NIS2 in België: wat de Wet van 26 april 2024 concreet van een onderneming vraagt

Welke wet geldt in België en op wie is zij van toepassing

NIS2 is in België omgezet door de Wet van 26 april 2024 (de NIS2-wet), voluit de wet tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid.

De wet werkt met twee statutaire categorieën. Volgens art. 9 zijn essentiële entiteiten onder meer de entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden zoals bepaald in artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG, en daarnaast — ongeacht hun omvang — de gekwalificeerde verleners van vertrouwensdiensten, de registers voor topleveldomeinnamen en de DNS-dienstverleners. Volgens art. 10 zijn belangrijke entiteiten de entiteiten van een in bijlage I of II bedoelde soort die op basis van art. 9 niet als essentiële entiteit worden beschouwd, plus de entiteiten die overeenkomstig artikel 11 als belangrijke entiteit worden geïdentificeerd.

De sectorlijsten staan in bijlage I (zeer kritieke sectoren) — onder meer energie, vervoer, bankwezen, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid en ruimtevaart — en in bijlage II (andere kritieke sectoren) — post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek. Sector én omvang bepalen samen of u in het toepassingsgebied valt; een gestructureerde zelfevaluatie is de nuchterste manier om dat vast te stellen.

De gedocumenteerde risicobeheersmaatregelen als één geheel (art. 30)

Art. 30 is het hart van de wet. § 1 luidt letterlijk: "De essentiële en belangrijke entiteiten nemen passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor de beveiliging van de netwerk- en informatiesystemen die zij voor hun activiteiten of voor het verlenen van hun diensten gebruiken, te beheren en om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van hun diensten en voor andere diensten te beperken." (NIS2-wet art. 30, § 1)

De maatregelen zijn geen losse projecten, maar één samenhangend geheel. § 3 somt elf onderdelen op waarop zij ten minste betrekking hebben. De vier documentaire kernonderdelen:

• Beleid inzake risicoanalyse en beveiliging van informatiesystemen (art. 30, § 3, 1°). Dit is het basisdocument waarin u vastlegt welke risico's u loopt en welke beveiligingsregels daaruit volgen. § 5 verbindt dat expliciet aan een analyse: "Iedere essentiële en belangrijke entiteit voert een risicoanalyse uit gebaseerd op een benadering die alle gevaren omvat", en werkt op basis daarvan een beleidsdocument uit dat minstens de in § 3 bedoelde aspecten bevat.
• Incidentenbehandeling (art. 30, § 3, 2°). U beschrijft hoe incidenten worden vastgesteld, beoordeeld, opgevolgd en afgesloten, en wie welke rol heeft. Deze procedure is ook de motor achter de meldingsplicht: zonder werkende detectie en escalatie haalt u de wettelijke termijnen niet.
• Bedrijfscontinuïteit (art. 30, § 3, 3°). De wet noemt uitdrukkelijk back-upbeheer, noodvoorzieningenplannen en crisisbeheer. Het gaat om aantoonbare afspraken — welke systemen wanneer terug moeten zijn, wie de crisis leidt, en of het herstel ooit is getest.
• Beveiliging van de toeleveringsketen (art. 30, § 3, 4°). De wet vraagt aandacht voor "de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners". § 4 voegt toe dat u rekening houdt met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener en met de algemene kwaliteit van hun producten en cyberbeveiligingspraktijken, inclusief hun veilige ontwikkelingsprocedures.

De overige punten van § 3 gaan onder meer over beveiliging bij verwerving en ontwikkeling van systemen (5°), het beoordelen van de effectiviteit van de maatregelen (6°), cyberhygiëne en opleiding (7°), cryptografie en encryptie (8°), personeel, toegangsbeleid en beheer van activa (9°), multifactorauthenticatie en beveiligde communicatie (10°) en gecoördineerde bekendmaking van kwetsbaarheden (11°). Stelt een entiteit vast dat zij niet aan die maatregelen voldoet, dan neemt zij volgens § 6 onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen.

De meldingsplicht bij een significant incident (art. 35)

Voor een significant incident bezorgen de betrokken entiteiten het nationale CSIRT volgens art. 35, § 1, 1° "onverwijld en in elk geval binnen vierentwintig uur nadat zij kennis hebben gekregen van het significante incident, een vroegtijdige waarschuwing", waarin indien van toepassing wordt aangegeven of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, dan wel grensoverschrijdende gevolgen zou kunnen hebben.

Daarna volgt volgens art. 35, § 1, 2° onverwijld en in elk geval binnen tweeënzeventig uur nadat zij kennis hebben gekregen van het significante incident een incidentmelding met een update, een initiële beoordeling van de ernst en de gevolgen en, indien beschikbaar, de indicatoren voor aantasting. Op verzoek van het nationale CSIRT of van de betrokken sectorale overheid komt er een tussentijds verslag (3°), en uiterlijk één maand na de indiening van de incidentmelding een eindverslag met een gedetailleerde beschrijving, de vermoedelijke grondoorzaak, de toegepaste en lopende risicobeperkende maatregelen en in voorkomend geval de grensoverschrijdende gevolgen (4°). Loopt het incident op dat moment nog, dan volgt eerst een voortgangsverslag en binnen één maand na de definitieve afhandeling alsnog het eindverslag (5°).

