KA IT
+32 489 59 42 27
NIS2 is geen project meer: de Europese richtlijn is in België van kracht sinds 18 oktober 2024 via de wet van 26 april 2024. Voor een KMO blijft het onderwerp echter ondoorzichtig: tussen de technische verplichtingen, de persoonlijke aansprakelijkheid van de bestuurder en de wettelijke meldingstermijnen, waar begint u? Deze checklist bundelt in 12 actiestappen, ingedeeld in 4 pijlers, wat een Belgische KMO moet opzetten om zich redelijk conform te beschouwen.
1. NIS2 in 2 zinnen: wat u moet weten
NIS2 (Network and Information Security Directive 2) vervangt de NIS-richtlijn van 2016 en breidt de groep ondernemingen aan cyberveiligheidsverplichtingen aanzienlijk uit. De richtlijn legt een geschreven cybergovernance op, technische minimummaatregelen, een responsplan voor incidenten, de verplichte melding van significante incidenten en de beveiliging van de toeleveringsketen.
In België gebeurde de omzetting via de wet van 26 april 2024, in werking getreden op 18 oktober 2024. De bevoegde overheid is het Centrum voor Cybersecurity België (CCB). Elk significant incident moet eraan worden gemeld volgens drie wettelijke mijlpalen: vroege waarschuwing binnen 24 uur, tussentijds rapport binnen 72 uur, eindrapport binnen één maand.
2. Bent u onderworpen in 30 seconden
Drie cumulatieve criteria activeren de verplichting:
- De activiteitensector behoort tot de lijst van kritieke NIS2-sectoren: energie, transport, bankwezen, financiële markten, gezondheid, drinkwater, digitale infrastructuur, openbaar bestuur, ruimtevaart. Plus een tweede lijst "belangrijk": post en koerier, afvalbeheer, chemische productie, voedingswaren, kritieke fabrikanten, digitale dienstverleners.
- De grootte van de onderneming: essentiële entiteit (250+ medewerkers of 50 M€+ omzet), belangrijke entiteit (50+ medewerkers of 10 M€+ omzet).
- De rol van onderaannemer: als u IT-, onderhouds-, advies- of kritieke supply-chain-diensten levert aan een essentiële of belangrijke entiteit, bent u onderworpen ongeacht uw grootte.
Voor het volledige beslisrooster en de grensgevallen raadpleegt u onze servicepagina NIS2 voor Belgische KMO's.
3. De NIS2-checklist in 12 actiestappen
Vier pijlers, telkens drie stappen. De voorgestelde volgorde is opbouwend: u installeert eerst de governance voor u technische controles uitrolt, u beheert incidenten voor u het plan test, u beveiligt de toeleveringsketen voor u de directie opleidt.
