NIS2 is de meest onderschatte regelgeving van dit moment. Niet omdat ze zo streng is, maar omdat de meeste ondernemers ervan uitgaan dat ze er niet onder vallen — en in de helft van de gevallen klopt dat, terwijl ze er via een andere weg tóch mee te maken krijgen.
De Belgische NIS2-wet van 26 april 2024 trad op 18 oktober 2024 in werking. Ze zet de Europese NIS2-richtlijn om en vervangt de oude NIS1-wet van 2019. Het Centrum voor Cybersecurity België — het CCB — is aangeduid als nationale cybersecurityautoriteit.
Dit artikel legt uit hoe de scope werkt, wat het verschil is tussen een essentiële en een belangrijke entiteit, en waarom kleine bedrijven die er formeel buiten vallen tóch met de eisen geconfronteerd worden.
Drie criteria, alle drie nodig
Om onder de Belgische NIS2-wet te vallen moet je in principe aan drie voorwaarden tegelijk voldoen: je hebt een bepaalde omvang, je levert een dienst uit de bijlagen van de wet, en je hebt een band met België.
Voldoe je aan alle drie, dan val je eronder. Ontbreekt er één, dan in principe niet — maar lees dan zeker de sectie over de uitzonderingen en de toeleveringsketen verderop.
Criterium 1: de omvang
Je moet minstens een middelgrote onderneming zijn volgens de Europese kmo-definitie. Die wordt bepaald door twee zaken samen: het personeelsbestand in voltijdse equivalenten, en de financiële cijfers.
Hier zit een rekenregel die vaak verkeerd wordt toegepast. Voor de financiële cijfers mag je kiezen tussen jaaromzet en balanstotaal, en je kijkt naar de laagste van de twee. Je mag dus één van beide plafonds overschrijden zonder dat je categorie verandert.
Twee voorbeelden die het CCB zelf geeft:
- Een onderneming met 35 voltijdse equivalenten (klein), een omzet van €1.000.000 (klein) en een balanstotaal van €50.000.000 (groot). Van de financiële cijfers telt de laagste — de omzet. Resultaat: kleine of micro-onderneming.
- Een onderneming met 80 voltijdse equivalenten (middelgroot), een omzet van €1.000.000 (klein) en een balanstotaal van €70.000.000 (groot). De omzet is klein, maar het personeelsbestand is middelgroot. Resultaat: middelgrote onderneming.
Nog een valkuil die veel bedrijven onderschat: maak je deel uit van een groep, dan moet je consolideren. De cijfers van partnerondernemingen en verbonden ondernemingen tellen mee. Een kleine dochtervennootschap van een grote groep is geen kleine onderneming.
Criterium 2: de dienst
De wet werkt met twee bijlagen. Bijlage I bevat de zeer kritieke sectoren, bijlage II de andere kritieke sectoren. Je moet elke dienst die je aan derden levert nagaan, per sector en subsector.
Dat is belangrijker dan het klinkt: zelfs een bijkomstige dienst kan je hele organisatie binnen de scope brengen, tenzij de definitie van die dienst iets anders bepaalt. Het is dus geen kwestie van “wat is onze hoofdactiviteit” maar van “welke van al onze diensten staat op de lijst”.
De combinatie van omvang en bijlage bepaalt je categorie:
| Middelgrote onderneming | Grote onderneming | |
|---|---|---|
| Bijlage I (zeer kritieke sectoren) | Belangrijk | Essentieel |
| Bijlage II (andere kritieke sectoren) | Belangrijk | Belangrijk |
De diensten in de bijlagen worden meestal gedefinieerd door te verwijzen naar andere Europese wetgeving. Die definities nalezen is geen luxe — een dienst die in het spraakgebruik “IT-beheer” heet, kan juridisch iets heel anders zijn. Het CCB stelt daarvoor een Excel-tabel ter beschikking die alle definities bundelt, en een scope-test via het Safeonweb@Work-portaal.
Mijn advies: gebruik die scope-test, ook als je overtuigd bent dat je erbuiten valt. Het kost een kwartier en het is de enige bron die telt.
Criterium 3: de band met België
In principe geldt de Belgische wet voor entiteiten die in België gevestigd zijn en hun diensten in de EU leveren. Voor bepaalde types digitale dienstverleners geldt het begrip hoofdvestiging: de plaats waar de beslissingen over cybersecuritymaatregelen hoofdzakelijk worden genomen.
Heb je vestigingen in meerdere lidstaten, dan val je onder de omzettingswetgeving van elk van die landen. De nationale autoriteiten werken dan samen rond inspecties en incidentmeldingen.
De uitzonderingen op de omvangsregel
Er zijn twee manieren waarop je ook als kleine onderneming onder NIS2 valt.
Automatisch, ongeacht je omvang. Wie geïdentificeerd is als exploitant van kritieke infrastructuur in de zin van de wet van 1 juli 2011, is onder NIS2 automatisch een essentiële entiteit — hoe klein je ook bent. Daarnaast bestaan er nog enkele types entiteiten waarvoor de omvangsdrempel niet geldt.
