NIS2 in België in 2026: trends en outlook voor digitale weerbaarheid

NIS2 is in België een wettelijke en bestuurlijke verplichting die cyberbeveiliging voor organisaties in kritieke en belangrijke sectoren koppelt aan aantoonbare digitale weerbaarheid. De kernvraag is niet meer alleen of een organisatie goede beveiliging heeft, maar of zij risico’s aantoonbaar beheerst, incidenten tijdig meldt en haar leveranciersketen onder controle houdt.

NIS2 verwijst naar Richtlijn (EU) 2022/2555, de tweede Europese richtlijn voor netwerk- en informatiebeveiliging. De richtlijn vervangt de eerste NIS-richtlijn en legt bredere, meer geharmoniseerde cyberbeveiligingsverplichtingen op aan organisaties die belangrijk zijn voor de economie, de samenleving en de continuïteit van digitale diensten.

Voor Belgische organisaties is vooral de lokale toepassing van belang. NIS2 is een EU-richtlijn, maar de verplichtingen worden in België toegepast via nationale wetgeving en toezicht. Het Centrum voor Cybersecurity België (CCB) speelt daarbij de rol van nationale bevoegde autoriteit, terwijl CERT.be de Belgische CSIRT-functie vervult voor operationele incidentcoördinatie. Daardoor is de Belgische meldroute niet vrijblijvend: organisaties moeten weten wanneer een incident meldingsplichtig is, welke informatie nodig is en wie intern bevoegd is om snel te handelen.

Wat NIS2 in België betekent

NIS2 wil het algemene cyberbeveiligingsniveau binnen de Europese Unie verhogen. De richtlijn doet dat niet door één technische standaard op te leggen, maar door organisaties te verplichten passende en evenredige maatregelen te nemen voor risicobeheer, incidentbehandeling, bedrijfscontinuïteit, beveiliging van toeleveringsketens, kwetsbaarhedenbeheer, toegangscontrole en veilige authenticatie.

Die formulering is belangrijk. NIS2 verwacht geen identieke beveiligingsarchitectuur bij elke organisatie. Een ziekenhuis, cloudprovider, energiedistributeur, logistieke speler en digitale dienstverlener hebben andere dreigingen, afhankelijkheden en operationele risico’s. Wat gelijk blijft, is de eis dat maatregelen verdedigbaar, gedocumenteerd en bestuurlijk gedragen zijn.

In vergelijking met NIS1 is de reikwijdte ruimer en de governance sterker. De oudere indeling in exploitanten van essentiële diensten en digitale dienstverleners is vervangen door twee nieuwe categorieën: essentiële entiteiten en belangrijke entiteiten. Dat lijkt terminologisch, maar het heeft praktische gevolgen voor toezicht, prioritering en de manier waarop organisaties hun NIS2-programma moeten onderbouwen.

Wie valt onder NIS2?

De scope van NIS2 wordt bepaald door sector, grootte en soms door de rol die een organisatie speelt in een kritieke keten. In de praktijk begint de beoordeling met de vraag of de organisatie actief is in een sector die door de richtlijn wordt aangewezen. Daarna volgt de size-cap-regel: middelgrote en grote organisaties binnen aangewezen sectoren vallen doorgaans sneller binnen het toepassingsgebied.

Dat betekent niet dat kleine organisaties automatisch buiten beeld blijven. Een kleinere organisatie kan toch relevant zijn wanneer zij een hoog risicoprofiel heeft, een cruciale dienst levert, een monopolieachtige positie in een keten inneemt of diensten aanbiedt waarvan uitval grote maatschappelijke of economische gevolgen kan hebben. Dit is een veelgemaakte fout in scoping: alleen naar personeelsaantallen of omzet kijken en de ketenrol buiten beschouwing laten.

Een bruikbaar besliskader is daarom eenvoudig maar streng: bepaal eerst de sector, beoordeel daarna de grootte, onderzoek vervolgens uitzonderingen en documenteer ten slotte waarom de organisatie wel of niet in scope valt. Die documentatie is geen formaliteit. Zij helpt bestuurders, auditors, toezichthouders en klanten te begrijpen welke aannames zijn gemaakt en welke risico’s nog openstaan.

De belangrijkste verplichtingen onder NIS2

NIS2 vraagt om een risicogebaseerd beveiligingsprogramma. Organisaties moeten hun kritieke systemen, processen, gegevensstromen en afhankelijkheden kennen. Vervolgens moeten zij maatregelen nemen die passen bij de dreiging en de impact van verstoring. Dat gaat verder dan firewalls, endpointbeveiliging of back-ups; het raakt beleid, contracten, besluitvorming, training en crisiscommunicatie.

