Onder de Belgische NIS2-wet van 26 april 2024 meldt een essentiële of belangrijke entiteit elk significant incident aan het Centrum voor Cybersecurity België, via het formulier op notif.safeonweb.be. Dat gebeurt in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen één maand na die incidentmelding.
Dit artikel geeft het meldschema in één tabel, de praktische regels van het meldformulier en per fase een invulsjabloon dat u vandaag in uw incidentresponsplan zet. Want wie pas tijdens een incident uitzoekt hoe de NIS2-meldplicht werkt, haalt de 24 uur niet.
In het kort
- De NIS2-meldplicht geldt voor significante incidenten: incidenten die een ernstige verstoring of financieel verlies veroorzaken, of aanzienlijke schade aan anderen.
- Termijnen: 24 uur voor de vroegtijdige waarschuwing, 72 uur voor de incidentmelding, één maand later het eindverslag (artikel 35 van de NIS2-wet).
- U meldt via notif.safeonweb.be, zonder voorafgaande aanmelding. Beschrijvende velden zijn beperkt tot 500 tekens.
- Het CCB stuurt uw melding onmiddellijk door naar de sectorale overheid. Een aparte melding daar is voor de NIS2-kennisgeving niet nodig.
- Raakt het incident persoonsgegevens, dan meldt u daarnaast apart aan de Gegevensbeschermingsautoriteit.
Het NIS2-meldschema in één tabel
| Fase | Termijn | Wat u meldt | Kanaal |
|---|---|---|---|
| 1. Vroegtijdige waarschuwing | Binnen 24 uur nadat u kennis kreeg van het significante incident | Dat er een significant incident is, of het vermoedelijk door een onrechtmatige of kwaadwillige handeling komt en of het grensoverschrijdende gevolgen kan hebben | notif.safeonweb.be |
| 2. Incidentmelding | Binnen 72 uur na kennisname (24 uur voor verleners van vertrouwensdiensten) | Een update van de waarschuwing, een eerste beoordeling van ernst en gevolgen en, als die er zijn, indicatoren van compromittering | notif.safeonweb.be |
| Tussentijds verslag | Op vraag van het CCB of de sectorale overheid | Relevante updates over de stand van het incident | Op vraag |
| 3. Eindverslag | Uiterlijk één maand na de incidentmelding | Gedetailleerde beschrijving met ernst en gevolgen, het soort dreiging of de grondoorzaak, genomen en lopende maatregelen en eventuele grensoverschrijdende gevolgen | notif.safeonweb.be |
| Voortgangsverslag | Als het incident na één maand nog loopt; het eindverslag volgt dan binnen één maand nadat het incident afgehandeld is | De stand van zaken op dat moment | notif.safeonweb.be |
Die termijnen staan in artikel 35 van de wet van 26 april 2024, die op 18 oktober 2024 in werking trad. De volledige context van de wet, wie eronder valt en welke maatregelen ze vraagt, leest u in onze NIS2-gids voor Vlaamse bedrijven.
Wanneer is een incident significant onder NIS2?
Een incident is significant als het een ernstige operationele verstoring van de dienst of financieel verlies voor de entiteit veroorzaakt of kan veroorzaken, of als het andere personen of bedrijven aanzienlijke materiële of immateriële schade toebrengt of kan toebrengen. Zo omschrijft artikel 8, 57° van de Belgische NIS2-wet het. “Kan veroorzaken” is belangrijk: u hoeft niet te wachten tot de schade er is.
Voor digitale aanbieders, zoals cloud- en datacenterdiensten en managed service providers, legt Uitvoeringsverordening (EU) 2024/2690 van 17 oktober 2024 concrete drempels vast. Een voorbeeld: een rechtstreeks financieel verlies van meer dan 500.000 euro of 5 procent van de jaaromzet, het laagste van de twee. Ook incidenten die zich binnen zes maanden minstens twee keer voordoen met dezelfde oorzaak, kunnen samen significant worden. Voor andere sectoren geeft het CCB voorbeelden en criteria in zijn NIS2 Notification Guide.
Een korte toets die u in uw incidentresponsplan kunt opnemen:
- Is er een echte verstoring, inbreuk of ongeoorloofde toegang, of gaat het om een alarm dat zonder gevolgen is afgehandeld?
- Raakt het de systemen waarmee u uw NIS2-dienst levert?
- Veroorzaakt het, of kan het veroorzaken: een ernstige verstoring van die dienst, financieel verlies, of aanzienlijke schade bij klanten of anderen?