Door aanduiding door het CCB. De autoriteit kan een organisatie specifiek aanduiden als essentieel of belangrijk, ongeacht haar omvang — bijvoorbeeld wanneer je de enige aanbieder van een bepaalde dienst bent, of wanneer een verstoring van je dienst een aanzienlijke impact zou hebben op de openbare veiligheid of de volksgezondheid. Dat gebeurt in overleg met jou en met de betrokken sectorale autoriteit.
Het olievlekeffect: waarom je er tóch mee zit
Dit is het deel dat de meeste kleinere bedrijven verrast, en het is de reden dat dit artikel bestaat.
NIS2-entiteiten zijn verplicht om de veiligheid van hun toeleveringsketen te waarborgen, inclusief de beveiligingsaspecten van de relaties met hun directe leveranciers en dienstverleners.
Lever jij aan een organisatie die onder NIS2 valt, dan krijg je die eisen dus contractueel op je bord. Geen wetgeving, maar een clausule — met hetzelfde resultaat en zonder de overgangstermijnen die de wet wel voorziet.
Het CCB is daar expliciet over: het adviseert alle organisaties die zich mogelijk in de toeleveringsketen van een NIS2-entiteit bevinden om minstens te voldoen aan de maatregelen van het CyberFundamentals-framework op niveau Basic. Een NIS2-entiteit kan een bepaald CyFun-niveau contractueel opleggen aan haar directe leveranciers.
In de praktijk zie ik die clausules nu opduiken bij contractvernieuwingen. Het onaangename scenario is dat je binnen enkele weken moet aantonen dat je beveiliging op orde is terwijl je nooit een risicoanalyse hebt gedaan. Het aangename scenario is dat je het nu voorbereidt en het als verkoopargument gebruikt.
Wat moet je doen als je eronder valt?
Lees ook: Interne of externe DPO? Kosten en belangenconflict vergeleken
Vier verplichtingen.
Registreren bij het CCB via het Safeonweb@Work-platform. De termijnen zijn intussen verstreken: entiteiten uit de digitale sectoren moesten zich registreren tegen 18 december 2024, alle andere essentiële en belangrijke entiteiten tegen 18 maart 2025. Ben je te laat, registreer dan alsnog — niet registreren is geen optie die met de tijd verdwijnt.
Risicobeheersmaatregelen nemen. De wet somt elf minimale maatregelen op, gebaseerd op een all-hazards-benadering: van risicoanalyse en incidentbehandeling tot bedrijfscontinuïteit, ketenbeveiliging, toegangsbeheer en het gebruik van meervoudige authenticatie. Het CCB raadt aan om daarvoor het CyberFundamentals-framework te gebruiken, dat alle punten dekt. Een gevalideerde implementatie ervan levert een vermoeden van conformiteit op.
Significante incidenten melden aan het CCB als nationale CSIRT, in fasen. Een incident is significant wanneer het een aanzienlijke impact heeft op je dienstverlening in de betrokken sectoren. Je moet daarnaast, waar relevant, je klanten informeren over incidenten en over ernstige cyberdreigingen die hen kunnen raken.
Bestuursverantwoordelijkheid. Dit is de bepaling met de scherpste tanden. Het bestuursorgaan moet de risicobeheersmaatregelen goedkeuren en toezien op de uitvoering ervan, en is aansprakelijk bij inbreuken op die verplichtingen. Bestuurders zijn bovendien verplicht om opleiding te volgen zodat ze risico’s kunnen inschatten. Cybersecurity is daarmee formeel een directiedossier geworden, geen IT-dossier.
Essentieel of belangrijk: waarom het uitmaakt
Het onderscheid gaat vooral over toezicht en sancties.
Essentiële entiteiten staan onder proactief én reactief toezicht. Ze moeten een regelmatige conformiteitsbeoordeling ondergaan, waarbij ze kiezen uit een aantal opties — waaronder een CyFun-verificatie of -certificatie of een ISO/IEC 27001-certificatie. Die beoordeling levert een verklaring op die hen een vermoeden van conformiteit geeft: tot bewijs van het tegendeel worden ze geacht in orde te zijn. De inspectiedienst kan hen op elk moment controleren.
Belangrijke entiteiten staan enkel onder toezicht achteraf. Ze zijn in principe niet onderworpen aan een regelmatige conformiteitsbeoordeling — maar ze mogen zich daar vrijwillig aan onderwerpen en genieten dan hetzelfde vermoeden van conformiteit.
Een tijdlijn om te kaderen: essentiële entiteiten moesten uiterlijk op 18 april 2026 de eerste stappen van hun verplichte conformiteitsbeoordeling gezet hebben. Wie voor een CyFun- of ISO 27001-certificatie kiest, moet die uiterlijk op 18 april 2027 behaald hebben.
