Is uw NIS2-document juridisch houdbaar in België — en hoe controleert u dat zelf?

1. Herleidbaarheid: elke verplichting verwijst naar een exact wetsartikel

U hebt een NIS2-document in huis, of u staat op het punt er een aan te schaffen. De eerste controle is de eenvoudigste en meteen de meest ontmaskerende: kan elke verplichting in het document worden herleid tot een precies artikel van de Belgische omzettingswet?

De nationale wet is de Wet van 26 april 2024 (NIS2-wet). Wat uw onderneming in België moet doen, staat daarin — niet uitsluitend in de Europese richtlijn. Een document dat alleen naar 'de NIS2-richtlijn' verwijst, of dat helemaal geen bron vermeldt, is niet controleerbaar: u kunt niet nagaan of de zin klopt, en een toezichthouder of klant evenmin.

Praktische test — neem tien willekeurige verplichtende zinnen uit uw document en vraag bij elke zin:

• Staat er een concrete verwijzing bij, zoals art. 30, § 3 of art. 31, § 1?
• Kunt u die verwijzing terugvinden in de officiële wettekst?
• Zegt het artikel werkelijk wat het document beweert?

Zo ziet een controleerbare bronverwijzing eruit:

"De bestuursorganen van essentiële en belangrijke entiteiten keuren de maatregelen voor het beheer van cyberbeveiligingsrisico's goed die deze entiteiten nemen om te voldoen aan artikel 30, zien toe op de uitvoering ervan en zijn aansprakelijk voor inbreuken door deze entiteiten op dat artikel" — NIS2-wet art. 31, § 1 (Wet van 26 april 2024).

Dat is het model: letterlijke wettekst tussen aanhalingstekens, gevolgd door de exacte vindplaats. Een losse samenvatting mét verwijzing haalt dit niveau niet; alleen de woorden van de wet zelf laten toe te controleren of de weergave klopt.

2. Dekking: staan alle wettelijke maatregelgebieden erin?

De kern van de Belgische verplichting staat in art. 30 van de NIS2-wet. Volgens art. 30, § 3 hebben de maatregelen ten minste betrekking op elf punten. Loop uw document na en vink af:

Ontbreekt een rij, dan is het document op dat punt onvolledig ten opzichte van de wettekst. Let ook op art. 30, § 5: de entiteit voert een risicoanalyse uit die alle gevaren omvat en werkt op basis daarvan een I.B.B. uit dat minstens de in § 3 bedoelde aspecten bevat. Een document zonder aantoonbare koppeling aan een eigen risicoanalyse blijft dus in de lucht hangen.

Het document mag wel proportioneel zijn: art. 30, § 2 laat toe rekening te houden met de stand van de techniek, de uitvoeringskosten, de blootstelling aan risico's en de omvang van de entiteit. Proportioneel betekent echter anders ingevuld, niet weggelaten.

3. Formulering: vergelijk zin voor zin met de wettekst

Een verplichting moet overeenstemmen met de wettelijke formulering, niet met een vrije parafrase die het toepassingsgebied oprekt of juist versmalt. Zo vergelijkt u concreet:

1. Isoleer één verplichtende zin uit uw document (herkenbaar aan 'moet', 'neemt', 'keurt goed').
2. Zoek het artikel op waarnaar de zin verwijst in de officiële tekst van de Wet van 26 april 2024.
3. Leg de twee naast elkaar en let op vier woordsoorten: de handeling (nemen, goedkeuren, melden), de adressaat (de entiteit, het bestuursorgaan), de drempel of voorwaarde ('ten minste', 'wanneer gepast', 'in voorkomend geval') en de termijn.
4. Markeer elk verschil en beslis: is het een toegelaten verduidelijking voor uw eigen organisatie, of een afwijking van de wet?