Een belangrijk verschil met oudere compliancebenaderingen is dat NIS2 nadrukkelijk kijkt naar bestuurlijke verantwoordelijkheid. Managementorganen moeten cyberbeveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en voldoende kennis hebben om die rol zinvol te vervullen. In de praktijk beïnvloedt dit budgettering en governance: beveiliging kan niet worden doorgeschoven naar een technisch team zonder mandaat.

Ook leveranciersrisico krijgt meer gewicht. Veel incidenten ontstaan niet binnen de eigen perimeter, maar via managed service providers, softwareleveranciers, cloudomgevingen of onderhoudspartijen. NIS2 maakt van leveranciersbeheer daarom een inhoudelijke beveiligingsverplichting. Contracten, selectiecriteria, auditrechten, kwetsbaarheidsmelding, secure development en exit-scenario’s moeten aansluiten bij het risicoprofiel van de dienst.

Organisaties die al werken met ISO 27001:2022, NIST CSF of vergelijkbare raamwerken hoeven meestal niet vanaf nul te beginnen. Een pragmatische aanpak is het mappen van bestaande controls op NIS2-verplichtingen, gevolgd door een gap-assessment op governance, incidentmelding, ketenrisico en bewijsvoering. Wie daarbij een gestructureerde implementatieaanpak wil oefenen, kan de NIS2 Directive Lead Implementer training gebruiken als verdieping op de praktische opzet van een implementatieprogramma.

Incidentmelding onder NIS2: 24 uur, 72 uur en één maand

Incidentmelding is een van de meest concrete onderdelen van NIS2. De richtlijn werkt met opeenvolgende meldmomenten, zodat autoriteiten vroeg zicht krijgen op ernstige incidenten zonder te eisen dat alle feiten meteen volledig bekend zijn. Voor Belgische organisaties betekent dit dat de interne incidentrespons moet aansluiten op externe melding via de Belgische kanalen, met CCB als nationale autoriteit en CERT.be als CSIRT.

1. Binnen 24 uur geeft de organisatie een vroege waarschuwing wanneer een significant incident wordt vermoed.
2. Binnen 72 uur volgt een incidentmelding met meer informatie over ernst, impact en vermoedelijke oorzaak.
3. Binnen één maand volgt een eindrapport of voortgangsrapport met analyse, maatregelen en resterende risico’s.

Deze tijdslijnen hebben praktische gevolgen. Een organisatie die pas na forensisch onderzoek beslist wie mag melden, is te laat. De interne procedure moet vooraf bepalen wie het incident classificeert, wie juridische en privacyaspecten beoordeelt, wie met CERT.be communiceert, wie klanten of partners informeert en wie het management op de hoogte houdt.

De grootste uitdaging is vaak niet het invullen van een meldformulier, maar het verzamelen van betrouwbare informatie onder tijdsdruk. Daarom moeten logbronnen, escalatieroutes, contactlijsten en besluitvormingsrechten vóór een incident getest worden. Een tabletop-oefening waarin IT, legal, communicatie, operations en directie samen een ransomware- of leveranciersincident doorlopen, levert vaak sneller verbeterpunten op dan een beleidsdocument dat nooit in de praktijk wordt getest.

Handhaving en bestuurlijke verantwoordelijkheid

NIS2 geeft nationale autoriteiten bevoegdheden om toezicht te houden en maatregelen af te dwingen. De exacte toepassing hangt af van de Belgische omzetting en het toezichtsmodel, maar de richting is duidelijk: organisaties moeten kunnen aantonen dat zij passende maatregelen hebben genomen, dat incidenten correct worden behandeld en dat management betrokken is bij cyberrisico’s.

Boetes en sancties krijgen vaak de meeste aandacht, maar handhaving gaat breder dan financiële gevolgen. Toezichthouders kunnen documentatie vragen, verbetermaatregelen opleggen of onderzoeken uitvoeren. Voor bestuurders is het daarom verstandig om NIS2 niet als een eenmalig complianceproject te behandelen. De richtlijn vraagt om een terugkerende cyclus van risicoanalyse, controlverbetering, incidentoefening en rapportage.

Een praktische governance-aanpak koppelt NIS2 aan bestaande besluitvorming. Cyberrisico’s horen op de agenda van risicocomités, investeringsbeslissingen en leveranciersgoedkeuringen. De raad van bestuur of directie hoeft niet elk technisch detail te kennen, maar moet wel begrijpen welke kritieke diensten kwetsbaar zijn, welke risico’s worden geaccepteerd en welke maatregelen vertraging oplopen door budget, capaciteit of afhankelijkheden.

Veelgemaakte valkuilen bij NIS2

Een eerste valkuil is het verwarren van NIS2 met Britse regelgeving. NIS2 is een EU-richtlijn en moet voor Belgische organisaties worden begrepen vanuit de Belgische omzetting, de rol van het CCB en de operationele CSIRT-functie van CERT.be. Britse NIS-regels kunnen nuttige vergelijkingspunten opleveren, maar zijn geen leidraad voor Belgische naleving.