De inspectiedienst kan werken met controles ter plaatse, toezicht op afstand, ad-hocaudits, beveiligingsscans en verzoeken om informatie en bewijs. Wie daar niet aan meewerkt, stelt zich bloot aan administratieve boetes. Sancties worden verdubbeld bij herhaald gedrag binnen drie jaar.
Wat als je er niet onder valt?
Dan is er nog steeds werk, om drie redenen.
Ten eerste de toeleveringsketen. Zit je in de keten van een NIS2-entiteit, dan komt het alsnog naar je toe. CyberFundamentals op niveau Basic is dan de aanbevolen ondergrens.
Ten tweede de overlap met de GDPR. Artikel 32 vraagt al passende technische en organisatorische maatregelen. Risicoanalyse, toegangsbeheer, back-ups, incidentprocedures en leveranciersbeheer staan zowel in de GDPR als in NIS2. Wie het als één traject aanpakt, doet het werk één keer.
Ten derde: er is momenteel subsidie voor. Cybersecurity is sinds februari 2026 het enige adviesthema dat nog subsidiabel is via de kmo-portefeuille, en daarnaast bestaan de cybersecurity verbetertrajecten met 50% steun voor kmo’s. Ik zette beide regelingen naast elkaar in cybersecurity-advies is nog wél subsidiabel.
Interessant detail: ondernemingen die níét aan de kmo-criteria voldoen maar wél onder NIS2 vallen, komen voor die verbetertrajecten in aanmerking aan 35%.
Veelgestelde vragen
Wij zijn met dertig. Vallen wij eronder?
In principe niet, want je haalt de drempel van middelgrote onderneming niet — tenzij je consolidatie met een groep je hoger duwt, je een dienst levert waarvoor de omvangsregel niet geldt, of het CCB je specifiek aanduidt. Doe de scope-test van het CCB om zeker te zijn, en houd rekening met het toeleveringsketeneffect.
Wij leveren IT-diensten. Vallen wij automatisch onder NIS2?
Niet automatisch — het hangt af van welke dienst precies en van je omvang. De definities in de bijlagen zijn nauwkeurig omschreven en verwijzen naar Europese wetgeving. Lees ze na in plaats van af te gaan op de naam van je dienst.
Vervangt NIS2 de GDPR?
Nee. NIS2 gaat over de beveiliging en continuïteit van netwerk- en informatiesystemen, de GDPR over de bescherming van persoonsgegevens. Ze gelden naast elkaar en overlappen op het vlak van beveiligingsmaatregelen en incidentbehandeling. Let op dat de meldingsplichten verschillen: een incident kan tegelijk een NIS2-melding aan het CCB en een datalekmelding aan de Gegevensbeschermingsautoriteit vereisen, met eigen termijnen.
We hebben ons nooit geregistreerd. Wat nu?
Registreer alsnog via Safeonweb@Work. De registratieplicht verdwijnt niet doordat de termijn verstreken is, en niet-registratie is precies het soort tekortkoming dat bij een eerste contact met de inspectiedienst meteen zichtbaar wordt.
Is CyberFundamentals verplicht?
Nee, het is een aanbevolen kader. Maar een gevalideerde implementatie levert een vermoeden van conformiteit op, en dat is in de praktijk de eenvoudigste route. Essentiële en belangrijke entiteiten mogen zelfs een lager CyFun-niveau hanteren dan hun classificatie, mits ze dat op basis van een grondige risicoanalyse kunnen verantwoorden — al kan de inspectiedienst sanctioneren wanneer dat ten onrechte gebeurt.
Kort samengevat
Je valt onder de Belgische NIS2-wet als je minstens een middelgrote onderneming bent, een dienst uit bijlage I of II levert, en een band met België hebt. Bijlage I plus groot maakt je essentieel; alle andere combinaties maken je belangrijk. Bij de omvangsberekening kijk je naar de laagste van omzet en balanstotaal, en consolideer je met je groep.
Val je eronder, dan registreer je bij het CCB, neem je de elf minimale maatregelen, meld je significante incidenten — en is je bestuursorgaan persoonlijk aansprakelijk.
Val je er niet onder, kijk dan naar je klanten. Lever je aan een NIS2-entiteit, dan komen de eisen via je contract alsnog binnen, en adviseert het CCB minstens CyberFundamentals niveau Basic.
Gebruik in elk geval de scope-test van het CCB in plaats van af te gaan op je onderbuikgevoel. Het kost een kwartier.
Wil je weten hoe je beveiliging, GDPR en NIS2 als één traject aanpakt — en welk deel daarvan gesubsidieerd is? Bekijk mijn aanpak rond beveiligde hosting en infrastructuur en GDPR en privacy, doe de gratis GDPR-scan, of stuur me je situatie door.
Feiten gecontroleerd op 30 juli 2026 aan de hand van de informatie van het Centrum voor Cybersecurity België op Safeonweb@Work. Alleen de teksten gepubliceerd in het Belgisch Staatsblad zijn authentiek. Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.