Termijnen zijn hier het gevoeligst. Art. 35, § 1 bepaalt dat de betrokken entiteiten het nationale CSIRT onverwijld en in elk geval binnen vierentwintig uur nadat zij kennis hebben gekregen van het significante incident een vroegtijdige waarschuwing bezorgen, en onverwijld en in elk geval binnen tweeënzeventig uur een incidentmelding met een initiële beoordeling. Uiterlijk één maand na die incidentmelding volgt een eindverslag. Staat in uw document een andere termijn, een andere ontvanger of een ander startmoment dan 'kennis hebben gekregen', dan wijkt de tekst af van de wet.

4. Goedkeuring door het bestuursorgaan: zonder handtekening blijft het onaf

Art. 31, § 1 van de NIS2-wet legt de goedkeuring en het toezicht uitdrukkelijk bij de bestuursorganen van essentiële en belangrijke entiteiten, en koppelt daar aansprakelijkheid voor inbreuken op art. 30 aan vast. Een set documenten die de IT-verantwoordelijke of een externe dienstverlener alleen heeft opgesteld, mist dus een wettelijk voorzien onderdeel.

Controleer daarom of uit het document zelf blijkt:

• wie heeft goedgekeurd (het bestuursorgaan, bij naam of orgaan);
• wanneer de goedkeuring plaatsvond en waar die is vastgelegd, bijvoorbeeld in een verslag van de vergadering;
• hoe het toezicht op de uitvoering verloopt: welke opvolging, welke rapportering, welke frequentie.

Art. 31, § 2 voegt daaraan toe dat de leden van de bestuursorganen een opleiding volgen zodat ze over voldoende kennis en vaardigheden beschikken om risico's te identificeren en risicobeheerspraktijken en hun gevolgen voor de diensten te beoordelen. Ook dat laat sporen na in de documentatie.

En stelt u bij deze oefening vast dat iets ontbreekt? Art. 30, § 6 voorziet dat een entiteit die vaststelt dat zij niet voldoet aan de in § 3 bedoelde maatregelen, onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen neemt.

5. Wat een toezichthouder of een klant effectief opvraagt

Het toezicht op de uitvoering van de wet door essentiële en belangrijke entiteiten ligt bij de nationale cyberbeveiligingsautoriteit (art. 16 en art. 17, 4°). Art. 48, § 1 somt de bevoegdheden van de beëdigde leden van de inspectiedienst op. Voor uw documentcontrole zijn vooral relevant:

• toegang tot documenten en een kopie ervan, met name de bewijzen van de uitvoering van het cyberbeveiligingsbeleid, zoals de resultaten van conformiteitsbeoordelingen en van beveiligingsaudits of de onderliggende bewijzen (art. 48, § 1, 1°);
• onderzoeken, controles en verhoren, ook steekproefsgewijs (art. 48, § 1, 2°);
• regelmatige en gerichte beveiligingsaudits van essentiële entiteiten door een onafhankelijke instantie (art. 48, § 1, 3°);
• het inwinnen van alle informatie die nodig wordt geacht voor de beoordeling van de genomen maatregelen, met name over het gedocumenteerde cyberbeveiligingsbeleid (art. 48, § 1, 4°);
• ad-hocaudits, met name naar aanleiding van een significant incident of een inbreuk (art. 48, § 1, 5°).

Voor belangrijke entiteiten worden die bevoegdheden volgens art. 48, § 2 achteraf ('ex post') uitgeoefend, op basis van bewijzen, aanwijzingen of informatie waaruit blijkt dat de wet niet wordt nageleefd.

Ook klanten kunnen om uw documentatie vragen. Art. 30, § 3, 4° verplicht entiteiten immers tot beveiliging van de toeleveringsketen, en art. 30, § 4 bepaalt dat zij rekening houden met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener en met de algemene kwaliteit van hun producten en cyberbeveiligingspraktijken. Een document met exacte verwijzingen doorstaat zo'n vraag beter dan een algemene tekst.

Geen enkel document maakt een onderneming op zichzelf in orde met de wet: bepalend is wat u werkelijk uitvoert en kunt aantonen. Twijfelt u over de uitleg van een bepaling, raadpleeg dan de officiële wettekst en de gepubliceerde richtsnoeren van de nationale cyberbeveiligingsautoriteit (CCB) als officiële bron.