 2027.
• Voer een interne audit en een managementbeoordeling uit voordat de externe beoordeling plaatsvindt.
• Als je 18 april 2026 hebt gemist, noteer dan de reden en het herstelplan en stuur dit proactief naar de CCB.

Stap 9: Zorg dat het blijft lopen

NIS2 is een voortdurende verplichting. Beoordeel de risicobeoordeling jaarlijks, voer de CyFun-zelfbeoordeling opnieuw uit na grote wijzigingen en rapporteer regelmatig aan het bestuursorgaan. De bijbehorende sjabloon bevat de volledige readiness-checklist, een deadlinetracker en een managementrapportageblad. In Secrato is elke stap gekoppeld aan een CyFun- of ISO-control in de Uniforme controlebibliotheek, zodat één set bewijs de verificatie, de ISO-audit en elke CCB-inspectie ondersteunt.

Hoe dit aansluit op andere frameworks

CyFun is gebaseerd op het NIST Cybersecurity Framework en is afgestemd op ISO/IEC 27001. Werk dat voor de ene is gedaan, kan dus voor de ander worden gebruikt (zie CyFun en ISO/IEC 27001). Voor financiële entiteiten geldt DORA als lex specialis voor beheer van ICT-risico's en incidentmelding. Maatregelen in de toeleveringsketen overlappen met due diligence van AVG-verwerkers.

Veelgestelde vragen

Wij zijn een belangrijke entiteit. Hebben we een CyFun-verificatie nodig?

Dat is niet verplicht. Belangrijke entiteiten worden achteraf gecontroleerd, maar zij kunnen dezelfde conformiteitsbeoordeling als essentiële entiteiten kiezen en een vermoeden van conformiteit verkrijgen^[2]. Na een incident maakt een verificatieverklaring het veel gemakkelijker om aan te tonen dat je hebt voldaan.

Wordt ISO/IEC 27001 geaccepteerd in plaats van CyFun?

Ja, als de certificeringsscope en de verklaring van toepasselijkheid de NIS2-diensten dekken en de CCB deze accepteert. Gebruik een certificeringsinstelling die erkend en gemachtigd is om onder de Belgische NIS2-wetten te certificeren.^[1][6].

Wat zijn de boetes?

De richtlijn stelt maximale boetes vast van minstens €10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten^[4]. In België worden boetes verdubbeld voor herhaalde inbreuken binnen drie jaar^[2].