Wat is NIS2 en wat betekent het voor organisaties in België?

NIS2 is geen Europese verordening die in alle lidstaten automatisch op exact dezelfde manier geldt. Het is een EU-richtlijn, waardoor België de Europese verplichtingen omzet in nationale regels, toezichtprocedures en praktische meldkanalen.

NIS2 verwijst naar Richtlijn (EU) 2022/2555 over maatregelen voor-het-az-900-examen-en-uw-carriere-een-boost-geeft" data-autoinject="link_injection">voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Europese Unie. De richtlijn vervangt de eerste NIS-richtlijn en breidt het toepassingsgebied uit naar meer sectoren, meer soorten organisaties en meer verantwoordelijkheden voor bestuur en management. Voor Belgische organisaties is de kernvraag daarom niet alleen wat NIS2 Europees voorschrijft, maar ook hoe die verplichtingen in België worden toegepast door het Centrum voor Cybersecurity België, sectorale autoriteiten en bevoegde meldkanalen.

De richtlijn is relevant omdat cyberbeveiliging niet langer uitsluitend als een technische IT-aangelegenheid wordt behandeld. NIS2 legt nadruk op risicobeheer, incidentmelding, continuïteit, supply chain-beveiliging en bestuurlijke verantwoordelijkheid. Dat maakt de richtlijn belangrijk voor IT- en securityteams, maar ook voor juridische diensten, procurement, risk management en directies.

NIS2 in België: richtlijn, geen verordening

De term “NIS-verordening” wordt nog vaak gebruikt, maar is juridisch onnauwkeurig. Een verordening werkt rechtstreeks in de lidstaten; een richtlijn verplicht lidstaten om het resultaat in nationale wetgeving om te zetten. Bij NIS2 betekent dit dat de Europese tekst het kader bepaalt, terwijl België de nationale uitvoering, registratie, toezichtstructuur en handhaving concretiseert.

In België speelt het Centrum voor Cybersecurity België, vaak afgekort als CCB, een centrale rol in de nationale cyberbeveiligingsaanpak. Afhankelijk van de sector kunnen ook sectorale toezichthouders of bevoegde autoriteiten betrokken zijn. In de praktijk moeten organisaties daarom nagaan bij welke Belgische instantie zij zich moeten registreren of aanmelden, hoe incidenten moeten worden gemeld en welke sectorspecifieke verwachtingen gelden.

Die Belgische context is belangrijk voor groepen die in meerdere EU-landen actief zijn. De locatie van de hoofdvestiging, de aard van de entiteit en de sector waarin zij opereert, kunnen bepalen welke autoriteit het aanspreekpunt is. Een Belgische dochteronderneming van een internationale groep kan dus andere praktische verplichtingen hebben dan de centrale groepsfunctie, zelfs wanneer dezelfde securityorganisatie de controles beheert.

Welke organisaties vallen onder NIS2?

NIS2 werkt met categorieën van essentiële en belangrijke entiteiten. De exacte beoordeling hangt af van sector, omvang, dienstverlening, maatschappelijke impact en soms de rol in de digitale keten. Sectoren die doorgaans aandacht krijgen zijn onder meer energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur, overheidsdiensten, financiële marktinfrastructuren, post- en koeriersdiensten, afvalbeheer, productie van kritieke goederen en bepaalde digitale dienstverleners.

Een praktisch vertrekpunt is een korte scoping-oefening. Eerst wordt vastgesteld of de organisatie actief is in een NIS2-sector. Daarna wordt gekeken naar omvang, kriticiteit en mogelijke impact op de samenleving of economie. Ten slotte moet de rol in de keten worden beoordeeld, omdat beheerde IT-diensten, cloudplatformen, datacenters, managed security providers en andere digitale leveranciers ook zonder klassieke “kritieke infrastructuur” in beeld kunnen komen.

Die laatste stap wordt vaak onderschat. Veel organisaties kijken alleen naar hun eigen sectorcode en missen dat hun dienstverlening aan in-scope klanten contractuele en operationele NIS2-verplichtingen kan activeren. Een MSP die back-ups, monitoring, netwerkbeheer of identity-platformen beheert voor essentiële entiteiten wordt in de praktijk onderdeel van het risicoprofiel van die klanten. Daardoor verschuift NIS2 ook naar leveranciersselectie, auditrechten, service levels, incidentcommunicatie en bewijsvoering.