- Is het antwoord op vraag 3 ja, noteer dan het tijdstip van die vaststelling. Vanaf dat moment loopt de termijn van 24 uur.
Blijft u twijfelen, vraag het dan aan het CCB zelf. Juridisch advies op maat geeft dit artikel niet.
Hoe verloopt een melding via notif.safeonweb.be?
Het meldformulier staat op notif.safeonweb.be en vraagt geen voorafgaande aanmelding met eID, volgens de NIS2 Notification Guide van het CCB (versie 1.3, augustus 2025). Vier praktische punten uit die gids:
- 500 tekens per veld. De velden voor oorzaak, ernst en gevolgen zijn beperkt tot 500 tekens. Dat is ongeveer vier zinnen. Schrijf feiten, geen vermoedens die u niet kunt staven.
- Eén melding volstaat. Het CCB stuurt de melding onmiddellijk door naar de bevoegde sectorale overheid (artikel 34). Voor essentiële entiteiten gaat ze ook naar het Nationaal Crisiscentrum.
- Noodnummer. Is het formulier onbereikbaar, dan kan een NIS2-entiteit melden via het noodnummer +32 (0)2 501 05 60. Het CCB kan daarna een schriftelijke opvolging vragen.
- DORA gaat voor. Banken, verzekeraars en andere financiële entiteiten onder DORA volgen de NIS2-meldprocedure niet; zij melden volgens DORA.
Bewaar zelf een kopie van wat u invulde en het tijdstip van verzending. Dat is geen regel van het CCB, maar wel handig voor uw eigen dossier en voor de volgende fase, waarin u op de eerste melding voortbouwt.
Invulsjablonen per fase
Zet deze lijsten vooraf in uw incidentresponsplan, met de vaste gegevens al ingevuld. Tijdens een incident vult u dan alleen nog aan wat verandert. Hoe u zo’n plan in zes stappen opbouwt, leest u in ons artikel over een incidentresponsplan opstellen.
Sjabloon fase 1: vroegtijdige waarschuwing (24 uur)
- Naam van de organisatie en ondernemingsnummer (vooraf ingevuld)
- Essentiële of belangrijke entiteit, en sector (vooraf ingevuld)
- Contactpersoon voor het incident, met een telefoonnummer dat dag en nacht bereikbaar is (vooraf ingevuld)
- Datum en uur waarop u vaststelde dat het incident significant is
- Korte beschrijving: welke dienst of welke systemen zijn geraakt
- Vermoeden van een onrechtmatige of kwaadwillige handeling: ja, nee of nog onbekend
- Mogelijke gevolgen in andere EU-landen: ja, nee of nog onbekend
Sjabloon fase 2: incidentmelding (72 uur)
- Referentie van de vroegtijdige waarschuwing
- Wat er sinds de waarschuwing veranderd is
- Eerste beoordeling van de ernst: welke diensten, hoe lang, hoeveel gebruikers of klanten
- Eerste inschatting van de gevolgen, ook voor klanten en partners
- Indicatoren van compromittering, als u die al heeft: verdachte adressen, domeinen of bestanden
- Genomen maatregelen en wie het incident technisch opvolgt
- Zijn er aanwijzingen dat persoonsgegevens geraakt zijn? Zo ja: melding aan de GBA in voorbereiding
Sjabloon fase 3: eindverslag (één maand na de incidentmelding)
- Volledige beschrijving van het incident, met ernst en gevolgen
- Soort dreiging of grondoorzaak
- Genomen en nog lopende maatregelen om de gevolgen te beperken
- Eventuele grensoverschrijdende gevolgen
- Geplande verbeteringen, zoals bijkomende tests of een audit van de getroffen omgeving
“Een kmo zonder SOC haalt die 24 uur nooit”
Dat bezwaar hoort u vaak, en het is niet onredelijk. Een middelgroot Vlaams bedrijf heeft geen beveiligingsteam dat dag en nacht meekijkt, en een incident wordt soms pas uren later opgemerkt. Wie op dat moment ook nog een overheidsformulier moet uitzoeken, verliest tijd die de herstelling nodig heeft.
Drie dingen maken de termijn wel haalbaar. De 24 uur loopt vanaf het moment dat u kennis krijgt van het significante incident, niet vanaf het moment van de inbraak. De vroegtijdige waarschuwing vraagt geen forensisch onderzoek, alleen de paar gegevens uit het eerste sjabloon. En wie vooraf afspreekt wie beoordeelt, wie meldt en welke externe partner helpt, verliest tijdens het incident geen uren aan die vragen. Daarom hoort het meldschema in het incidentresponsplan, niet in een map die pas bovenkomt als de servers al stilliggen.
