NIS2 en uw gemeente of kmo: wat verandert er echt?

"Geldt dat NIS2 ook voor ons?"

Als u een kmo runt of in een gemeentebestuur zit, is de kans groot dat uw mailbox het voorbije jaar volliep met NIS2-webinars, NIS2-checklists en leveranciers die "NIS2-proof" plots als verkoopargument ontdekten. De toon is meestal dezelfde: de deadline nadert, de boetes zijn gigantisch, koop nu.

Tijd voor een rustiger antwoord. De wet bestaat echt, ze is in België al van kracht sinds 18 oktober 2024, en voor sommige organisaties verandert ze veel. Maar voor de meeste Belgische kmo's verandert ze minder dan de reclamemails suggereren, en gemeenten zitten in een aparte situatie die zelden correct wordt uitgelegd. Hieronder de feiten, zonder verkooppraat.

Eén kanttekening vooraf: wij zijn een IT- en securitybedrijf, geen advocatenkantoor. Voor een formele juridische analyse van uw situatie is het Centrum voor Cybersecurity België (CCB) de autoriteit, en bij twijfel loont juridisch advies. Wat hieronder staat is de stand van zaken midden 2026, gebaseerd op de wet en de publicaties van het CCB.

Wat is NIS2, in twee alinea's

NIS2 is een Europese richtlijn (2022/2555) die organisaties die belangrijk zijn voor de samenleving of de economie een minimumniveau van cyberbeveiliging oplegt. België zette ze om via de wet van 26 april 2024, die op 18 oktober 2024 in werking trad. Daarmee was ons land er vroeg bij; veel buurlanden waren toen nog aan het schrijven.

De toezichthouder is het CCB, dat ook het nationale CSIRT is (het team waar u cyberincidenten meldt). De wet draait rond drie dingen: uw risico's beheersen met passende maatregelen, ernstige incidenten snel melden, en het bestuur persoonlijk verantwoordelijk maken voor beide.

Wie valt eronder, echt

Hier gaat de meeste bangmakerij de mist in. NIS2 geldt niet voor "alle bedrijven". Er zijn twee filters, en u moet door allebei:

1. Sector. Uw activiteit moet in bijlage I of II van de wet staan. Daar staan onder meer energie, transport, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, post, afvalbeheer, chemie, voeding, industrie en digitale aanbieders.
2. Grootte. U hebt minstens 50 medewerkers, of zowel een jaaromzet als een balanstotaal boven 10 miljoen euro.

Een brasserie met twaalf man personeel? Valt er niet onder. Een boekhoudkantoor met dertig medewerkers? Valt er niet onder. Een voedingsproducent met tachtig werknemers? Valt er waarschijnlijk onder. Er bestaan uitzonderingen waarbij kleinere organisaties toch aangeduid worden (bijvoorbeeld bepaalde digitale diensten of entiteiten die de overheid expliciet aanwijst), dus controleren blijft verstandig. Het CCB heeft daarvoor een test op zijn website om dat na te gaan.

De wet kent twee categorieën. Essentiële entiteiten (de grootste organisaties in de meest kritieke sectoren) krijgen proactief toezicht en riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten worden achteraf gecontroleerd, met boetes tot 7 miljoen euro of 1,4%. Die bedragen zijn maxima; de boete in een concreet geval hangt af van de ernst van de inbreuk.

En uw gemeente?

Dit is het deel dat het vaakst fout wordt uitgelegd, dus we zeggen het precies: Belgische gemeenten vallen niet automatisch onder NIS2. De wetgever nam federale en gewestelijke overheidsdiensten op als sector, maar lokale besturen niet als categorie.

Een gemeente valt er pas onder in twee gevallen: ofwel oefent ze zelf een kritieke activiteit uit de bijlagen uit (denk aan drinkwater- of afvalwaterbeheer in eigen beheer) én haalt ze de groottedrempel, ofwel wordt ze door de overheid expliciet als entiteit aangewezen. Voor de meeste gemeenten is dat vandaag niet het geval.

Kunt u dan opgelucht ademhalen en niets doen? Nee. Dat is beleid, geen verkooppraat van ons. De Vlaamse Regering verplicht elke Vlaamse overheidsdienst en elk lokaal bestuur dat buiten NIS2 valt om tegen 1 januari 2030 minstens CyberFundamentals Basic of ISO 27001 te halen; gemeenten in Brussel en Wallonië informeren best bij hun eigen gewest. Digitale basishygiëne wordt dus de norm voor elk Vlaams lokaal bestuur, ook zonder NIS2-label. De VVSG volgt dit dossier op voor de Vlaamse gemeenten; het beleid voor lokale besturen is nog in beweging, dus vraag de actuele stand na bij het CCB of de VVSG voor uw specifieke situatie.

