NIS2-incidentmelding in België: stap voor stap door de meldingsplicht

Stap 1: wanneer wordt de meldingsplicht geactiveerd?

De meldingsplicht in de Belgische Wet van 26 april 2024 (NIS2-wet) wordt geactiveerd door een significant incident. Artikel 35 van de NIS2-wet knoopt alle termijnen vast aan het moment waarop de entiteit kennis heeft gekregen van het significante incident — niet aan het moment waarop het incident begon, en niet aan het moment waarop de oorzaak bekend is.

Dat maakt één praktisch punt cruciaal: noteer datum en uur van eerste kennisname. Vanaf dat tijdstip lopen de termijnen van artikel 35, § 1.

Belangrijk over de definitie: het beschikbare uittreksel van de nationale wettekst omschrijft de melding zelf (artikel 35, dat verwijst naar de melding bedoeld in artikel 34, § 1, eerste lid), maar bevat géén eigen definitie van wat "significant" betekent. Op dit punt is het nationale uittreksel dus stil en geeft richtlijn (EU) 2022/2555, art 23(3) de basislijn: een incident is significant wanneer

• het een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit heeft veroorzaakt of kan veroorzaken; of
• het andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Deze twee criteria staan in de richtlijn, niet in het hier beschikbare nationale artikel. De exacte nationale invulling en eventuele sectorale drempels: [Verifieer dit: nationale cyberbeveiligingsautoriteit (CCB) (officiële bron).].

Een praktische vuistregel voor het beslismoment: bij twijfel start u de klok en behandelt u het dossier als meldingsplichtig. Volgens richtlijn (EU) 2022/2555, art 23(1) leidt het loutere feit van melden niet tot een verhoogde aansprakelijkheid van de meldende entiteit.

Stap 2: aan wie meldt u — en via welk kanaal?

De NIS2-wet is hier duidelijk: de betrokken entiteiten bezorgen hun melding aan het nationale CSIRT (art. 35, § 1).

De institutionele context:

• De nationale cyberbeveiligingsautoriteit is belast met de opvolging en coördinatie van de uitvoering van de wet, met het toezicht op de uitvoering ervan door de essentiële en belangrijke entiteiten, en met het beheer van cybercrises en cyberbeveiligingsincidenten (art. 16).
• Diezelfde autoriteit vervult de taken van bevoegde autoriteit, van nationaal CSIRT en van centraal nationaal contactpunt (art. 16). In de praktijk wordt deze rol vervuld door het Centrum voor Cybersecurity België (CCB), waaronder het nationale CSIRT (CERT.be) opereert.
• U hoeft de doorstroming niet zelf te organiseren: het nationale CSIRT bezorgt de meldingen onmiddellijk aan de eventuele bevoegde sectorale overheden, en meldingen van essentiële entiteiten worden ook doorgestuurd naar het NCCN (art. 35, § 3).

Meldkanaal: het exacte elektronische meld- of registratiekanaal (portaal, formulier, e-mailadres) van het nationale CSIRT blijkt niet eenduidig uit de wettekst zelf — [Verifieer dit: nationale cyberbeveiligingsautoriteit (CCB) (officiële bron).]. Regel dit vooraf: zoek en documenteer het kanaal, de referentiegegevens en een back-upcontact voordat u het nodig hebt. Op dag één van een incident is dat geen zoekwerk waar u tijd voor hebt.

Stap 3: in welke vorm en in welke fasen meldt u?

Artikel 35, § 1 van de NIS2-wet bouwt de melding op in opeenvolgende fasen, elk met een eigen inhoud.

1. Vroegtijdige waarschuwing (art. 35, § 1, 1°) Vermeld, indien van toepassing, of het significante incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, dan wel grensoverschrijdende gevolgen zou kunnen hebben. Dit is een alarmsignaal, geen volledig rapport.

