NIS2 voor kleine bedrijven: wat moet je doen?
Geldt NIS2 voor jouw kmo? Wie onder de Belgische NIS2-wet valt, wanneer ook kleinere bedrijven meetellen, wat CyberFundamentals is en wat het betekent als je leverancier bent van een bedrijf dat er wel onder valt.
Voor de meeste kleine bedrijven geldt NIS2 niet rechtstreeks. De Belgische NIS2-wet geldt in principe voor organisaties die een dienst uit de bijlagen van de wet leveren, in België gevestigd zijn en minstens middelgroot zijn. Toch kan je er als kleine kmo mee te maken krijgen: via een uitzondering, of via een klant die er wel onder valt.
Kort samengevat
Wat is NIS2?
NIS2 is de Europese richtlijn voor een hoog gezamenlijk niveau van cyberbeveiliging: Richtlijn (EU) 2022/2555 van 14 december 2022. De lidstaten moesten ze uiterlijk op 17 oktober 2024 omzetten en vanaf 18 oktober 2024 toepassen (EUR-Lex).
België deed dat met de wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid. Ze verscheen op 17 mei 2024 in het Belgisch Staatsblad en trad in werking op 18 oktober 2024 (Justel). Het koninklijk besluit van 9 juni 2024 voert de wet uit en wijst het CCB aan als nationale cyberbeveiligingsautoriteit (Safeonweb@Work).
Valt jouw kmo onder NIS2?
Volgens het CCB moet een organisatie in principe aan drie voorwaarden voldoen (Safeonweb@Work):
- 1Je levert een dienst uit bijlage I of II van de wet. Bijlage I bevat zeer kritieke sectoren zoals energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur en ICT-dienstenbeheer. Bijlage II bevat onder meer post, afvalbeheer, chemicaliën, voeding, bepaalde maakindustrie, digitale aanbieders en onderzoek. Ook een bijkomende dienst kan volstaan.
- 2Je bent minstens een middelgrote onderneming volgens de Europese Aanbeveling 2003/361/EG.
- 3Je bent in België gevestigd. Voor onder meer telecom, cloud en beheerde IT-diensten gelden aparte regels.
Voor de grootte kijk je naar het personeel in voltijdse equivalenten (VTE) en de financiële cijfers. Van omzet en balanstotaal telt het laagste (Safeonweb@Work).
| Grootte | Personeel | Jaaromzet | Balanstotaal |
|---|---|---|---|
| Micro of klein | minder dan 50 VTE | tot 10 miljoen euro | tot 10 miljoen euro |
| Middelgroot | 50 tot 249 VTE | meer dan 10 tot 50 miljoen euro | meer dan 10 tot 43 miljoen euro |
| Groot | 250 VTE of meer | meer dan 50 miljoen euro | meer dan 43 miljoen euro |
Opgelet als je deel uitmaakt van een groep. Bij partner- of verbonden ondernemingen tel je de cijfers van de groep samen, zodat een klein bedrijf toch middelgroot kan zijn. Het CCB houdt wel rekening met hoe onafhankelijk een entiteit van haar groep is (art. 3, NIS2-wet).
Essentiële of belangrijke entiteit: wat is het verschil?
Wie onder de wet valt, is een essentiële of een belangrijke entiteit. Het verschil zit vooral in het toezicht en de sancties (art. 9 en 10, Safeonweb@Work).
| Essentiële entiteit | Belangrijke entiteit | |
|---|---|---|
| Wie, in principe | Grote ondernemingen met een dienst uit bijlage I | Middelgrote ondernemingen uit bijlage I, middelgrote en grote uit bijlage II |
| Toezicht | Vooraf en achteraf, met een verplichte regelmatige conformiteitsbeoordeling | In principe enkel achteraf, bijvoorbeeld na een incident; een conformiteitsbeoordeling mag vrijwillig |
| Maximale boete | 10 miljoen euro of 2% van de wereldwijde jaaromzet, het hoogste bedrag | 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, het hoogste bedrag |
| Registratie, maatregelen en incidentmelding | Verplicht | Verplicht |
Wanneer vallen ook kleinere bedrijven eronder?
De groottegrens heeft uitzonderingen. Deze organisaties vallen ongeacht hun grootte onder de wet (art. 3 en 9, Safeonweb@Work):
- ✓Aanbieders van openbare elektronische-communicatienetwerken of -diensten: belangrijk als ze micro of klein zijn, essentieel vanaf middelgroot.
- ✓Verleners van vertrouwensdiensten: gekwalificeerde zijn altijd essentieel.
- ✓Registers voor topleveldomeinnamen en DNS-dienstverleners: altijd essentieel.
- ✓Domeinnaamregistratiediensten: enkel voor de registratieplicht.
