NIS2 in België: de NIS2-wet, kort.
Stand 11 november 2026. België heeft de NIS2-richtlijn (EU) 2022/2555 omgezet met de wet van 26 april 2024, de NIS2-wet. Het Centrum voor Cybersecurity België (CCB) is de nationale autoriteit voor cyberbeveiliging. Hieronder staat wat opleiding, bestuur en incidenten raakt. Elke bewering heeft een bron.*
In het gratis adviesgesprek krijg je het volledige overzicht. Het bevat zes bijlagen met de wettekst, onze uitleg en de vragen die je voor je eigen organisatie doorloopt.
Wat sinds oktober 2024 geldt
- De NIS2-wet is de wet van 26 april 2024. De meeste bepalingen gelden sinds 18 oktober 2024. Ze vervangt de NIS1-wet van 7 april 2019.
- Het CCB houdt toezicht op essentiële en belangrijke entiteiten, met de hulp van de sectorale overheden. Het nationale CSIRT is deel van het CCB.
- Essentiële entiteiten moeten een verplichte regelmatige conformiteitsbeoordeling ondergaan. Wie zo'n beoordeling heeft, wordt verondersteld de verplichtingen te zijn nagekomen tot het tegendeel is bewezen.
Voor wie de wet geldt
- Organisaties die een dienst uit bijlage I of bijlage II van de wet verlenen en minstens een middelgrote onderneming zijn. Voor overheidsinstanties en enkele andere types entiteiten geldt de omvangsregel niet.
- Overheidsinstellingen die van de Federale Staat afhangen, zijn essentiële entiteiten. Lokale besturen, zoals gemeenten, provincies, intercommunales en OCMW's, vallen niet automatisch onder de NIS2-verplichtingen.
- Een grote onderneming met een dienst uit bijlage I is een essentiële entiteit. Een middelgrote onderneming uit bijlage I, of een middelgrote of grote onderneming uit bijlage II, is een belangrijke entiteit.
- Essentiële entiteiten staan onder toezicht vooraf en achteraf. Voor belangrijke entiteiten gebeurt het toezicht alleen achteraf.
- Je registreert de entiteit op Safeonweb@work, het portaal van het CCB. Een organisatie die later onder de wet valt, registreert zich vanaf dat moment.
De verantwoordelijkheid van het bestuursorgaan
De bestuursorganen moeten de maatregelen goedkeuren en toezicht houden op de uitvoering ervan. De leden "zijn verplicht om opleiding te volgen" (artikel 31).
- Als de entiteit haar verplichtingen rond de maatregelen niet nakomt, is het bestuursorgaan aansprakelijk. Artikel 61 maakt daarnaast elke natuurlijke persoon die voor de entiteit verantwoordelijk is of haar wettelijk vertegenwoordigt, aansprakelijk voor inbreuken op die plicht.
- De wet noemt geen aantal uren en geen inhoud. Het CCB schrijft: "De exacte opleidingsvereisten worden niet vermeld. De inhoud en duur van de opleiding worden daarom aan de entiteiten overgelaten."
- De hoge geldboetes worden opgelegd aan de entiteit. Bij een essentiële entiteit kan aan een persoon met leidinggevende verantwoordelijkheden tijdelijk worden verboden die uit te oefenen (artikel 60).
Opleiding van het personeel
De wet noemt "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging" als maatregel (artikel 30, § 3, 7°). De wet zegt niet dat elke medewerker een opleiding moet volgen. De uitdrukkelijke opleidingsplicht geldt voor de leden van de bestuursorganen.
Een aantal uren of een frequentie staat niet in de wet. Wij verwachten dat een inspectie vraagt hoe je de opleiding van personeel aantoont.
NIS2-wet, art. 30 en 31 · CCB, FAQ NIS2Incidenten melden
| Wanneer | Wat |
|---|---|
| Binnen 24 uur | Vroegtijdige waarschuwing over een significant incident |
| Binnen 72 uur | Incidentmelding |
| Een maand na de incidentmelding | Eindverslag |
De termijnen lopen vanaf het moment dat de entiteit kennis heeft gekregen van het significante incident (artikel 35). Je meldt in principe alleen aan het CCB, via het notificatieplatform van het CCB. Een inbreuk op persoonsgegevens meld je daarnaast aan de Gegevensbeschermingsautoriteit volgens artikel 33 AVG.
