Key takeaways

• Organisaties die hun eigen energie opwekken in België worden nu beschouwd als essentiële entiteiten onder de richtlijn Netwerk- & Informatiebeveiliging (NIS2).
• De NIS2 verplicht organisaties om tien cyberbeveiligingsmaatregelen te implementeren, waaronder een plan om te reageren op cyberincidenten en beleid om cyberbewust gedrag onder werknemers te bevorderen.
• Niet-naleving van NIS2 leidt tot zware straffen, waaronder boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële organisaties.

België is een van de eerste Europese landen die de richtlijn Netwerk- & Informatiebeveiliging (NIS2) volledig implementeren in 2024, waardoor essentiële en belangrijke organisaties verplicht worden om hun cyberbeveiligingsmaatregelen te versterken. Een unieke interpretatie door de Belgische autoriteiten breidt deze strenge regelgeving zelfs uit naar kleine bedrijven die hun eigen energie opwekken, zoals bedrijven met zonnepanelen.

NIS2, een EU-richtlijn die gericht is op het versterken van de cyberweerbaarheid van organisaties waarvan de verstoring van de dienstverlening een aanzienlijke impact zou kunnen hebben op de samenleving, schrijft een zorgplicht en een meldingsplicht voor.

Tien verplichte maatregelen voor cyberbeveiliging

De NIS2 verplicht organisaties om tien cyberbeveiligingsmaatregelen te implementeren, waaronder een plan om te reageren op cyberincidenten en beleid om cyberbewust gedrag onder werknemers te bevorderen. De meldingsplicht verplicht hen om significante incidenten die van invloed zijn op hun diensten te melden bij het Computer Security Incident Response Team (CSIRT) of de sectorspecifieke toezichthouder.

Het Centre for Cybersecurity Belgium (CCB), de Belgische regelgevende instantie, ziet toe op de naleving van deze verplichtingen door middel van proactieve monitoring van essentiële organisaties en reactieve monitoring van belangrijke organisaties na een incident. NIS2 breidt de reikwijdte van NIS1 uit door sectoren zoals voedselproductie, ruimte-exploratie, overheidsdiensten, post- en koeriersdiensten, leveranciers van elektronische communicatienetwerken en -diensten, afvalwaterbehandeling, digitale diensten (waaronder sociale netwerken) en kritieke productfabrikanten als “belangrijk” te categoriseren.

Uitgebreid toepassingsgebied

De kleinste organisaties zijn echter vrijgesteld van deze vereisten, in overeenstemming met de EU-regelgeving voor kleine en middelgrote ondernemingen (kmo’s). Ondanks deze vrijstelling blijven duizenden Belgische bedrijven, naar schatting tussen de 5.000 en 10.000, onderworpen aan NIS2. De Belgische interpretatie breidt dit toepassingsgebied verder uit door organisaties die hun eigen energie opwekken, zoals organisaties met zonnepanelen of windturbines, te classificeren als essentiële entiteiten.

Bijgevolg zullen duizenden bedrijven meer moeten voldoen aan NIS2, wat een aanzienlijke impact heeft op hen en op de serviceproviders die helpen bij de implementatie. Om aan deze vereisten te voldoen, moet er aanzienlijk worden geïnvesteerd in hardware en software voor de verbetering van de cyberbeveiliging en is deskundig personeel nodig. Gezien de schaarste aan deskundigen op het gebied van cyberbeveiliging en de stijgende kosten van tools, worden organisaties geconfronteerd met aanzienlijke financiële lasten, waardoor hun IT- en beveiligingsbudgetten mogelijk verdubbelen.

Het beschermen van IT-systemen

Het hoofddoel van NIS2 is om de veerkracht van organisaties te vergroten door IT-systemen te beschermen. Het snel melden van incidenten helpt de samenleving te beschermen door het bewustzijn over potentiële bedreigingen te vergroten. Organisaties moeten prioriteit geven aan preventieve maatregelen binnen het kader van de zorgplicht, dat tien belangrijke aspecten omvat: passende cyberbeveiligingsmaatregelen tegen cyberbedreigingen, beheer van cyberincidenten, een plan om te reageren op cyberincidenten, cyberbeveiligingsoverwegingen voor leveranciers, cyberbeveiligingsvereisten voor op het netwerk aangesloten apparaten, verlagen van het cyberrisiconiveau, bevorderen van cyberbewust gedrag onder werknemers, gebruik van cryptografische technieken, identiteits- en toegangsbeheer, activabeheer en aanvullende maatregelen voor de bescherming van vertrouwelijke gegevens of communicatie.

Naleving en sancties

Niet-naleving van NIS2 wordt bestraft met zware boetes. Essentiële organisaties riskeren boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welke hoger is. Belangrijke organisaties riskeren boetes tot 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet. Bovendien kunnen essentiële organisaties te maken krijgen met tijdelijke opschorting van certificeringen of licenties, en hun leiders met tijdelijke schorsingen.

De invoering van NIS2 vormt een grote uitdaging voor duizenden Belgische bedrijven, vooral voor kleinere die onverwacht onder het toepassingsgebied vallen. Met strikte deadlines, hoge boetes en uitgebreide managementverantwoordelijkheden wordt cyberbeveiliging van het grootste belang voor organisaties van alle groottes. De komende maanden zal blijken hoe effectief zij zich aan deze nieuwe realiteit aanpassen.

Wil je toegang tot alle artikelen, geniet tijdelijk van onze promo en abonneer je hier!