Wat verplicht NIS2 organisaties om te doen?

NIS2 vraagt dat organisaties passende technische, operationele en organisatorische maatregelen nemen om cyberrisico’s te beheren. Het gaat dus niet alleen om firewalls, endpointbeveiliging of monitoringtools. De richtlijn verwacht aantoonbare governance, risicobeoordeling, incidentrespons, continuïteitsplanning, supply chain-beveiliging, kwetsbaarhedenbeheer, toegangscontrole, encryptie waar passend en beleid voor opleiding en cyberhygiëne.

Een veelgemaakte fout is dat organisaties NIS2 benaderen als een aankoopproject. Nieuwe tooling kan nuttig zijn, maar lost geen onduidelijke verantwoordelijkheden, ontbrekende escalatiepaden of zwakke leveranciersclausules op. Bestuurlijke betrokkenheid is daarom geen formaliteit: management moet begrijpen welke risico’s worden geaccepteerd, welke investeringen nodig zijn en hoe incidenten tijdig worden geëscaleerd.

Logging en telemetrie verdienen bijzondere aandacht. Organisaties kunnen alleen tijdig melden als zij incidenten snel genoeg detecteren, triëren en documenteren. Ontbrekende logretentie, versnipperde monitoring en onduidelijke classificatie van incidenten leiden vaak tot vertraging precies op het moment dat de meldtermijnen beginnen te lopen.

Incidentmelding: 24 uur, 72 uur en ongeveer één maand

NIS2 introduceert een gefaseerde meldlogica voor significante incidenten. Organisaties moeten doorgaans eerst snel een vroege waarschuwing geven, daarna een meer gedetailleerde incidentmelding doen en later een eindrapport aanleveren. De vaak genoemde termijnen zijn een early warning binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport ongeveer één maand na de initiële melding.

De praktische uitdaging zit niet alleen in de klok, maar in de interne workflow. Securityteams moeten kunnen bepalen of een incident meldingswaardig is, juridische en communicatieverantwoordelijken moeten betrokken worden, en de juiste Belgische autoriteit of meldpunt moet worden geïdentificeerd. Bij incidenten met persoonsgegevens kan ook de AVG-meldplicht richting de gegevensbeschermingsautoriteit relevant zijn, waardoor organisaties hun NIS2- en privacyprocessen op elkaar moeten afstemmen.

Financiële entiteiten moeten bovendien rekening houden met de samenloop met DORA, het Europese kader voor digitale operationele weerbaarheid in de financiële sector. Dat betekent niet dat dezelfde melding automatisch aan alle verplichtingen voldoet. In praktijk is het verstandig om één intern incidentdossier te beheren met consistente feiten, tijdlijnen, impactbeoordelingen en beslissingen, zodat verschillende meldplichten niet tot tegenstrijdige verklaringen leiden.

Toezicht, boetes en bestuurlijke verantwoordelijkheid

NIS2 voorziet in toezicht en handhaving, met onderscheid tussen essentiële en belangrijke entiteiten. Essentiële entiteiten kunnen doorgaans proactiever toezicht verwachten, terwijl belangrijke entiteiten vooral reactief toezicht kunnen krijgen wanneer aanwijzingen bestaan dat verplichtingen niet worden nageleefd. De nationale uitvoering bepaalt hoe dat toezicht in België concreet wordt georganiseerd.

De richtlijn bevat Europese minimumkaders voor administratieve sancties. Voor essentiële entiteiten worden hogere maximale boetes voorzien dan voor belangrijke entiteiten, maar nationale regels en de concrete omstandigheden bepalen hoe handhaving plaatsvindt. Organisaties doen er daarom goed aan officiële Belgische guidance te volgen en juridische interpretatie niet uitsluitend op samenvattingen te baseren.

Bestuurlijke verantwoordelijkheid is een van de meest merkbare verschuivingen. NIS2 vraagt dat leidinggevenden cyberrisico’s begrijpen, maatregelen goedkeuren en toezicht houden op de uitvoering. In veel organisaties betekent dit dat cyberbeveiliging structureel op de agenda van het bestuursorgaan moet komen, met rapportering die verder gaat dan technische kwetsbaarheidsoverzichten.

