Voor energie-, water- en afvalbedrijven verandert NIS2 vooral één ding: niet wat u moet doen, wel wie er komt kijken en wanneer. Energie en drinkwater staan in de zwaarste categorie van de Belgische wet van 26 april 2024 en vallen daardoor onder proactief toezicht. Afvalbeheer zit een categorie lager, met toezicht dat pas in gang komt na een incident of een klacht.
Daar komt een tweede eigenheid bij. In deze sectoren draait de kern van het bedrijf op procesbesturing die decennia meegaat en die externe firma’s op afstand onderhouden. De zorgplicht uit de wet reikt daardoor verder dan de kantooromgeving, tot in de onderhoudscontracten met machinebouwers en integratoren.
In het kort
- Energie en drinkwater staan in Bijlage I van de Belgische NIS2-wet. Vanaf 250 medewerkers of 50 miljoen euro omzet gelden zij als essentiële entiteit met proactief toezicht; daaronder als belangrijke entiteit.
- Afvalbeheer staat in Bijlage II en geldt in de regel als belangrijke entiteit, met reactief toezicht. De zorgplicht zelf geldt wel vanaf de inwerkingtreding van de wet.
- Wie onder de Belgische wet van 19 december 2025 wordt aangeduid als kritieke entiteit, is altijd essentieel, ongeacht omvang.
- Essentiële entiteiten moeten tegen 18 april 2027 het niveau CyberFundamentals Essential aantonen, of een remediëringsplan indienen dat minstens het niveau Important bereikt.
- Cyberbeveiliging valt onder het CCB. De VREG, de VMM en de OVAM behouden hun eigen toezicht op netbeheer, waterlevering en afvalverwerking, met eigen meldingen bij incidenten.
Valt uw energie-, water- of afvalbedrijf onder NIS2?
Een nutsbedrijf valt onder de Belgische NIS2-wet wanneer het actief is in een deelsector uit Bijlage I of II en minstens 50 voltijdse medewerkers telt of meer dan 10 miljoen euro omzet haalt. Energie- en drinkwaterbedrijven gelden vanaf 250 medewerkers of 50 miljoen euro omzet als essentiële entiteit; afvalverwerkers zijn in de regel belangrijke entiteit. Een aanduiding als kritieke entiteit maakt een organisatie altijd essentieel.
| Deelsector | Wie valt eronder | Indeling | Toezicht naast het CCB |
|---|---|---|---|
| Elektriciteit | Producenten, transmissie- en distributienetbeheerders, leveranciers, marktexploitanten | Bijlage I: essentieel bij groot, belangrijk bij middelgroot | CREG federaal, VREG voor de Vlaamse distributie |
| Stadsverwarming en -koeling | Exploitanten van warmte- en koudenetten | Bijlage I: essentieel of belangrijk | VEKA en VREG |
| Aardolie | Pijpleidingen, raffinage, productie en opslag | Bijlage I: essentieel of belangrijk | FOD Economie, Algemene Directie Energie |
| Aardgas | Distributeurs, transmissie-, opslag- en LNG-beheerders | Bijlage I: essentieel of belangrijk | CREG federaal, VREG voor de distributie |
| Waterstof | Productie, opslag en transmissie | Bijlage I: essentieel of belangrijk | FOD Economie |
| Laadinfrastructuur | Exploitanten van openbare laadpunten | Bijlage I: essentieel of belangrijk | Departement Mobiliteit en Openbare Werken |
| Drinkwater | Leveranciers en distributeurs van water voor menselijke consumptie | Bijlage I: essentieel of belangrijk; kleinere spelers kunnen aangewezen worden | Vlaamse Milieumaatschappij |
| Afvalwater | Inzameling, afvoer en zuivering van stedelijk of industrieel afvalwater | Bijlage I: essentieel of belangrijk | Vlaamse Milieumaatschappij en Aquafin |
| Afvalbeheer | Inzameling, sortering, verwerking en verwijdering van afval | Bijlage II: belangrijk; essentieel enkel na aanduiding als kritieke entiteit | OVAM |
Onder de vorige wetgeving wees de overheid individuele bedrijven aan als aanbieder van een essentiële dienst. Dat aanwijzingsmodel is verdwenen: de wet van 26 april 2024 werkt rechtstreeks, en elke organisatie bepaalt zelf of ze aan de criteria voldoet en registreert zich bij het CCB. Daardoor zitten nu ook middelgrote spelers, intercommunales en toeleveranciers in het toepassingsgebied. Het volledige overzicht per sector staat in ons artikel over de NIS2-sectoren in België, en de indeling zelf is uitgewerkt in het artikel over essentiële en belangrijke entiteiten.
