NIS2 incidentmelding in België: termijnen en meldingsplicht
Wie moet melden en aan welke autoriteit?
De NIS2-wet (Wet van 26 april 2024) legt een meldingsplicht op aan zowel de essentiële entiteit als de belangrijke entiteit. Het onderscheid is belangrijk voor onder meer het toezicht en de sanctieplafonds, maar de meldingsplicht bij een significant incident geldt voor beide categorieën.
In België is de nationale cyberbeveiligingsautoriteit belast met de opvolging, coördinatie en het toezicht op de uitvoering van de wet door essentiële en belangrijke entiteiten (art. 16). Deze rol wordt vervuld door het Centrum voor Cybersecurity België (CCB), dat ook optreedt als nationaal CSIRT.
Een significant incident meldt u aan het nationale CSIRT (art. 35). Het nationale CSIRT bezorgt de melding onmiddellijk aan de eventuele bevoegde sectorale overheden; meldingen van essentiële entiteiten worden ook doorgestuurd naar het NCCN (art. 35, § 3).
Let op: het exacte elektronische meld- of registratiekanaal van het nationale CSIRT blijkt niet eenduidig uit de wettekst — [TÄPSUSTAB PARTNER-JURIST].
De drie meldingstermijnen onder artikel 35
De NIS2-wet voorziet in een getrapt meldingssysteem. Voor een significant incident bezorgen de betrokken entiteiten het nationale CSIRT achtereenvolgens (art. 35, § 1):
| Fase | Termijn | Inhoud |
|---|---|---|
| Vroegtijdige waarschuwing | Onverwijld en in elk geval binnen 24 uur nadat men kennis kreeg van het incident | Indien van toepassing: aanduiding of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, of grensoverschrijdende gevolgen kan hebben |
| Incidentmelding | Onverwijld en in elk geval binnen 72 uur nadat men kennis kreeg van het incident | Update van de eerdere informatie, een initiële beoordeling met ernst en gevolgen en, indien beschikbaar, de indicatoren voor aantasting |
| Eindverslag | Uiterlijk één maand na de indiening van de incidentmelding | Gedetailleerde beschrijving, soort bedreiging of grondoorzaak, toegepaste en lopende risicobeperkende maatregelen en eventuele grensoverschrijdende gevolgen |
Daarnaast kan het nationale CSIRT (of de betrokken sectorale overheid) een tussentijds verslag over relevante updates vragen (art. 35, § 1, 3°).
Is het incident nog aan de gang op het moment dat het eindverslag moet worden ingediend, dan dient u op dat moment een voortgangsverslag in, en binnen één maand nadat u het incident definitief hebt afgehandeld, alsnog een eindverslag (art. 35, § 1, 5°).
Bijzondere regel voor verleners van vertrouwensdiensten
In afwijking van de standaardregel geldt voor een verlener van vertrouwensdiensten een strengere termijn voor de incidentmelding. Significante incidenten die gevolgen hebben voor de verlening van zijn vertrouwensdiensten meldt hij onverwijld, en in elk geval binnen 24 uur nadat hij er kennis van heeft gekregen, aan het nationale CSIRT (art. 35, § 2).
Waar andere entiteiten dus tot 72 uur hebben voor de incidentmelding, valt die stap voor verleners van vertrouwensdiensten samen met de kortere 24-uurstermijn.
Waarom tijdig melden loont: het sanctiekader
De rapportageverplichtingen zijn geen vrijblijvende formaliteit. De NIS2-wet voorziet in administratieve geldboetes bij niet-naleving van onder meer de rapportageverplichtingen (art. 59):
- Belangrijke entiteit: een geldboete van 500 tot 7.000.000 euro of van 1,4 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar, afhankelijk van welk bedrag het hoogst is (art. 59, 4°).
- Essentiële entiteit: een geldboete van 500 tot 10.000.000 euro of van 2 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar, afhankelijk van welk bedrag het hoogst is (art. 59, 5°).
De boete wordt verdubbeld bij herhaling van dezelfde feiten binnen een termijn van drie jaar (art. 59).
Tijdig en volledig melden hangt bovendien samen met degelijke risicobeheersmaatregelen. Artikel 30 verplicht entiteiten om passende maatregelen te nemen, waaronder uitdrukkelijk incidentenbehandeling (art. 30, § 3, 2°). Een uitgewerkt meldproces met duidelijke rollen en escalatiepaden helpt om de 24-uurs- en 72-uurstermijnen te halen.
Weet u niet zeker of uw organisatie kwalificeert als essentiële of belangrijke entiteit, of hoe klaar u bent voor een 24-uursmelding? Gebruik onze gratis scoping- en gap-tool om uw status en uw belangrijkste tekortkomingen in kaart te brengen.
Veelgestelde vragen
Binnen welke termijn moet ik een significant incident melden in België?
U bezorgt het nationale CSIRT een vroegtijdige waarschuwing onverwijld en in elk geval binnen 24 uur, een incidentmelding binnen 72 uur, en een eindverslag uiterlijk één maand na de incidentmelding (art. 35, § 1).
Aan wie moet ik een NIS2-incident in België melden?
Aan het nationale CSIRT (art. 35). De nationale cyberbeveiligingsautoriteit — waarvan de rol door het CCB wordt vervuld — is belast met de opvolging, coördinatie en het toezicht (art. 16). Het CSIRT stuurt meldingen door naar eventuele sectorale overheden en, voor essentiële entiteiten, naar het NCCN.
Geldt er een andere termijn voor verleners van vertrouwensdiensten?
Ja. Een verlener van vertrouwensdiensten meldt significante incidenten die zijn vertrouwensdiensten raken onverwijld en in elk geval binnen 24 uur aan het nationale CSIRT, in afwijking van de 72-uurstermijn (art. 35, § 2).
Wat riskeer ik als ik de meldingsplicht niet naleef?
Voor een belangrijke entiteit bedraagt de administratieve geldboete 500 tot 7.000.000 euro of 1,4 procent van de wereldwijde jaaromzet; voor een essentiële entiteit 500 tot 10.000.000 euro of 2 procent van de wereldwijde jaaromzet, telkens het hoogste bedrag (art. 59). Bij herhaling binnen drie jaar wordt de boete verdubbeld.
Controleer uw NIS2-naleving
Voer de gratis gap-analyse uit Doe de gratis oppervlaktescan
De complete NIS2-gids — België →
Dit artikel bevat algemene informatie, geen juridisch advies. Een partneradvocaat bevestigt uw specifieke situatie.