NIS2 in België: de deadlines van 2026-2027 voor uw bedrijf

De NIS2-richtlijn werd in België omgezet door de wet van 26 april 2024, die op 18 oktober 2024 in werking trad. Het Centrum voor Cybersecurity België (CCB) is de toezichthouder. Betrokken entiteiten moesten zich uiterlijk op 18 december 2024 (digitale sector) of 18 maart 2025 (andere sectoren) registreren op Safeonweb@work.

De volgende mijlpaal voor essentiële entiteiten is 18 april 2027. Dit is geen project "voor later" meer.

Wie valt eronder?

In de regel middelgrote en grote ondernemingen die actief zijn in een sector uit de wet: minstens 50 werknemers, of een jaaromzet én een balanstotaal van elk meer dan 10 miljoen euro. Het gaat onder meer om energie, vervoer, gezondheidszorg, water, digitale infrastructuur, beheerde ICT-diensten, post, afvalbeheer, chemie, voeding, onderzoek en bepaalde maakindustrieën (medische hulpmiddelen, elektronica, machines, voertuigen…). Sommige entiteiten vallen eronder ongeacht hun omvang, zoals aanbieders van DNS-diensten of vertrouwensdiensten.

Half maart 2025 hadden zich al meer dan 2 400 organisaties uit kritieke sectoren bij het CCB geregistreerd.

Een kleine onderneming buiten dat toepassingsgebied valt niet rechtstreeks onder NIS2. Maar bent u leverancier van een NIS2-entiteit, bijvoorbeeld een IT-onderaannemer van 30 personen die voor een energiebedrijf werkt, dan mag u cyberclausules in uw contracten verwachten: de beveiliging van de toeleveringsketen hoort bij de verplichtingen van uw klanten.

Niet zeker? Onze gratis mini-audit helpt u in enkele minuten verder. Het CCB biedt ook een scopetest aan op Safeonweb@work.

De 5 belangrijkste verplichtingen

1. Risicobeheer en conformiteitsbeoordeling. Risicoanalyse en evenredige maatregelen: bedrijfscontinuïteit, encryptie, toegangscontrole, kwetsbaarheidsbeheer, MFA. Voor essentiële entiteiten verwachtte het CCB tegen 18 april 2026 een lopend traject (CyberFundamentals-verificatie Basic of Important, of een contract met een conformiteitsbeoordelingsinstantie). Tegen 18 april 2027 moeten ze beschikken over een CyberFundamentals-certificering op niveau Essential of een ISO/IEC 27001-certificering. Lukt dat niet, dan is een remediëringsplan nodig, met niveau Essential uiterlijk op 18 april 2028. Belangrijke entiteiten worden achteraf gecontroleerd en kunnen vrijwillig voor dat regime kiezen.

2. Melding van significante incidenten. Vroegtijdige waarschuwing aan het CCB binnen 24 uur, incidentmelding binnen 72 uur, eindrapport binnen de maand. Bereid nu een responsplan voor, niet tijdens de crisis.

3. Governance en opleiding van het bestuur. De bestuursorganen keuren de risicobeheersmaatregelen goed en houden toezicht op de uitvoering. De Belgische wet (artikel 31) verplicht hun leden ook om een opleiding in cyberbeveiliging te volgen. Dit is niet langer "iets voor IT".

4. Basishygiëne en opleiding van het personeel. Basispraktijken voor cyberhygiëne en opleiding in cyberbeveiliging horen bij de minimale maatregelen van de richtlijn. Het bestuur moet ervoor zorgen dat ook het personeel regelmatig een vergelijkbare opleiding krijgt. Prioritaire profielen: directie, financiën, IT, HR.

5. Beveiliging van de toeleveringsketen. Evalueer de beveiligingspraktijken van uw leveranciers en neem cyberclausules op in uw contracten. Uw beveiliging hangt ook af van de zwakste schakel in uw keten.

Voor meer diepgang behandelt onze opleiding AVG & NIS2 deze verplichtingen in detail, ook de opleiding van bestuurders. Beschikbaar als lunch & learn, halve dag of conferentie.

Onderneem actie

Voor een essentiële entiteit komt april 2027 snel dichterbij: een certificering vraagt maanden voorbereiding.

• Controleer uw situatie met onze gratis mini-audit
• Leid uw directie en teams op met onze opleiding AVG & NIS2
• Begeleiding nodig? Contacteer ons voor een conformiteitsplan