- ✓Kritieke entiteiten volgens de wet van 19 december 2025 en overheidsinstanties van de federale Staat: essentieel.
Daarnaast kan het CCB een organisatie van elke grootte zelf aanduiden, bijvoorbeeld als ze in België de enige aanbieder is van een essentiële dienst, of als een verstoring ervan de openbare veiligheid of de volksgezondheid zwaar kan raken. Dat gebeurt na overleg met de organisatie (art. 11).
Registratie bij het CCB en de belangrijkste plichten
Valt je organisatie onder de wet, dan registreer je ze via het platform Safeonweb@Work van het CCB. De wet gaf daarvoor vijf maanden na de inwerkingtreding, dus tot 18 maart 2025. Voor de digitale sectoren, zoals cloud, datacenters, beheerde diensten en beheerde beveiligingsdiensten, was dat twee maanden: tot 18 december 2024 (Safeonweb@Work). Je geeft onder meer je KBO-nummer, contactgegevens, IP-bereiken en sector door, en meldt wijzigingen onmiddellijk (art. 13).
Ontdek je nu pas dat je onder de wet valt, registreer dan zo snel mogelijk; het CCB vraagt NIS2-entiteiten om zich "ASAP" te registreren (NIS2 Quickstart Guide).
Na de registratie gelden vooral deze plichten (art. 30 en 31, Safeonweb@Work):
- ✓Beveiligingsmaatregelen nemen op basis van een risicoanalyse. De wet noemt minstens elf thema's, waaronder incidentenbehandeling, back-ups, de toeleveringsketen, cyberhygiëne en opleiding, encryptie en multifactorauthenticatie.
- ✓Significante incidenten melden aan het CCB: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand na die melding.
- ✓Het bestuur is verantwoordelijk. De bestuursorganen keuren de maatregelen goed, zien toe op de uitvoering, zijn aansprakelijk voor inbreuken en volgen een opleiding.
CyberFundamentals: het Belgische raamwerk
Om die maatregelen praktisch te maken, raadt het CCB het CyberFundamentals-raamwerk (CyFun) aan. Een gevalideerde toepassing ervan geeft NIS2-entiteiten een vermoeden van conformiteit (Safeonweb@Work). CyFun kent een startniveau en drie zekerheidsniveaus (CyberFundamentals Framework):
Small
Startniveau voor micro-organisaties of organisaties met beperkte technische kennis.
Basic
De standaardmaatregelen voor alle ondernemingen, tegen gekende cyberrisico's.
Important
Beperkt ook het risico op gerichte aanvallen door aanvallers met gangbare middelen.
Essential
Gericht op geavanceerde aanvallen door aanvallers met uitgebreide middelen.
Welk niveau past, bepaal je met een risicoanalyse in de CyFun Selection Tool. Versie 2023 en versie 2025 bestaan naast elkaar tot 18 april 2027 (CyberFundamentals Framework).
Essentiële entiteiten laten hun beveiliging regelmatig beoordelen: met een CyFun-verificatie of -certificering door een erkende conformiteitsbeoordelingsinstantie, een ISO/IEC 27001-certificering of een CCB-inspectie. Wie voor CyFun kiest, moest uiterlijk op 18 april 2026 een verificatie op niveau Basic of Important hebben, en haalt uiterlijk op 18 april 2027 zijn eindniveau. Belangrijke entiteiten zijn daar niet toe verplicht, maar mogen er vrijwillig voor kiezen (Safeonweb@Work).
Je valt er niet onder, maar je klant wel
Voor veel kmo's in Vlaanderen is dit de belangrijkste vraag. Een NIS2-entiteit moet ook de beveiliging van haar toeleveringsketen regelen, inclusief de relatie met haar rechtstreekse leveranciers en dienstverleners. Ze houdt daarbij rekening met de kwetsbaarheden en beveiligingspraktijken van elke rechtstreekse leverancier (art. 30; art. 21 richtlijn).
Volgens het CCB kan je als leverancier zo via een contractuele verplichting beveiligingsmaatregelen opgelegd krijgen, in theorie zelfs een bepaald CyFun-niveau. Het CCB raadt organisaties die in de keten van een NIS2-entiteit kunnen zitten aan om minstens CyberFundamentals Basic toe te passen (Safeonweb@Work).
Wat betekent dat in de praktijk? Je hoeft je niet te registreren en je valt niet onder het NIS2-toezicht van het CCB. Maar levert je bedrijf aan een organisatie die wel onder NIS2 valt, zoals een groter ziekenhuis, transportbedrijf of voedingsbedrijf, dan kan die klant je vragen om aan te tonen hoe je beveiliging in elkaar zit. Met een zelfevaluatie en een plan sta je dan sterker.
