Naslagwerk

NIS2

De Europese NIS2-richtlijn verplicht Belgische organisaties niet rechtstreeks. In België krijgt zij vorm in de wet van 26 april 2024, met het Centrum voor Cybersecurity België als nationale autoriteit. Deze pagina zet op een rij wie onder die wet valt, welke maatregelen art. 30 oplegt en welke termijnen sinds 18 oktober 2024 lopen.

Stand: 2 september 2026

Wat is NIS2?

NIS2 is richtlijn 2022/2555 van de Europese Unie en moest tegen oktober 2024 in het recht van elke lidstaat staan. Voor Belgische organisaties telt de nationale tekst: die verplicht entiteiten uit de achttien sectoren van bijlage I en II tot risicobeheer, tot het melden van significante incidenten aan het CCB en tot de minimummaatregelen van art. 30. In België is zij omgezet met de wet van 26 april 2024.

In Belgische teksten staan NIS2, NIS 2 en de NIS2-wet door elkaar; bedoeld is telkens hetzelfde stelsel. De Belgische regeling vervangt de eerdere NIS-wet van 7 april 2019, de omzetting van de eerste richtlijn uit 2016, en verruimt het bereik fors. Waar de oude regels enkele aanbieders van essentiële diensten raakten, gaat het nu om ondernemingen uit achttien sectoren zodra zij de drempel voor de omvang halen.

In België legt art. 31 van de NIS2-wet de verantwoordelijkheid bij de bestuursorganen. Zij keuren de maatregelen voor het beheer van cyberbeveiligingsrisico's goed, zien toe op de uitvoering en zijn aansprakelijk voor inbreuken op art. 30. Art. 61 maakt daarnaast de natuurlijke personen die de entiteit vertegenwoordigen of erover beslissen, aansprakelijk voor de naleving. Een raad van bestuur kan die taak dus niet doorschuiven naar de IT-afdeling of een dienstverlener.

NIS2 in cijfers

18: Sectoren uit bijlage I en II van de richtlijn
11: Aandachtspunten in art. 30 § 3 van de Belgische wet, één meer dan in de richtlijn
24 uur: Termijn voor de vroegtijdige waarschuwing aan het CCB
10 mln. €: Maximale boete voor een essentiële entiteit volgens art. 59, of 2 % van de jaaromzet

Richtlijn, wet, toezicht

Drie namen, één stelsel. Wie de keten van richtlijn, NIS2-wet en toezicht door het CCB kent, vindt het Belgische voorschrift dat werkelijk geldt.

Europees niveau
De richtlijn NIS2
Richtlijn 2022/2555 van de Europese Unie, sinds januari 2023 van kracht op Europees niveau. Belgische organisaties halen hun plichten niet uit die tekst zelf, maar uit de wet die haar omzet. Bij twijfel over de uitleg van de Belgische bepalingen blijft de richtlijn wel het ijkpunt.
Nationale omzetting
De wet van 26 april 2024
De wet van 26 april 2024 zet NIS2 om in Belgisch recht en vervangt de eerdere NIS-wet van 7 april 2019. Zij legt de zorgplicht, de meldplicht, de registratie en het toezicht vast, met het Centrum voor Cybersecurity België als nationale autoriteit en met het CyberFundamentals Framework als weg om de zorgplicht te tonen.
Geldend recht
Zorgplicht, meldplicht, toezicht door het CCB
Het geldende recht staat in de NIS2-wet; het KB van 9 juni 2024 voert haar uit. De zorgplicht verlangt passende maatregelen volgens de stand van de techniek, de meldplicht verlangt een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand bij het nationale CSIRT, dat de melding doorgeeft aan de bevoegde sectorale overheid, en de registratieplicht verlangt dat de organisatie zich bekendmaakt. Sinds 18 oktober 2024 gelden die plichten zonder aanloopjaar.

Wie valt eronder?

