Valt mijn kmo onder NIS2?

Heeft je onderneming minder dan 50 medewerkers in voltijdse equivalenten, en is je jaaromzet of je balanstotaal niet hoger dan 10 miljoen euro, dan is de Belgische NIS2-wet vrijwel zeker niet rechtstreeks op jou van toepassing. De wet geldt voor organisaties die minstens middelgroot zijn en actief zijn in een van de sectoren uit haar twee bijlagen, plus een korte lijst uitzonderingen waarbij de omvang niet telt. Een kleine onderneming krijgt eerder onrechtstreeks met NIS2 te maken: een klant die wel onder de wet valt, moet de beveiliging van zijn leveranciers bekijken, en jij bent misschien een van die leveranciers.

Met drie vragen weet je of je eronder valt. Kreeg je al een beveiligingsvragenlijst van een klant, ga dan meteen naar het stuk over de toeleveringsketen.

Wat is NIS2 in België?

NIS2 is een Europese richtlijn, Richtlijn (EU) 2022/2555. België zette die om met de wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid, kortweg de NIS2-wet, en een koninklijk besluit van 9 juni 2024. Volgens het Centrum voor Cybersecurity België (CCB) is de wet op 18 oktober 2024 in werking getreden. Het CCB is de nationale cyberbeveiligingsautoriteit. Op zijn site Safeonweb@Work registreren entiteiten zich en staat de meeste praktische uitleg.

Val ik eronder? Drie vragen

De NIS2-pagina van het CCB vat het zo samen: in principe val je eronder als je een dienst uit bijlage I of II van de wet verleent, minstens een middelgrote onderneming bent en in België gevestigd bent.

1. Verleen je een dienst uit bijlage I of II?

Bijlage I ("sectoren met een hoog kritiekniveau") omvat energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid en ruimtevaart. Bijlage II ("andere kritieke sectoren") omvat post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, productie, verwerking en distributie van levensmiddelen, de vervaardiging van bepaalde producten (medische hulpmiddelen, elektronica, elektrische apparatuur, machines, voertuigen), digitale aanbieders en onderzoek.

Twee daarvan klinken ruimer dan ze zijn:

• "Digitale aanbieders" zijn online marktplaatsen, online zoekmachines en platforms voor sociale netwerkdiensten. Een webshop die zijn eigen producten verkoopt, is geen online marktplaats.
• "Beheer van ICT-diensten (B2B)" gaat over managed service providers en managed security service providers. Een kleine IT-firma die de systemen van klanten beheert, kan onder die definitie vallen, maar zit meestal onder de omvangsdrempel.

Elke sector is gedefinieerd met verwijzingen naar Europese wetgeving, en de details tellen. Het CCB publiceert een definitiematrix en een Excel-bestand, de NIS2 Scope Test, dat je er stap voor stap door leidt.

2. Ben je minstens middelgroot?

De omvangsregel komt uit Aanbeveling 2003/361/EG van de Europese Commissie, de Europese definitie van een kmo. Zoals het CCB het uitlegt, kijk je eerst naar het personeel, in voltijdse equivalenten (VTE):

Voor de financiële kant mag je het laagste van de twee bedragen nemen, omzet of balanstotaal. Concreet ben je minstens middelgroot als je 50 VTE of meer hebt, of als zowel je omzet als je balanstotaal hoger is dan €10 miljoen. De voorbeelden van het CCB zelf: een onderneming met 35 VTE, €1 miljoen omzet en een balanstotaal van €50 miljoen is klein; een onderneming met 80 VTE en €1 miljoen omzet is middelgroot.

Let op als je onderneming deel uitmaakt van een groep. De Aanbeveling telt dan de cijfers van partnerondernemingen en verbonden ondernemingen samen. Een kleine Belgische dochter van een grotere groep kan zo op papier middelgroot of groot zijn, al laat artikel 3, § 2 van de Belgische wet het CCB rekening houden met hoe onafhankelijk die dochter is van de groep, vooral wat haar systemen en haar diensten betreft. Voor die berekening verwijst de NIS2-pagina van het CCB naar de gebruikersgids van de Commissie bij de kmo-definitie.