Pijler 1 — Governance
| Stap | Concrete actie | Verwachte oplevering |
|---|---|---|
| 1. Een cyberveiligheidsverantwoordelijke aanduiden | Een interne CISO of cyberverantwoordelijke aanstellen met geschreven mandaat | Door directie ondertekende opdrachtbrief |
| 2. Kritieke IT-bedrijfsmiddelen in kaart brengen | Werkplekken, servers, applicaties, gevoelige gegevens en leveranciers inventariseren | Gedateerd en ondertekend register van bedrijfsmiddelen |
| 3. Een geschreven veiligheidsbeleid laten valideren | Een ISMS-beleid opstellen en door de bestuurder laten ondertekenen | Ondertekend ISMS-document versie 1.0 |
Pijler 2 — Risicobeheer
| Stap | Concrete actie | Verwachte oplevering |
|---|---|---|
| 4. Een formele risicoanalyse uitvoeren | Waarschijnlijkheid en impact van bedreigingen beoordelen (methodes EBIOS, ISO 27005 of vereenvoudigde NIS2) | Gequoteerde risicomatrix + behandelingsbeslissingen |
| 5. De technische minimumcontroles uitrollen | MFA op alle kritieke accounts, EDR op de werkplekken, geautomatiseerd patch management, dagelijkse geteste back-up | Configuratie-schermafbeelding + bewijs van uitvoering |
| 6. De beschermingsmaatregelen documenteren | Register bijhouden van veiligheidsmaatregelen met datum, verantwoordelijke en bewijs | Geactualiseerd maatregelenregister |
Pijler 3 — Incidentbeheer
| Stap | Concrete actie | Verwachte oplevering |
|---|---|---|
| 7. Een responsplan voor incidenten opzetten | Rollen, detectie-, indammings-, eradicatie- en herstelprocedures bepalen | Geschreven responsplan + verspreiding aan team |
| 8. De wettelijke meldingsplicht aan het CCB beheersen | Wettelijke termijnen kennen en traceren: 24 u vroege waarschuwing, 72 u tussentijds rapport, 1 maand eindrapport | Geschreven meldingsprocedure + vooraf ingevulde CCB-contacten |
| 9. Het herstelplan testen | Minstens één jaarlijkse oefening: table-top of ransomware-simulatie | Verslag van oefening + corrigerend actieplan |
Pijler 4 — Toeleveringsketen en opleiding
| Stap | Concrete actie | Verwachte oplevering |
|---|---|---|
| 10. De toeleveringsketen beveiligen | Cyberclausules opnemen (AVG artikel 28, auditrecht, subverwerkers) in contracten van kritieke leveranciers | Leverancierslijst met clausules + ondertekende verwerkersovereenkomsten |
| 11. De medewerkers opleiden | Minstens jaarlijkse phishing-sensibilisering, oefeningen, cyberhygiëne (wachtwoorden, MFA, USB) | Opleidingsattesten + resultaten phishing-test |
| 12. De directie opleiden | Specifieke cyberveiligheidsopleiding voor bestuurders — NIS2-verplichting | Gearchiveerd opleidingsattest directie |
Begin met stappen 1, 2, 5 en 11. De governance staat dan, de technische basiscontroles zijn uitgerold en de medewerkers zijn gesensibiliseerd: dat dekt al het grootste deel van de dagelijkse risico's. De overige stappen volgen daarna zonder haast.
Kosteloze IT- en cyberdiagnose, zonder verbintenis. U ontvangt een duidelijk rapport met de afwijkingen en de prioriteiten.
4. Sancties en aansprakelijkheid van de bestuurder
NIS2 voorziet twee onderscheiden sanctieregimes:
- Essentiële entiteiten: tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet, waarbij de hoogste sanctie van toepassing is.
- Belangrijke entiteiten: tot 7 miljoen euro of 1,4 % van de wereldwijde jaaromzet.
Bovenop de boetes verbindt de richtlijn de persoonlijke aansprakelijkheid van de bestuurder. Bij een ernstig incident met bewijs van nalatigheid (afwezigheid van plan, afwezigheid van opleiding, afwezigheid van technische minimummaatregelen), kan de bestuurder worden getroffen door een tijdelijke ontzetting uit bestuursfuncties. Deze persoonlijke aansprakelijkheid maakt de opleiding van de directie (stap 12) onmisbaar.
Een bestuurder die kan bewijzen dat hij de NIS2-opleiding heeft gevolgd, het veiligheidsbeleid heeft gevalideerd en redelijke middelen heeft toegekend, behoudt zijn mogelijkheid om zich te beroepen op zorgvuldigheidsverweer. Een bestuurder die niets heeft gedaan, verliest die bescherming.