Een publiekrechtelijk statuut verandert daar niets aan. Intercommunales en gemeentelijke water- of afvalbedrijven die een economische of vitale activiteit uitoefenen binnen Bijlage I of II, worden op dezelfde manier behandeld als private ondernemingen.
Wat proactief toezicht concreet betekent
Het onderscheid tussen essentieel en belangrijk zit niet in de maatregelen, wel in de manier waarop de toezichthouder optreedt. Bij belangrijke entiteiten komt het CCB in actie na een gemeld incident, een klacht of concrete aanwijzingen. Bij essentiële entiteiten gebeurt toezicht structureel en ook zonder aanleiding.
De inspectiedienst van het CCB kan onaangekondigd langskomen op operationele sites, controlekamers en datacenterfaciliteiten. Inspecteurs mogen inzage eisen in risicobeoordelingen, auditrapporten, configuratiebestanden en logbestanden van beheerdersaccounts, en kunnen op eigen initiatief kwetsbaarheidsscans uitvoeren op extern bereikbare interfaces. Een detail dat in budgetgesprekken vaak ontbreekt: de kosten van die inspecties en van de opvolgingsaudits worden via een wettelijke retributie verhaald op de gecontroleerde organisatie.
Bij tekortkomingen beschikt het CCB over een oplopende reeks maatregelen: waarschuwingen, bindende aanwijzingen, de aanstelling van een externe toezichtsfunctionaris, en bij aanhoudende nalatigheid de schorsing van vergunningen of een tijdelijk beroepsverbod voor bestuurders. De administratieve boete kan voor essentiële entiteiten oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, en voor belangrijke entiteiten tot 7 miljoen euro of 1,4 procent.
De tijdlijn richting april 2027
De inspectiedienst stemt haar toezicht inhoudelijk af op het CyberFundamentals-raamwerk. Essentiële entiteiten moeten tegen 18 april 2027 aantoonbaar voldoen aan het niveau Essential. Dat bewijs kan via een certificatie door een geaccrediteerde conformiteitsbeoordelingsinstantie, via een gelijkwaardig ISO/IEC 27001-certificaat aangevuld met NIS2-specifieke verificaties, of via een inspectieverslag van het CCB. Wie die datum niet haalt, dient een formeel remediëringsplan in dat minstens het niveau Important aantoont, met een tijdgebonden stappenplan en toegewezen budgetten om tegen 18 april 2028 alsnog Essential te bereiken.
Melden: drie stappen, en soms twee loketten
Bij een incident met significante impact geldt een meldketen in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een formele kennisgeving met een eerste technische beoordeling binnen 72 uur, en een eindverslag met oorzaakanalyse en herstelmaatregelen binnen één maand.
In deze sectoren komt daar een tweede spoor bij. Bedreigt het incident de drinkwatertoevoer of veroorzaakt het lozingen, dan blijft de meldingsplicht aan de bevoegde gewestelijke inspectiediensten gelden, los van de melding bij het CCB. Cyberbeveiliging is federale materie, de continuïteit en kwaliteit van de dienst blijven dat niet. Zet beide sporen daarom samen in hetzelfde incidentplan, met de contactgegevens erbij, in plaats van ze tijdens een crisis uit elkaar te moeten halen.
De zorgplicht reikt tot bij uw onderhoudsfirma’s
Pompgemalen, schakelstations, zuiveringsinstallaties en sorteerlijnen worden gebouwd en onderhouden door externe systeemintegratoren, machinebouwers en engineeringbureaus. De Belgische wet verplicht entiteiten om de beveiliging van hun toeleveringsketen te beheersen: de kwaliteit en de veiligheidspraktijken van directe leveranciers moeten systematisch beoordeeld worden, en de veiligheidsaspecten moeten in de contracten en de werkafspraken zitten.
