Kennisbank · NIS2
Valt uw bedrijf onder NIS2? Beslishulp voor Belgische kmo's
Of de Belgische NIS2-wet op u van toepassing is, hangt af van vier dingen: waar u gevestigd bent, wat u doet, hoe groot u bent en of u onder een uitzondering valt. Deze pagina loopt ze in volgorde af, met de randgevallen waar kmo's zich het vaakst in vergissen.
Het kader
Wet van 26 april 2024, toezicht door het CCBNiet de sector alleen, maar de combinatie van vier factoren beslist
De wet van 26 april 2024 zet de Europese NIS2-richtlijn om in Belgisch recht en wordt gehandhaafd door het Centrum voor Cybersecurity België (CCB). De sectorlijsten volgen die van de richtlijn: bijlage I voor sectoren met hoge kritiekheid en bijlage II voor overige kritieke sectoren. Wat de verplichtingen inhouden en hoe de handhaving verloopt, leest u op de NIS2-pagina en de faseringspagina. Hier gaat het om één vraag: valt u erbinnen, en zo ja, als essentiële of als belangrijke entiteit?
Beslishulp
Vijf stappen om uw situatie vast te stellen
- 1Controleer uw vestiging: de wet geldt voor entiteiten die in België gevestigd zijn en een dienst uit de bijlagen aanbieden in de EU. Voor aanbieders van openbare elektronische communicatie telt dat zij diensten in België leveren. Voor cloud, datacenters, DNS, beheerde diensten en online platformen telt waar de hoofdvestiging ligt, dus waar de beslissingen over cyberrisico's grotendeels vallen.
- 2Zoek uw activiteit op in bijlage I of II. Kijk naar wat u effectief aanbiedt. Een NACE-code alleen is volgens het CCB geen geldige basis. Is uw bedrijf in meerdere sectoren actief, dan gelden de strengste verplichtingen voor de hele entiteit, niet enkel voor die ene activiteit.
- 3Bepaal uw grootte volgens de regels in het volgende blok, met uw groep erbij.
- 4Controleer de uitzonderingen die ongeacht de grootte gelden: zie de tabel. Het CCB kan ook zelf een entiteit aanduiden, bijvoorbeeld als u de enige aanbieder van een essentiële dienst bent.
- 5Noteer uw uitkomst en bevestig ze met de officiële scopetest van het CCB. Een onderbouwde notitie van die toets is nuttig als iemand later vraagt waarom u zich wel of niet registreerde.
De sectoren
Staat uw activiteit in bijlage I of bijlage II?
De Belgische wet neemt de sectoren van de Europese richtlijn over. Lees de omschrijving, niet enkel de sectornaam: binnen elke sector vallen alleen de opgesomde soorten entiteiten.
| Bijlage | Sector | Wie daaronder valt |
|---|---|---|
| I | Energie | Elektriciteit (onder meer leveranciers, netbeheerders, producenten en exploitanten van laadpunten), stadsverwarming en -koeling, aardolie, aardgas, waterstof |
| I | Vervoer | Lucht, spoor, water en weg: onder meer luchtvaartmaatschappijen, luchthavens, spoorwegondernemingen, rederijen, havenbeheerders en exploitanten van intelligente vervoerssystemen |
| I | Bankwezen en infrastructuur van de financiële markt | Kredietinstellingen, exploitanten van handelsplatformen, centrale tegenpartijen |
| I | Gezondheidszorg | Zorgaanbieders, EU-referentielaboratoria, onderzoek en ontwikkeling van geneesmiddelen, vervaardiging van farmaceutische basisproducten en van kritieke medische hulpmiddelen |
| I | Drinkwater en afvalwater | Leveranciers en distributeurs van drinkwater (behalve distributeurs voor wie drinkwater een niet-essentieel deel is van de distributie van andere goederen) en bedrijven die afvalwater opvangen, lozen of zuiveren, tenzij dat een niet-essentieel deel van hun activiteit is |
