Belgische NIS2-deadline van 18 april 2026 gemist? Wat nu

Wat 18 april 2026 werkelijk vroeg

Het koninklijk besluit van 9 juni 2024, dat de Belgische NIS2-wet uitvoert, legt de stappen vast. Ze verschillen per entiteitsklasse:

• 1
  Essentiële entiteiten, 18 april 2026 of 18 maanden na identificatie: op de CyFun-certificeringsroute een Basic- of Important-verificatie door een door het CCB erkende conformiteitsbeoordelingsinstantie, op het niveau dat hun risicoanalyse ondersteunt (art. 22 §1). Wie koos voor toezicht door de inspectiedienst van het CCB, een Basic- of Important-zelfbeoordeling (art. 23 §1). Op de ISO 27001-route de scope en verklaring van toepasselijkheid van de toekomstige certificering.
• 2
  Belangrijke entiteiten, 18 april 2026: geen administratieve formaliteit bij het CCB (FAQ van het CCB). Ze moeten wel alle NIS2-maatregelen uitvoeren, en het CCB kan bewijs vragen, bijvoorbeeld na een incident. Een vrijwillige CyFun-beoordeling is een zelfbeoordeling die een CAB verifieert, op niveau Important of hoger (art. 11).

Weet je niet zeker of je organisatie als belangrijk of essentieel geclassificeerd is, begin dan bij wie moet voldoen aan NIS2.

Wat volgt voor een essentiële entiteit

De stap van april 2026 missen, verschuift de volgende data niet. Drie feiten uit de bronnen:

Je route, en het remediatieplan voor 2027

De eerste drie blokken zijn de routes die het koninklijk besluit vastlegt. Blijf op de route die je koos voor je regelmatige conformiteitsbeoordeling. Het vierde blok is het remediatieplan voor de datum van 2027.

Zo bereid je je inhaalbeweging voor

Welke route je ook volgt, dezelfde basis geldt:

1. 1

   Bevestig je entiteitsklasse

   Essentieel of belangrijk hangt af van sector en omvang (NIS2-richtlijn, art. 3). De stap van april 2026 gold alleen voor essentiële entiteiten.

2. 2

   Bevestig je route

   CyFun met een conformiteitsbeoordelingsinstantie, CyFun onder CCB-inspectie, of ISO 27001. De route bepaalt wat je verschuldigd bent.

3. 3

   Voer de risicoanalyse uit

   Het koninklijk besluit koppelt het niveau van je eerste verificatie eraan (art. 22 §1), en ze kan een niveau onder Essential rechtvaardigen (art. 7). Essentiële entiteiten bezorgen ze aan het CCB samen met hun conformiteitsattest (art. 9).

4. 4

   Vul de CyberFundamentals-workbook in met bewijs

   Scoor elke control eerlijk en houd per control een verwijzing naar het bewijs bij. Een CAB of de inspectiedienst leest ze, en een muur van topscores zonder bewijs helpt niemand.

5. 5

   Neem contact op met de inspectiedienst van het CCB

   De bronnen beschrijven geen laattijdige procedure voor de stap van april 2026. Vraag de inspectiedienst (inspection@ccb.belgium.be) hoe je je situatie regulariseert, en bewaar het antwoord schriftelijk.

Geen tijd om vanaf een lege workbook te beginnen? Onze directe scope-check op het scherm geeft in twee minuten een ruwe inschatting van scope, entiteitsklasse en CyFun-niveau, zonder e-mailadres. Wil je daarna een geprioriteerde BASIC-controlelijst (30/90/180 dagen) als startpunt voor je inhaalbeweging? Het geschreven rapport is €395 vast, in 48 uur geleverd.

Wat het CCB heeft gezegd

Twee punten uit de bronnen van het CCB die we lazen:

• Voorrang tot april 2027. De inspectiedienst controleert tegen 18 april 2027 bij voorrang of essentiële entiteiten maatregelen hebben die gelijkwaardig zijn aan CyFun Important. De brief van 11 augustus 2026 noemt nieuwe dreigingen van geavanceerde AI als reden.
• Bewijs op vraag. Bij belangrijke entiteiten kan het CCB bewijs vragen dat de maatregelen uitgevoerd zijn, bijvoorbeeld na een incident (FAQ van het CCB).

Onze lezing: geen van beide punten is een uitstel, en een gedocumenteerde inhaalbeweging is de positie die je kunt tonen als iemand ernaar vraagt.