NIS2 eind 2026: transpositiestatus, verwachtingen van toezichthouders en het Belgische model

Twee jaar na de NIS2-deadline hebben de meeste lidstaten nationale wetten in werking en zijn toezichthouders van bewustzijn naar verificatie overgegaan. Dit is de stand van zaken in oktober 2026, met een nader onderzoek van België.

De NIS2-richtlijn (EU) 2022/2555 moest uiterlijk 17 oktober 2024 in nationale wetgeving worden omgezet ^[1]. Twee jaar later is het beeld aanzienlijk veranderd. De meeste lidstaten hebben nu een nationale wet in werking, de Commissie heeft inbreukprocedures tegen de achterblijvers geëscaleerd, en toezichthouders in landen die vroeg hebben ingevoerd, zijn overgestapt van bewustmakingscampagnes naar verificatie. Dit artikel geeft een samenvatting van de situatie per 18 oktober 2026 en wat dit in de praktijk betekent, met focus op België.

Waar de omzetting in oktober 2026 staat

De Commissie is naar de rechter gestapt

De Commissie stuurde op 28 november 2024 formele ingebrekestellingen naar lidstaten die geen volledige omzetting hadden gemeld en volgde dit op met een met redenen omkleed advies op 7 mei 2025. Op 8 juli 2026 verwees zij Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie van de Europese Unie en verzocht het Hof een forfaitaire som en dagelijkse dwangsommen op te leggen totdat de omzetting voltooid is. ^[2].

De resterende hiaten

Sinds die verwijzing is Nederland opgeschoven: de Cyberbeveiligingswet en de wet ter omzetting van de Richtlijn betreffende de weerbaarheid van kritieke entiteiten zijn op 15 augustus 2026 in werking getreden, met registratie bij het NCSC vanaf die datum verplicht ^[3].

Frankrijk, Ierland en Spanje hadden op het moment van schrijven nog geen nationale NIS2-wet in werking:

• Frankrijk: het wetsvoorstel 'Résilience' stond op de agenda voor debat in de Assemblée nationale op 7 oktober 2026, maar de zitting werd op 6 oktober opnieuw uitgesteld, zonder nieuwe datum ^[4].
• Ierland en Spanje: wetsvoorstellen zijn nog in het nationale wetgevingsproces, volgens onafhankelijke trackers ^[5].

De status kan snel veranderen, dus controleer het nationale staatsblad of de bevoegde autoriteit voordat je op een tracker vertrouwt. Organisaties die grensoverschrijdend werken, moeten erop letten dat de jurisdictieregels van de richtlijn betekenen dat bepaalde entiteiten, bijvoorbeeld veel aanbieders van digitale infrastructuur en ICT-diensten, onder de lidstaat van hun hoofdvestiging vallen ^[1].

De regels zelf worden herzien

Op 20 januari 2026 stelde de Commissie gerichte wijzigingen op NIS2 voor als onderdeel van een breder cybersecuritypakket. Het voorstel zou onder meer een categorie 'kleine mid-cap' creëren die over het algemeen als belangrijke entiteiten in plaats van essentiële entiteiten wordt behandeld, en ransomware-specifieke rapportagevelden toevoegen ^[6]. Afzonderlijk stelt de Digital Omnibus van november 2025 een enkel indienpunt voor incidentrapportage onder NIS2, AVG, DORA en eIDAS voor ^[7]. Per oktober 2026 zijn beide nog steeds voorstellen die worden onderhandeld. Huidige nationale verplichtingen gelden volledig totdat een wijziging wordt aangenomen en omgezet.

De vraag die toezichthouders nu stellen is niet langer of je van NIS2 weet, maar of je kunt aantonen dat het werkt.

Wat toezichthouders nu verwachten

Registratie die nauwkeurig is en actueel wordt gehouden

Lidstaten moesten hun lijsten van essentiële en belangrijke entiteiten uiterlijk 17 april 2025 opstellen ^[1]. Registratie is geen eenmalige taak: entiteiten moeten wijzigingen in hun geregistreerde gegevens melden. Toezichthouders gebruiken registratiegegevens om inspecties in te plannen, dus verouderde contactgegevens, sectorcategorisaties of lijsten van lidstaten waar diensten worden verleend, veroorzaken onnodig wrijving.

Een getest, gefaseerd incidentrapportageproces

Artikel 23 van NIS2 vereist dat significante incidenten in fasen aan de CSIRT of bevoegde autoriteit worden gemeld ^[1]:

Fase	Deadline	Inhoud
Vroegtijdige waarschuwing	Binnen 24 uur na het moment van bewustwording	Of het incident vermoedelijk wordt veroorzaakt door onwettige of kwaadwillige handelingen, en of het grensoverschrijdende gevolgen zou kunnen hebben
Incidentmelding	Binnen 72 uur na het moment van bewustwording	Update, eerste beoordeling van ernst en impact, indicatoren van compromittering waar beschikbaar
Eindrapport	Binnen één maand na de incidentmelding	Gedetailleerde beschrijving, waarschijnlijke oorzaak, toegepaste risicobeperkingen, grensoverschrijdende impact

Een tussenrapport kan op elk moment worden aangevraagd, en een voortgangsrapport is vereist als het incident na één maand nog steeds aan de gang is. Voor digitale infrastructuur en bepaalde digitale aanbieders definieert Uitvoeringsverordening (EU) 2024/2690 wanneer een incident 'significant' is ^[11].

