Een NIS2-traject strandt bij Vlaamse kmo’s zelden op de techniek. Multifactorauthenticatie staat aan, de back-up draait, de firewall is ingericht. Waar het misloopt, is de vraag die een auditor daarna stelt: laat maar zien. Niet dat het werkt, maar dat u kunt aantonen dat het werkt, met een document dat een datum en een naam draagt.
Die verschuiving van doen naar aantonen is de kern van de Belgische NIS2-wet. Deze checklist geeft per verplichting het bewijsstuk dat een inspecteur van het Centrum voor Cybersecurity België of een auditor van een klant effectief opvraagt.
In het kort
- De Belgische NIS2-wet van 26 april 2024 is in werking sinds 18 oktober 2024. Er is geen overgangsperiode meer.
- Artikel 21, lid 2 van de richtlijn legt tien maatregelcategorieën op. De Belgische wet verankert die in artikel 30, § 5. De opleidingsplicht voor bestuurders staat apart, in de artikelen 27 tot en met 29.
- Per maatregel telt niet wat u doet, maar welk artefact u kunt voorleggen: een ondertekend beleid, een hersteltestverslag, een export van uw authenticatiesysteem.
- Voor een kmo van 10 tot 50 werknemers volstaat het niveau Basic van het CyberFundamentals-kader met 34 maatregelen. Vanaf 50 werknemers verwachten auditoren doorgroei naar Important.
- VLAIO betaalt tot de helft van een begeleidingstraject terug. De adviespijler van de kmo-portefeuille bleef sinds 1 februari 2026 uitsluitend voor cybersecurity bestaan.
Wat moet een Belgisch bedrijf onder NIS2 kunnen voorleggen?
Een Belgisch bedrijf toont NIS2-naleving aan met een gedocumenteerd compliancedossier. Dat bevat minimaal een door de directie goedgekeurd informatiebeveiligingsbeleid, een actueel risicoregister, een incidentresponsplan met de meldtermijnen van 24 uur, 72 uur en één maand, back-upherstelrapporten, leverancierscontracten met beveiligingsclausules en opleidingsbewijzen voor personeel en bestuur.
De wet van 26 april 2024 en de rol van het CCB
De Europese NIS2-richtlijn is in Belgisch recht omgezet via de wet van 26 april 2024, gepubliceerd in het Belgisch Staatsblad op 17 mei 2024 en van kracht sinds 18 oktober 2024. De uitvoeringsregels staan in het koninklijk besluit van 9 juni 2024, gewijzigd bij koninklijk besluit van 15 december 2024.
Het Centrum voor Cybersecurity België is de bevoegde nationale autoriteit. Registratie verloopt via het platform Safeonweb@Work, met een algemene deadline die op 18 maart 2025 lag. Wie zich nog niet registreerde, brengt dat best onmiddellijk in orde. Hoe die procedure verloopt, staat in onze handleiding voor de CCB-registratie.
Om die verplichtingen werkbaar te maken, hanteert het CCB het CyberFundamentals-raamwerk. Dat kent vier niveaus: Small met 7 maatregelen, Basic met 34, Important met 133 en Essential met 218. Sinds de editie 2025 volgt het kader de zes functies van NIST CSF 2.0: Govern, Identify, Protect, Detect, Respond en Recover.
Ook zonder directe verplichting krijgt u de vraag
Ondernemingen met minder dan 50 werknemers en minder dan 10 miljoen euro omzet vallen zelden rechtstreeks onder het toepassingsgebied. Dat betekent niet dat ze buiten schot blijven. Via de ketenzorgplicht in artikel 21, lid 2, d moeten gereguleerde afnemers de veiligheid van hun toeleveranciers borgen. Zij leggen dat contractueel door.
Het gevolg is zichtbaar in de praktijk. Kmo’s die leveren aan chemie, logistiek, voeding of energie krijgen vragenlijsten met 40 tot meer dan 100 technische controlepunten. Zonder dossier volgt geen boete, maar wel een opgeschorte opdracht. Wilt u eerst nagaan of u formeel onder de wet valt, dan geeft het sector-per-sector-overzicht daar uitsluitsel over.