Volgens art. 3 van de NIS2-wet moeten een soort entiteit uit bijlage I of II en de omvang van minstens een middelgrote onderneming samenkomen. Klopt allebei, dan valt u onder de wet zonder beslissing van het CCB; daarnaast kan het CCB volgens art. 11 een entiteit ook los van haar omvang identificeren, bijvoorbeeld als enige aanbieder van een essentiële dienst in België.

Essentiële entiteiten

grote onderneming volgens Aanbeveling 2003/361/EG: vanaf 250 medewerkers, of meer dan 50 miljoen euro jaaromzet en meer dan 43 miljoen euro balanstotaal

Grote ondernemingen uit bijlage I van de Belgische wet, de zeer kritieke sectoren: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart. Zij moeten zich volgens art. 39 regelmatig laten beoordelen, via een erkende conformiteitsbeoordelingsinstantie of via een inspectie door het CCB.

Geldboete van 500 tot 10.000.000 euro of 2 procent van de wereldwijde jaaromzet, volgens art. 59

Belangrijke entiteiten

middelgrote onderneming volgens Aanbeveling 2003/361/EG: vanaf 50 medewerkers, of meer dan 10 miljoen euro jaaromzet en balanstotaal

De andere kritieke sectoren uit bijlage II van de Belgische wet, samen met de middelgrote entiteiten uit bijlage I: post en koeriers, afval, chemie, levensmiddelen, vervaardiging, digitale diensten en onderzoek. Een regelmatige conformiteitsbeoordeling is voor hen volgens art. 41 vrijwillig, de maatregelen uit art. 30 gelden onverkort.

Geldboete van 500 tot 7.000.000 euro of 1,4 procent van de wereldwijde jaaromzet, volgens art. 59

Ongeacht de omvang

Art. 9 van de Belgische wet rekent gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners tot de essentiële entiteiten, ongeacht het aantal medewerkers of de omzet. Hetzelfde artikel maakt ook de overheidsinstanties die van de Federale Staat afhangen, essentieel.

En de keten?

Een Belgische toeleverancier valt niet vanzelf onder de wet, maar krijgt de eisen wel via contracten: art. 30 § 3, 4° van de NIS2-wet vraagt aandacht voor de relaties met rechtstreekse leveranciers en dienstverleners, en § 4 laat de entiteit rekening houden met hun specifieke kwetsbaarheden. In de praktijk komt dat terug als vragenlijsten, bewijsstukken en contractclausules die naar de Belgische wet verwijzen.

De achttien sectoren

Eerst de zeer kritieke sectoren uit bijlage I, daarna de andere kritieke sectoren uit bijlage II.

Energie
Vervoer
Bankwezen
Infrastructuur voor de financiële markt
Gezondheidszorg
Drinkwater
Afvalwater
Digitale infrastructuur
Beheer van ICT-diensten
Overheid
Ruimtevaart
Post en koeriers
Afvalbeheer
Chemie
Levensmiddelen
Vervaardiging
Digitale diensten
Onderzoek

De tien eisen uit art. 21

Art. 21 lid 2 van de richtlijn noemt tien maatregelen; art. 30 § 3 van de Belgische wet voegt er een elfde aan toe, een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden. De wet van 26 april 2024 neemt ze over, en ze gelden voor beide klassen van entiteiten gelijk.

Art. 30 § 2 van de NIS2-wet vraagt maatregelen volgens de stand van de techniek, met oog voor Europese en internationale normen en voor de uitvoeringskosten. Bij de evenredigheid tellen de blootstelling aan risico's, de omvang van de entiteit en de kans op en de ernst van incidenten. Een productlijst geeft de wet niet; het CCB reikt met het CyberFundamentals Framework wel een referentiekader aan.

