Uw grootste klant stuurt een leveranciersvragenlijst en op regel veertien staat: “Voeg hier uw NIS2-certificaat toe.” Uw verzekeraar vraagt hetzelfde bij de verlenging van de polis. En in een bestek leest u dat de inschrijver conformiteit aantoont met een onafhankelijk auditattest.
U gaat op zoek naar dat papier. U vindt opleidingen, adviesbureaus die een traject van drie maanden beloven, en her en der een pagina die zegt dat het niet bestaat. Wat u niet vindt, is het antwoord op de enige vraag die telt: wat legt u dan wel neer?
In het kort
- Er bestaat geen officieel NIS2-certificaat voor organisaties. Noch de Europese richtlijn, noch de Belgische wet voorziet erin.
- Wat wel bestaat: een conformiteitsbeoordeling via het CyberFundamentals-kader van het CCB, of een ISO 27001-certificaat aangevuld met de specifiek Belgische verplichtingen.
- Een verificatieverklaring van minstens niveau Belangrijk levert een weerlegbaar vermoeden van conformiteit op. De bewijslast verschuift dan naar de toezichthouder.
- Een persoonsdiploma zoals NIS2 Lead Implementer zegt iets over uw medewerker, niets over uw organisatie.
- Alleen instanties die geaccrediteerd zijn door BELAC en erkend door het CCB mogen rechtsgeldige verificaties uitreiken.
Bestaat er een NIS2-certificaat?
Nee. Er bestaat geen officieel NIS2-certificaat voor organisaties. Noch de Europese richtlijn (EU) 2022/2555, noch de Belgische wet van 26 april 2024 voorziet in een overheidserkend keurmerk. Bedrijven tonen conformiteit aan via een conformiteitsbeoordelingsverslag op basis van het CyberFundamentals-raamwerk of via ISO 27001, uitgevoerd door een geaccrediteerde instantie.
Wie u een ingelijst “NIS2-certificaat” verkoopt, verkoopt een private verklaring zonder wettelijke status. Dat document heeft geen enkele erkenning bij het Centrum voor Cybersecurity België, en het kan bij een incident tegen u werken.
Waarom de wet er niet in voorziet
De omzetting van de richtlijn gebeurde via de wet van 26 april 2024, gepubliceerd op 17 mei 2024 en van kracht sinds 18 oktober 2024. Die wet legt verplichtingen op: risicobeheersmaatregelen, meldplichten en bestuursverantwoordelijkheid. Nergens legt ze een procedure vast om een certificaat te behalen.
Dat is geen omissie. NIS2 is wetgeving, geen norm. Een norm zoals ISO 27001 beschrijft een systeem waaraan u zich kunt laten toetsen. Een wet beschrijft een zorgplicht waaraan u permanent moet voldoen. U kunt zich niet laten certificeren voor het naleven van de wegcode.
Waarom Nederlandse zoekresultaten u op het verkeerde been zetten
Zoekt u in het Nederlands naar dit onderwerp, dan komt het merendeel van de resultaten uit Nederland. Dat is op zich geen probleem, behalve op één punt: het tijdpad verschilt. Nederland verschoof de invoering van zijn Cyberbeveiligingswet, waardoor veel hooggeplaatste pagina’s schrijven dat ondernemers nog tijd hebben.
Voor een Vlaams bedrijf klopt dat niet. De Belgische wet is al sinds 18 oktober 2024 onherroepelijk in werking. Belgische kmo’s moeten vandaag kunnen aantonen dat zij de verplichte maatregelen treffen. Wie zijn planning baseert op Nederlandse artikels, loopt achterstand op zonder het te weten.
Wat legt u dan wel voor?
Dit is de vraag waar het om draait, en het antwoord verschilt per vrager. Een inkoper wil iets anders zien dan een verzekeraar. Hieronder wat in de Belgische praktijk werkt.
Een klant of corporate opdrachtgever
Stuur een pakket, geen enkel document. Begin met een korte beleidsverklaring waarin u zakelijk toelicht dat een NIS2-certificaat juridisch niet bestaat en via welke erkende kaders u wel voldoet. Voeg daar uw geldige ISO 27001-certificaat of CyFun-attest bij, met de scopeverklaring waarin duidelijk staat welke activiteiten gedekt zijn. Vul aan met een geanonimiseerde managementsamenvatting van uw meest recente externe penetratietest en met de ingevulde beveiligingsvragenlijst, gemapt op de maatregelen uit artikel 30 van de wet.
Krijgt u een uitgebreide vragenlijst en weet u niet hoe u die aanpakt, dan behandelt het artikel over de security-vragenlijst van uw klant die oefening in detail.
Een cyberverzekeraar
Verzekeraars kijken naar schadebeperking en herstelcapaciteit. Zij willen uw gedocumenteerde en geteste incidentrespons- en herstelplan zien, inclusief bewijs van uitgevoerde back-uphersteltesten. Daarnaast bewijs van structurele personeelstraining met de resultaten van phishingsimulaties, en een externe verklaring dat multifactorauthenticatie, patchbeheer en logging effectief operationeel zijn.