3. Geldt er een uitzondering, los van de omvang?

Sommige entiteiten vallen eronder, hoe klein ze ook zijn. Het CCB noemt:

• gekwalificeerde en niet-gekwalificeerde verleners van vertrouwensdiensten;
• DNS-dienstverleners en registers voor topleveldomeinnamen;
• aanbieders van openbare elektronische-communicatienetwerken of van openbaar beschikbare elektronische-communicatiediensten;
• entiteiten die erkend zijn als kritieke entiteit onder de Belgische wetgeving over de weerbaarheid van kritieke entiteiten;
• overheidsinstanties die afhangen van de federale Staat.

Entiteiten die domeinnaamregistratiediensten verlenen, zoals registrars, moeten zich ook registreren als ze klein zijn, maar dat is de enige verplichting die deze uitzondering hen oplegt.

Daarnaast kan het CCB volgens artikel 11 van de wet een organisatie als essentieel of belangrijk aanmerken, ongeacht haar omvang, bijvoorbeeld als ze in België de enige aanbieder is van een dienst die essentieel is voor kritieke maatschappelijke of economische activiteiten. Dat gebeurt in overleg met de organisatie zelf. Is dat bij jou niet gebeurd, dan geldt het niet voor jou.

Snelle check

• Mijn onderneming verleent een dienst uit bijlage I of II (nagekeken aan de hand van de definities, niet alleen de naam van de sector).
• We hebben 50 VTE of meer, of zowel onze omzet als ons balanstotaal is hoger dan €10 miljoen.
• Ik heb groepsvennootschappen meegeteld waar de kmo-regels dat vragen.
• We zijn een verlener van vertrouwensdiensten, een DNS-dienstverlener, een TLD-register of een aanbieder van openbare elektronische communicatie.
• Het CCB heeft ons gecontacteerd om ons als essentiële of belangrijke entiteit aan te merken.

Heb je de eerste twee vakjes allebei aangevinkt, of een van de laatste twee, lees dan het volgende stuk en doe de scope test van het CCB. Heb je niets aangevinkt, dan ben je zeer waarschijnlijk geen NIS2-entiteit en is het stuk daarna voor jou bedoeld.

Als je onder NIS2 valt

Een entiteit die onder de wet valt, is "essentieel" of "belangrijk". Volgens het CCB zit het verschil vooral in hoe streng het toezicht en de sancties zijn: essentiële entiteiten krijgen regelmatig een conformiteitsbeoordeling, belangrijke entiteiten worden in principe pas achteraf gecontroleerd, bijvoorbeeld na een incident.

De belangrijkste verplichtingen uit de wet:

• Registratie bij het CCB via Safeonweb@Work. Volgens artikel 13 hadden entiteiten daarvoor vijf maanden na de inwerkingtreding, volgens het CCB tot 18 maart 2025. Digitale aanbieders zoals cloud- en datacenterdiensten hadden tijd tot 18 december 2024. Merk je nu pas dat je eronder valt, neem dan contact op met het CCB in plaats van af te wachten.
• Maatregelen voor risicobeheer (artikel 30): elf minimale domeinen, van risicoanalyse en incidentenbehandeling tot back-ups, beveiliging van de toeleveringsketen, multifactorauthenticatie en encryptie. Het CCB raadt aan ze uit te voeren met zijn CyberFundamentals-raamwerk (CyFun).
• Melding van significante incidenten aan het CCB (artikel 35): een vroegtijdige waarschuwing binnen 24 uur nadat je ervan op de hoogte bent, een incidentmelding binnen 72 uur, en een eindverslag uiterlijk één maand na die melding.
• Verantwoordelijkheid van het bestuur (artikel 31): het bestuursorgaan keurt de maatregelen goed, ziet toe op de uitvoering en is aansprakelijk voor inbreuken, en de leden ervan volgen een opleiding over cyberbeveiliging.

