NIS2

Dinsdag 13 januari 2026, 6u32. In het Antwerpse ziekenhuis AZ Monica gaat het alarm af: de IT-systemen op de campussen Antwerpen en Deurne zijn zwaar verstoord. Het ziekenhuis legt uit voorzorg alle servers plat. Operaties worden geschrapt, de spoed draait op halve kracht, ziekenwagens rijden voorlopig naar andere ziekenhuizen en het Rode Kruis brengt zeven patiënten die kritieke zorg nodig hebben over naar een ander ziekenhuis (The Record, VRT NWS). Volgens de pers ging het om ransomware.

Los van de technische brandweeroefening heeft zo’n ziekenhuis op dat moment ook een wettelijke klok die tikt. Een groot Belgisch ziekenhuis valt namelijk onder de NIS2-wet, en die zegt dat het CCB binnen de 24 uur een eerste melding moet krijgen. Daarover gaat dit subhoofdstuk.

Van richtlijn naar Belgische wet

NIS staat voor Network and Information Security. Een eerste versie (NIS1) bestond al sinds 2016, maar gold maar voor een beperkt aantal operatoren van essentiële diensten (energie, vervoer, banken, …). Met de NIS2-richtlijn (EU 2022/2555, van 14 december 2022) trok Europa de lat een pak hoger: veel meer sectoren, strengere regels en stevigere boetes.

Omdat NIS2 een richtlijn is, moest elke lidstaat ze zelf omzetten. België was er als een van de eersten bij:

De wet van 26 april 2024 “tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid” werd op 17 mei 2024 gepubliceerd in het Belgisch Staatsblad.
Een koninklijk besluit van 9 juni 2024 werkt de details uit.
Beide zijn in werking getreden op 18 oktober 2024. Vanaf dan golden de beveiligingsverplichtingen en de meldplicht.
Organisaties die eronder vallen, moesten zich tegen 18 maart 2025 registreren bij het CCB via het platform Safeonweb@Work.

Wie valt eronder?

Of je onder NIS2 valt, hangt af van twee zaken: in welke sector je actief bent en hoe groot je bent.

De sectoren staan in twee bijlagen bij de wet:

Bijlage I: sectoren met een hoge kriticiteit. Energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur (denk aan datacenters, clouddiensten, DNS), beheer van ICT-diensten voor andere bedrijven (managed service providers), overheid en ruimtevaart.
Bijlage II: andere kritieke sectoren. Post- en koeriersdiensten, afvalbeheer, chemische stoffen, productie en distributie van levensmiddelen, de maakindustrie (onder meer medische hulpmiddelen, elektronica, machines en voertuigen), digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken) en onderzoek.

Wat de grootte betreft: in principe vallen enkel middelgrote en grote ondernemingen eronder. Middelgroot betekent vanaf 50 werknemers, of meer dan 10 miljoen euro jaaromzet én balanstotaal. Groot betekent vanaf 250 werknemers, of meer dan 50 miljoen euro omzet en 43 miljoen euro balanstotaal. Voor een paar kritieke spelers speelt de grootte geen rol: gekwalificeerde verleners van vertrouwensdiensten, DNS-dienstverleners en registers van topleveldomeinen (zoals DNS Belgium voor .be) vallen er altijd onder.

Binnen die groep maakt de wet dan het onderscheid tussen twee soorten entiteiten:

	Essentiële entiteit	Belangrijke entiteit
Wie?	Vooral grote organisaties uit bijlage I (plus enkele speciale gevallen)	Middelgrote organisaties uit bijlage I en alle middelgrote en grote uit bijlage II
Toezicht	Proactief: verplichte, regelmatige conformiteitsbeoordeling en inspecties	Reactief: het CCB komt kijken als er aanwijzingen zijn dat het misloopt, bv. na een incident
Maximale boete	€ 10 miljoen of 2% van de wereldwijde jaaromzet	€ 7 miljoen of 1,4% van de wereldwijde jaaromzet

De verplichtingen zelf (maatregelen nemen, incidenten melden) zijn voor beide gelijk. Het verschil zit in hoe streng er gecontroleerd wordt.

