Een ICT-dienstverlener zit in twee dossiers tegelijk. Enerzijds kan het eigen bedrijf rechtstreeks onder de Belgische NIS2-wet vallen als aanbieder van beheerde diensten. Anderzijds krijgt vrijwel elke IT-partner vragenlijsten van klanten die zelf onder de wet vallen en hun keten moeten kunnen verantwoorden. Die tweede beweging raakt ook de dienstverleners die formeel buiten het toepassingsgebied blijven.
Deze gids behandelt de scopevraag voor Belgische IT-bedrijven: wie valt rechtstreeks onder de wet van 26 april 2024, wanneer telt een groepsstructuur mee, wat verandert er aan het toezicht naargelang de classificatie, en welke garanties kunt u wel en niet geven aan uw klanten.
In het kort
- Een ICT-dienstverlener valt rechtstreeks onder de Belgische NIS2-wet vanaf 50 voltijdse medewerkers of 10 miljoen euro jaaromzet, als aanbieder van beheerde diensten onder Bijlage I van de wet van 26 april 2024.
- De drempels worden berekend op het niveau van de volledige economische groep. Een IT-bedrijf met vijftien medewerkers binnen een grotere holding kan daardoor wel plichtig zijn.
- Aanbieders van openbare elektronische communicatie, vertrouwensdiensten, domeinnaamregisters en DNS-diensten vallen onder de wet ongeacht hun omvang.
- Er bestaat geen NIS2-certificaat. Conformiteit toont u aan met het CyberFundamentals-raamwerk van het CCB of met ISO/IEC 27001 en een passende Verklaring van Toepasselijkheid.
- Kleinere dienstverleners buiten het toepassingsgebied krijgen dezelfde eisen alsnog via de contracten van hun gereguleerde klanten.
Valt uw IT-bedrijf rechtstreeks onder NIS2?
Een Belgische ICT-dienstverlener valt rechtstreeks onder de wet van 26 april 2024 wanneer hij minstens 50 voltijdse medewerkers telt of een jaaromzet van meer dan 10 miljoen euro haalt, en zijn activiteit past binnen een categorie uit Bijlage I of II. Blijft het bedrijf onder beide drempels, dan geldt er geen registratieplicht bij het Centrum voor Cybersecurity België, maar blijven de contractuele eisen van klanten wel overeind.
De wet spreekt over “aanbieders van beheerde diensten” en “aanbieders van beheerde beveiligingsdiensten”. Het doorslaggevende criterium is niet wat u verkoopt maar welke toegang u hebt: structurele administratie of bijstand, ter plaatse of op afstand, op de systemen van een klant. Wie enkel hardware levert of een adviestraject uitvoert zonder systeemtoegang, valt buiten die definitie.
Welke ICT-activiteiten vallen onder welke categorie?
| Categorie | Wat valt eronder | Wat valt erbuiten | Classificatie bij voldoende omvang |
|---|---|---|---|
| Aanbieder van beheerde diensten (MSP) | Operationeel beheer, configuratie, onderhoud en monitoring van systemen en toepassingen van klanten, ter plaatse of op afstand | Eenmalige hardwareverkoop zonder beheersovereenkomst, bekabelingswerken, advies zonder systeemtoegang | Bijlage I, punt 8: belangrijk bij middelgroot, essentieel bij groot |
| Aanbieder van beheerde beveiligingsdiensten (MSSP) | Uitbesteed toezicht, beheer van detectiesystemen, logging, kwetsbaarhedenbeheer en incidentrespons | Losse softwarelicenties zonder actieve dienstverlening, een eenmalige test zonder doorlopend contract | Bijlage I, punt 8: belangrijk of essentieel |
| Aanbieder van clouddiensten | Publieke, private en hybride IaaS, PaaS en SaaS met rekencapaciteit of toepassingen op afstand | Software die uitsluitend binnen het eigen datacenter van de klant draait | Bijlage I, punt 7: belangrijk of essentieel |
| Aanbieder van datacentrumdiensten | Datacenterfaciliteiten, colocatie en rackverhuur met stroomvoorziening, klimaatbeheersing en fysieke beveiliging | Verhuur van gewone kantoorruimte, serverkasten voor eigen gebruik | Bijlage I, punt 7: belangrijk of essentieel |
| Netwerken voor levering van inhoud (CDN) | Cachinginfrastructuur en verdeelde servers die webdiensten versnellen en beschikbaar houden | Webontwikkeling of grafisch werk zonder eigen distributie-infrastructuur | Bijlage I, punt 7: belangrijk of essentieel |
| Digitale aanbieders | Online marktplaatsen, zoekmachines en sociale netwerken die derden faciliteren | Een webshop die uitsluitend de eigen producten verkoopt | Bijlage II, punt 6: belangrijk |
Voor de volledige sectorindeling buiten de ICT-sector verwijzen we naar het sector-per-sectoroverzicht van NIS2 in België.
