Voor vele KMO’s komt dit als een verrassing: “Wij zijn toch geen energiebedrijf of ziekenhuis?” Maar NIS2 strekt zich uit tot een breed spectrum van sectoren en zelfs bedrijven die maar een deel van hun activiteiten in een risicosector hebben kunnen verplicht worden.
De inschrijvingsdeadline was 18 maart 2025 en dit voor essentiële en belangrijke entiteiten. Vanaf 18 april 2026 zullen de eerste zelfbeoordelingen en basiscompliance gecontroleerd worden. Tijd om te begrijpen wat dit voor u betekent en hoe u, indien nodig, uw bedrijf in regel brengt.
Waarom NIS2 er kwam: cyberdreiging als bedrijfsrisico nº 1
De digitalisering van onze economie zorgt ervoor dat zowat elke onderneming afhankelijk is van ITsystemen, data en online diensten. Cyberincidenten nemen ondertussen sneller toe dan ooit. De NIS2wet moet daarom de cyberweerbaarheid versterken van alle bedrijven die een impact kunnen hebben op de maatschappij bij een ernstige storing.
Cyber is niet langer alleen een ITdomein: het is een management verantwoordelijkheid. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij nalatigheid.
Valt uw bedrijf onder NIS2? Grote kans van wel.
U valt onder de NIS2wet als:
- uw onderneming middelgroot of groot is (≥50 medewerkers of >€10 miljoen omzet), én
- u actief bent in één van de sectoren in Bijlage I of II van de NIS2wet, zoals:
- digitale diensten (cloud, hosting, datacenters)
- productie & industrie
- post & koeriers
- afvalbeheer
- chemische producten
- voeding
- ITdienstverlening (managed services)
- onderzoek
- vervoer, energie, gezondheidszorg, water, overheid
Zelfs als die activiteit maar een beperkt onderdeel vormt van uw bedrijf, kan NIS2 toch gelden. Op Safeonweb@Work vindt u een officiële scopetest om dit te controleren.
Wat moet u concreet doen als bedrijfsleider? De vijf NIS2verplichtingen
1. Voer een risicoanalyse uit en stel een beveiligingsbeleid op
U moet aantonen dat u cyberrisico’s systematisch beheert: van toegangsbeheer tot patching, encryptie, backups en monitoring.
2. Meld cyberincidenten binnen strikte deadlines
Bij een ernstig incident moet u:
- binnen 24 uur een early warning doen
- binnen 72 uur een gedetailleerdere melding
- binnen 1 maand een eindrapport
Melden gebeurt via notif.safeonweb.be.
3. Train uw medewerkers en bestuur
Menselijke fouten zijn nog steeds de grootste oorzaak van datalekken. NIS2 verplicht dat management opleiding krijgt over zijn verantwoordelijkheden.
4. Beveilig uw volledige toeleveringsketen
Uw leveranciers mogen uw zwakke schakel niet zijn. U moet cybersecurityvereisten opleggen in contracten en nagaan of zij zelf veilig werken.
5. Registreer uw onderneming
Elke NIS2entiteit moet zich registreren bij het CCB via Safeonweb@Work. Voor de meeste bedrijven moest dit vóór 18 maart 2025 gebeuren, maar late registratie blijft mogelijk.
Wat gebeurt er als u niet voldoet? De boetes zijn stevig.
NIS2 voorziet:
- tot €10 miljoen boete of 2% van uw wereldwijde omzet (essentiële entiteiten)
- tot €7 miljoen of 1,4% van de omzet (belangrijke entiteiten)
- mogelijke persoonlijke sancties, zoals tijdelijke schorsing van bestuurders
Waarom NIS2 een kans is voor uw onderneming
NIS2 verplicht bedrijven om hun ITbeveiliging structureel te versterken. Dat klinkt als extra werk, maar de voordelen zijn duidelijk:
- minder risico op hacking en bedrijfsstilstand
- hogere betrouwbaarheid en vertrouwen bij klanten
- competitief voordeel bij aanbestedingen en partnerships
- betere continuïteit en lagere kosten op lange termijn
KMO’s kunnen bovendien subsidies via de KMOportefeuille krijgen voor NIS2compliance.
Hoe start u nu het beste? Een eenvoudig stappenplan
- Check of u in scope valt via Safeonweb@Work.
- Laat een risicoanalyse uitvoeren door een cybersecurity specialist.
- Stel een cybersecuritybeleid op met rollen, procedures en controles.
- Train uw personeel in cyberhygiëne en phishingherkenning.
- Voorzie extra beveiliging zoals MFA, firewalling, endpointbeveiliging en backups.
- Evalueer regelmatig met uw ITleveranciers en hostingpartners.
- Plan jaarlijkse audits en verbetercycli.
Conclusie: NIS2 is het nieuwe minimum
Voor bedrijfsleiders is het duidelijk: cyberveiligheid is een strategische prioriteit geworden. NIS2 verplicht sommigen onder u om gericht, meetbaar en aantoonbaar te werken aan cyberweerbaarheid.
Wie vandaag actie onderneemt, vermijdt niet alleen risico’s en boetes, maar bouwt ook aan een sterker, professioneler en toekomstbestendig bedrijf.
Nuttige links: [vlaanderen.be] ; [atwork.safeonweb.be] ; [ccb.belgium.be]
Wil u meer weten over cyber beveiliging en testen hoe veilig uw bedrijf is? Ontdek het hier.