Voor verleners van vertrouwensdiensten geldt een afwijking: significante incidenten die gevolgen hebben voor de verlening van hun vertrouwensdiensten worden onverwijld en in elk geval binnen vierentwintig uur na kennisname aan het nationale CSIRT gemeld (art. 35, § 2). Het exacte elektronische meld- of registratiekanaal blijkt niet eenduidig uit de wettekst zelf — raadpleeg daarvoor de gepubliceerde richtlijnen van de nationale cyberbeveiligingsautoriteit (CCB) als officiële bron.

Goedkeuring, toezicht en opleiding door het bestuursorgaan (art. 31)

Het vijfde kernonderdeel is geen technische maatregel maar een bestuurlijke. Art. 31, § 1 bepaalt: "De bestuursorganen van essentiële en belangrijke entiteiten keuren de maatregelen voor het beheer van cyberbeveiligingsrisico's goed die deze entiteiten nemen om te voldoen aan artikel 30, zien toe op de uitvoering ervan en zijn aansprakelijk voor inbreuken door deze entiteiten op dat artikel." (NIS2-wet art. 31, § 1)

Dat betekent drie afzonderlijke handelingen: goedkeuren, toezien op de uitvoering, en aansprakelijkheid dragen. Praktisch vertaalt dit zich in aantoonbare besluitvorming — een gedateerde goedkeuring van het beleid en de maatregelen, en een terugkerend agendapunt over de opvolging ervan.

Daarnaast bepaalt art. 31, § 2 dat de leden van de bestuursorganen een opleiding volgen zodat ze over voldoende kennis en vaardigheden beschikken om risico's te kunnen identificeren en risicobeheerspraktijken op het gebied van cyberbeveiliging en de gevolgen ervan voor de diensten van de entiteit te kunnen beoordelen. De nationale cyberbeveiligingsautoriteit heeft als taak de organisatie van dergelijke opleidingen voor personeelsleden van essentiële of belangrijke entiteiten te faciliteren en aan te moedigen (art. 17, 13°).

Toezicht, lijstvorming en de druk vanuit de keten

De nationale cyberbeveiligingsautoriteit is belast met de opvolging en coördinatie van de uitvoering van de wet en met het toezicht op de uitvoering ervan door de essentiële en belangrijke entiteiten (art. 16). Zij vervult ook de taken van nationaal CSIRT en van centraal nationaal contactpunt. Die rol wordt in de praktijk ingevuld door het Centrum voor Cybersecurity België (CCB); het nationale CSIRT (CERT.be) handelt onder het CCB.

Art. 17 werkt haar taken verder uit: zij identificeert de essentiële en belangrijke entiteiten overeenkomstig artikel 11 (3°), ziet toe op de uitvoering van de wet door die entiteiten overeenkomstig titel 4 (4°), en stelt een lijst op van essentiële en belangrijke entiteiten en van entiteiten die domeinnaamregistratiediensten verlenen, die zij regelmatig en ten minste om de twee jaar evalueert en actualiseert (14°). Het toezicht richt zich niet op één document, maar op het documentatiegeheel: bij audits en informatieverzoeken is de vraag of de maatregelen van art. 30 samen aantoonbaar bestaan, goedgekeurd zijn en worden uitgevoerd. Art. 59 voorziet administratieve geldboetes, onder meer voor wie niet voldoet aan de toezichtverplichtingen (500 tot 200.000 euro), voor een belangrijke entiteit die niet voldoet aan de verplichtingen inzake risicobeheersmaatregelen en/of de rapportageverplichtingen van titel 3 (500 tot 7.000.000 euro of 1,4 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar, afhankelijk van welk bedrag het hoogst is) en voor een essentiële entiteit in hetzelfde geval (500 tot 10.000.000 euro of 2 procent, afhankelijk van welk bedrag het hoogst is).

En dan de ketenring. Omdat elke NIS2-entiteit op grond van art. 30, § 3, 4° en § 4 de beveiliging van haar rechtstreekse leveranciers en dienstverleners moet beheren, verplaatst de verplichting zich contractueel naar beneden. Ondernemingen die zélf buiten het toepassingsgebied van art. 9 en 10 vallen, krijgen daardoor in de praktijk leveranciersvragenlijsten, contractclausules en verzoeken om bewijsstukken van hun klanten. De wet richt zich tot de entiteit, maar de bewijslast reist mee door de keten.

De eerste stap van vijf: het beleid inzake risicoanalyse en beveiliging

Wie vandaag begint, begint niet bij techniek maar bij het papier waarop de rest steunt. Art. 30, § 5 zegt het in die volgorde: eerst een risicoanalyse op basis van een benadering die alle gevaren omvat, en op basis daarvan een beleidsdocument dat minstens de in § 3 bedoelde aspecten bevat.

Dat beleid inzake risicoanalyse en beveiliging van informatiesystemen (art. 30, § 3, 1°) is het eerste van de vijf kernonderdelen en de logische ankerplaats voor de andere: de incidentprocedure verwijst ernaar, het continuïteitsplan leidt zijn hersteldoelen eruit af, de leverancierseisen worden eruit afgeleid, en het bestuursorgaan keurt het goed onder art. 31, § 1. Zonder dat document blijven de overige maatregelen losse initiatieven zonder gemeenschappelijke maatstaf.

Begin dus met twee vragen: valt onze onderneming onder bijlage I of II en de criteria van art. 9 of 10, en bestaat er een goedgekeurd, gedateerd beveiligingsbeleid dat op een risicoanalyse steunt? Voor de officiële uitleg over toepassingsgebied, registratie en meldkanalen raadpleegt u de gepubliceerde richtlijnen van de nationale cyberbeveiligingsautoriteit (CCB); bindend is steeds de officiële tekst van de Wet van 26 april 2024.