Opmerking

Een paar Vlaamse voorbeelden:

Een algemeen ziekenhuis zoals AZ Monica, met honderden medewerkers, zit in de gezondheidszorg (bijlage I) en is groot: essentiële entiteit.
Een drinkwatermaatschappij zoals De Watergroep: bijlage I, groot, dus ook essentieel.
Een West-Vlaamse diepvriesgroentenproducent met 120 werknemers: productie van levensmiddelen staat in bijlage II, dus belangrijke entiteit.
Een Kempense IT-dienstverlener met 60 werknemers die voor tientallen KMO’s de servers en werkplekken beheert: managed service provider, bijlage I, middelgroot, dus belangrijk. Zo’n bedrijf is voor stropers trouwens een ideaal doelwit: één keer binnen bij de dienstverlener betekent binnen bij al zijn klanten (denk aan de supply chain attacks uit het IoT-hoofdstuk).
De bakker om de hoek met 6 werknemers: te klein, valt er niet onder.
Een gemeente valt er niet automatisch onder. Enkel wanneer ze een activiteit uit de bijlagen uitvoert (bv. een eigen woonzorgcentrum) en groot genoeg is. De Vlaamse regering wil wel dat tegen uiterlijk 2030 alle lokale besturen aan de NIS2-regels voldoen (WVI).

Tip

Zelfs als jouw bedrijf niet onder NIS2 valt, kan je er toch mee te maken krijgen. Essentiële en belangrijke entiteiten moeten namelijk ook de veiligheid van hun toeleveringsketen bewaken. De kans is dus groot dat een klant die onder NIS2 valt, van jou als leverancier bewijs vraagt dat je beveiliging in orde is.

De rol van het CCB

Het Centrum voor Cybersecurity België (CCB) is de nationale cyberbeveiligingsautoriteit. Voor NIS2 is het CCB:

het aanspreekpunt waar organisaties zich registreren (via Safeonweb@Work);
het nationale CSIRT (Computer Security Incident Response Team, via CERT.be) dat de incidentmeldingen ontvangt en organisaties helpt wanneer het misloopt;
de toezichthouder die inspecties doet en sancties kan opleggen, voor sommige sectoren samen met een sectorale overheid.

Wat moet je doen?

NIS2 legt twee grote plichten op: een zorgplicht en een meldplicht.

De zorgplicht betekent dat je passende technische en organisatorische maatregelen moet nemen op basis van een risicoanalyse. De wet somt op wat daar minstens bij hoort, en je zal er heel wat uit de vorige hoofdstukken in herkennen: beleid rond risicoanalyse, incidentbehandeling, back-ups en bedrijfscontinuïteit, beveiliging van de toeleveringsketen, veilige ontwikkeling en onderhoud van systemen, cryptografie en encryptie, toegangsbeheer, multifactorauthenticatie en opleiding van het personeel.

Aansprakelijkheid van bestuurders

Nieuw én belangrijk: cybersecurity is niet langer een probleem van “de mannen en vrouwen van IT”. De bestuursorganen (de raad van bestuur, de directie) moeten de maatregelen zelf goedkeuren, toezicht houden op de uitvoering en een opleiding in cybersecurity volgen. Doen ze dat niet, dan kunnen ze er persoonlijk aansprakelijk voor gesteld worden. Bij een essentiële entiteit kan het CCB een verantwoordelijke zelfs tijdelijk verbieden om nog een bestuursfunctie uit te oefenen.

Een CEO kan dus niet meer zeggen “daar wist ik niets van”. Voor jou als informaticus betekent dat meestal: meer budget, maar ook meer vragen van boven.

Meldplicht: 24 uur, 72 uur, 1 maand

Krijg je te maken met een significant incident, dan moet je dat melden bij het CCB. Een incident is significant als het de dienstverlening ernstig verstoort of grote financiële schade veroorzaakt, of als het anderen aanzienlijke materiële of immateriële schade kan berokkenen. Een ziekenhuis dat operaties moet schrappen, voldoet daar ruim aan.

De melding gebeurt in drie stappen, via het meldplatform van het CCB (notif.safeonweb.be):

Belangrijk

Vroegtijdige waarschuwing (early warning): binnen 24 uur nadat je kennis kreeg van het incident. Kort: wat is er aan de hand, is er mogelijk kwaad opzet in het spel, en kan het grensoverschrijdende gevolgen hebben?
Incidentmelding: binnen 72 uur. Een eerste inschatting van de ernst en de impact, en indien beschikbaar de indicators of compromise.
Eindverslag: uiterlijk één maand na de incidentmelding. Een grondige beschrijving, de vermoedelijke oorzaak en de genomen maatregelen. Is het incident dan nog niet voorbij, dan stuur je eerst een voortgangsverslag.

Waar nodig moet je ook de afnemers van je dienst verwittigen als het incident hen kan raken.

