NIS2 in België: de checklist om te weten waar u staat.

De NIS2-richtlijn is in België omgezet door de wet van 26 april 2024, van kracht sinds 18 oktober 2024. De bevoegde autoriteit is het Centrum voor Cybersecurity België (CCB). De tekst vraagt niet om tools te kopen: ze vraagt om risico’s te beheren, dat te bewijzen en incidenten te melden. Dit is de volgorde waarin we het onderwerp in opdrachten aanpakken.

1. Nagaan of u eronder valt

Twee criteria worden gecombineerd: de sector (energie, gezondheid, transport, digitaal, water, voeding, maakindustrie, postdiensten…) en de omvang (vanaf 50 medewerkers of 10 miljoen euro omzet, behoudens uitzonderingen). Entiteiten worden ingedeeld als « essentieel » of « belangrijk », met verschillende toezichtsverplichtingen. Een onderaannemer van een betrokken entiteit kan ook contractueel meegetrokken worden.

2. Registreren bij het CCB

De registratie gebeurt via het portaal Safeonweb@work. De oorspronkelijke deadline was 18 maart 2025; als dat nog niet gebeurd is, is dit de eerste actie, vóór elk technisch project.

3. Een referentiekader kiezen

Twee aanvaarde wegen in België: het CyberFundamentals-kader van het CCB (niveaus Basic, Important, Essential) of de norm ISO 27001. CyFun is gratis, beschikbaar in het Nederlands en afgestemd op de grootte van de organisatie.

4. Een risicoanalyse documenteren

Een korte maar echte analyse: kritieke activa, plausibele dreigingen, impact, bestaande maatregelen. Het is het document dat de directie ondertekent en dat de auditor als eerste opent.

5. De minimale maatregelen invoeren

Multifactorauthenticatie overal, geteste en offline back-ups, patchbeheer, gecentraliseerde logging, gescheiden beheerdersaccounts, versleuteling van werkplekken. Deze zes punten dekken het merendeel van de courante incidenten.

6. De incidentmelding voorbereiden

Vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. Zonder geschreven procedure en aangewezen contactpersoon houden die termijnen op een vrijdagavond geen stand.

7. De toeleveringsketen bekijken

Welke leveranciers hebben toegang tot uw systemen? Met welke clausules? NIS2 maakt u verantwoordelijk voor wat u uitbesteedt.

8. De directie opleiden

De wet maakt de bestuursorganen persoonlijk aansprakelijk. Een halve dag gedocumenteerde sensibilisering is een verplichting én een bescherming.

9. De conformiteitsbeoordeling plannen

Zelfevaluatie voor belangrijke entiteiten, certificering of inspectie voor essentiële. Leg de datum nu vast, de rest van het plan volgt achterwaarts.

10. De jaarlijkse herziening inplannen

Risico’s, maatregelen, leveranciers, opleiding: één traceerbare herziening per jaar. NIS2-conformiteit is een cyclus, geen project.