Een bank of kredietverstrekker
Banken beoordelen continuïteit en bestuursrisico. Een door de zaakvoerder ondertekende bestuursverklaring over cyberrisicobeheer weegt hier zwaarder dan een technisch rapport, samen met het resultaat van uw meest recente zelfevaluatie en een verbeterplan waar een budget aan hangt.
Een aanbestedende overheid
Hier gelden formele regels. Een verificatieverklaring van niveau Important of Essential, uitgereikt door een instantie die door BELAC geaccrediteerd is, levert het vermoeden van conformiteit op grond van artikel 11 van het koninklijk besluit van 9 juni 2024. Dat kan een aanbesteder niet zomaar naast zich neerleggen. Beschikt u enkel over ISO 27001, voeg dan een equivalentiedossier toe waarin u aantoont dat de afwijkingen ten opzichte van de Belgische wet, zoals de meldprocedure binnen 24 uur, contractueel en operationeel afgedekt zijn.
De bewijsvormen naast elkaar
| Bewijsvorm | Wie reikt het uit | Wat het aantoont | Wat het niet aantoont | Geldig |
|---|---|---|---|---|
| CyFun-label Basic | Erkende conformiteitsbeoordelingsinstantie na steekproefmatige documentcontrole | Elementaire digitale hygiëne en bescherming tegen geautomatiseerde, niet-doelgerichte aanvallen | Levert geen wettelijk vermoeden van conformiteit voor belangrijke of essentiële entiteiten | 1 tot 3 jaar |
| CyFun-label Important of Essential | Door BELAC geaccrediteerde en door het CCB erkende instantie | Diepgaande implementatie van beveiligingsmaatregelen; levert het wettelijk vermoeden van conformiteit | Vrijwaart niet van de meldplichten bij incidenten of van aansprakelijkheid bij ernstige fouten | 3 jaar, met jaarlijkse opvolging |
| ISO/IEC 27001-certificaat | Geaccrediteerde certificatie-instelling | Een werkend beleids- en risicobeheersysteem voor informatieveiligheid | Geen automatische NIS2-conformiteit; dekt de Belgische meldplichten en leveranciersregels niet autonoom af | 3 jaar, met jaarlijkse toezichtsaudits |
| Conformiteitsbeoordelingsverslag | Door BELAC geaccrediteerde instantie | Onafhankelijke vaststelling van de werkelijke implementatiegraad van uw maatregelen | Is geen uithangbord; bevat vaak vertrouwelijke informatie en is niet bedoeld voor brede verspreiding | Verliest bewijskracht na 12 maanden zonder herbeoordeling |
| Zelfevaluatie | De organisatie zelf | Inzicht in de actuele interne stand van zaken en aantoonbare betrokkenheid | Externe objectiviteit; heeft geen juridische bewijskracht bij betwisting of inspectie | Momentopname, na ongeveer zes maanden achterhaald |
| Penetratietestrapport | Onafhankelijk cybersecuritybedrijf | De feitelijke technische weerbaarheid van configuraties op een bepaald moment | Organisatorische processen, continuïteitsplannen, personeelsbeleid en governance | Maximaal 12 maanden of tot een ingrijpende systeemwijziging |
Overweegt u tussen de twee kaders te kiezen, dan zet de vergelijking tussen beide kaders de afweging op een rij. De niveaus, doorlooptijden en kosten van het Belgische kader staan in het overzicht van de CyFun-niveaus.
Het vermoeden van conformiteit, en wat dat waard is
Het scharnierpunt in de Belgische regeling staat in artikel 11 van het koninklijk besluit van 9 juni 2024. Beschikt u over een geldige verificatieverklaring van minstens het niveau Belangrijk, dan wordt u wettelijk geacht te voldoen aan de verplichtingen van artikel 30 van de wet.
Dat is een weerlegbaar vermoeden, en dat woord doet er toe. Het CCB gaat uit van conform gedrag tenzij het tegendeel wordt vastgesteld. De bewijslast ligt bij de toezichthouder in plaats van bij u. Dat is precies het verschil tussen een dossier dat u ontlast en een stapel documenten die u bij elke vraag opnieuw moet verdedigen. Hoe die beoordeling verloopt en welke termijnen gelden, staat in het artikel over de conformiteitsbeoordeling.
Een diploma van uw medewerker is geen bewijs over uw bedrijf
In de Belgische markt circuleren verschillende persoonsgebonden certificeringen rond NIS2, van Lead Implementer-opleidingen tot directietrainingen. Die zijn nuttig. Ze tonen aan dat een individu geslaagd is voor een examen over de wetgeving.
Ze tonen niets aan over de systemen, processen en maatregelen van uw bedrijf. Een organisatie die het opleidingsattest van haar security officer instuurt als antwoord op een auditvraag, beantwoordt een andere vraag dan er gesteld werd. De inkoper vraagt naar de organisatie, niet naar de persoon.