Vier bepalingen horen daarom in elk onderhoudscontract thuis.
- Audit- en inspectierecht. Uw organisatie en de inspectiedienst van het CCB moeten de beveiligingsmaatregelen van de leverancier kunnen controleren, ter plaatse en op afstand.
- Meldplicht in de keten. Een leverancier meldt elk beveiligingsincident dat uw systemen kan raken binnen een strikte termijn, in de praktijk 12 tot 24 uur, zodat u uw eigen termijn van 24 uur haalt.
- Toegang op afroep. Geen permanente onbewaakte verbindingen en geen gedeelde onderhoudsaccounts. Externe toegang wordt geactiveerd per onderhoudsvenster, met individueel traceerbare accounts, meervoudige authenticatie en logging tot op het niveau van de uitgevoerde commando’s.
- Transparantie over software. Leveranciers van besturingssoftware en toepassingen leveren een Software Bill of Materials, zodat kwetsbaarheden in onderliggende componenten opgespoord kunnen worden. Dat sluit aan op de Europese Cyber Resilience Act.
Uitbesteden verschuift de verantwoordelijkheid niet. Bij een incident via een onderhoudspartij blijft uw organisatie de entiteit die tegenover het CCB moet aantonen dat zij passende maatregelen nam.
“Onze procesomgeving staat los van het internet”
Die stelling houdt bij een grondige doorlichting zelden stand, en ze is geen verweer tegenover een inspectie. Vier verbindingen duiken vrijwel altijd op.
Meetgegevens over debieten, verbruik of verwerkte volumes moeten doorstromen naar rapportering- en facturatiesystemen in de kantooromgeving, wat een permanente doorgang veronderstelt. Servicetechnici van externe firma’s koppelen hun eigen laptop rechtstreeks aan programmeerpoorten van apparatuur; is die laptop elders besmet geraakt, dan passeert de besmetting elke controle aan de buitenrand. Installateurs plaatsen mobiele modems in sturingskasten om zelf diagnoses te kunnen stellen, buiten het zicht van de IT-organisatie om. En firmware, configuraties en programmatuur reizen op USB-dragers van de ene installatie naar de andere.
Daar komt de levensduur van de apparatuur bij. Componenten in transformatiestations, zuiveringsbekkens en sorteerinstallaties gaan vijftien tot meer dan dertig jaar mee. Veel ervan kent geen ingebouwde authenticatie en kan niet bijgewerkt worden zonder het proces te onderbreken. Het verschil tussen die wereld en de kantooromgeving staat uitgewerkt in ons artikel over het onderscheid tussen IT en OT, en hoe u zulke systemen test zonder de productie te raken, leest u in het artikel over het veilig testen van operationele technologie.
Wat er in deze sectoren al misging
| Organisatie | Datum | Type | Impact |
|---|---|---|---|
| Limburg.net | 13 december 2023 | Inbraak op administratieve en operationele servers | Gegevens van 292.734 personen buitgemaakt, waaronder 13.118 rijksregisternummers en 555 rekeningnummers; wekenlange uitval van de digitale dienstverlening en opvolging door de Gegevensbeschermingsautoriteit |
| 22 Deense netbeheerders | Mei 2023 | Gecoördineerde aanvalsgolf | Gelijktijdige compromittering van 22 infrastructuurbedrijven; omschakeling naar handmatige aansturing om uitval te voorkomen, gedocumenteerd door SektorCERT |
| South Staffordshire Water | Augustus 2022 | Ransomware met toegang tot sturingssystemen | Aanvallers claimden manipulatie van chemische dosering; de drinkwatervoorziening voor 1,6 miljoen consumenten moest via noodprotocollen geverifieerd worden |
| Enercon, via het satellietnetwerk KA-SAT | 24 februari 2022 | Destructieve aanval op satellietcommunicatie | Uitval van de verbindingen met 5.800 windturbines in Centraal-Europa, waardoor sturing op afstand dagenlang onmogelijk was |
Het Belgische dossier bij Limburg.net is het duidelijkste voorbeeld van hoe de twee regimes samenkomen. De aanval raakte een afvalintercommunale, dus een belangrijke entiteit met reactief toezicht, maar het onderzoek liep wel degelijk, met de toezichthouder voor gegevensbescherming en het parket erbij. Reactief toezicht betekent niet dat de verplichting pas begint bij een inspectie: blijkt achteraf dat basismaatregelen ontbraken, dan kan het CCB alsnog optreden wegens nalatigheid.
