NIS2 stap voor stap: stappenplan voor de energiesector in België

1. Toepassing van de wet op energiebedrijven

Bijlage I bij de Wet van 26 april 2024 rangschikt energie onder de zeer kritieke sectoren, met deelsectoren voor elektriciteit, stadsverwarming en -koeling, aardolie, aardgas en waterstof. Onder elektriciteit noemt de bijlage onder meer leveranciers, distributiesysteembeheerders, transmissiesysteembeheerders, producenten, marktdeelnemers die aggregatie, vraagrespons of opslag verzorgen, en beheerders van laadpunten. Artikel 9 merkt een onderneming van een in bijlage I genoemde soort aan als essentiële entiteit zodra zij de drempels voor middelgrote ondernemingen uit artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG overschrijdt. De overige entiteiten van bijlage I of II gelden krachtens artikel 10 als belangrijke entiteit, en daarnaast kunnen entiteiten worden geïdentificeerd overeenkomstig artikel 11.

NACE 35.1NACE 35.30NACE 35.2NACE 06NACE 19.20NACE 49.50

Zie ook de sectorpagina: Energie · NIS2-entiteitscategorieën — België

Start de gratis toepassingscheck

2. Rol en aansprakelijkheid van het bestuursorgaan

Artikel 31, § 1 legt de goedkeuring van de maatregelen voor het beheer van cyberbeveiligingsrisico's bij de bestuursorganen van de essentiële entiteit en de belangrijke entiteit. Diezelfde bepaling belast die organen met het toezicht op de uitvoering en maakt hen aansprakelijk voor inbreuken van de entiteit op artikel 30. De bepaling raakt niet aan de aansprakelijkheidsregels die gelden voor overheidsinstanties, ambtenaren en verkozen of benoemde mandatarissen. Artikel 31, § 2 verplicht de leden van die organen tot een opleiding waarmee zij risico's kunnen herkennen en risicobeheerspraktijken en hun gevolgen voor de geleverde diensten kunnen beoordelen.

NIS2-opleidingsverplichting voor bestuursorganen per land

3. Risicoanalyse als basis

Artikel 30, § 5 verplicht elke essentiële entiteit en belangrijke entiteit tot een risicoanalyse die uitgaat van een benadering waarin alle gevaren aan bod komen. Die analyse strekt tot bescherming van de netwerk- en informatiesystemen én van de fysieke omgeving daarvan tegen incidenten. Op basis daarvan werkt de entiteit volgens dezelfde paragraaf een I.B.B. uit dat minstens de aspecten van artikel 30, § 3 dekt. Artikel 30, § 6 bepaalt dat een entiteit die vaststelt dat zij aan die maatregelen niet voldoet, onverwijld passende en evenredige corrigerende maatregelen neemt.

Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

4. Catalogus van beheersmaatregelen

Artikel 30, § 1 vraagt passende en evenredige technische, operationele en organisatorische maatregelen om risico's te beheersen en de gevolgen van incidenten voor afnemers en andere diensten te beperken. Artikel 30, § 3 somt de minimuminhoud op: onder meer beveiligingsbeleid en risicoanalyse, de afhandeling van incidenten, continuïteit met back-ups, noodplannen en crisisbeheer, en de beveiliging van de toeleveringsketen. Verder komen daarin aan bod: veilige verwerving en ontwikkeling van systemen, de beoordeling van de doeltreffendheid van de maatregelen, cyberhygiëne en opleiding, cryptografie, personeels- en toegangsbeleid met activabeheer, waar gepast meerfactorauthenticatie en beveiligde communicatie, en een beleid voor gecoördineerde bekendmaking van kwetsbaarheden. De NIS2-wet voorziet voor de energiedeelsectoren geen afwijkende catalogus, want dezelfde lijst geldt voor elke essentiële entiteit en belangrijke entiteit, waarbij artikel 30, § 2 de evenredigheid koppelt aan blootstelling, omvang en de kans en de ernst van incidenten.

NIS2-risicobeheersmaatregelen versus ISO 27001, DORA en AVG

5. Melding van significante incidenten

Artikel 35, § 1 richt de melding van een significant incident tot het nationale CSIRT, dat volgens artikel 16 onder de nationale cyberbeveiligingsautoriteit werkt. Als eerste stap voorziet artikel 35, § 1, 1° een vroegtijdige waarschuwing onverwijld en in elk geval binnen vierentwintig uur nadat de entiteit kennis kreeg van het incident. Als tweede stap volgt krachtens artikel 35, § 1, 2° een incidentmelding onverwijld en in elk geval binnen tweeënzeventig uur na diezelfde kennisname, met een eerste beoordeling van ernst en gevolgen. Artikel 35, § 1, 4° bepaalt vervolgens een eindverslag uiterlijk één maand na de indiening van die incidentmelding, terwijl een tussentijds verslag op verzoek van het nationale CSIRT of de betrokken sectorale overheid wordt bezorgd.

NIS2-meldingstermijnen voor incidenten per EU-land · Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

6. Schriftelijke vastlegging

De verplichtingen van artikel 30, § 3 zijn deels als beleid en procedures geformuleerd, onder meer voor de beveiliging van informatiesystemen, voor het beoordelen van de doeltreffendheid van de maatregelen, voor cryptografie en voor de gecoördineerde bekendmaking van kwetsbaarheden. Artikel 30, § 5 koppelt daaraan een uitgewerkt I.B.B. dat op de risicoanalyse steunt en de aspecten van artikel 30, § 3 omvat. De meldingsketen van artikel 35 veronderstelt eveneens vastgelegde informatie, aangezien het eindverslag een gedetailleerde beschrijving van het incident, de vermoedelijke grondoorzaak en de toegepaste en lopende risicobeperkende maatregelen bevat. De wet schrijft geen bijkomende lijst van documenten voor buiten wat uit deze bepalingen volgt.

Het pakket omvat:

• Beleid voor het beheer van cyberbeveiligingsrisico's
• Plan voor de behandeling van incidenten
• Bedrijfscontinuïteitsplan
• Beleid voor de beveiliging van de toeleveringsketen
• Verklaring over de verantwoordelijkheid van het leidinggevend orgaan en opleidingsplan
• Invulassistent in het portaal

Onderhoud (maandelijks) — re-sign van documenten volgens geldend recht — 290 EUR/maand — Diensten

7. Administratieve geldboetes

Artikel 59 bepaalt de administratieve geldboetes die op grond van artikel 51 of 52 kunnen worden opgelegd. Voor een essentiële entiteit die de verplichtingen inzake risicobeheersmaatregelen of de rapportageverplichtingen van titel 3 niet naleeft, geldt volgens artikel 59, 5° een boete van 500 tot 10.000.000 euro of van 2 procent van de totale wereldwijde jaaromzet van het voorgaande boekjaar, waarbij het hoogste bedrag telt. Voor een belangrijke entiteit vermeldt artikel 59, 4° in dezelfde gevallen een boete van 500 tot 7.000.000 euro of van 1,4 procent van die omzet, eveneens naar het hoogste bedrag. Bij herhaling van dezelfde feiten binnen drie jaar wordt de administratieve geldboete verdubbeld.

NIS2-administratieve boetes per land