Het bewijsstuk per punt: wat een auditor werkelijk opvraagt
De meeste checklists die u online vindt, herhalen de wettekst. Zorg voor een incidentenplan. Beveilig uw toeleveringsketen. Dat helpt u niet verder, want de vraag van een auditor gaat over het artefact: welk document, met welke datum, ondertekend door wie.
Onderstaande tabel zet per maatregel de wettelijke bepaling naast de bewijsstukken die in een auditdossier thuishoren.
| Nr. | Maatregel | Wat het concreet betekent | Vereist bewijsstuk | Grondslag |
|---|---|---|---|---|
| 1 | Risicoanalyse en beveiligingsbeleid | IT-activa, dreigingen en kwetsbaarheden systematisch in kaart brengen en vertalen naar beleid dat de directie vaststelt. | Ondertekend informatiebeveiligingsbeleid; risicoregister met waarschijnlijkheid en impact; risicobehandelplan met termijnen. | NIS2-wet art. 30, § 5, 1°; richtlijn art. 21.2(a) |
| 2 | Incidentenbehandeling | Detecteren, analyseren, inperken en documenteren van incidenten, met duidelijke escalatiepaden. | Incidentresponsplan met beslisboom voor de meldcadans; incidentenlogboek met oorzaakanalyse; registratiebevestiging Safeonweb@Work. | NIS2-wet art. 30, § 5, 2° en art. 33; richtlijn art. 21.2(b) |
| 3 | Bedrijfscontinuïteit en back-upbeheer | Kritieke processen kunnen hervatten na uitval, met back-ups waarvan het herstel getest is. | Continuïteits- en herstelplan met RTO en RPO; configuratierapport van de back-up met een onveranderbare kopie; verslag van de laatste hersteltest. | NIS2-wet art. 30, § 5, 3°; richtlijn art. 21.2(c) |
| 4 | Beveiliging van de toeleveringsketen | De cyberveiligheid van directe leveranciers, SaaS-aanbieders en IT-partners beoordelen en contractueel borgen. | Register van kritieke leveranciers met risicoclassificatie; contracten met beveiligingsbijlage en meldplicht; ingevulde en beoordeelde leveranciersvragenlijsten. | NIS2-wet art. 30, § 5, 4°; richtlijn art. 21.2(d) |
| 5 | Veilige verwerving, ontwikkeling en onderhoud | Veilige configuraties, periodieke kwetsbaarhedenscans en gecontroleerd patchbeheer. | Patchbeleid met patchvensters; rapporten van kwetsbaarhedenscans; wijzigingsbeheerprocedure en hardeningstandaarden. | NIS2-wet art. 30, § 5, 5°; richtlijn art. 21.2(e) |
| 6 | Beoordeling van de doeltreffendheid | Objectief toetsen of de maatregelen werken zoals bedoeld. | Interne of externe auditrapporten; pentestrapport met remediatiematrix en hertestresultaat; verslag van een crisisoefening op directieniveau. | NIS2-wet art. 30, § 5, 6°; richtlijn art. 21.2(f) |
| 7 | Cyberhygiëne en opleidingen | Medewerkers trainen in het herkennen van social engineering en het melden van verdachte situaties. | Trainingskalender met aanwezigheidslijsten; geaggregeerde resultaten van phishingsimulaties; ondertekende gedragscode voor ICT-gebruik. | NIS2-wet art. 30, § 5, 7°; richtlijn art. 21.2(g) |
| 8 | Cryptografie en encryptie | Gevoelige gegevens versleutelen, zowel opgeslagen als tijdens transport. | Cryptografisch beleid met toegestane algoritmen en sleutelbeheer; configuratiebewijs van schijfversleuteling op endpoints; overzicht van actieve TLS-certificaten. | NIS2-wet art. 30, § 5, 8°; richtlijn art. 21.2(h) |
| 9 | Personeelsbeveiliging en toegangsbeleid | Least privilege toepassen, rechten gecontroleerd uitgeven en intrekken, activa inventariseren. | Actueel assetregister; toegangsmatrix met overzicht van beheerdersrechten; gedocumenteerde in-, door- en uitstroomprocedure. | NIS2-wet art. 30, § 5, 9°; richtlijn art. 21.2(i) |
