NIS2 in België: wie valt onder het toepassingsgebied?

Waarom het toepassingsgebied bepalen uw eerste stap is

De Belgische omzetting van de NIS2-richtlijn — de Wet van 26 april 2024 (NIS2-wet) — legt aan bepaalde organisaties strikte verplichtingen op inzake cyberbeveiliging en incidentmelding. Maar niet elke onderneming valt onder de wet.

Voordat u begint met investeren in maatregelen, moet u dus één vraag beantwoorden: valt mijn organisatie binnen het toepassingsgebied, en zo ja, als welk type entiteit?

De NIS2-wet maakt een onderscheid tussen twee categorieën:

• essentiële entiteit
• belangrijke entiteit

Die classificatie bepaalt onder meer het toezichtregime en de hoogte van de mogelijke boetes. Het toezicht op de uitvoering van de wet ligt bij de nationale cyberbeveiligingsautoriteit (NIS2-wet art. 16), een rol die wordt vervuld door het Centrum voor Cybersecurity België (CCB), met het nationale CSIRT (CERT.be) daaronder.

Hieronder helpen we u zelf inschatten of — en hoe — u onder de wet valt.

Sectoren: bijlage I en bijlage II

Het toepassingsgebied wordt in de eerste plaats bepaald door de sector waarin u actief bent. De NIS2-wet verwijst naar twee bijlagen:

• Bijlage I — sectoren van bijzonder kritiek belang;
• Bijlage II — andere kritieke sectoren.

Entiteiten van een in bijlage I of II bedoelde soort komen in aanmerking om als essentiële of belangrijke entiteit te worden aangemerkt (NIS2-wet art. 9 en art. 10).

De exacte lijst en indeling van de sectoren en subsectoren in bijlage I en bijlage II is vastgelegd in de wettekst zelf. Voor de precieze sectorafbakening die op uw specifieke activiteit van toepassing is: [TÄPSUSTAB PARTNER-JURIST].

De kern die u moet onthouden: de combinatie van sector én omvang bepaalt of u in scope valt en tot welke categorie u behoort.

Wanneer bent u een essentiële entiteit?

Artikel 9 van de NIS2-wet somt de essentiële entiteiten op. Dit zijn onder meer:

• entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden zoals bepaald in artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG (NIS2-wet art. 9, 1°);
• gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners, ongeacht hun omvang (art. 9, 2°);
• aanbieders van openbare elektronische-communicatienetwerken of -diensten die minstens als middelgrote onderneming in aanmerking komen (art. 9, 3°);
• overheidsinstanties die van de Federale Staat afhangen (art. 9, 4°);
• entiteiten bedoeld in artikel 3, § 4 (art. 9, 5°);
• alle andere entiteiten van een in bijlage I of II bedoelde soort die als essentiële entiteit worden geïdentificeerd overeenkomstig artikel 11 (art. 9, 6°).

Belangrijk: sommige entiteiten (zoals DNS-dienstverleners en gekwalificeerde verleners van vertrouwensdiensten) zijn essentieel ongeacht hun omvang. De omvangdrempel is dus niet altijd doorslaggevend.

Wanneer bent u een belangrijke entiteit?

Volgens artikel 10 van de NIS2-wet zijn belangrijke entiteiten:

• entiteiten van een in bijlage I of II bedoelde soort die niet als essentiële entiteit worden beschouwd op basis van artikel 9 (NIS2-wet art. 10, 1°);
• entiteiten die als belangrijke entiteit worden geïdentificeerd overeenkomstig artikel 11 (art. 10, 2°).

In de praktijk komt het hierop neer: valt u onder een relevante sector maar overschrijdt u de drempels voor essentiële entiteiten niet, dan bent u doorgaans een belangrijke entiteit.

De nationale cyberbeveiligingsautoriteit stelt bovendien een lijst op van essentiële en belangrijke entiteiten en actualiseert die ten minste om de twee jaar (NIS2-wet art. 17, 14°). Zij is ook bevoegd om entiteiten te identificeren overeenkomstig artikel 11 (art. 17, 3°).

Waarom de classificatie ertoe doet: verplichtingen en boetes

Zowel essentiële als belangrijke entiteiten moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om hun cyberbeveiligingsrisico's te beheren (NIS2-wet art. 30). Die maatregelen omvatten onder meer risicoanalyse, incidentenbehandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, cyberhygiëne en het gebruik van cryptografie (art. 30, § 3).

Daarnaast dragen de bestuursorganen verantwoordelijkheid: zij keuren de risicobeheersmaatregelen goed, zien toe op de uitvoering en kunnen aansprakelijk worden gesteld voor inbreuken (NIS2-wet art. 31).

Het onderscheid tussen essentieel en belangrijk werkt vooral door in de maximale administratieve geldboetes (NIS2-wet art. 59):

Bij herhaling van dezelfde feiten binnen drie jaar wordt de boete verdubbeld.

Ook de incidentmelding geldt voor beide categorieën: een significant incident moet aan het nationale CSIRT worden gemeld met een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag uiterlijk één maand na de incidentmelding (NIS2-wet art. 35).