Toezichthouders zoeken steeds vaker naar bewijs dat het proces werkt: een gedocumenteerde beoordeling van significantie, benoemde besluitvormers, dekking buiten kantooruren, en verslagen van oefeningen of echte meldingen. De 24-uurstermijn loopt vanaf het moment van bewustwording, dus de overdracht van het security operations team naar degene die het rapport indient, is vaak het zwakke punt.

Verantwoordelijkheid van het bestuursorgaan

Artikel 20 vereist dat bestuursorganen maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren, toezicht houden op hun implementatie en training volgen, en stelt hen aansprakelijk voor inbreuken ^[1]. Artikel 32 voegt eraan toe dat autoriteiten voor essentiële entiteiten in bepaalde gevallen een persoon in een leidinggevende rol tijdelijk kunnen verbieden die functies uit te oefenen ^[1]. Toezichthouders zoeken daarom naar notulen die goedkeuring van de maatregelen voor het beheer van cyberbeveiligingsrisico's aantonen, regelmatige rapportage aan het bestuur en trainingsverslagen voor bestuursleden.

Evenredig, gedocumenteerd risicobeheer

Artikel 21 somt tien minimale maatregelgebieden op, van risicoanalyse en incidentafhandeling tot beveiliging van de toeleveringsketen, cryptografie en multi-factor authenticatie ^[1]. In de praktijk is de verwachting een gedocumenteerde, op risico gebaseerde onderbouwing voor elke maatregel en bewijs dat deze werkt, niet alleen een beleid.

Het Belgische model: CCB en CyFun

België was een van de eerste lidstaten die omzette, via de Wet van 26 april 2024, in werking sinds 18 oktober 2024. Het Centrum voor Cybersecurity België (CCB) fungeert als nationale cyberbeveiligingsautoriteit en nationale CSIRT ^[8].

Belangrijke Belgische termijnen

• Registratie op Safeonweb@Work: tegen 18 december 2024 voor bepaalde digitale-sectorentiteiten en tegen 18 maart 2025 voor alle andere essentiële en belangrijke entiteiten ^[8].
• 18 april 2026: essentiële entiteiten moesten hun eerste verplichte conformiteitsbeoordeling voltooien ^[8].
• 18 april 2027: essentiële entiteiten die CyberFundamentals (CyFun) of ISO/IEC 27001 hebben gekozen, moeten de overeenkomstige certificering hebben ^[8].

Voor entiteiten die later door de CCB zijn aangewezen, lopen deze termijnen vanaf de datum van kennisgeving ^[8].

CyFun als conformiteitsframework

CyFun is het framework van de CCB met drie assurance-niveaus: Basic, Important en Essential. Een selectietool helpt entiteiten het passende niveau te bepalen ^[9]. Essentiële entiteiten moeten regelmatig een conformiteitsbeoordeling ondergaan, en degenen die een geldige conformiteitsverklaring hebben, profiteren van een vermoeden van conformiteit ^[8]. Belangrijke entiteiten kunnen zich vrijwillig in hetzelfde regime inschrijven om dat vermoeden te verkrijgen. ^[9].

In de praktijk zijn de routes een CyFun-verificatie (Basic of Important level) of certificering (Essential level) door een geaccrediteerde conformiteitsbeoordelingsinstantie, een ISO/IEC 27001-certificering met documentatie ingediend bij de CCB, of inspectie door de CCB ^[10]. Signalen uit de markt geven aan dat de geaccrediteerde beoordelingscapaciteit beperkt is geweest, wat een reden is om de mijlpaal van 2027 nu te plannen in plaats van begin 2027. ^[10].

Incidenten worden via het meldingsplatform van de CCB gemeld, met telefonische melding voorbehouden voor noodsituaties ^[9].

Praktische vervolgstappen

1. Valideer je classificatie en registratie opnieuw in elke lidstaat waar je actief bent, vooral waar wetten in 2025–2026 in werking zijn getreden.
2. Voer een getimede oefening voor incidentmelding uit tegen de termijnen van 24 uur en 72 uur, inclusief de beslissing over significantie.
3. Documenteer toezicht door het bestuur: goedkeuring van maatregelen, een rapportagefrequentie en voltooide trainingen.
4. Wijs controls eenmaal toe, hergebruik ze vaak. CyFun, ISO/IEC 27001 en de maatregelen van artikel 21 overlappen sterk; een enkele set controls met gedeeld bewijs voorkomt dubbel werk.
5. Essentiële entiteiten in België: bevestig je doelniveau voor 2027 en boek je conformiteitsbeoordelingsinstantie vroegtijdig in.

Slotopmerking

Secrato helpt organisaties frameworks zoals NIS2, DORA en ISO/IEC 27001 in één EU-gehoste platform te beheren, met gedeelde controls, bewijs en audit trails.