De valkuil: uw groep telt mee, uw dienstenaanbod soms ook
Twee bepalingen halen bedrijven binnen het toepassingsgebied die zichzelf er buiten rekenen.
De eerste is de groepsberekening. De Belgische wet berekent de drempels op het niveau van de volledige economische groep, volgens de Europese kmo-definitie uit Aanbeveling 2003/361/EG. Verbonden ondernemingen, waarin meer dan 50 procent van het kapitaal of de stemrechten wordt gehouden, tellen voor honderd procent mee. Bij partnerondernemingen, met een belang tussen 25 en 50 procent, gebeurt de optelling naar evenredigheid. Een IT-kantoor met vijftien medewerkers dat deel uitmaakt van een investeringsholding of een overkoepelende IT-groep kan daardoor juridisch als middelgroot gelden.
De tweede is de uitzondering ongeacht omvang. Aanbieders van openbare elektronische-communicatienetwerken of -diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en aanbieders van domeinnaamsysteemdiensten vallen onder de wet, ook met vijf medewerkers. Een IT-bedrijf dat voor derden publieke DNS-resolvers uitbaat, zit daar dus in. Daarnaast kan het CCB een individuele onderneming aanwijzen als essentiële entiteit wanneer zij de enige aanbieder is van een kritieke dienst of wanneer uitval systemische gevolgen heeft.
Bent u plichtig, dan hoort daar een registratie bij via Safeonweb@work. De algemene deadline daarvoor liep af op 18 maart 2025; laattijdige inschrijving blijft mogelijk en nodig. De praktische stappen staan in ons artikel over de registratie bij het CCB.
Essentieel of belangrijk: wat het verschil betekent voor een MSP
De classificatie bepaalt niet zozeer welke maatregelen u moet nemen, wel hoe zwaar het toezicht weegt en wie de bewijslast draagt.
| Kenmerk | Belangrijke entiteit | Essentiële entiteit |
|---|---|---|
| Typisch profiel in de ICT-sector | Middelgrote MSP’s, hosters en datacenterproviders | Grote MSP’s en datacenters vanaf 250 medewerkers of meer dan 50 miljoen euro omzet |
| Toezicht door het CCB | Reactief: inspectie na een incident, een klacht of aanwijzingen van niet-naleving | Proactief: structurele inspecties en audits, ook zonder aanleiding |
| Aantoonbaarheid | Interne dossiervorming en zelfbeoordeling | Periodieke conformiteitsbeoordeling door een geaccrediteerde instantie |
| CyberFundamentals-niveau | Important, met 133 maatregelen, op basis van risicoanalyse | Essential, met 218 maatregelen, of ISO/IEC 27001 met Verklaring van Toepasselijkheid |
| Maximale geldboete | 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet |
In beide gevallen kan het CCB bindende herstelmaatregelen opleggen en inbreuken openbaar maken. Bij essentiële entiteiten komt daar de mogelijkheid bij om bestuursleden tijdelijk te schorsen. De algemene uitleg over de indeling staat in het artikel over essentiële en belangrijke entiteiten.
Wat de wet vraagt van uw eigen beheeromgeving
Artikel 30 van de Belgische wet verplicht passende technische en operationele maatregelen. Voor een dienstverlener draait dat vooral om de omgeving waarmee u klanten beheert, want dat is het punt waar één inbraak tientallen klanten raakt.
- Bevoorrechte toegang. Technici werken niet langer met permanente beheeraccounts, maar krijgen toegang per opdracht, met meervoudige authenticatie en sessielogging op de beheerconsoles.