2. Incidentmelding (art. 35, § 1, 2°) Bevat, indien van toepassing: een update van de informatie uit de vroegtijdige waarschuwing, een initiële beoordeling van het significante incident inclusief ernst en gevolgen, en — indien beschikbaar — de indicatoren voor aantasting.

3. Tussentijds verslag (art. 35, § 1, 3°) Enkel op verzoek van het nationale CSIRT of van de eventuele betrokken sectorale overheid: relevante updates van de situatie.

4. Eindverslag (art. 35, § 1, 4°) Moet het volgende bevatten:

• een gedetailleerde beschrijving van het incident, met inbegrip van de ernst en de gevolgen ervan;
• het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;
• toegepaste en lopende risicobeperkende maatregelen;
• in voorkomend geval, de grensoverschrijdende gevolgen van het incident.

5. Voortgangsverslag bij een lopend incident (art. 35, § 1, 5°) Is het incident nog aan de gang wanneer het eindverslag moet worden ingediend, dan dient u op dat moment een voortgangsverslag in, en het eindverslag binnen één maand nadat u het incident definitief hebt afgehandeld.

Stap 4: de termijnen, exact zoals ze in de wet staan

Uitzondering voor verleners van vertrouwensdiensten: in afwijking van § 1, 2° meldt een verlener van vertrouwensdiensten significante incidenten die gevolgen hebben voor de verlening van zijn vertrouwensdiensten onverwijld, en in elk geval binnen vierentwintig uur na kennisname, aan het nationale CSIRT (art. 35, § 2).

Let op de dubbele formulering "onverwijld en in elk geval binnen": 24 uur en 72 uur zijn maxima, geen wachttijden. Beschikt u eerder over de informatie, dan meldt u eerder.

Wie is meldingsplichtig en wat staat er op het spel?

De meldingsplicht van artikel 35 geldt voor de entiteiten die onder de wet vallen:

• Essentiële entiteiten (art. 9): onder meer entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden (artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG); gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners ongeacht hun omvang; aanbieders van openbare elektronische-communicatienetwerken of -diensten die minstens als middelgrote onderneming in aanmerking komen; overheidsinstanties die van de Federale Staat afhangen; entiteiten bedoeld in artikel 3, § 4; en entiteiten die als essentieel worden geïdentificeerd overeenkomstig artikel 11.
• Belangrijke entiteiten (art. 10): entiteiten van een in bijlage I of II bedoelde soort die niet als essentiële entiteit worden beschouwd op basis van artikel 9, en entiteiten die als belangrijke entiteit worden geïdentificeerd overeenkomstig artikel 11.

Sancties bij niet-naleving van de rapportageverplichtingen van titel 3 (art. 59):

• een belangrijke entiteit: geldboete van 500 tot 7.000.000 euro of 1,4 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe zij behoort, afhankelijk van welk bedrag het hoogst is (art. 59, 4°);
• een essentiële entiteit: geldboete van 500 tot 10.000.000 euro of 2 procent van diezelfde jaaromzet, afhankelijk van welk bedrag het hoogst is (art. 59, 5°).

De administratieve geldboete wordt verdubbeld in geval van herhaling van dezelfde feiten binnen een termijn van drie jaar (art. 59).

Voorbereiding is geen luxe. Artikel 30, § 3 verplicht essentiële en belangrijke entiteiten uitdrukkelijk tot maatregelen inzake onder meer incidentenbehandeling (2°) en bedrijfscontinuïteit en crisisbeheer (3°). En artikel 31, § 1 legt de verantwoordelijkheid hoog: de bestuursorganen keuren de risicobeheersmaatregelen goed, zien toe op de uitvoering ervan en zijn aansprakelijk voor inbreuken op artikel 30. Wie de meldingsketen — wie beslist, wie schrijft, wie verstuurt — niet vooraf op papier heeft, haalt de termijn van 24 uur zelden.

Wilt u weten of uw organisatie onder de NIS2-wet valt en of uw incidentprocedure de fasen van artikel 35 dekt? Gebruik onze gratis scoping- en gap-tool voor een eerste beeld in enkele minuten.