Leveranciers en MSP’s: waar NIS2 vaak ingewikkeld wordt

De toeleveringsketen is een centraal aandachtspunt omdat veel digitale risico’s buiten de eigen muren ontstaan. Cloudbeheerders, softwareleveranciers, MSP’s, SOC-dienstverleners, hostingpartijen en gespecialiseerde onderhoudspartners kunnen allemaal invloed hebben op de beschikbaarheid, vertrouwelijkheid en integriteit van kritieke diensten. NIS2 dwingt organisaties daarom om leveranciersrisico’s explicieter te beoordelen en contractueel vast te leggen.

In praktijk betekent dit dat procurement en legal nauw moeten samenwerken met security. Contracten moeten duidelijke afspraken bevatten over incidentmelding, auditmogelijkheden, logging, onderaannemers, patching, kwetsbaarhedenbeheer, continuïteit en exit-scenario’s. Zonder zulke afspraken kan een organisatie formeel verantwoordelijk blijven voor risico’s waar zij operationeel weinig zicht op heeft.

Een tweede valkuil is dat incidentrespons pas wordt geoefend nadat het eerste ernstige incident plaatsvindt. Leveranciers moeten deel uitmaken van tabletop-oefeningen en escalatietests. Anders blijkt tijdens een incident vaak te laat wie bereikbaar is, welke informatie mag worden gedeeld en hoe snel technische bewijzen kunnen worden aangeleverd.

Een praktische aanpak voor de eerste 90 dagen

Een bruikbare NIS2-start begint met afbakening in plaats van met documentatie. In de eerste maand hoort de organisatie vast te stellen welke entiteiten, landen, sectoren, diensten en leveranciers mogelijk in scope zijn. Daarbij moeten Belgische registratie- of aanmeldingsverplichtingen worden nagegaan en moet worden bepaald wie intern eigenaar is van NIS2-governance.

In de tweede maand verschuift de aandacht naar de gap-analyse. De organisatie vergelijkt bestaande maatregelen met de NIS2-verwachtingen rond risicobeheer, incidentrespons, business continuity, toegangsbeheer, kwetsbaarheden, logging, leveranciersbeheer en bestuurlijke rapportering. Deze analyse moet leiden tot prioriteiten die uitvoerbaar zijn, niet tot een algemene lijst met wensen.

In de derde maand moeten de meldworkflow en leveranciersaanpak operationeel worden gemaakt. Dat betekent contactpunten vastleggen, escalatiecriteria testen, templates voorbereiden, juridische afstemming organiseren en kritieke leveranciers beoordelen. Wie opleiding nodig heeft, kan kiezen voor een gerichte NIS2- of cyber governance-training bij Readynez, maar de kern blijft dat de organisatie haar eigen scope, risico’s en meldproces aantoonbaar onder controle krijgt.

Bronnen en officiële guidance

Voor bindende interpretatie moeten organisaties de officiële teksten en nationale guidance raadplegen. De belangrijkste bronnen zijn de tekst van Richtlijn (EU) 2022/2555 op EUR-Lex, het NIS2-overzicht van ENISA en de Belgische guidance van het Centrum voor Cybersecurity België. Deze bronnen zijn vooral belangrijk wanneer sectorafbakening, registratie of meldplicht twijfelachtig is.

Publicatiedatum: 2026. Laatst geüpdatet: 2026. Deze tekst is bedoeld als educatieve uitleg en vormt geen juridisch advies. Organisaties die onder NIS2 kunnen vallen, doen er verstandig aan hun interpretatie te laten toetsen aan officiële Belgische bronnen en, waar nodig, juridisch advies in te winnen.

NIS2 vertalen naar werkbare cyberweerbaarheid

NIS2 vraagt van Belgische organisaties een combinatie van juridische duidelijkheid, bestuurlijke aandacht en operationele discipline. De richtlijn is breed, maar de eerste stappen zijn concreet: bepaal de scope, leg verantwoordelijkheden vast, versterk detectie en incidentrespons, en maak leveranciersafspraken toetsbaar.

Een praktische manier om vooruitgang te boeken is NIS2 te behandelen als een governance- en weerbaarheidsprogramma, niet als een eenmalige compliance-oefening. Readynez kan organisaties ondersteunen met opleiding rond cyberbeveiliging en compliance, maar duurzame naleving ontstaat vooral wanneer teams meldprocessen oefenen, risico’s blijven herzien en bestuurders regelmatig zicht krijgen op de werkelijke cyberweerbaarheid.