| I | Digitale infrastructuur | Internetknooppunten, DNS-aanbieders, TLD-registers, cloud, datacenters, netwerken voor contentlevering, vertrouwensdiensten, openbare elektronische communicatie |
| I | Beheer van ICT-diensten (B2B) | Aanbieders van beheerde diensten en van beheerde beveiligingsdiensten. Kleine IT-partners blijven zelf meestal buiten de wet, middelgrote en grote aanbieders vallen eronder. Klanten leggen hun IT-partner wel vaak contractueel dezelfde maatregelen op. |
| I | Overheid | Overheidsinstanties zoals de wet ze afbakent |
| I | Ruimtevaart | Exploitanten van grondinfrastructuur voor ruimtediensten |
| II | Post- en koeriersdiensten | Aanbieders van postdiensten, koeriers inbegrepen |
| II | Afvalstoffenbeheer | Bedrijven voor wie afvalbeheer de hoofdactiviteit is |
| II | Chemische stoffen | Vervaardiging, productie en distributie van stoffen en mengsels |
| II | Levensmiddelen | Levensmiddelenbedrijven actief in groothandel en in industriële productie en verwerking |
| II | Vervaardiging | Medische hulpmiddelen, informaticaproducten en elektronische en optische producten, elektrische apparatuur, machines, motorvoertuigen en aanhangwagens, andere transportmiddelen |
| II | Digitale aanbieders | Onlinemarktplaatsen, onlinezoekmachines, platformen voor sociale netwerken |
| II | Onderzoek | Onderzoeksorganisaties |
Sector en grootte
Zo vertaalt de combinatie zich naar uw categorie
Essentieel en belangrijk verschillen vooral in toezicht en bewijslast. De inhoudelijke verplichtingen voor risicobeheer en incidentmelding zijn dezelfde.
| Sector | Groot | Middelgroot | Klein of micro |
|---|---|---|---|
| Activiteit uit bijlage I | Essentieel | Belangrijk | Buiten scope, tenzij uitzondering |
| Activiteit uit bijlage II | Belangrijk | Belangrijk | Buiten scope, tenzij uitzondering |
| Gekwalificeerde vertrouwensdienstverleners, DNS-aanbieders, TLD-registers, aanbieders van openbare elektronische communicatie | Essentieel | Essentieel | Essentieel |
| Niet-gekwalificeerde vertrouwensdienstverleners | Essentieel | Belangrijk | Belangrijk |
| Operatoren van kritieke infrastructuur (wet van 1 juli 2011) en federale overheidsdiensten | Essentieel | Essentieel | Essentieel |
Grootte tellen
Waar kmo's hun grootte verkeerd inschatten
Het CCB hanteert de Europese kmo-definitie. Middelgroot bent u zodra u 50 tot 249 jaarwerkeenheden telt, of zodra uw jaaromzet én uw balanstotaal allebei boven 10 miljoen euro liggen. Groot bent u vanaf 250 jaarwerkeenheden, of wanneer uw jaaromzet boven 50 miljoen euro én uw balanstotaal boven 43 miljoen euro ligt. Personeel en financiële cijfers zijn dus alternatieven: één van beide volstaat om in een hogere klasse te vallen. Daar zitten vijf valkuilen in.
Voltijdsequivalenten, geen koppen
Het CCB telt jaarwerkeenheden: wie voltijds werkte, telt voor één. Deeltijds en seizoenswerk tellen als fracties. Het aantal namen op uw personeelslijst en het aantal jaarwerkeenheden kunnen dus ver uiteenlopen.
Omzet én balanstotaal
Voor de financiële toets moeten beide cijfers de drempel overschrijden. Ligt enkel uw omzet of enkel uw balanstotaal erboven, dan verandert dat uw klasse niet. Maar met 50 jaarwerkeenheden of meer bent u hoe dan ook minstens middelgroot, ook met een kleine omzet.
Verbonden ondernemingen
Houdt u of een ander meer dan 50 procent, dan telt u de gegevens van die onderneming voor 100 procent mee. Familiale holdings en zusterbedrijven brengen een kleine kmo zo boven de drempel.