De geldboetes in artikel 59 gaan tot €7 miljoen of 1,4 procent van de totale wereldwijde jaaromzet voor belangrijke entiteiten, en tot €10 miljoen of 2 procent voor essentiële entiteiten, afhankelijk van welk bedrag het hoogst is. Bij herhaling van dezelfde feiten binnen drie jaar worden ze verdubbeld.

Op dit punt heb je de uitleg van het CCB nodig en, wellicht, een specialist. Wij zijn geen juristen of NIS2-auditors, en dit artikel is geen beoordeling van jouw situatie.

Geen NIS2-entiteit? Denk aan de toeleveringsketen

Artikel 30, § 3, 4° van de Belgische wet, de omzetting van artikel 21, lid 2, d) van de richtlijn, verplicht elke NIS2-entiteit om de beveiliging van haar toeleveringsketen te beheren, "met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners".

Lever je aan een ziekenhuis, een energieleverancier, een voedingsproducent of een middelgrote fabrikant, dan kan je dus een vragenlijst krijgen, een nieuwe clausule in je contract of de vraag om aan te tonen wat je aan beveiliging doet. Het CCB zegt het zelf op zijn NIS2-pagina: een NIS2-entiteit kan haar rechtstreekse leveranciers een bepaald CyFun-niveau opleggen, en het CCB raadt elke organisatie die in zo'n keten kan zitten aan om minstens aan CyFun Basic te voldoen.

CyFun heeft vier niveaus. Small is een startpunt voor micro-organisaties of organisaties met weinig technische kennis, bedoeld voor een eerste zelfevaluatie. Basic bevat de standaard beveiligingsmaatregelen voor alle ondernemingen en is het eerste niveau dat een conformiteitsbeoordelingsinstantie verifieert. Important en Essential gaan verder. De hulpmiddelen (een selectietool en een spreadsheet voor zelfevaluatie) staan gratis op de CyFun-pagina. De versies 2023 en 2025 van het raamwerk mogen allebei gebruikt worden tot 18 april 2027.

In Vlaanderen kon je advies over cybersecurity laten financieren via de kmo-portefeuille. Die deur is dicht: volgens VLAIO was het budget voor 2026 op 15 oktober 2026 uitgeput, en de Vlaamse Regering stopt de kmo-portefeuille vanaf 1 januari 2027. Voor cybersecurity verwijst VLAIO nu naar de cybersecurity verbetertrajecten. Wat nog openstaat, lees je in ons artikel over het einde van de kmo-portefeuille.

Wat vraag je aan je software- of webleverancier?

Stuur jij zelf de vragenlijst, of wil je gewoon weten waar je staat, dan zijn dit de vragen die wij aan elke leverancier zouden stellen die software voor je bouwt of beheert:

• Van wie zijn de code, de domeinnaam en het hostingaccount, en kun je ze schriftelijk overgedragen krijgen?
• Wie heeft beheerderstoegang tot de website, de server en de databank, is die toegang persoonlijk (geen gedeelde login), en staat multifactorauthenticatie aan?
• Hoe vaak worden het contentbeheersysteem, de plug-ins en de serversoftware bijgewerkt, en door wie?
• Waar worden de gegevens gehost, en is dat in de EU?

Een leverancier die op alle vier schriftelijk antwoordt, kun je makkelijker voorleggen aan het securityteam van een klant.

Hoe wij kunnen helpen

Wij bouwen websites en webapplicaties, dus dit zijn vier vragen waarop we zelf een antwoord moeten hebben over ons werk. Op de pagina over websiteontwikkeling en de prijzenpagina staat wat inbegrepen is, zoals hosting in de EU, updates en back-ups in het maandelijkse onderhoudsplan. NIS2-compliancediensten of audits bieden we niet aan. Wat we wel kunnen doen: gratis bekijken wat je huidige website aan de buitenwereld laat zien.