| 10 | Multifactorauthenticatie | Meervoudige authenticatie voor bedrijfsnetwerk, clouddiensten en alle accounts met verhoogde rechten. | Technische export die aantoont dat MFA op alle accounts afgedwongen is; beleid voor beheer van geprivilegieerde accounts; documentatie van noodcommunicatiemiddelen. | NIS2-wet art. 30, § 5, 10°; richtlijn art. 21.2(j) |
| 11 | Bestuursverantwoordelijkheid en directie-opleiding | De zaakvoerder keurt het beleid goed, volgt bijscholing en houdt toezicht op de uitvoering. | Getekende notulen met goedkeuring van het beleid; deelnamecertificaten van bestuurders; periodieke rapportage over de beveiligingsstatus aan het bestuur. | NIS2-wet art. 27 tot 29 en art. 30, § 13; richtlijn art. 20 |
Punt 11 wordt het vaakst overgeslagen en weegt het zwaarst. De opleidingsplicht voor het leidinggevend orgaan is geen aanbeveling: bij nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Wat die verplichting precies inhoudt, leest u in het artikel over de awarenessverplichting.
Wat is realistisch voor uw bedrijfsgrootte?
De wet hanteert een uitdrukkelijk proportionaliteitsbeginsel. De omvang van de maatregelen staat in verhouding tot de omvang van de entiteit, haar risicoblootstelling en de schade bij uitval. In de praktijk levert dat twee heel verschillende baselines op. Bestaande checklists slaan dat onderscheid over, waardoor een zaakvoerder van dertig man denkt dat hij een beheersysteem van een multinational moet bouwen.
10 tot 50 werknemers
Het niveau Basic van het CyberFundamentals-kader, met 34 maatregelen, volstaat om aan de zorgplicht te voldoen. Praktisch betekent dat:
- Een informatiebeveiligingsbeleid van zes tot tien pagina’s in gewone bedrijfstaal, ondertekend door de zaakvoerder.
- Een risicoregister in een spreadsheet met de vijf tot tien belangrijkste digitale risico’s en de maatregelen die erbij horen.
- MFA verplicht op alle zakelijke mailaccounts, cloudopslag en externe toegangspunten, met beheerdersaccounts strikt gescheiden van dagelijkse accounts.
- Dagelijkse geautomatiseerde back-ups waarvan minstens één kopie onbereikbaar is voor ransomware, plus een jaarlijkse hersteltest met een kort verslag.
- Gecentraliseerd patchbeheer, een ondertekende ICT-gedragscode en minstens één awarenessmoment per jaar met periodieke phishingtesten.
- Een gerichte directieopleiding van een dagdeel.
50 tot 250 werknemers
Hier verwachten auditoren Basic met doorgroei naar Important, tot 133 maatregelen. Het verschil zit vooral in formalisering en frequentie. Een beheersysteem met kwartaalrapportage aan het directiecomité. Een risicobeoordeling die jaarlijks herzien wordt of na elke ingrijpende wijziging in het applicatielandschap. Toegangsrechten die halfjaarlijks herzien worden. Gecentraliseerde logverzameling met actieve monitoring op servers en kritieke systemen. Een incidentresponsplan dat jaarlijks getest wordt in een crisisoefening met het managementteam. En een jaarlijkse onafhankelijke penetratietest op externe toegangspunten en kritieke webapplicaties, met een gedocumenteerd actieplan voor de bevindingen.
Zelf doen of uitbesteden?
Een deel van deze lijst hoort intern. Wie anders kent uw bedrijfskritieke processen? U inventariseert zelf welke systemen en gegevens uw bedrijf draaiende houden, wijst interne proceseigenaars aan en legt de directiegoedkeuring vast in notulen. U rolt MFA uit, trekt inactieve accounts in, schaft gedeelde beheerderswachtwoorden af en houdt een software- en hardware-inventaris bij. Dat vraagt discipline, geen consultant.