Partnerondernemingen
Bij een deelneming van 25 tot 50 procent telt u een evenredig deel mee. Dit wordt het vaakst vergeten.
Het CCB kijkt naar onafhankelijkheid
In onevenredige gevallen kan het CCB een entiteit herklasseren naar belangrijk of uitsluiten. Rekenen op een gunstige uitleg is geen strategie, een gemotiveerd dossier wel.
Buiten de wet, binnen de keten
Contractueel, niet wettelijkValt u er niet onder maar levert u aan een NIS2-entiteit, dan komen de eisen via het contract
De NIS2-verplichtingen gelden niet rechtstreeks voor een leverancier die zelf niet onder de wet valt. Maar een NIS2-entiteit moet erover waken dat haar leveranciers en directe dienstverleners soortgelijke maatregelen nemen. Het CCB raadt aan om in contracten een label of certificatie op te leggen, bijvoorbeeld een CyFun-niveau of ISO 27001, en het leveranciersrisico te beoordelen om dat niveau te kiezen. Het CCB zegt zelf dat veel organisaties indirect geraakt zullen worden. Vraag een klant daarom expliciet welk niveau en welke scope hij verwacht, en teken geen vage verwijzing naar 'NIS2-conformiteit' die u later niet kunt waarmaken.
Valt u wel onder de wet
Eerste stappen voor een essentiële of belangrijke entiteit
- 1Registreer u bij het CCB via Safeonweb@Work, met onder meer naam, ondernemingsnummer, adres, contactgegevens, IP-bereiken en sector. De algemene registratietermijnen zijn verstreken. Wie later onder de wet valt, krijgt termijnen vanaf dat moment. Wijzigingen meldt u binnen twee weken.
- 2Kies uw referentiekader: CyFun of ISO 27001 met een scope die alle netwerk- en informatiesystemen dekt. Dat geeft een vermoeden van conformiteit tot het tegendeel bewezen is. Welk CyFun-niveau past, leest u in het artikel over de niveaus.
- 3Zet het incidentproces op voor aanzienlijke incidenten: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk één maand na de melding, via notif.safeonweb.be. Dit vervangt de GDPR-melding bij de Gegevensbeschermingsautoriteit niet.
- 4Betrek het bestuur: het keurt de risicobeheersmaatregelen goed, houdt toezicht op de uitvoering en moet opgeleid zijn. Het bestuursorgaan kan aansprakelijk zijn als de entiteit de risicobeheersverplichtingen schendt.
- 5Plan de conformiteitsbeoordeling volgens uw categorie. Essentiële entiteiten moeten er regelmatig een laten uitvoeren, belangrijke entiteiten kunnen er vrijwillig voor kiezen. De data voor essentiële entiteiten staan op de faseringspagina.
Twijfel en toekomst
Voorstel, nog niet van krachtHet Europese voorstel voor small mid-caps verandert vandaag niets aan uw antwoord
De Europese Commissie publiceerde in januari 2026 een voorstel om NIS2 gericht aan te passen, met onder meer een nieuwe categorie small mid-caps. Dat is een voorstel. Het is niet goedgekeurd, niet gepubliceerd en niet omgezet in Belgisch recht. Tot dat gebeurt, geldt de wet zoals ze nu is, en beslist u op basis van de drempels hierboven. Stel investeringen dus niet uit op een wijziging die nog kan veranderen of uitblijven. Zit u dicht bij een grens, of is uw groepsstructuur ingewikkeld, doe dan de officiële scopetest van het CCB op Safeonweb@Work. Blijft er na de test twijfel, vraag het dan aan het CCB zelf.
Veelgestelde vragen
Kort beantwoord
Weten of u onder NIS2 valt?
In een eerste gesprek van 30 minuten overlopen we uw vestiging, sector en groepsstructuur en wat de uitkomst voor uw bedrijf betekent. Het gesprek is gratis.