Nr.	Maatregel	Wat erachter zit	Verband met e-mail
§30 Abs. 2Nr. 1	Beleid inzake risicoanalyse en beveiliging van informatiesystemen	Een risicoanalyse volgens art. 30 § 5, uitgewerkt in een beveiligingsbeleid voor de netwerk- en informatiesystemen.	geen rechtstreeks verband
§30 Abs. 2Nr. 2	Incidentenbehandeling	Voorkomen, opsporen, analyseren, indammen, reageren en herstellen, zoals art. 8 van de wet incidentenbehandeling omschrijft.	rechtstreeks
§30 Abs. 2Nr. 3	Bedrijfscontinuïteit	Back-upbeheer, noodvoorzieningenplannen en crisisbeheer, de voorbeelden die de Belgische wet zelf noemt.	indirect
§30 Abs. 2Nr. 4	Toeleveringsketen en rechtstreekse leveranciers	Beveiligingsaspecten in de relatie met elke rechtstreekse leverancier of dienstverlener, met oog voor hun specifieke kwetsbaarheden.	rechtstreeks
§30 Abs. 2Nr. 5	Verwerven, ontwikkelen en onderhouden van systemen	Beveiliging over de hele levensduur, met inbegrip van de respons op en de bekendmaking van kwetsbaarheden.	geen rechtstreeks verband
§30 Abs. 2Nr. 6	Effectiviteit van de maatregelen beoordelen	Beleid en procedures die toetsen of de maatregelen werken; essentiële entiteiten tonen dat ook via art. 39 aan.	indirect
§30 Abs. 2Nr. 7	Cyberhygiëne en opleiding in cyberbeveiliging	Basispraktijken voor cyberhygiëne en opleiding van alle medewerkers, naast de opleiding van de bestuurders uit art. 31.	indirect
§30 Abs. 2Nr. 8	Cryptografie en, waar passend, encryptie	Beleid en procedures voor cryptografie en, in voorkomend geval, encryptie, met het beheer van sleutels.	rechtstreeks
§30 Abs. 2Nr. 9	Personeel, toegangsbeleid en beheer van activa	Beveiligingsaspecten ten aanzien van personeel, toegangsrechten naar behoefte en een beheerd overzicht van de activa.	geen rechtstreeks verband
§30 Abs. 2Nr. 10	Multifactorauthenticatie en beveiligde communicatie	Waar passend multifactor- of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatie binnen de entiteit.	rechtstreeks

Vier punten uit art. 30 § 3 raken e-mail rechtstreeks

Encryptie, incidentenbehandeling, de relatie met leveranciers en beveiligde tekstcommunicatie zijn bij een conformiteitsbeoordeling of een inspectie door het CCB zonder gateway voor e-mail nauwelijks aan te tonen. De uitwerking voor België staat op de pagina over e-mailbeveiliging onder de NIS2-wet.

E-mailbeveiliging onder de NIS2-wet

Termijnen, meldingen en boetes in België

Naast de maatregelen uit art. 30 legt de Belgische wet drie formele plichten op die los van de techniek gelden.

Registratie bij het CCB

Art. 13 van de NIS2-wet verplicht essentiële en belangrijke entiteiten zich binnen vijf maanden na de inwerkingtreding van de wet of na hun identificatie bij het CCB te registreren. Daarbij geven zij onder meer hun KBO-nummer, adres, e-mailadres, IP-bereiken, telefoonnummer en sector op, en elke wijziging volgt binnen twee weken. Het CCB schrijft u daarvoor niet aan: of u onder de wet valt, gaat uw organisatie zelf na.

Melden van incidenten

Art. 34 van de NIS2-wet verplicht u elk significant incident onverwijld te melden aan het nationale CSIRT, en dat is in België het CCB. Het CCB stuurt de melding door naar de bevoegde sectorale overheid, als die er is. Art. 35 legt de stappen vast:

1Binnen 24 uur na kennisname: een vroegtijdige waarschuwing aan het CCB, zo mogelijk met het vermoeden van kwaadwillig handelen of grensoverschrijdende gevolgen.
2Binnen 72 uur: een incidentmelding met een eerste beoordeling van ernst en gevolgen en, indien beschikbaar, de indicatoren voor aantasting.
3Uiterlijk een maand na de incidentmelding: een eindverslag met de grondoorzaak, de ernst, de gevolgen en de genomen maatregelen.