Drie onderdelen vragen wel externe hulp, en niet omdat ze moeilijk zijn. Ze vragen onafhankelijkheid. Een gap-analyse tegenover de wettelijke norm heeft alleen waarde als iemand anders ze uitvoert dan wie de systemen beheert. Hetzelfde geldt voor penetratietesten: u kunt de doeltreffendheid van uw eigen maatregelen niet geloofwaardig zelf beoordelen. En de formele conformiteitsbeoordeling is voorbehouden aan instanties die daarvoor geaccrediteerd zijn door BELAC en erkend door het CCB.
Een veelgemaakte fout in deze afweging is een kwetsbaarhedenscan verwarren met een penetratietest. Een scan zoekt geautomatiseerd naar bekende ontbrekende patches. Een pentest onderzoekt hoe verschillende zwakke plekken gecombineerd tot toegang leiden. Voor punt 6 van de checklist verwachten auditoren doorgaans het tweede.
Wat de overheid terugbetaalt
Het VLAIO Cybersecurity Verbetertraject vergoedt de helft van de advies- en begeleidingskosten bij een erkende dienstverlener. De pakketten lopen van START (7.100 tot 11.900 euro excl. btw) over MEDIUM (16.600 tot 28.600 euro) tot PLUS (26.500 tot 39.900 euro). Voor een kmo betekent dat een netto-inspanning tussen 3.550 en 19.950 euro. Grote ondernemingen die onder NIS2 vallen, krijgen 35 procent. Uitbreiding is mogelijk tot een gesubsidieerd projectplafond van 60.000 euro excl. btw. De kosten van de uiteindelijke externe certificering door een geaccrediteerde instantie vallen buiten deze steun.
Daarnaast is er de kmo-portefeuille. Sinds 1 februari 2026 is de adviespijler voor alle andere domeinen afgeschaft en blijft ze uitsluitend voor cybersecurity bestaan. Kleine ondernemingen krijgen 45 procent tussenkomst, middelgrote 35 procent, met een plafond van 7.500 euro per kalenderjaar.
“Een checklist houdt geen hackers tegen”
Dat bezwaar hoort u van ervaren IT’ers, en het is niet onterecht. Documentatie zonder technische uitvoering is waardeloos. Organisaties met certificaten aan de muur zijn evengoed getroffen door ransomware.
Toch doet een gestructureerde lijst twee dingen die techniek alleen niet doet. Ze dwingt operationele discipline af: zonder vastgelegd proces worden controles op inactieve accounts, hersteltesten en patchcycli onder werkdruk structureel uitgesteld. En ze heeft juridische waarde. Wanneer er iets misgaat, toont het dossier aan dat de directie niet nalatig is geweest. Dat is precies wat bestuursaansprakelijkheid en administratieve boetes afwendt.
Een tweede bezwaar dat vaak terugkomt: het CCB stelt de CyberFundamentals-tools gratis ter beschikking, dus waarom een externe partij betalen. De overheid levert het normenkader, maar voert het niet uit. Voor een zaakvoerder of IT-generalist kost het interpreteren van 34 of 133 controlepunten en het bepalen van wat proportioneel is aanzienlijk wat tijd en ervaring. En sommige onderdelen kan een organisatie niet integer over zichzelf uitvoeren.
Het derde bezwaar is het gevaarlijkst: belangrijke entiteiten vallen onder reactief toezicht, dus we wachten tot er controle komt. Zodra zich een incident voordoet, treedt handhaving met terugwerkende kracht in. Wie dan binnen 24 uur een vroegtijdige waarschuwing moet indienen maar niet kan aantonen dat risicoanalyse, back-upbeheer en incidentprocedures vooraf op orde waren, kijkt aan tegen verzwarende nalatigheid. Voor belangrijke entiteiten lopen de boetes op tot 7 miljoen euro of 1,4 procent van de omzet. Bovendien wacht de markt niet op inspecties: afnemers eisen bewijs voor de contractverlenging.
