NIS2 in België voor security- en compliance-managers

• Bepaal eerst of de organisatie onder een sector uit Annex I of Annex II van Richtlijn (EU) 2022/2555 valt.
• Maak daarna het onderscheid tussen een essentiële en een belangrijke entiteit op basis van sector, omvang en eventuele nationale aanwijzing.
• Richt de Belgische meldroute in rond het CCB als nationaal aanspreekpunt en CERT.be voor operationele incidentrespons.
• Zorg dat bestuur, juridische dienst, securityteam en leveranciersbeheer dezelfde meldtermijnen en besluitvorming gebruiken.

Laatst bijgewerkt: 2026. NIS2 is de Europese richtlijn voor een hoger niveau van cyberbeveiliging en digitale weerbaarheid in de EU. Voor Belgische security- en compliance-managers ligt de kernvraag niet alleen bij de toepasselijkheid van de richtlijn, maar ook bij de manier waarop governance, incidentmelding, leveranciersbeheer en bewijsvoering zo worden ingericht dat toezicht en crisisrespons werkbaar blijven.

Deze tekst is bedoeld als algemene toelichting en vormt geen juridisch advies. Bij twijfel over scope, meldplicht of sectorale verplichtingen hoort een organisatie haar juridische adviseur, sectorale toezichthouder of de officiële informatiekanalen van het Centrum voor Cybersecurity België te raadplegen.

Wat NIS2 verandert voor Belgische organisaties

NIS2 vervangt de vroegere indeling rond aanbieders van essentiële diensten en digitale dienstverleners door twee categorieën: essentiële entiteiten en belangrijke entiteiten. Die terminologie is meer dan een taalkundige wijziging. De richtlijn verbreedt het toepassingsgebied, scherpt risicobeheer aan en legt meer nadruk op bestuurlijke verantwoordelijkheid.

In België is het Centrum voor Cybersecurity België, meestal afgekort als CCB, het nationale referentiepunt voor cyberbeveiliging. CERT.be maakt deel uit van die Belgische cyberbeveiligingsstructuur en is relevant voor de operationele behandeling en coördinatie van incidenten. Dat onderscheid is belangrijk, omdat meldprocessen niet mogen blijven steken in een juridisch register; zij moeten ook aansluiten op de technische feitenverzameling, triage en communicatie tijdens een incident.

De officiële basis blijft Richtlijn (EU) 2022/2555, gepubliceerd in het Publicatieblad van de Europese Unie. ENISA publiceert daarnaast Europese duiding over NIS2 en cyberbeveiligingscapaciteiten, terwijl het CCB de Belgische context en praktische richtlijnen toelicht. Omdat nationale omzetting en sectorale guidance bepalend kunnen zijn voor details, is het verstandig om interne beslissingen te documenteren met verwijzing naar de meest recente officiële Belgische informatie.

Valt de organisatie onder NIS2?

De eerste beoordeling begint bij de sector. Annex I van de richtlijn bevat sectoren met een hoge kritieke waarde, zoals energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstenbeheer, overheid en ruimtevaart. Annex II bevat andere kritieke sectoren, waaronder post- en koeriersdiensten, afvalbeheer, chemie, voeding, bepaalde productieactiviteiten, digitale aanbieders en onderzoek.

Daarna volgt de omvangstoets. NIS2 vertrekt in grote lijnen van middelgrote en grote entiteiten binnen aangewezen sectoren, met uitzonderingen en mogelijke nationale aanwijzingen. Sommige organisaties kunnen dus in scope vallen door hun sectorale rol of maatschappelijke functie, ook wanneer een loutere omvangsredenering te beperkt zou zijn. Groepen met meerdere EU-vestigingen moeten bovendien bekijken welke entiteit gevestigd is in welke lidstaat en waar leidend toezicht of meldcoördinatie logisch wordt ingericht.

Een praktische aanpak is om de scopebeslissing niet door één afdeling te laten nemen. Security kent de technische afhankelijkheden, legal kent de rechtsgrond en uitzonderingen, finance of operations kent de groepsstructuur, en procurement weet welke dienstverlening via derden loopt. Wanneer die gegevens niet samenkomen, ontstaat vaak een fout beeld: een organisatie denkt buiten scope te vallen omdat de hoofdactiviteit beperkt lijkt, terwijl een dochter, digitale dienst of kritieke toeleveringsrol wel relevant is.

Essentiële en belangrijke entiteiten: vergelijkbare plichten, ander toezicht

Essentiële en belangrijke entiteiten moeten allebei passende maatregelen nemen voor risicobeheer, incidentmelding en governance. Het verschil zit vooral in het toezichtmodel en de intensiteit waarmee autoriteiten kunnen optreden. Essentiële entiteiten kunnen onder strenger voorafgaand of actiever toezicht vallen, terwijl belangrijke entiteiten doorgaans meer ex-post toezicht kunnen verwachten wanneer signalen, incidenten of tekortkomingen daartoe aanleiding geven.

