NIS2-richtlijn versus de Belgische NIS2-wet: hoe hangen ze samen?

Van Europese richtlijn naar Belgische wet

De NIS2-richtlijn — voluit richtlijn (EU) 2022/2555 — is Europese wetgeving die elke lidstaat moet omzetten in nationaal recht. Een richtlijn werkt namelijk niet rechtstreeks: ze legt de doelstellingen vast, maar het is aan België om die in eigen wetgeving te gieten.

In België gebeurde die omzetting via de Wet van 26 april 2024 (NIS2-wet). Dit is de wet waarmee bedrijven en organisaties in België concreet te maken krijgen. Waar de richtlijn spreekt over verplichtingen voor de lidstaten, vertaalt de NIS2-wet die naar directe verplichtingen voor entiteiten die in België actief zijn.

Kort samengevat:

• De richtlijn (EU) 2022/2555 bepaalt het Europese kader en de minimumeisen.
• De NIS2-wet (Wet van 26 april 2024) maakt die eisen bindend en afdwingbaar in België, met een eigen toezichtsstructuur en boetesysteem.

Voor een Belgische kmo of organisatie is dus vooral de NIS2-wet relevant, aangezien die de rechten en plichten op nationaal niveau vastlegt.

De bevoegde autoriteit: de nationale cyberbeveiligingsautoriteit

De NIS2-wet wijst een centrale toezichthouder aan: de nationale cyberbeveiligingsautoriteit. Deze rol wordt vervuld door het Centrum voor Cybersecurity België (CCB). Het nationale CSIRT — CERT.be — werkt onder het CCB.

Volgens NIS2-wet art. 16 is de nationale cyberbeveiligingsautoriteit belast met:

• de opvolging en coördinatie van de uitvoering van de wet;
• het toezicht op de uitvoering door essentiële en belangrijke entiteiten;
• het beheer van cybercrises en cyberbeveiligingsincidenten.

Daarnaast vervult zij de taken van bevoegde autoriteit, van nationaal CSIRT en van centraal nationaal contactpunt, en vertegenwoordigt zij België in Europese samenwerkingsverbanden.

NIS2-wet art. 17 somt de concrete taken op, waaronder het identificeren van essentiële en belangrijke entiteiten, het toezien op de uitvoering van de wet en het opstellen en actualiseren van een lijst van entiteiten (minstens om de twee jaar).

Essentiële en belangrijke entiteiten: wie valt eronder?

De NIS2-wet onderscheidt twee categorieën van organisaties, met de statutaire termen essentiële entiteit en belangrijke entiteit.

Essentiële entiteiten (NIS2-wet art. 9) omvatten onder meer:

• entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden;
• gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners, ongeacht hun omvang;
• aanbieders van openbare elektronische-communicatienetwerken of -diensten die minstens middelgroot zijn;
• overheidsinstanties die van de Federale Staat afhangen;
• entiteiten die overeenkomstig art. 11 als essentieel worden geïdentificeerd.

Belangrijke entiteiten (NIS2-wet art. 10) zijn de entiteiten van een in bijlage I of II bedoelde soort die niet als essentieel worden beschouwd, plus de entiteiten die overeenkomstig art. 11 als belangrijk worden geïdentificeerd.

Het verschil tussen beide categorieën heeft onder meer gevolgen voor de intensiteit van het toezicht en voor de maximale boetes.

Wat de NIS2-wet concreet oplegt bovenop de richtlijn

De richtlijn legt algemene principes vast; de NIS2-wet maakt ze afdwingbaar met concrete artikelen, termijnen en sancties.

Risicobeheersmaatregelen (NIS2-wet art. 30) — Essentiële en belangrijke entiteiten nemen passende en evenredige technische, operationele en organisatorische maatregelen. Deze moeten ten minste betrekking hebben op onder andere risicoanalyse, incidentenbehandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, cyberhygiëne, cryptografie en toegangsbeleid. Dit spiegelt art. 21 van de richtlijn (EU) 2022/2555.

Bestuurdersverantwoordelijkheid (NIS2-wet art. 31) — De bestuursorganen keuren de maatregelen goed, zien toe op de uitvoering en zijn aansprakelijk voor inbreuken. Bestuursleden moeten bovendien een opleiding volgen.

Meldplicht bij significante incidenten (NIS2-wet art. 35) — Meldingen gaan naar het nationale CSIRT:

Voor verleners van vertrouwensdiensten geldt een melding binnen 24 uur voor incidenten die hun vertrouwensdiensten treffen.

Administratieve geldboetes (NIS2-wet art. 59) — Bij niet-naleving van de risicobeheers- en rapportageverplichtingen:

• belangrijke entiteit: geldboete tot 7.000.000 euro of 1,4 % van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag het hoogst is;
• essentiële entiteit: geldboete tot 10.000.000 euro of 2 % van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag het hoogst is.

Bij herhaling binnen drie jaar wordt de boete verdubbeld.

Hoe weet u of uw organisatie onder de NIS2-wet valt?

Of u een essentiële entiteit of een belangrijke entiteit bent, hangt af van uw sector (bijlage I of II), uw omvang en specifieke criteria uit de NIS2-wet. Voor veel kmo's is dit niet meteen duidelijk.

Een praktische eerste stap is een scoping- en gap-analyse: nagaan of u binnen het toepassingsgebied valt en waar uw huidige maatregelen afwijken van wat de wet vraagt onder art. 30. Zo krijgt u zicht op de prioriteiten voordat het toezicht door de nationale cyberbeveiligingsautoriteit u bereikt.

Gebruik onze gratis scoping-tool om snel een eerste inschatting te maken van uw NIS2-verplichtingen in België.