Welke andere meldplichten lopen parallel?
Een groot incident valt vaak onder meer dan één regel. De NIS2-melding aan het CCB vervangt geen enkele andere melding.
| Kader | Bij wie | Termijn | Meer lezen |
|---|---|---|---|
| NIS2 | CCB, via notif.safeonweb.be | 24 uur, 72 uur, één maand | Dit artikel |
| GDPR | Gegevensbeschermingsautoriteit | Zonder onredelijke vertraging, uiterlijk 72 uur | Een datalek melden bij de GBA |
| DORA (financiële sector) | Nationale Bank of FSMA | Eerste melding binnen 4 uur na classificatie als ernstig, uiterlijk 24 uur na kennisname | Volgt de DORA-procedure, niet de NIS2-procedure |
| Cyber Resilience Act (fabrikanten) | CSIRT en ENISA-platform | 24 uur en 72 uur | De CRA-meldplicht en tijdlijn |
Naast de meldingen aan overheden communiceert u ook met klanten, personeel en pers. Hoe u dat aanpakt, leest u in ons artikel over crisiscommunicatie na een cyberaanval.
Welke boetes staan er op het niet melden?
Artikel 59 van de NIS2-wet voorziet voor essentiële entiteiten administratieve geldboetes van 500 euro tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste bedrag van de twee. Voor belangrijke entiteiten is dat 500 euro tot 7 miljoen euro of 1,4 procent. Bij herhaling van dezelfde feiten binnen drie jaar wordt de boete verdubbeld. Het bestuur keurt de maatregelen goed en is ervoor verantwoordelijk (artikel 31), en bij essentiële entiteiten kan een leidinggevende tijdelijk geschorst worden (artikel 60). Of uw organisatie al correct geregistreerd is, controleert u met ons stappenplan voor de NIS2-registratie bij het CCB.
Hulp bij een incident of bij de voorbereiding
Cyberplan bouwt het NIS2-meldschema mee in uw incidentresponsplan en staat bij een incident naast u om de impact te beoordelen en de meldingen voor te bereiden. Meer over onze begeleiding bij de NIS2-verplichtingen leest u op de dienstpagina. Is er nu een incident? Vraag meteen hulp via onze interventiepagina.
Veelgestelde vragen
Binnen welke termijn meldt u een NIS2-incident bij het CCB?
Een significant incident meldt u binnen 24 uur met een vroegtijdige waarschuwing, binnen 72 uur met een incidentmelding en uiterlijk één maand na die incidentmelding met een eindverslag. Verleners van vertrouwensdiensten melden binnen 24 uur in plaats van 72 uur. Alles verloopt via notif.safeonweb.be, volgens artikel 35 van de Belgische NIS2-wet.
Moet u een bijna-incident melden aan het CCB?
Nee, een bijna-incident is niet meldingsplichtig onder NIS2. De meldplicht geldt alleen voor significante incidenten. U mag bijna-incidenten en cyberdreigingen wel vrijwillig melden. Het CCB behandelt vrijwillige meldingen op dezelfde manier, al kunnen verplichte meldingen voorrang krijgen.
Vervangt de NIS2-melding de melding aan de GBA?
Nee. De NIS2-melding aan het CCB en de melding van een datalek aan de Gegevensbeschermingsautoriteit zijn twee aparte meldingen, zegt het CCB in zijn meldgids. Raakt een incident persoonsgegevens, dan meldt u ook aan de GBA, uiterlijk binnen 72 uur volgens artikel 33 van de GDPR.
Wat als notif.safeonweb.be niet werkt?
Dan meldt een NIS2-entiteit via het noodnummer van het CCB, +32 (0)2 501 05 60. Volgens de NIS2 Notification Guide geldt die telefonische melding als kennisgeving wanneer het formulier onbereikbaar is. Het CCB kan daarna een schriftelijke opvolging vragen. Zet dat nummer vooraf in uw incidentresponsplan.
Mogen bedrijven die niet onder NIS2 vallen ook een incident melden?
Ja. Elke organisatie kan significante incidenten, cyberdreigingen en bijna-incidenten vrijwillig melden via hetzelfde formulier op notif.safeonweb.be. Volgens het CCB leidt een vrijwillige melding op zich niet tot een inspectie. U krijgt wel toegang tot het advies van het nationale CSIRT.
