Hoewel veel bedrijven nog aan het beoordelen zijn of NIS2 op hen van toepassing is, is één realiteit universeel: de tijdlijnen zijn vastgesteld en de autoriteiten verwachten gestructureerde, op bewijs gebaseerde vooruitgang. Het Centre for Cybersecurity Belgium (CCB) heeft dit glashelder gemaakt in zijn nationale richtlijnen en moedigt organisaties sterk aan om van Waakzaamheid over te gaan tot meetbare actie.
En zelfs als uw organisatie er niet direct bij betrokken is, wees u er dan van bewust dat het in de toeleveringsketen van een NIS2-entiteit kan vallen en dus geconfronteerd kan worden met de verplichting om risicobeheersmaatregelen voor cyberbeveiliging te implementeren vanwege een contractuele verplichting!
Waarom NIS2 nu belangrijker is dan ooit
Cyberaanvallen komen steeds vaker voor en hebben steeds grotere gevolgen. NIS2 heeft tot doel een hoog en uniform niveau van cyberbeveiliging in de EU tot stand te brengen door eisen te stellen aan maatregelen voor cyberbeveiligingsrisicobeheer en aan rapportageverplichtingen. Goede cyberbeveiliging draait niet alleen om naleving; het is levensnoodzakelijk en ook een belangrijk concurrentievoordeel!
Belangrijke deadlines waarop u moet anticiperen
België is een van de EU-lidstaten die de richtlijn volledig en op tijd hebben omgezet. Bijgevolg, nalevingstermijnen zijn nu actiefzonder verwachte vertragingen.
Dit zijn de mijlpalen waarop alle inscope organisaties zich moeten voorbereiden:
Reeds gepasseerd: 18 oktober 2024
Organisaties moeten minimale risicobeheersmaatregelen voor cyberbeveiliging nemen en alle significante incidenten melden.
Reeds gepasseerd: 18 maart 2025 – Identificatie & registratie
Van organisaties die moeten voldoen aan NIS2 wordt verwacht dat ze al geregistreerd zijn via het officiële CCB-platform (Mijn organisatie registreren | CCB Safeonweb) en hun categorie hebben geïdentificeerd (belangrijk of essentieel). Deze stap vormt de basis voor alle volgende verplichtingen.
Binnenkort: 18 april 2026 – Eerste beoordeling & bewijs van implementatie
Essentiële entiteiten moeten aantonen dat ze zijn begonnen met het beheren van de implementatie van cyberbeveiliging. Hiervoor zijn 3 keuzes beschikbaar:
- hun reikwijdte, verklaring van toepasselijkheid en meest recente interne audit doorgeven aan het CCB als ze ervoor hebben gekozen om ISO/IEC 27001 gecertificeerd te zijn;
- een verificatie verkrijgen van een conformiteitsbeoordelingsinstantie (CAB) als ze ervoor kiezen om het CyberFundamentals (CyFun®)-kader dat is ontwikkeld door de CCB, en voldoen aan het basis- of belangrijke zekerheidsniveau op basis van hun risicobeoordeling;
- Hun zelfevaluatie van CyFun® Basic of Belangrijk, of hun ISO 27001 informatiebeveiligingsbeleid, reikwijdte en verklaring van toepasselijkheid aan het CCB sturen, indien zij ervoor hebben gekozen om rechtstreeks te laten inspecteren door het CCB.
Vervolgens: 18 april 2027 – Certificering of geavanceerde verificatie
Deze mijlpaal markeert de volledige toepassing van de NIS2-regelgeving. Essentiële entiteiten moeten hun sterke implementatie van cyberbeveiligingsmaatregelen bewijzen door:
- Certificering verwerven door een CAB als ze ervoor kiezen om ISO/IEC 27001 gecertificeerd te zijn;
- een verificatie door een CAB verkrijgen voor het zekerheidsniveau Belangrijk, of certificering voor het zekerheidsniveau Essentieel, als ze ervoor kiezen om de CyFun® Kader;
- Verslag uitbrengen over de voortgang in naleving als ze ervoor kiezen om rechtstreeks worden geïnspecteerd door het CCB.
Het Belgische kader: CyFun® als natuurlijke weg voorwaarts
Het CCB is een groot voorstander van het CyberFundamentals (CyFun®)-raamwerk (CyberOnderdeelKader | CyFun). Het is het Belgisch referentiemodel voor NIS2-conformiteit gewordenen wint aan populariteit in andere lidstaten, aangezien het ook officieel is aangenomen door Ierland en Roemenië en door anderen wordt bekeken. In tegenstelling tot algemene internationale standaarden is CyFun® specifiek ontworpen om aan te sluiten bij de wettelijke verplichtingen onder NIS2:
- Besturing op maat
- Belgisch–specifieke rapportageverwachtingen
- Duidelijk maturiteitspad / maturity path
- Directe compatibiliteit met CCB-borgings- en certificeringsprogramma’s
- Of u CyFun® nu alleen gebruikt of in combinatie met ISO 27001/27035/22301, vroegtijdige afstemming vergemakkelijkt de mijlpalen 2026 en 2027 aanzienlijk.
Wat moet je nu doen?
Om niet overweldigd te worden door de mijlpalen van 2026 & 2027, zouden organisaties reeds bezig moeten zijn met:
- Hun risicoanalyse te voltooien
- Hun ISMS te bouwen of te verfijnen
- Rollen en bestuursstructuren te definiëren
- Een inventarisatie te maken van hiaten ten opzichte van NIS2-vereisten
- Opstellen of bijwerken van beveiligingsbeleid en -procedures
- Het opzetten van workflows voor het rapporteren van incidenten in lijn met Belgische verplichtingen
- De afhankelijkheid van leveranciers en kritieke dienstverleningsketens beoordelen
Hoe eerder deze fundamenten zijn gelegd, hoe soepeler de overgang naar verificatie of certificering zal verlopen.
Approach Cyber kan u ondersteunen door middel van een gestructureerde, end-to-end methodologie voor beoordeling, implementatie, beheer en voortdurende verbetering.
Of je nu net begint of al diep in de implementatie zit, Approach Cyber kan uw oplossing zijn. betrouwbare partner die NIS2 verandert van een verplichting in een veerkrachtig operationeel voordeel.
” Lees ook het artikel:‘NIS2-richtlijn: versterking cyberveiligheid in Europa‘