- Back-ups en continuïteit. Gegevens en configuraties, inclusief die in clouddiensten, krijgen geografisch gescheiden en onveranderlijke kopieën, met herstelprocedures die periodiek beproefd worden.
- Incidentbeheer. Een gedocumenteerd responsplan dat aansluit op de meldketen bij het CCB: een vroegtijdige waarschuwing binnen 24 uur, een formele melding binnen 72 uur en een eindverslag binnen één maand. Die meldplicht staat los van de melding van een datalek bij de Gegevensbeschermingsautoriteit binnen 72 uur.
- Bestuur. Het leidinggevend orgaan keurt het beleid goed, ziet toe op de uitvoering en volgt zelf opleiding. Die verantwoordelijkheid is niet overdraagbaar aan de technische ploeg of aan een externe partij.
Wat klanten contractueel van u eisen, en wat u van uw leveranciers moet eisen
Gereguleerde klanten moeten de beveiliging van hun toeleveringsketen kunnen aantonen. In de praktijk komt dat bij een IT-partner binnen als een security-vragenlijst, gevolgd door contractclausules. Wat zo’n vragenlijst vraagt en hoe u ze beantwoordt, staat in ons artikel over de security-vragenlijst van klanten; de bredere verplichting is uitgewerkt in het artikel over ketenverantwoordelijkheid.
Drie clausules duiken stelselmatig op in managed services-overeenkomsten. Een auditrecht, waarbij de klant of diens auditor inzage krijgt in auditrapporten en documentatie en een jaarlijkse verificatie mag uitvoeren. Een meldtermijn die korter is dan de wettelijke 24 uur, vaak 4 tot 12 uur, omdat de klant zelf binnen 24 uur bij het CCB moet melden. En serviceniveaus voor het dichten van kwetsbaarheden, waarbij kritieke fouten binnen 48 tot 72 uur gepatcht moeten zijn.
Diezelfde zorgplicht geldt stroomopwaarts. Een dienstverlener integreert beheersoftware, clouddiensten en hostingfaciliteiten van derden in zijn eigen omgeving. Dat vraagt een inventaris met risicoclassificatie, waarbij leveranciers van hulpmiddelen met verregaande rechten in de hoogste klasse komen. Verwerkersovereenkomsten, opslag binnen de Europese Economische Ruimte, en de geldigheid en reikwijdte van ISO/IEC 27001- of SOC 2-attesten horen periodiek gecontroleerd te worden. Standaard gebruiksvoorwaarden van een grote leverancier volstaan daarbij niet als bewijs. Voorzie ook een exitscenario voor het geval een toeleverancier wegvalt.
Wat u uw klanten niet mag beloven
Twee claims komen vaak terug in de markt en houden geen stand.
De eerste is dat u een klant “volledig NIS2-compliant maakt”. De wettelijke vereisten omvatten bestuur, personeelsbeleid, fysieke toegang en risicobeheer. Een externe partner kan daar een deel van invullen, nooit het geheel: de eindverantwoordelijkheid blijft bij het bestuursorgaan van de klant. Bij een inspectie wordt die belofte meteen weerlegd, en de klant die op uw woord afging, staat dan met lege handen.
De tweede is de verkoop van software of een beheeromgeving als “NIS2-gecertificeerd”. Er bestaat geen productcertificering onder de wetgeving. Zelfontworpen keurmerken kunnen door de Economische Inspectie beoordeeld worden als oneerlijke handelspraktijk in de zin van Boek VI van het Wetboek van Economisch Recht, en een klant die door uw voorstelling van zaken een sanctie oploopt, heeft een burgerrechtelijke aanspraak.
Wat wel werkt, is aantoonbaarheid. Een CyberFundamentals-label of een ISO/IEC 27001-certificaat op uw eigen beheersysteem maakt van elke klantaudit een formaliteit. De niveaus en het traject staan beschreven in ons artikel over CyFun-certificering. Levert u aan banken of verzekeraars, dan geldt bovendien DORA als apart kader, uitgewerkt in het artikel over DORA voor ICT-leveranciers.
“Wij zijn met twaalf, dit gaat over telecomoperatoren”
Die redenering klopt juridisch. Een zelfstandig IT-bedrijf met twaalf medewerkers en een omzet onder tien miljoen euro valt buiten de directe drempels, hoeft zich niet te registreren en krijgt geen inspectie van het CCB. Wie dat nagaat en tot die conclusie komt, heeft gelijk.