Waar u het best begint
Drie stappen bepalen of u april 2027 haalt zonder remediëringsplan. Ten eerste een risicobeoordeling die de kantooromgeving én de procesomgeving omvat, opgesteld met de procesingenieurs aan tafel en niet enkel met de IT-dienst. Ten tweede een meldprocedure die de drie termijnen van het CCB combineert met de gewestelijke meldingen. Ten derde een gap-analyse tegen het CyberFundamentals-raamwerk op het niveau dat bij uw classificatie past, met een stappenplan en een budget per jaar.
Cyberplan voert die nulmeting uit en begeleidt het traject tot en met de conformiteitsbeoordeling. Wilt u eerst weten hoe uw organisatie er vandaag voor staat, dan brengt onze gratis scan in kaart welke systemen van buitenaf zichtbaar zijn en waar de grootste hiaten zitten. Meer over de aanpak leest u op onze pagina over NIS2-begeleiding. Bent u vooral toeleverancier van deze sectoren, dan is ons artikel over NIS2 en de Vlaamse maakindustrie het logische vertrekpunt.
Veelgestelde vragen
Valt een drinkwaterbedrijf automatisch onder NIS2?
Drinkwater staat in Bijlage I van de Belgische NIS2-wet van 26 april 2024, bij de zeer kritieke sectoren. Vanaf 50 medewerkers of 10 miljoen euro omzet valt het bedrijf onder de wet, met registratieplicht bij het CCB, formele risicobeheermaatregelen en, bij voldoende omvang, proactief toezicht.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?
Essentiële entiteiten zitten in de zeer kritieke sectoren en overschrijden de drempels voor grote ondernemingen, of zijn aangeduid als kritieke entiteit. Zij staan onder proactief toezicht met inspecties zonder aanleiding. Belangrijke entiteiten worden pas gecontroleerd na een incident, een klacht of aanwijzingen van niet-naleving.
Vallen afvalverwerkers onder NIS2 in Vlaanderen?
Ja. Afvalstoffenbeheer staat in Bijlage II van de Belgische NIS2-wet. Ondernemingen met minstens 50 werknemers of 10 miljoen euro omzet gelden als belangrijke entiteit. Zij moeten alle risicomaatregelen en meldplichten naleven, maar worden alleen reactief gecontroleerd door de toezichthouder.
Welke toezichthouder controleert een waterbedrijf bij een cyberincident?
Het toezicht op de NIS2-verplichtingen ligt bij het Centrum voor Cybersecurity België. De Vlaamse Milieumaatschappij blijft toezien op waterkwaliteit en leveringszekerheid. Een incident dat de dienstverlening raakt, leidt daardoor tot parallelle meldingen bij het federale en het gewestelijke niveau.
Blijft een nutsbedrijf aansprakelijk bij een incident via een onderhoudsfirma?
Ja. De zorgplicht uit de Belgische NIS2-wet legt de verantwoordelijkheid voor de beveiliging van de eigen systemen bij de entiteit zelf. Technisch onderhoud uitbesteden ontslaat het bestuur niet van de plicht om contractuele waarborgen, meervoudige authenticatie en gecontroleerde toegang op te leggen.
Volstaat een ISO 27001-certificaat voor NIS2?
Niet automatisch. ISO/IEC 27001 dekt het managementsysteem voor informatiebeveiliging, maar het CCB verwacht dat de NIS2-specifieke verplichtingen aantoonbaar zijn ingebed, waaronder ketenbeveiliging, de meldtermijnen en maatregelen voor procesbesturing, gevalideerd tegen het CyberFundamentals-raamwerk.