Aan de slag met uw eigen dossier
De lijst hierboven is volledig. U kunt ze vanaf dit scherm doorlopen en per punt nagaan welk bewijsstuk u vandaag al hebt liggen. Wilt u er comfortabeler mee werken, dan kunt u dezelfde checklist downloaden als werkdocument, met invulvelden voor de interne verantwoordelijke, de status per maatregel en de vindplaats van elk bewijsstuk.
Weet u niet waar u staat, dan is een nulmeting het snelste startpunt. Cyberplan voert een NIS2-scan uit die per maatregel aangeeft wat er ligt, wat ontbreekt en wat de eerstvolgende stap is. Op basis daarvan bekijken we samen of een subsidiabel verbetertraject zinvol is. Voor de volgorde waarin u de maatregelen best aanpakt, kunt u ook ons traject in zeven stappen raadplegen.
Veelgestelde vragen
Welke documenten heb ik nodig om NIS2-compliance aan te tonen?
Toezichthouders en auditoren verlangen een gedocumenteerd dossier met minimaal een door de directie goedgekeurd informatiebeveiligingsbeleid, een actueel risicoregister, een incidentresponsplan met de meldtermijnen, back-upherstelrapporten, leverancierscontracten met beveiligingsclausules en geregistreerde opleidingsbewijzen voor personeel en bestuurders.
Wat zijn de tien maatregelen uit artikel 21 van NIS2?
Risicoanalyse en beveiligingsbeleid, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, veiligheid bij verwerving en onderhoud van systemen, beoordeling van de doeltreffendheid, cyberhygiëne en opleiding, cryptografie, personeelsbeveiliging en toegangsbeleid, en multifactorauthenticatie of beveiligde communicatie.
Is het CyberFundamentals-kader verplicht in België?
CyFun is niet exclusief verplicht, maar geldt wel als het officiële referentiekader van het CCB. Essentiële entiteiten kunnen kiezen tussen een CyFun-verificatie, een ISO 27001-certificering aangevuld met specifieke NIS2-vereisten, of een directe CCB-inspectie. Voor belangrijke entiteiten levert een CyFun-niveau een wettelijk vermoeden van conformiteit op.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?
Het onderscheid volgt uit sector en ondernemingsgrootte. Essentiële entiteiten staan onder proactief toezicht met regelmatige inspecties en verplichte conformiteitsbeoordelingen. Belangrijke entiteiten vallen onder reactief toezicht: controle volgt na een gemeld incident, een klacht of gegronde aanwijzingen van ernstige tekortkomingen.
Moeten zaakvoerders verplicht een securityopleiding volgen?
Ja. De artikelen 27 tot en met 29 van de Belgische NIS2-wet leggen een uitdrukkelijke opleidingsplicht op aan bestuursorganen. Bestuurders moeten aantoonbaar kennis verwerven om cyberrisico’s te begrijpen, maatregelen goed te keuren en toezicht te houden. Bij nalatigheid riskeren zij persoonlijke aansprakelijkheid.
Hoe meldt een Belgisch bedrijf een NIS2-incident?
Significante incidenten meldt u via Safeonweb@Work. De procedure verloopt in drie fasen: een vroegtijdige waarschuwing binnen 24 uur na vaststelling, een gedetailleerde melding binnen 72 uur met een eerste impactbeoordeling, en een eindrapport uiterlijk één maand na het voorval.
Geldt NIS2 voor leveranciers met minder dan 50 werknemers?
Zelden rechtstreeks. Kleine ondernemingen vallen doorgaans buiten het formele toepassingsgebied, maar worden geraakt via de ketenzorgplicht. Gereguleerde klanten moeten de veiligheid van hun toeleveranciers waarborgen en eisen contractueel dat onderaannemers aantoonbare basisbeveiliging voorleggen.
Welke subsidies bestaan er voor NIS2-begeleiding in Vlaanderen?
Via het VLAIO Cybersecurity Verbetertraject krijgen kmo’s 50 procent subsidie op trajecten tussen 7.100 en 39.900 euro excl. btw, grote NIS2-bedrijven 35 procent. Daarnaast vergoedt de kmo-portefeuille cybersecurity-advies met 45 procent voor kleine en 35 procent voor middelgrote ondernemingen, tot 7.500 euro per jaar.