Valt u onder NIS2? Dit moet u concreet doen

Vier plichten vormen de kern van de wet:

1. Registreren bij het CCB. Dat gebeurt via het portaal Safeonweb@work. De officiële deadline was 18 maart 2025 en is dus voorbij. Hebt u ze gemist, registreer dan nu.
2. Passende beveiligingsmaatregelen nemen. De wet somt domeinen op: risicoanalyse, incidentafhandeling, back-ups, toegangsbeheer, beveiliging van de toeleveringsketen en opleiding. België heeft daarvoor een eigen praktisch kader uitgewerkt, de CyberFundamentals (CyFun), met niveaus Basic, Important en Essential. Een CyFun-verificatie of -certificering door een geaccrediteerde instelling, of een ISO 27001-certificering, geeft u een vermoeden van conformiteit. Essentiële entiteiten moeten hun conformiteit ook aantonen. De eerste deadline voor essentiële entiteiten was 18 april 2026 (een CyFun-verificatie Basic of Important, of ISO 27001-documenten bezorgd aan het CCB); de volgende is 18 april 2027 voor de beoogde CyFun-certificering. Controleer de precieze termijnen voor uw categorie bij het CCB.
3. Incidenten melden. Bij een significant incident geldt een strak ritme: een eerste waarschuwing binnen 24 uur, een vollediger melding binnen 72 uur, en een eindrapport binnen een maand. Melden doet u via het meldpunt van het CCB (notif.safeonweb.be).
4. Het bestuur draagt de verantwoordelijkheid. Dit is misschien wel de grootste verandering. Het bestuursorgaan moet de maatregelen goedkeuren, erop toezien, en zelf opleiding volgen. De directie kan cyberveiligheid dus niet langer volledig doorschuiven naar "de IT'er". Ook medewerkers moeten regelmatig getraind worden.

Valt u er niet onder? U krijgt NIS2 tóch op uw bord

Ook wie buiten de wet valt, ontsnapt er in de praktijk niet helemaal aan, om één simpele reden: de toeleveringsketen. Organisaties die wél onder NIS2 vallen, moeten de veiligheid van hun leveranciers beoordelen. Levert uw kmo diensten aan een ziekenhuis, een energiebedrijf of een grote voedingsproducent, dan mag u zich aan vragenlijsten en contractuele veiligheidseisen verwachten. Wie daar vlot op kan antwoorden, heeft een streepje voor op concurrenten die moeten improviseren.

En los van elke wet: phishingmails lezen geen wetteksten. De aanvallen die Belgische kmo's en gemeentediensten treffen (valse facturen, gekraakte mailboxen, CEO-fraude) maken geen onderscheid tussen wie onder NIS2 valt en wie niet. De basishygiëne die NIS2 oplegt is gewoon wat elke zaak vandaag nodig heeft.

Waar opleiding in dit verhaal past

Merk op wat er in die lijst met plichten staat: training is geen extraatje maar een wettelijke verplichting voor wie onder de wet valt, voor het bestuur én voor het personeel. Ook het CyberFundamentals-basisniveau, waar overheidsdiensten sowieso naartoe moeten, bevat bewustwording als bouwsteen.

Daar helpen wij concreet bij. Onze opleiding cyberveiligheid combineert phishingsimulaties, live hackingdemo's en korte trainingen op maat van uw sector. Meer over de menselijke kant leest u in ons stuk over de vermoeide medewerker als grootste risico.

Voor een gemeente of kmo die met NIS2 of CyberFundamentals bezig is, is zo'n traject meteen een deel van het huiswerk dat u kunt afvinken, met opleidingsregisters die u kunt voorleggen.

De eerlijke volgende stap

Geen paniek dus, en zeker geen overhaaste aankopen. Begin met drie vragen: staat mijn activiteit in bijlage I of II? Haal ik de groottedrempel? En lever ik aan klanten die onder NIS2 vallen? De antwoorden bepalen of u een wettelijke verplichting hebt, een commerciële realiteit, of gewoon een goede reden om de basis op orde te brengen.

Voor een klein kantoor dat vooral de basis op orde wil (gescheiden netwerken, de e-mailinstellingen van uw domein, een workshop voor het personeel) staat ons aanbod op de pagina IT-partner voor kmo's.

Wilt u die oefening samen maken, of meteen bekijken hoe training en simulaties in uw NIS2- of CyFun-huiswerk passen? Plan een vrijblijvend gesprek; we zeggen u eerlijk wat u nodig hebt, en ook wat niet.