Een tweede valkuil is vasthouden aan de oude NIS1-termen OES en DSP als primaire indeling. Voor NIS2 is de juiste hoofdindeling essentiële entiteiten en belangrijke entiteiten. Die verandering helpt organisaties om scope, toezicht en verplichtingen correct te bespreken met bestuur, klanten, leveranciers en toezichthouders.

Een derde valkuil is het onderschatten van de meldtermijnen. De juiste term is CSIRT, niet CSRT, en de meldlogica bestaat uit een vroege waarschuwing, een uitgebreidere melding en een eind- of voortgangsrapport. Wie pas na volledige zekerheid wil melden, loopt het risico de bedoeling van NIS2 te missen: snelle coördinatie en beperking van schade in sectoren waar verstoring verder reikt dan de eigen organisatie.

Eerste stappen voor Belgische organisaties

De meest effectieve start is een scoping- en gap-assessment. Scoping bepaalt of de organisatie onder NIS2 valt en in welke categorie zij vermoedelijk thuishoort. De gap-analyse toont vervolgens waar bestaande beveiligingsmaatregelen, beleid, contracten en incidentprocessen tekortschieten ten opzichte van de richtlijn.

Daarna is prioritering nodig. Niet elk tekort heeft dezelfde urgentie. Incidentmelding, bestuurlijke besluitvorming, kritieke assets, back-upherstel, toegangsbeheer en leveranciersafspraken verdienen vaak vroege aandacht omdat zij direct bepalen of een organisatie tijdens een incident kan blijven handelen. Technische verbeteringen zonder governance of oefening leveren minder bewijsbare weerbaarheid op.

Het is ook verstandig om NIS2 te verbinden met bestaande programma’s. ISO 27001, business continuity management, privacyprocessen, cloud governance en third-party risk management overlappen vaak met NIS2. Door die initiatieven te verbinden, ontstaat minder dubbel werk en wordt duidelijk welke controls al functioneren en waar extra bewijs, eigenaarschap of besluitvorming ontbreekt.

FAQ

Wat is het NIS2-beleid?

NIS2 is de tweede EU-richtlijn voor netwerk- en informatiebeveiliging. De richtlijn verplicht organisaties in aangewezen sectoren om passende cyberbeveiligingsmaatregelen te nemen, incidenten te melden en hun digitale weerbaarheid aantoonbaar te beheren.

Geldt NIS2 voor Belgische organisaties?

Ja, NIS2 is relevant voor Belgische organisaties die binnen de aangewezen sectoren en toepassingscriteria vallen. In België spelen het CCB als nationale bevoegde autoriteit en CERT.be als CSIRT een centrale rol in de toepassing en incidentcoördinatie.

Wat is het verschil tussen essentiële en belangrijke entiteiten?

Essentiële entiteiten bevinden zich doorgaans in sectoren met hogere maatschappelijke of economische kritikaliteit en kunnen onder strenger toezicht vallen. Belangrijke entiteiten hebben eveneens NIS2-verplichtingen, maar de toezichtsdynamiek kan verschillen. De exacte beoordeling hangt af van sector, omvang en rol in de keten.

Wanneer moet een incident worden gemeld?

Bij een significant incident voorziet NIS2 in een vroege waarschuwing binnen 24 uur, een meer gedetailleerde melding binnen 72 uur en een eindrapport of voortgangsrapport binnen één maand. Organisaties moeten hun interne incidentproces hier vooraf op voorbereiden.

Hoe begint een organisatie met NIS2-compliance?

Een organisatie begint best met scopebepaling, een gap-assessment en een bestuurlijk gedragen actieplan. Daarbij moeten incidentmelding, leveranciersrisico, toegangsbeheer, bedrijfscontinuïteit en bewijsvoering vroeg worden meegenomen.

Van richtlijn naar werkbare aanpak

NIS2 dwingt Belgische organisaties om cyberbeveiliging aantoonbaar te organiseren rond risico, continuïteit en verantwoordelijkheid. De richtlijn is daardoor minder een puur juridisch vraagstuk dan een test van operationele volwassenheid: weet de organisatie welke diensten kritiek zijn, wie beslist bij verstoring, welke leveranciers essentieel zijn en welke maatregelen echt werken?

De praktische vervolgstap is om NIS2 te vertalen naar een beheersbaar programma met duidelijke eigenaars, tijdslijnen en bewijsstukken. Readynez kan daarbij ondersteunen met gerichte securitytraining; voor bredere verdieping zijn ook ISACA-gerelateerde securityopleidingen en Unlimited Security Training beschikbaar. Wie wil bespreken welke leerroute past bij de NIS2-rolverdeling binnen de organisatie, kan contact opnemen.