De Belgische NIS2-wet: de complete gids voor bedrijfsleiders

Wat is de NIS2-wet en hoe verhoudt ze zich tot de EU-richtlijn?

De NIS2-wet in België is de Wet van 26 april 2024. Deze wet zet de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) om in Belgisch recht en vormt het nationale kader voor de cyberbeveiliging van essentiële en belangrijke entiteiten.

Waar de EU-richtlijn de gemeenschappelijke basisverplichtingen vastlegt (governance, risicobeheersmaatregelen, meldplicht), bepaalt de Belgische NIS2-wet hoe die verplichtingen concreet gelden voor uw organisatie: wie in scope valt, aan welke autoriteit u meldt en welke sancties gelden bij niet-naleving.

Voor u als bedrijfsleider betekent dit dat cyberbeveiliging niet langer alleen een IT-thema is, maar een wettelijke plicht met bestuurdersverantwoordelijkheid (zie art. 31).

> Wilt u snel weten of uw organisatie onder de NIS2-wet valt? Gebruik onze gratis scoping- en gap-tool om uw situatie in enkele minuten in kaart te brengen.

Wie valt onder de NIS2-wet? (essentiële en belangrijke entiteiten)

De NIS2-wet maakt een onderscheid tussen twee categorieën, met verschillende gevolgen voor toezicht en boetes.

Essentiële entiteiten (art. 9) zijn onder meer:

• entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden (zoals bepaald in artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG);
• gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners, ongeacht hun omvang;
• aanbieders van openbare elektronische-communicatienetwerken of -diensten die minstens als middelgrote onderneming in aanmerking komen;
• overheidsinstanties die van de Federale Staat afhangen;
• de entiteiten bedoeld in artikel 3, § 4;
• alle andere entiteiten van een in bijlage I of II bedoelde soort die als essentiële entiteit worden geïdentificeerd overeenkomstig artikel 11.

Belangrijke entiteiten (art. 10) zijn:

• entiteiten van een in bijlage I of II bedoelde soort die niet als essentiële entiteit worden beschouwd op basis van artikel 9;
• entiteiten die als belangrijke entiteit worden geïdentificeerd overeenkomstig artikel 11.

De omvangsdrempels verwijzen naar de Europese definitie van middelgrote ondernemingen (Aanbeveling nr. 2003/361/EG). De sectoren staan opgesomd in bijlage I en bijlage II van de wet. In de praktijk bepaalt de combinatie van sector + omvang in welke categorie u valt — en enkele diensten vallen ongeacht hun omvang binnen scope.

De registratieplicht en de identificatie van entiteiten

De nationale cyberbeveiligingsautoriteit is belast met het identificeren van essentiële en belangrijke entiteiten overeenkomstig artikel 11 (art. 17, 3°) en met het opstellen van een lijst van essentiële en belangrijke entiteiten, alsook van entiteiten die domeinnaamregistratiediensten verlenen. Die lijst wordt regelmatig en ten minste om de twee jaar geëvalueerd en waar nodig geactualiseerd (art. 17, 14°).

De wet koppelt aan rapportageverplichtingen een sanctie: eenieder die niet voldoet aan de in artikel 12 bedoelde rapportageverplichtingen kan een geldboete van 500 tot 125.000 euro oplopen (art. 59, 1°). Dit onderstreept het belang van een correcte en tijdige registratie.

[TÄPSUSTAB PARTNER-JURIST]: de exacte registratietermijn en het praktische registratiekanaal blijken niet eenduidig uit de aangeleverde wettekst. Laat dit door een partner-jurist verifiëren aan de hand van artikel 12 en de uitvoeringsbepalingen.

De risicobeheersmaatregelen: uw checklist (art. 30 / art 21(2))

Essentiële en belangrijke entiteiten nemen passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor hun netwerk- en informatiesystemen te beheren en om incidenten te voorkomen of te beperken (art. 30, § 1). De maatregelen zijn gebaseerd op een benadering die alle gevaren omvat (all-hazards).

Artikel 30, § 3 (dat overeenstemt met art 21(2) van de richtlijn) legt minstens de volgende domeinen op. Gebruik dit als bestuurschecklist:

Daarnaast vereist de wet expliciet een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden (art. 30, § 3, 11°). Elke entiteit voert een risicoanalyse uit en werkt op basis daarvan een informatiebeveiligingsbeleid (I.B.B.) uit dat minstens deze aspecten bevat (art. 30, § 5).

