NIS2 in België: CCB, CyberFundamentals & Deadlines

Ja. België zette NIS2 om in nationale wetgeving op 26 april 2024. De wet geeft het Centrum voor Cybersecurity België (CCB) bevoegdheid over registratie, compliance en handhaving. België was een van de eerste EU-landen die de omzetting voltooide.

CyberFundamentals (CyFun) is een gelaagd cybersecurity-framework ontwikkeld door het CCB. Het heeft 3 cumulatieve niveaus: Basic (34 controls), Important (133 controls) en Essential (218 controls). België creëerde het als praktisch alternatief voor ISO 27001. Driekwart van de geregistreerde entiteiten koos een kader, en volgens het CCB koos de meerderheid CyFun.

De deadline was 18 april 2026 en is voorbij. Tegen die datum hadden essentiële entiteiten op de CyFun-route een Basic- of Important-verificatie nodig van een door het CCB erkende conformiteitsbeoordelingsinstantie. Wie koos voor toezicht door de inspectiedienst van het CCB, diende een Basic- of Important-zelfbeoordeling in. Wie de ISO 27001-route volgt, bezorgde zijn scope en verklaring van toepasselijkheid (koninklijk besluit van 9 juni 2024, art. 22 en 23). Een Essential-equivalente conformiteitsbeoordeling is vereist tegen 18 april 2027, en die deadline is ongewijzigd. Die termijnen lopen vanaf de inwerkingtreding van de wet; voor een entiteit die later werd geïdentificeerd, lopen ze vanaf haar identificatiedatum (koninklijk besluit, art. 22 en 23). Entiteiten die dat niveau niet tijdig halen, worden gevraagd een remediatieplan in te dienen bij de CCB Inspectiedienst. Dat plan bestaat bij voorkeur uit bewijs van conformiteit op CyFun Important-niveau plus de maatregelen die gepland zijn om tegen 18 april 2028 Essential te bereiken. Een entiteit waarvan de eigen risicobeoordeling een lager CyFun-niveau rechtvaardigt, mag dat niveau kiezen, zonder voorafgaande goedkeuring van het CCB maar op eigen verantwoordelijkheid. Ze moet dan tegen 18 april 2027 aantonen dat ze aan dat niveau voldoet (op de CyFun-route via een CAB-verificatie). Lidstaten moesten tegen 17 juli 2026 kritieke entiteiten aanwijzen onder de CER-richtlijn; een als kritiek aangewezen entiteit is een essentiële entiteit onder NIS2 (art. 3(1)(f)).

Een jaar nadat de wet in werking trad, waren zo'n 1.500 essentiële en 2.500 belangrijke entiteiten geregistreerd, dus zowat 4.000 in totaal (CCB, november 2025). België breidde de scope uit voorbij het EU-minimum, dus meer organisaties vallen eronder dan in de meeste andere lidstaten.

Begin met registreren op Safeonweb@Work als je dat nog niet hebt gedaan. Je CyFun-niveau volgt uit je NIS2-klasse en je eigen risicobeoordeling: essentiële entiteiten zitten standaard op Essential. Velen beginnen met CyFun Basic (34 controls) en werken omhoog. Documenteer je controls en verzamel bewijs. Easy Cyber Protection helpt je voortgang bij te houden en je audit trail op te bouwen.