Die nuance is relevant voor budget en bewijsvoering. Een essentiële entiteit moet rekening houden met audits, gerichte informatieverzoeken en diepere toetsing van de beveiligingsorganisatie. Een belangrijke entiteit kan minder zichtbaar toezicht ervaren, maar blijft verplicht om dezelfde kernprincipes rond risicobeheer en incidentmelding aantoonbaar toe te passen.

De Belgische meldroute: CCB, CERT.be en één feitenbasis

Incidentmelding onder NIS2 is gefaseerd. De richtlijn werkt met een vroege waarschuwing binnen ongeveer 24 uur nadat men kennis heeft gekregen van een significant incident, gevolgd door een meer inhoudelijke melding binnen 72 uur en een eindrapport uiterlijk binnen één maand. De precieze Belgische procedures, kanalen en formulieren moeten worden afgestemd op de nationale richtlijnen van het CCB en de relevante sectorale vereisten.

De drempel draait niet om elk technisch alarm, maar om significante incidenten. Daarbij tellen factoren zoals verstoring van diensten, impact op gebruikers, duur, geografische spreiding, financiële of operationele schade en mogelijke grensoverschrijdende gevolgen. In de praktijk vraagt dit om een beslisproces dat snel genoeg is om de 24-uursstap te halen, maar zorgvuldig genoeg om onjuiste of tegenstrijdige meldingen te vermijden.

Een veelgemaakte fout is om NIS2-melding, GDPR-melding en sectorale melding als drie aparte workflows te bouwen. Dat veroorzaakt vertraging en inconsistentie. Beter is een single intake voor incidenten: één feitenverzameling, één classificatieoverleg en daarna meerdere meldsporen waar nodig. Zo kan hetzelfde incident tegelijk beoordeeld worden op beschikbaarheid, integriteit, vertrouwelijkheid, persoonsgegevens, sectorale continuïteit en grensoverschrijdende impact.

Wie zijn meldproces nog moet aanscherpen, begint best met een getest incident response plan, duidelijke escalatiecriteria en vooraf aangewezen contactpersonen. Een praktische verdieping over dit onderwerp kan intern worden gekoppeld aan securitytraining rond incidentrespons, zolang de juridische meldbeslissing en de technische triage niet door elkaar worden gehaald.

Bestuurlijke verantwoordelijkheid en sanctierisico

NIS2 maakt cybersecurity expliciet een bestuurskwestie. Managementorganen moeten risicobeheersmaatregelen goedkeuren, toezicht houden op de uitvoering en voldoende kennis hebben om hun rol te vervullen. Dat betekent dat een raad van bestuur of directie niet kan volstaan met een jaarlijkse technische statusupdate zonder besluitvorming, opvolging of bewijs van prioritering.

De richtlijn voorziet dat bevoegde autoriteiten toezicht kunnen houden, informatie kunnen opvragen, audits kunnen laten uitvoeren en corrigerende maatregelen kunnen opleggen. Bij tekortkomingen kunnen administratieve sancties volgen, waarbij de richtlijn een onderscheid maakt tussen essentiële en belangrijke entiteiten. De exacte toepassing hangt af van de Belgische omzetting en handhavingspraktijk, maar de governanceboodschap is duidelijk: nalatigheid rond cyberrisico kan gevolgen hebben op organisatieniveau en voor verantwoordelijke bestuurders.

Een volwassen bestuursaanpak bevat daarom meer dan een securitybudget. Het bestuur moet weten welke kritieke diensten beschermd worden, welke risico’s aanvaard zijn, welke leveranciers essentieel zijn, hoe incidenten geëscaleerd worden en welke verbeterpunten na oefeningen of audits openstaan. Training voor bestuurders is onder NIS2 geen symbolisch element, maar een manier om aantoonbare toezichtscapaciteit op te bouwen.

Risicobeheer koppelen aan bestaande frameworks

Veel organisaties hoeven niet vanaf nul te beginnen. NIS2-maatregelen sluiten in de praktijk vaak aan op bestaande managementsystemen en controles uit ISO/IEC 27001:2022, ISO 22301, incidentmanagement, business continuity en leveranciersbeheer. De waarde zit niet in het opnieuw schrijven van beleid, maar in het aantonen dat de bestaande controles de NIS2-risico’s afdekken en dat afwijkingen bewust worden beheerd.

Een gerichte gap-analyse voorkomt dubbel werk. Zij vergelijkt de NIS2-verplichtingen met bestaande documentatie, technische controles, verantwoordelijkheden, contracten en bewijsstukken. Daardoor wordt zichtbaar waar de organisatie al sterk staat, waar bewijs ontbreekt en waar een beleidsdocument wel bestaat maar operationele uitvoering achterblijft. Voor organisaties die een formele implementatieaanpak zoeken, kan een NIS2 Lead Implementer-traject helpen om governance, risicobeheer en bewijsvoering gestructureerd te verbinden.