Een tweede valkuil is scope-blindheid. Certificaten worden vaak uitgereikt voor een afgebakend onderdeel: één datacentersite, één applicatie. Legt een leverancier een certificaat voor waarvan de reikwijdte de geleverde dienst niet dekt, dan valt de bewijswaarde bij grondige controle onmiddellijk weg. Kijk dus altijd naar de scopeverklaring, ook bij uw eigen leveranciers.
“Ik koop gewoon dat papier”
Het argument klinkt in veel directiekamers, en het is niet dom: inkopers willen een vakje afvinken, portalen accepteren alles met het label certificaat, en voor drieduizend euro is uw commerciële blokkade weg. Op korte termijn de goedkoopste route.
Ze crasht in twee scenario’s, en beide zijn realistisch.
Bij een incident starten forensische onderzoeken door verzekeraar en eventueel gerecht. Blijkt dan dat u een privaat certificaat voorlegde terwijl elementaire maatregelen zoals MFA of geïsoleerde back-ups in werkelijkheid ontbraken, dan verandert dat document van bewijs in bezwarend materiaal. Uw klant kan u aanspreken wegens bedrog en contractuele wanprestatie. De verzekeraar kan dekking weigeren op grond van onjuiste risicoverklaringen bij het afsluiten van de polis. En bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor het nalaten van de maatregelen.
Het tweede scenario is banaler. Grote concerns besteden hun leveranciersaudits steeds vaker uit aan gespecialiseerde auditors. Die prikken meteen door een niet-geaccrediteerd certificaat heen. Dat leidt niet tot een vraag om verduidelijking, maar tot uitsluiting wegens integriteitsschending. Het gekochte papier lost het probleem niet op, het verhoogt uw risico.
Uw bewijsdossier samenstellen
Wat u nodig hebt, is geen certificaat maar een dossier dat u binnen een dag kunt versturen wanneer iemand ernaar vraagt. In de praktijk zit het verschil tussen bedrijven die dat binnen 24 uur klaar hebben en bedrijven die er drie weken over doen, niet in hun beveiligingsniveau. Het zit in of iemand het ooit heeft samengesteld.
Cyberplan helpt bij dat traject: van de nulmeting tegenover het Belgische kader, over de technische verificatie met een penetratietest, tot de begeleiding richting een formele conformiteitsbeoordeling. Wat in uw geval het snelste pad is, hangt af van uw sector, uw klantenbestand en wat er vandaag al ligt. Dat bekijken we het best samen in een vrijblijvend gesprek over uw NIS2-traject.
Veelgestelde vragen
Kan een Belgische kmo zich laten certificeren voor NIS2?
Nee. De wetgeving kent geen certificatieregeling voor organisaties. Wel kunt u een conformiteitsbeoordeling doorlopen via het CyberFundamentals-raamwerk of via ISO 27001, wat toezichthouders aanvaarden als bewijs van zorgplicht.
Waarom vragen klanten dan toch om een NIS2-certificaat?
Onder artikel 30 van de Belgische wet moeten gereguleerde organisaties toezien op de beveiliging van hun toeleveranciers. Inkoopafdelingen gebruiken de term NIS2-certificaat foutief als verzamelnaam voor een tastbaar bewijs van cybermaturiteit.
Wat houdt het vermoeden van conformiteit precies in?
Onder artikel 11 van het koninklijk besluit van 9 juni 2024 levert een verificatieverklaring van minstens het niveau Belangrijk een weerlegbaar vermoeden van conformiteit op. De toezichthouder beschouwt u als conform tenzij het tegendeel wordt vastgesteld.
Volstaat een ISO 27001-certificaat om NIS2-conform te zijn?
Op zichzelf niet. ISO 27001 vormt een sterke basis voor het managementsysteem, maar dekt de wettelijke meldtermijnen bij incidenten, de verplichte bestuurdersopleidingen en de sectorspecifieke ketenverplichtingen van de Belgische wet niet automatisch af.
Wie mag in België een officiële conformiteitsbeoordeling uitvoeren?
Alleen conformiteitsbeoordelingsinstanties die formeel geaccrediteerd zijn door BELAC volgens schema BELAC 2-405 en erkend zijn door het Centrum voor Cybersecurity België, zijn bevoegd om rechtsgeldige verificaties uit te reiken.
Wat is het verschil met een NIS2 Lead Implementer?
Dat is een persoonsgebonden certificering voor individuele professionals die aantoont dat zij de wetgeving en implementatiemethoden beheersen. Het zegt niets over het beveiligingsniveau of de conformiteit van de organisatie waar die professional werkt.
Is een zelfevaluatie voldoende voor onze klanten?
Voor kleinere klanten of niet-kritieke leveringen kan een zelfevaluatie tijdelijk volstaan. Grote ondernemingen, openbare instanties en verzekeraars eisen bij een verhoogd risicoprofiel doorgaans onafhankelijke externe verificatie.
Hoe lang blijft een CyFun-verificatie geldig?
Een formele verificatieverklaring heeft een geldigheidsduur van drie jaar, op voorwaarde dat de verplichte jaarlijkse tussentijdse zelfbeoordelingen worden uitgevoerd.