Stelt u vast dat u niet aan deze maatregelen voldoet? Dan neemt u onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen (art. 30, § 6).

Meldplicht bij incidenten: welke termijnen gelden?

Bij een significant incident meldt u aan het nationale CSIRT volgens een getrapt schema (art. 35, § 1):

• Binnen 24 uur na kennisname: een *vroegtijdige waarschuwing*. Daarin geeft u indien van toepassing aan of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, dan wel grensoverschrijdende gevolgen kan hebben.
• Binnen 72 uur na kennisname: een *incidentmelding* met een update, een initiële beoordeling (ernst en gevolgen) en, indien beschikbaar, de indicatoren voor aantasting.
• Op verzoek van het nationale CSIRT of de betrokken sectorale overheid: een *tussentijds verslag* met relevante updates.
• Uiterlijk één maand na de incidentmelding (72u-melding): een *eindverslag* met een gedetailleerde beschrijving, de vermoedelijke grondoorzaak, de toegepaste en lopende risicobeperkende maatregelen en, in voorkomend geval, de grensoverschrijdende gevolgen.
• Loopt het incident nog bij het indienen van het eindverslag? Dan dient u op dat moment een *voortgangsverslag* in en, binnen één maand na de definitieve afhandeling, alsnog een *eindverslag*.

Bijzondere regel: een verlener van vertrouwensdiensten meldt significante incidenten met impact op zijn vertrouwensdiensten binnen 24 uur (art. 35, § 2).

Het nationale CSIRT bezorgt de meldingen onmiddellijk aan de eventuele bevoegde sectorale overheden; meldingen van essentiële entiteiten worden ook doorgestuurd naar het NCCN (art. 35, § 3).

[TÄPSUSTAB PARTNER-JURIST]: het exacte elektronische meld- of registratiekanaal van het nationale CSIRT blijkt niet eenduidig uit de wettekst.

Boetes en bestuurdersverantwoordelijkheid

De administratieve geldboetes verschillen naargelang uw classificatie (art. 59):

De geldboete wordt verdubbeld bij herhaling van dezelfde feiten binnen drie jaar. Samenloop van meerdere inbreuken kan aanleiding geven tot één enkele boete die in verhouding staat tot de ernst van het geheel (art. 59).

Bestuurdersverantwoordelijkheid (art. 31): de bestuursorganen van essentiële en belangrijke entiteiten *keuren de risicobeheersmaatregelen goed*, *zien toe op de uitvoering ervan* en *zijn aansprakelijk* voor inbreuken op artikel 30. Bovendien moeten de leden van het bestuursorgaan een opleiding volgen om risico's te kunnen identificeren en de risicobeheerspraktijken te kunnen beoordelen (art. 31, § 2). Cyberbeveiliging staat daarmee op de agenda van de directie zelf.

De toezichthoudende autoriteit: het CCB en CERT.be

De bevoegde autoriteit is de nationale cyberbeveiligingsautoriteit. Deze rol wordt vervuld door het Centrum voor Cybersecurity België (CCB); het nationale CSIRT (CERT.be) handelt onder het CCB.

De autoriteit is belast met de opvolging en coördinatie van de uitvoering van de wet, het toezicht op de uitvoering ervan door essentiële en belangrijke entiteiten, en het beheer van cybercrises en -incidenten (art. 16). Zij vervult daarbij de taken van bevoegde autoriteit, van nationaal CSIRT en van centraal nationaal contactpunt, en vertegenwoordigt België in de samenwerkingsgroep, het CSIRT-netwerk en EU-CyCLONe.

Tot de taken behoren onder meer (art. 17): het identificeren van entiteiten (art. 11), het toezien op de uitvoering van de wet overeenkomstig titel 4, het opstellen en verspreiden van standaarden en richtlijnen, het informeren en sensibiliseren van gebruikers, en het bijhouden en tweejaarlijks actualiseren van de lijst van entiteiten.

In de praktijk betekent toezicht dat het CCB uw naleving van de risicobeheersmaatregelen (art. 30) en de meldplicht (art. 35) kan controleren, en dat inbreuken tot de hierboven vermelde administratieve geldboetes kunnen leiden.

> Bereid u voor op toezicht: begin met een gap-analyse. Onze gratis scoping-tool toont u waar uw organisatie ten opzichte van de tien maatregelgebieden staat.