Merk op dat de NIS2-meldplicht losstaat van die van de GDPR. Werden er bij de ransomware-aanval patiëntgegevens gestolen, dan moet het ziekenhuis dus óók binnen 72 uur een melding doen bij de Gegevensbeschermingsautoriteit. Hoe je als organisatie zo’n crisis aanpakt, lees je in het stuk over incident response. Een overzicht van alle meldplichten naast elkaar vind je op het einde van het subhoofdstuk over de CRA.

Sancties

Het CCB heeft een hele gereedschapskist om organisaties die niet in orde zijn tot de orde te roepen: waarschuwingen, bindende instructies, een termijn opleggen om het probleem op te lossen, en uiteindelijk administratieve geldboetes:

Essentiële entiteiten: tot € 10 miljoen of 2% van de totale wereldwijde jaaromzet (het hoogste bedrag).
Belangrijke entiteiten: tot € 7 miljoen of 1,4% van de totale wereldwijde jaaromzet.

Bij essentiële entiteiten kan daar nog een tijdelijke schorsing van een vergunning of het tijdelijke bestuursverbod bijkomen.

CyberFundamentals: hoe raak je in orde?

“Passende maatregelen nemen” klinkt mooi, maar wat moet een diepvriesgroentenbedrijf daar concreet mee? Daarvoor ontwikkelde het CCB het CyberFundamentals Framework (CyFun®), gratis te downloaden via atwork.safeonweb.be. Het is gebaseerd op bestaande internationale standaarden zoals het NIST Cybersecurity Framework en ISO 27001, maar vertaald naar concrete, afvinkbare maatregelen.

CyFun werkt met niveaus die op elkaar voortbouwen:

Small: een handvol basismaatregelen voor kleine organisaties (niet verplicht, maar een prima start).
Basic: de fundamenten die elke organisatie zou moeten hebben.
Important: voor organisaties met een verhoogd risico.
Essential: voor organisaties die een doelwit zijn van de meest gevorderde aanvallers.

Met een risicobeoordelingstool van het CCB bepaal je welk niveau voor jouw organisatie van toepassing is. Wie een CyFun-certificaat (of -verificatie) behaalt op het juiste niveau, of een ISO 27001-certificaat, geniet een vermoeden van conformiteit: het CCB gaat er dan van uit dat je aan de zorgplicht voldoet.

Voor essentiële entiteiten is zo’n conformiteitsbeoordeling verplicht, met twee deadlines:

Tegen 18 april 2026 moesten ze minstens een CyFun-verificatie op niveau Basic of Important hebben (of er volop mee bezig zijn), of een overeenkomst met een geaccrediteerde instelling voor een ISO 27001-certificering.
Tegen 18 april 2027 moeten ze hun uiteindelijke doelniveau gecertificeerd hebben.

Belangrijke entiteiten zijn niet verplicht om zo’n beoordeling te laten doen, maar het is wel de eenvoudigste manier om aan te tonen dat je in orde bent wanneer het CCB toch komt aankloppen.

Tip

Ook als je bedrijf niet onder NIS2 valt, is CyFun Small of Basic een handige checklist. Je zal er weinig in vinden dat je na dit boek nog niet kent: wachtwoorden en MFA, updates, back-ups, awareness. Het verschil is dat je het nu ook moet kunnen aantonen.

Samenvatting

NIS2 is een Europese richtlijn, in België omgezet in de wet van 26 april 2024, in werking sinds 18 oktober 2024.
Of je eronder valt, hangt af van je sector (bijlage I of II) en je grootte (vanaf middelgroot: 50 werknemers, of meer dan 10 miljoen euro omzet én balanstotaal).
Essentiële entiteiten krijgen proactief toezicht en een verplichte conformiteitsbeoordeling, belangrijke entiteiten reactief toezicht.
Het CCB is registratiepunt, CSIRT en toezichthouder.
Bestuurders moeten de maatregelen goedkeuren, opvolgen en een opleiding volgen, en zijn persoonlijk aansprakelijk.
Een significant incident meld je bij het CCB: 24 uur (early warning), 72 uur (incidentmelding), 1 maand (eindverslag).
Boetes lopen op tot € 10 miljoen of 2% (essentieel) en € 7 miljoen of 1,4% (belangrijk) van de wereldwijde jaaromzet.
CyberFundamentals (CyFun) en ISO 27001 zijn de erkende manieren om aan te tonen dat je in orde bent.