Plichten van het bestuur

Art. 31 § 2 van de NIS2-wet verplicht de leden van de bestuursorganen tot een opleiding, zodat zij risico's kunnen herkennen en de praktijken voor risicobeheer kunnen beoordelen. Blijven gevraagde maatregelen uit, dan kan bij een essentiële entiteit volgens art. 60 zelfs een tijdelijk verbod volgen voor wie op het niveau van algemeen directeur leiding geeft. De verantwoordelijkheid blijft bij het bestuur, ook als de uitvoering bij een dienstverlener ligt.

Boetes

Art. 59 van de NIS2-wet: voor essentiële entiteiten 500 tot 10.000.000 euro of 2 procent van de wereldwijde jaaromzet, voor belangrijke entiteiten 500 tot 7.000.000 euro of 1,4 procent, telkens het hoogste bedrag. Die grenzen gelden in België ook voor een inbreuk op de meldplicht; lagere grenzen van 125.000 en 200.000 euro gelden voor informatie bij de identificatie en voor het toezicht. Bij herhaling binnen drie jaar verdubbelt de geldboete, en voor de overheidssector gelden deze boetes volgens art. 62 niet.

NIS2 en kritieke entiteiten

De twee worden vaak door elkaar gehaald. Kritieke entiteiten zijn organisaties die de overheid aanwijst omdat zij een essentiële dienst leveren waarvan de uitval de samenleving raakt. Voor hen geldt de wet van 19 december 2025 betreffende de weerbaarheid van kritieke entiteiten, die richtlijn 2022/2557 van de Europese Unie omzet en de wet van 1 juli 2011 vervangt. Die regels gaan over fysieke weerbaarheid: risicobeoordeling, een weerbaarheidsplan, beveiliging van locaties en betrouwbaarheid van personeel.

De NIS2-wet is het bredere stelsel en gaat over digitale weerbaarheid. Een Belgische organisatie kan onder de NIS2-wet vallen zonder als kritieke entiteit aangewezen te zijn; omgekeerd moet een aangewezen kritieke entiteit doorgaans ook aan de NIS2-wet voldoen, en aan meer. De twee stelsels vullen elkaar aan en hebben in België elk een eigen wettelijke grondslag.

Het verschil in één regel
Aspect	NIS2	Kritieke entiteiten
Aanleiding	NIS2Sector uit bijlage I of II en omvang, of identificatie door het CCB	Kritieke entiteitenAanwijzing door de overheid
Omvang	NIS2Ondernemingen uit achttien sectoren vanaf de drempel	Kritieke entiteitenDe aangewezen entiteiten per sector
Bewijs	NIS2Bij essentiële entiteiten een conformiteitsbeoordeling of inspectie door het CCB	Kritieke entiteitenEen verplichte risicobeoordeling en een weerbaarheidsplan
Zwaartepunt	NIS2Digitale weerbaarheid en meldingen aan het CCB	Kritieke entiteitenFysieke weerbaarheid en continuïteit

Verdieping bij NIS2 en de NIS2-wet

De Belgische regels staan hierboven in het kort. De achtergrond per onderwerp vindt u op dertien pagina's, gerangschikt naar vraag.

Grondslag en verantwoordelijkheid

De maatregelen uit art. 30 afzonderlijk

Invoeren met Conbool

Veelgestelde vragen over NIS2 in België

Wat is het verschil tussen NIS2, de wet van 26 april 2024 en de oude NIS-wet?+

NIS2 is de Europese richtlijn en bindt Belgische organisaties pas via de nationale wet. De wet van 26 april 2024 is de Belgische wet die haar omzet en die de zorgplicht, de meldplicht, de registratie en het toezicht vastlegt. De NIS-wet van 7 april 2019 was de omzetting van de eerste richtlijn uit 2016 en gaat daarin op. De plichten die werkelijk gelden, staan dus in de Belgische wet, uitgelegd langs de richtlijn.