Leveranciersrisico verdient bijzondere aandacht, omdat NIS2 supply-chain security expliciet op de agenda zet. Niet elke leverancier vraagt dezelfde controle. Een cloudplatform dat kritieke productieprocessen ondersteunt, een managed security provider met brede toegangsrechten en een generieke SaaS-tool voor niet-kritieke administratie hebben elk een ander risicoprofiel. Contracten moeten daarom proportioneel bepalen welke beveiligingsvereisten gelden, hoe snel incidenten gemeld worden, welke audit- of testrechten bestaan en hoe onderaannemers worden beheerd.

Deze differentiatie maakt leveranciersbeheer werkbaarder. Wanneer alle leveranciers dezelfde zware vragenlijst krijgen, ontstaat compliancevermoeidheid en blijven de echte ketenrisico’s soms onderbelicht. Door leveranciers te groeperen op toegang, kritikaliteit, gegevensgevoeligheid en vervangbaarheid kan procurement samen met security focussen op de schakels die een bedrijfsverstoring of meldplichtig incident kunnen veroorzaken.

Een pragmatische implementatieroute

Een realistische NIS2-aanpak begint met scope en eigenaarschap. De organisatie moet eerst weten welke juridische entiteiten, diensten en landen betrokken zijn. Daarna kan zij rollen vastleggen voor bestuur, CISO of securityverantwoordelijke, legal, privacy, risk, procurement, operations en communicatie. Zonder die basis eindigt NIS2 vaak als een documentatieproject, terwijl de richtlijn juist aantoonbare risicobeheersing en responsvermogen vraagt.

Vervolgens komt de risicobeoordeling. Die moet kritieke processen, afhankelijkheden, kroonjuwelen, leveranciers, identiteitsbeheer, logging, back-up, kwetsbaarhedenbeheer en continuïteit samenbrengen. De beoordeling hoeft niet perfect te zijn bij de eerste iteratie, maar moet wel beslissingen opleveren: welke risico’s worden verminderd, welke worden tijdelijk aanvaard, welke investeringen zijn nodig en welke controles moeten getest worden.

Daarna volgt de operationalisering. Incidentrespons moet geoefend worden, niet alleen beschreven. Leveranciersclausules moeten bruikbaar zijn tijdens een echt incident. Rapportage aan het bestuur moet risico’s en voortgang tonen in taal die besluitvorming mogelijk maakt. Bewijsstukken moeten vindbaar zijn wanneer een toezichthouder of auditor vraagt hoe maatregelen zijn gekozen en uitgevoerd.

Cross-border organisaties hebben nog een extra aandachtspunt. Een Belgische hoofdzetel met activiteiten in meerdere EU-lidstaten, of een buitenlandse groep met Belgische entiteiten, moet bepalen hoe lokale meldingen, groepsbeleid en sectorale toezichthouders op elkaar aansluiten. Een centrale crisiscel kan nuttig zijn, maar lokale juridische analyse blijft nodig omdat meldkanalen en bevoegde autoriteiten per lidstaat kunnen verschillen.

Wanneer opleiding nuttig wordt

NIS2-compliance vraagt samenwerking tussen mensen die normaal vanuit verschillende invalshoeken werken. Securityteams denken in dreigingen en herstel, juristen in verplichtingen en bewijs, bestuurders in risicoacceptatie en continuïteit, en leveranciersbeheer in contracten en serviceafspraken. Opleiding is vooral nuttig wanneer die groepen dezelfde begrippen, meldtermijnen en beslissingscriteria moeten oefenen.

Readynez kan daarbij een rol spelen met gerichte training rond NIS2 en security governance, maar opleiding vervangt geen juridische scopeanalyse of officiële Belgische guidance. Zij is het meest waardevol wanneer zij wordt gekoppeld aan een eigen incidentproces, bestuursoverleg, leveranciersbeleid en bestaande frameworks.

Organisaties die breder willen werken aan securityvaardigheden kunnen kiezen voor doorlopende securitytraining, terwijl teams met concrete vragen over leerpaden of planning contact kunnen opnemen via Readynez. De sleutel is om training niet los te zien van implementatie: elke sessie moet leiden tot betere besluitvorming, snellere incidentclassificatie of sterker bewijs van risicobeheer.

Van richtlijn naar werkbare Belgische governance

NIS2 vraagt van Belgische organisaties een heldere vertaling van Europese verplichtingen naar lokale governance. De belangrijkste stappen zijn scope bepalen, de juiste categorie vastleggen, meldroutes met CCB en CERT.be voorbereiden, bestuurstoezicht aantoonbaar maken, leveranciersrisico differentiëren en bestaande frameworks slim hergebruiken.

De meest effectieve volgende stap is een korte maar grondige gap-analyse met security, legal, bestuur en procurement aan tafel. Daaruit moet blijken welke entiteiten in scope zijn, welke incidenten meldplichtig kunnen worden, welke leveranciers kritisch zijn en welke bewijsstukken ontbreken. Wie die basis vroeg op orde brengt, behandelt NIS2 niet als een papieren verplichting, maar als een praktisch kader voor digitale weerbaarheid in België.