NIS2 stap voor stap: overheidsinstanties in België

1. Toepassing van de wet op de sector Overheid

Bijlage I bij de NIS2-wet vermeldt onder punt 10 de sector Overheid, met de overheidsinstanties die van de Federale Staat afhangen, de instanties van de deelgebieden die overeenkomstig artikel 11, § 2, worden aangewezen, en de hulpverleningszones bedoeld in artikel 14 van de wet van 15 mei 2007 betreffende de civiele veiligheid, naast de Brusselse Hoofdstedelijke Dienst voor Brandweer en Dringende Medische Hulp. Artikel 9 merkt de overheidsinstanties die van de Federale Staat afhangen aan als essentiële entiteit, net als de organisaties van een in bijlage I bedoelde soort die boven de plafonds voor middelgrote ondernemingen uit artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG uitkomen. Wie onder bijlage I of bijlage II valt maar op grond van artikel 9 niet essentieel is, geldt volgens artikel 10 als belangrijke entiteit. De nationale cyberbeveiligingsautoriteit identificeert die entiteiten overeenkomstig artikel 11 en houdt er een lijst van bij die minstens om de twee jaar wordt geëvalueerd (art. 17, 3° en 14°).

NACE 84

Zie ook de sectorpagina: Overheid · NIS2-entiteitscategorieën — België

Start de gratis toepassingscheck

2. Rol van het bestuursorgaan en opleidingsplicht

Artikel 31, § 1, van de NIS2-wet bepaalt dat de bestuursorganen van essentiële en belangrijke entiteiten de risicobeheersmaatregelen goedkeuren waarmee de entiteit aan artikel 30 voldoet en dat zij toezien op de uitvoering daarvan. Datzelfde lid koppelt daaraan een aansprakelijkheid voor inbreuken van de entiteit op dat artikel. Voor overheidsinstanties, ambtenaren en verkozen of benoemde mandatarissen laat de bepaling de bestaande aansprakelijkheidsregels uitdrukkelijk onverlet. Artikel 31, § 2, verplicht de leden van het bestuursorgaan tot een opleiding, zodat zij risico's kunnen herkennen en de praktijken voor cyberbeveiligingsrisicobeheer en hun weerslag op de dienstverlening kunnen beoordelen.

NIS2-opleidingsverplichting voor bestuursorganen

3. Risicoanalyse als basis

Artikel 30, § 5, verplicht elke essentiële en belangrijke entiteit tot een risicoanalyse die alle gevaren omvat en die de netwerk- en informatiesystemen samen met hun fysieke omgeving tegen incidenten wil beschermen. Op basis daarvan werkt de entiteit een I.B.B. uit dat ten minste de onderwerpen van artikel 30, § 3, bestrijkt. Bij de beoordeling van de evenredigheid speelt volgens artikel 30, § 2, mee in welke mate de entiteit aan risico's is blootgesteld, hoe groot zij is en hoe waarschijnlijk en ernstig incidenten zijn, naast de stand van de techniek en de uitvoeringskosten. Stelt een entiteit vast dat zij niet aan die maatregelen voldoet, dan neemt zij op grond van artikel 30, § 6, onverwijld de nodige corrigerende maatregelen.

Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

4. Catalogus van risicobeheersmaatregelen

Artikel 30, § 3, van de NIS2-wet noemt elf onderwerpen die de maatregelen ten minste moeten bestrijken, gaande van beleid rond risicoanalyse en systeembeveiliging, incidentenbehandeling en bedrijfscontinuïteit met back-ups en crisisbeheer tot ketenbeveiliging, veilige verwerving en ontwikkeling van systemen en de beoordeling van de doeltreffendheid van de genomen maatregelen. Dezelfde paragraaf vermeldt verder cyberhygiëne en opleiding, cryptografie en waar nodig encryptie, beveiligingsaspecten rond personeel, toegang en activabeheer, het gepaste gebruik van multifactorauthenticatie en beveiligde communicatie, en een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden. Artikel 30, § 4, vraagt bij de ketenmaatregelen aandacht voor de kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener en voor de algemene kwaliteit van hun producten en praktijken. De wet legt die opsomming op dezelfde wijze op aan alle essentiële en belangrijke entiteiten en bevat voor de sector Overheid geen afwijkende maatregelenlijst.

NIS2-risicobeheersmaatregelen versus ISO 27001, DORA en AVG

5. Melding van significante incidenten

Bij een significant incident bezorgt de betrokken entiteit het nationale CSIRT onverwijld en in elk geval binnen vierentwintig uur na kennisname een vroegtijdige waarschuwing (art. 35, § 1, 1°). Daarna volgt onverwijld en in elk geval binnen tweeënzeventig uur na kennisname een incidentmelding met een eerste beoordeling van de ernst en de gevolgen en, indien beschikbaar, de indicatoren voor aantasting (art. 35, § 1, 2°). Op verzoek van het nationale CSIRT of van de eventuele betrokken sectorale overheid komt daar een tussentijds verslag bij (art. 35, § 1, 3°). Uiterlijk één maand na de indiening van die incidentmelding volgt een eindverslag, en bij een nog lopend incident eerst een voortgangsverslag met nadien alsnog het eindverslag (art. 35, § 1, 4° en 5°).

NIS2-meldingstermijnen voor incidenten per EU-land · Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

6. Schriftelijke neerslag van beleid en procedures

Diverse onderdelen van artikel 30, § 3, hebben uitdrukkelijk de vorm van beleid en procedures, zoals het beleid inzake risicoanalyse en beveiliging van informatiesystemen, de procedures om de doeltreffendheid van de maatregelen te beoordelen, het beleid rond cryptografie en het beleid voor de gecoördineerde bekendmaking van kwetsbaarheden. Artikel 30, § 5, veronderstelt daarnaast een uitgevoerde risicoanalyse en een daarop gebaseerd I.B.B. dat de onderwerpen van paragraaf 3 dekt. De meldingsplicht van artikel 35 gaat uit van inhoudelijke verslagen, waaronder een eindverslag met een omstandige beschrijving van het incident, de vermoedelijke grondoorzaak, de toegepaste en lopende risicobeperkende maatregelen en in voorkomend geval de grensoverschrijdende gevolgen. Buiten wat uit deze bepalingen voortvloeit, legt de wettekst geen afzonderlijke documentenlijst vast.

Het pakket omvat:

• Beleid voor het beheer van cyberbeveiligingsrisico's
• Plan voor de behandeling van incidenten
• Bedrijfscontinuïteitsplan
• Beleid voor de beveiliging van de toeleveringsketen
• Verklaring over de verantwoordelijkheid van het leidinggevend orgaan en opleidingsplan
• Invulassistent in het portaal

Onderhoud (maandelijks) — re-sign van documenten volgens geldend recht — Diensten

7. Administratieve geldboetes

Artikel 59, 5°, voorziet voor een essentiële entiteit die de verplichtingen rond risicobeheersmaatregelen of de rapportageverplichtingen van titel 3 niet naleeft in een administratieve geldboete van 500 tot 10.000.000 euro of van 2 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar, waarbij het hoogste bedrag geldt. Voor een belangrijke entiteit gaat het volgens artikel 59, 4°, om 500 tot 7.000.000 euro of om 1,4 procent van diezelfde jaaromzet, eveneens naargelang welk bedrag hoger uitvalt. Bij herhaling van dezelfde feiten binnen een termijn van drie jaar wordt de administratieve geldboete verdubbeld. Samenloop van meerdere inbreuken kan volgens hetzelfde artikel uitmonden in één enkele geldboete die in verhouding staat tot het geheel van de feiten.

NIS2-administratieve boetes per land