NIS2-wet, art. 34 en 35 · CCB, FAQ NIS2 · CCB, Safeonweb@workAdministratieve geldboetes
| Entiteit | Geldboete |
|---|---|
| Essentiële entiteit | Van 500 tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, het hoogste van beide |
| Belangrijke entiteit | Van 500 tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, het hoogste van beide |
| Overheidsinstanties | De administratieve geldboetes zijn niet van toepassing |
Dit zijn de bedragen van artikel 59 voor de maatregelen en de meldplicht. De geldboete wordt verdubbeld bij herhaling van dezelfde feiten binnen drie jaar.
NIS2-wet, art. 59 en 62 · CCB, FAQ NIS2Bronnen
- NIS2-wet van 26 april 2024, geconsolideerde tekst (Belgisch Staatsblad)
- CCB, FAQ NIS2 in België (versie 2.1.4, oktober 2026), gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (21)
Essentiële entiteiten zijn organisaties die een dienst verlenen die is opgenomen in bijlage I en die voldoen aan de definitie van grote onderneming
vallen niet automatisch onder de NIS2-verplichtingen
Leden van bestuursorganen zijn verplicht om opleiding te volgen
De exacte opleidingsvereisten worden niet vermeld. De inhoud en duur van de opleiding worden daarom aan de entiteiten overgelaten
basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging
binnen 24 uur nadat zij kennis hebben gekregen van het significante incident
binnen 72 uur (24 uur voor verleners van vertrouwensdiensten) nadat zij kennis hebben gekregen van het significante incident
In principe moet elke NIS2-entiteit een incident enkel melden aan het CCB
artikel 61, lid 1, van de NIS2-wet
Het CCB is verantwoordelijk voor het toezicht op essentiële en belangrijke entiteiten
overheidsinstellingen die afhangen van de Federale Staat (essentieel)
is opgenomen in bijlage I en voldoet aan de definitie van een "middelgrote onderneming"
De 'size-cap'-regel is niet van toepassing op bepaalde types entiteiten zoals overheidsinstanties
Dergelijke personen zijn aansprakelijk voor inbreuken op hun
tijdelijk een verbod wordt opgelegd om leidinggevende verantwoordelijkheden uit te oefenen in die entiteit
uiterlijk 1 maand na de incidentmelding
Van 500 tot 7.000.000 euro of 1,4% van de totale wereldwijde jaaromzet
Van 500 tot 10.000.000 euro of 2% van de totale wereldwijde jaaromzet
De administratieve geldboete wordt verdubbeld in geval van herhaling van dezelfde feiten binnen
niet van toepassing zijn op overheidsinstanties die onder NIS2 vallen
In dat geval gaan de hierboven vermelde termijnen in vanaf het moment dat de entiteit onder het toepassingsgebied valt
- CCB, Safeonweb@work: de NIS2-wet, gecontroleerd op 11 november 2026
Passages waarop deze pagina steunt (13)
Essentiële entiteiten moeten een verplichte regelmatige conformiteitsbeoordeling ondergaan
Tot het tegendeel is bewezen, worden ze verondersteld hun verplichtingen te zijn nagekomen
Leden van de bestuursorganen zijn verplicht om opleidingen te volgen
De wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging
treden in werking op 18 oktober 2024
wet van 7 april 2019
ongeacht hun omvang
Deze omvatten registratie op Safeonweb@Work
Essentiële entiteiten staan onder proactief ("ex-ante") en reactief ("ex-post") toezicht
Voor belangrijke entiteiten wordt het toezicht enkel "ex-post" uitgevoerd
In de praktijk vindt de melding plaats via onze notificatieplatform
De bestuursorganen van NIS2-entiteiten moeten maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren en toezicht houden op de uitvoering ervan
is het bestuursorgaan aansprakelijk
- Richtlijn (EU) 2022/2555 (NIS2), EUR-Lex
Dit is geen juridisch advies. Controleer altijd de actuele tekst bij de bron.