Checklist: je eerste stappen
- 1Doe de scopetest. Het CCB biedt een NIS2 Scope Test Tool aan. Overloop al je diensten, ook de bijkomende, en reken je grootte uit met de cijfers van je groep.
- 2Breng je klanten in kaart. Wie valt mogelijk onder NIS2, en wat staat er al in je contracten?
- 3Val je eronder, registreer dan meteen op Safeonweb@Work.
- 4Kies je CyFun-niveau met de Selection Tool. Ben je leverancier van een NIS2-entiteit, mik dan op minstens Basic. Ben je een micro-onderneming, dan is Small een goed vertrekpunt.
- 5Maak een zelfevaluatie met de CyFun Self-Assessment Tool en zet de ontbrekende maatregelen in een plan.
- 6Leg vast wat je doet bij een incident: wie beslist, wie je verwittigt en waar je back-ups staan. Het CCB heeft daarvoor beleidssjablonen.
- 7Plan opleiding voor je bestuur en je medewerkers.
De tools in deze stappen komen uit de NIS2 Quickstart Guide en de CyFun-pagina van het CCB. Deze gids is geen juridisch advies: twijfel je over je eigen situatie, neem dan contact op met het CCB of een jurist.
Waar nxtbit je bij helpt
Een CyFun-label of certificering krijg je enkel via een erkende conformiteitsbeoordelingsinstantie. nxtbit is dat niet en belooft geen NIS2-conformiteit. Wel nemen we technisch werk op ons dat aansluit bij thema's uit de wet, zoals multifactorauthenticatie, back-ups, cyberhygiëne en opleiding. Afhankelijk van je NXT-plan zijn dat onder meer tweestapsverificatie, detectie en reactie op elk toestel, automatische updates, instellingen volgens de CIS-baseline, een back-up van Microsoft 365 met getest herstel, awareness sessies en een vaste aanpak als het toch misgaat. In de hogere plannen komen er een jaarlijks beveiligings- en herstelplan en een security audit bij. Alles lees je op onze pagina cybersecurity.
Veelgestelde vragen over NIS2 voor kmo's
Valt een bedrijf met minder dan 50 werknemers onder NIS2?
In principe niet, tenzij je jaaromzet én balanstotaal boven 10 miljoen euro liggen, je groep groter is, je een dienst levert die ongeacht de grootte onder de wet valt, zoals telecom of DNS, of het CCB je aanduidt.
Moet ik me als leverancier van een NIS2-bedrijf registreren?
Nee, de registratie geldt enkel voor organisaties die zelf onder de wet vallen. Je klant kan je wel contractueel beveiligingsmaatregelen opleggen. Het CCB raadt leveranciers aan om minstens CyberFundamentals Basic toe te passen.
Ik val onder NIS2 maar heb de registratiedeadline gemist. Wat nu?
De termijn liep tot 18 maart 2025, voor de digitale sectoren tot 18 december 2024. Registreer zo snel mogelijk op Safeonweb@Work en neem bij twijfel contact op met het CCB.
Is een CyberFundamentals-label verplicht?
Essentiële entiteiten moeten zich regelmatig laten beoordelen: via CyFun, ISO/IEC 27001 of een inspectie door het CCB. Voor belangrijke entiteiten is dat vrijwillig. Buiten NIS2 is het geen wettelijke plicht, maar een klant kan het wel vragen.
Hoe snel moet een NIS2-entiteit een incident melden?
Met een vroegtijdige waarschuwing aan het CCB binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand later.
Is het bestuur aansprakelijk?
Ja. Bij een NIS2-entiteit keuren de bestuursorganen de beveiligingsmaatregelen goed, zien ze toe op de uitvoering, zijn ze aansprakelijk voor inbreuken en volgen ze een opleiding.
Benieuwd waar je bedrijf staat?
We bekijken samen welke beveiliging er vandaag al is en waar de open deuren zitten. Vrijblijvend en in gewone taal.
Bronnen
Wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid, Belgisch Staatsblad 17 mei 2024, geconsolideerde versie, geraadpleegd op 18 oktober 2026 via Justel.
Koninklijk besluit van 9 juni 2024 tot uitvoering van de wet van 26 april 2024, Belgisch Staatsblad 24 juni 2024, geraadpleegd op 18 oktober 2026 via Justel.
Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 (NIS 2-richtlijn), geraadpleegd op 18 oktober 2026 via EUR-Lex.
Centrum voor Cybersecurity België, De NIS2-wet, geraadpleegd op 18 oktober 2026 via Safeonweb@Work.
Centrum voor Cybersecurity België, NIS 2 Quickstart Guide, geraadpleegd op 18 oktober 2026 via Safeonweb@Work.
Centrum voor Cybersecurity België, CyberFundamentals Framework, geraadpleegd op 18 oktober 2026 via Safeonweb@Work.