Commercieel houdt de redenering minder lang stand. Uw klanten opereren niet geïsoleerd. Een boekhoudkantoor doet de loonadministratie van een transportbedrijf, een installateur levert aan een ziekenhuis. Zodra die afnemers ketenaudits krijgen van hún gereguleerde klanten, komt de vraag bij de beheerder van hun IT-systemen terecht. Daar komt bij dat aanvallers kleinere dienstverleners gericht viseren omdat één beheeromgeving toegang geeft tot tientallen netwerken, en dat cyberverzekeraars hun acceptatievoorwaarden aanscherpen rond meervoudige authenticatie, toegangsbeheer en geteste back-ups. Het gevolg is zelden een boete. Het gevolg is dat de beste klanten vertrekken naar een partij die de garanties wel op papier heeft.
Waar u het best begint
Voor de meeste Belgische IT-bedrijven begint het traject met twee vaststellingen: valt u onder de wet, en wat kunt u vandaag aantonen als een klant morgen een auditrapport vraagt. Cyberplan voert die scopebepaling en nulmeting uit tegen het CyberFundamentals-raamwerk, begeleidt het traject naar Basic, Important of Essential en test de beheeromgeving waarop uw klantendienstverlening draait. Een vrijblijvend gesprek volstaat om te bepalen welk niveau in uw situatie realistisch is. Meer over onze aanpak vindt u op de pagina over NIS2-begeleiding.
Veelgestelde vragen
Valt een MSP altijd onder de NIS2-wetgeving?
Nee. Een aanbieder van beheerde diensten valt rechtstreeks onder de Belgische wet van 26 april 2024 vanaf 50 medewerkers of 10 miljoen euro omzet, of wanneer de groep waartoe hij behoort die drempels haalt. Kleinere dienstverleners krijgen dezelfde eisen doorgaans via de contracten van hun gereguleerde klanten.
Wat is het verschil tussen een MSP en een MSSP onder NIS2?
Een MSP verzorgt operationeel beheer, configuratie en onderhoud van systemen. Een MSSP levert uitbestede beveiligingsactiviteiten zoals monitoring, detectie, kwetsbaarhedenbeheer en incidentrespons. Beide staan in Bijlage I van de Belgische NIS2-wet als aanbieders van beheerde diensten en volgen dezelfde verplichtingen.
Kan een IT-bedrijf een NIS2-certificaat aanvragen?
Nee, de wetgever voorziet geen NIS2-certificaat. In België toont u conformiteit aan met het CyberFundamentals-raamwerk van het CCB of met een geaccrediteerde ISO/IEC 27001-certificering, aangevuld met een Verklaring van Toepasselijkheid waarin de wettelijke risicobeheersmaatregelen zijn opgenomen.
Moet een IT-bedrijf met twintig werknemers zich registreren bij het CCB?
Een zelfstandige onderneming met minder dan 50 medewerkers en minder dan 10 miljoen euro omzet hoeft zich in beginsel niet te registreren. Registratie is wel verplicht bij publieke DNS-diensten, telecomactiviteiten of vertrouwensdiensten, en wanneer de bedrijvengroep waartoe het bedrijf behoort de drempels overschrijdt.
Kunnen bestuurders van een IT-bedrijf persoonlijk aansprakelijk zijn?
Ja. De Belgische NIS2-wet legt de goedkeuring van en het toezicht op de beveiligingsmaatregelen uitdrukkelijk bij het bestuursorgaan, samen met een opleidingsplicht. Bij ernstige nalatigheid kan die verantwoordelijkheid leiden tot persoonlijke aansprakelijkheid en, bij essentiële entiteiten, tot een tijdelijke schorsing.
Binnen welke termijn moet een ICT-dienstverlener een incident melden?
Een plichtige dienstverlener dient binnen 24 uur een vroegtijdige waarschuwing in bij het CCB, binnen 72 uur een formele melding met eerste impactbeoordeling en binnen één maand een eindverslag. Klantcontracten leggen daarnaast vaak een kortere interne meldtermijn op, meestal tussen 4 en 12 uur.