Sinds wanneer geldt NIS2 in België?+

De richtlijn is in januari 2023 in werking getreden en moest tegen oktober 2024 in Belgisch recht omgezet zijn. België zette haar om met de wet van 26 april 2024, die vanaf oktober 2024 geldt. Art. 98 legt de inwerkingtreding vast op 18 oktober 2024, en voor de maatregelen uit art. 30 bestaat geen aanloopjaar. Voor de conformiteitsbeoordeling van essentiële entiteiten geeft het KB van 9 juni 2024 wel termijnen van 18 en 30 maanden.

Wat is het verschil tussen een essentiële en een belangrijke entiteit in de Belgische wet?+

Art. 9 en art. 10 van de NIS2-wet regelen de indeling naar sector en omvang, en het CCB kan een entiteit daarnaast identificeren. Essentieel zijn onder meer de grote entiteiten uit bijlage I, de federale overheidsinstanties en enkele digitale aanbieders ongeacht hun omvang; de andere entiteiten binnen het bereik zijn belangrijk. De maatregelen uit art. 30 zijn voor beide gelijk; het verschil zit in de verplichte conformiteitsbeoordeling of inspectie voor essentiële entiteiten en in de boetegrens van 10.000.000 tegenover 7.000.000 euro.

Moet ik een incident binnen 24 uur volledig hebben uitgezocht voor het CCB?+

Nee. Art. 35 van de NIS2-wet vraagt binnen 24 uur alleen een vroegtijdige waarschuwing aan het CCB, zo mogelijk met het vermoeden van een onrechtmatige of kwaadwillige handeling. De incidentmelding met een eerste beoordeling volgt binnen 72 uur, het eindverslag uiterlijk een maand na die melding; loopt het incident dan nog, dan dient u eerst een voortgangsverslag in.

Volstaat een ISO 27001-certificering voor de Belgische NIS2-wet?+

Het KB van 9 juni 2024 erkent de norm NBN EN ISO/IEC 27001 naast het referentiekader van het CCB als basis voor de conformiteitsbeoordeling van essentiële entiteiten, met een toepassingsgebied over alle netwerk- en informatiesystemen. Wie zich zo laat beoordelen, wordt volgens art. 42 van de wet tot bewijs van het tegendeel geacht art. 30 na te leven. De registratie, de meldplicht en de opleiding van het bestuur staan daar los van en vragen een eigen opvolging.

Valt mijn organisatie als toeleverancier onder de Belgische NIS2-wet?+

Niet alleen daarom. Onder de wet valt wie zelf een soort entiteit uit bijlage I of II is en de omvang haalt, of wie het CCB identificeert. Klanten die er wel onder vallen, moeten volgens art. 30 § 3, 4° de beveiliging in hun relatie met rechtstreekse leveranciers regelen en geven de eisen daarom contractueel door. Een toeleverancier toont de maatregelen dan feitelijk aan zonder zelf onder het toezicht van het CCB te staan.

De eisen van de NIS2-wet aan e-mail afdekken

Vier punten uit art. 30 § 3 van de Belgische wet raken e-mail rechtstreeks. Voor Belgische organisaties dekt Conbool ze af met versleuteling, herkenning van dreigingen, een berichtenportaal en sluitende logboeken, gehost in Duitsland en dus binnen de EU.

E-mailbeveiliging onder de NIS2-wet Advies aanvragen

Deze pagina vat de Belgische regels begrijpelijk samen en vervangt geen juridisch advies. Bepalend zijn de wet van 26 april 2024 en haar uitvoeringsbesluiten, in de versie die in het Belgisch Staatsblad is bekendgemaakt.