NIS2-toezicht en handhaving in België: wat mag de autoriteit doen?

Wie houdt toezicht op de NIS2-wet in België?

De NIS2-wet (Wet van 26 april 2024) wijst één centrale toezichthouder aan: de nationale cyberbeveiligingsautoriteit. Deze rol wordt vervuld door het Centrum voor Cybersecurity België (CCB), waaronder ook het nationale CSIRT (CERT.be) opereert.

Volgens art. 16 is de nationale cyberbeveiligingsautoriteit belast met:

• de opvolging en coördinatie van de uitvoering van de wet;
• het toezicht op de uitvoering ervan door de essentiële en belangrijke entiteiten;
• het beheer van cybercrises en cyberbeveiligingsincidenten.

Daarnaast vervult zij de rol van bevoegde autoriteit, van nationaal CSIRT en van centraal nationaal contactpunt.

De concrete toezichtstaken worden verder uitgewerkt in art. 17, waaronder het identificeren van entiteiten (art. 11), het toezien op de uitvoering van de wet overeenkomstig titel 4, en het opstellen en actualiseren van de lijst van essentiële en belangrijke entiteiten (ten minste om de twee jaar).

Essentiële versus belangrijke entiteiten

Het toezichtregime hangt af van de classificatie van uw organisatie. De NIS2-wet onderscheidt twee categorieën:

• Essentiële entiteit (art. 9): onder meer entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden, gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners (ongeacht omvang), bepaalde aanbieders van openbare elektronische-communicatienetwerken of -diensten, en overheidsinstanties die van de Federale Staat afhangen.
• Belangrijke entiteit (art. 10): entiteiten van een in bijlage I of II bedoelde soort die niet als essentiële entiteit worden beschouwd op basis van art. 9, alsook entiteiten die als belangrijk worden geïdentificeerd overeenkomstig art. 11.

Praktische betekenis: de classificatie bepaalt zowel het maximale boetebedrag als, in de praktijk, de intensiteit van het toezicht. Het precieze verschil tussen voorafgaand (ex-ante) toezicht op essentiële entiteiten en toezicht achteraf (ex-post) op belangrijke entiteiten wordt in de aangeleverde wetteksten niet gedetailleerd beschreven. [TÄPSUSTAB PARTNER-JURIST]

Waarop richt het toezicht zich concreet?

In de praktijk zal de nationale cyberbeveiligingsautoriteit toetsen of u voldoet aan de kernverplichtingen van de wet. Twee pijlers staan centraal.

1. Risicobeheersmaatregelen (art. 30)

Essentiële en belangrijke entiteiten nemen passende en evenredige technische, operationele en organisatorische maatregelen. Op basis van een all-hazards-benadering moeten deze maatregelen ten minste betrekking hebben op onder andere:

• beleid inzake risicoanalyse en beveiliging van informatiesystemen;
• incidentenbehandeling;
• bedrijfscontinuïteit (back-upbeheer, noodvoorzieningen, crisisbeheer);
• beveiliging van de toeleveringsketen;
• basispraktijken op het gebied van cyberhygiëne en opleiding;
• gebruik van cryptografie en, waar gepast, multifactorauthenticatie.

Stelt u vast dat u niet voldoet, dan neemt u volgens art. 30, § 6 onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen.

2. Verantwoordelijkheid van het bestuursorgaan (art. 31)

De bestuursorganen moeten de risicobeheersmaatregelen goedkeuren, toezien op de uitvoering en zijn aansprakelijk voor inbreuken op art. 30. Bestuurders volgen bovendien een opleiding zodat zij risico's kunnen identificeren en beoordelen.

3. Incidentmelding (art. 35)

Bij een significant incident meldt u aan het nationale CSIRT:

• een vroegtijdige waarschuwing binnen 24 uur;
• een incidentmelding binnen 72 uur;
• een tussentijds verslag op verzoek;
• een eindverslag uiterlijk één maand na de incidentmelding.

Handhaving en boetes

Als het toezicht tekortkomingen aan het licht brengt, kan de autoriteit handhaven. Art. 59 voorziet in administratieve geldboetes, waarbij het maximum verschilt naargelang de classificatie:

Belangrijk om te weten:

• De boete wordt verdubbeld bij herhaling van dezelfde feiten binnen een termijn van drie jaar.
• De samenloop van meerdere inbreuken kan aanleiding geven tot één enkele boete die in verhouding staat tot de ernst van het geheel van de feiten.

Wilt u snel weten of uw organisatie onder de NIS2-wet valt en waar uw grootste tekortkomingen liggen? Voer een gratis scoping- en gap-analyse uit en breng uw NIS2-verplichtingen in kaart voordat de toezichthouder dat doet.