5. Hoeveel kost de NIS2-conformiteit
De kosten variëren naargelang de grootte en de volwassenheid van de onderneming. Hieronder de ordes van grootte op de Belgische markt 2026.
| KMO-grootte | Initiële opzet (audit + plan + doc) | Terugkerend IT + cyber-forfait |
|---|---|---|
| 1-10 gebruikers | 2 500 - 6 000 € BTW excl. | 25 - 50 € BTW excl. / gebruiker / maand |
| 10-30 gebruikers | 5 000 - 12 000 € BTW excl. | 50 - 80 € BTW excl. / gebruiker / maand |
| 30-100 gebruikers | 10 000 - 25 000 € BTW excl. | 50 - 120 € BTW excl. / gebruiker / maand (volgens SLA) |
| 100+ gebruikers of gereglementeerde sector | Op maat | Hybride intern + extern |
Detail van IT- en cyberprijzen per gebruiker: IT-tarieven KMO België 2026.
6. Beschikbare regionale subsidies
Verschillende Belgische publieke mechanismen cofinancieren NIS2-conformiteitsprojecten.
- Brussels Hoofdstedelijk Gewest — Digitaliseringspremie. Dekt een deel van opdrachten van externe consultancy (digitalisering van interne processen, IT-beveiliging, website); het percentage en het plafond legt het Gewest vast. We gaan nog na of KA IT als dienstverlener in aanmerking komt.
- Wallonië — Cyberbeveiligingscheque. Cofinanciert in aanmerking komende cyberprestaties bij erkende consulenten.
- Vlaanderen — KMO-portefeuille. Tot 30 % steun voor IT-, audit- en opleidingsprestaties, plafond 7 500 € per jaar.
7. De rol van een IT-partner in een NIS2-aanpak
Een IT-partner zoals KA IT dekt de technische bouwstenen van de checklist: stappen 2, 5, 6, 7, 8, 9 en 10 op de perimeter infrastructuur en cyber. De governance (stappen 1, 3), de risicoanalyse (stap 4) en de opleiding directie (stap 12) worden meestal intern of met een governance-consulent gedragen.
Concreet bevatten de Business- en Managed-pakketten van KA IT (50 € en 80 € BTW excl. per gebruiker per maand) de technische basisbouwstenen: MFA, EDR, patch management, back-up Microsoft 365, monitoring, firewallbeheer. Documentatie van de maatregelen en CCB-meldingsprocedure worden in het kader van de prestatie geproduceerd. Details op de offerte- en pakkettenpagina.
8. Veelgestelde vragen
Is mijn Belgische KMO onderworpen aan NIS2?
U bent onderworpen als u een essentiële entiteit bent (250+ medewerkers of 50 M€+ omzet in een kritieke sector) of een belangrijke entiteit (50+ medewerkers of 10 M€+ omzet in een geviseerde sector). Onderaannemers van kritieke sectoren zijn onderworpen ongeacht hun grootte. Raadpleeg onze servicepagina NIS2 voor Belgische KMO's.
Welke sancties zijn er bij niet-conformiteit?
Tot 10 miljoen euro of 2 % van de wereldwijde omzet voor essentiële entiteiten. 7 miljoen of 1,4 % van de omzet voor belangrijke entiteiten. Bovenop de persoonlijke aansprakelijkheid van de bestuurder, die kan leiden tot een tijdelijke ontzetting uit bestuursfuncties.
Wat is de wettelijke termijn om een incident te melden aan het CCB?
Drie wettelijke mijlpalen: vroege waarschuwing binnen 24 uur na detectie, tussentijds rapport binnen 72 uur, eindrapport binnen één maand. Termijnen vastgelegd door de wet van 26 april 2024 die NIS2 omzet.
Hoeveel kost NIS2-conformiteit voor een KMO van 15 personen?
Voor 15 gebruikers ligt de indicatieve initiële kost tussen 5 000 en 12 000 € BTW excl. (audit, plan, documentatie), plus een terugkerend IT- en cyberforfait tussen 50 en 80 € BTW excl. per gebruiker per maand.
Is een antivirus voldoende om conform te zijn?
Nee. NIS2 vereist een totaalaanpak: formele risicoanalyse, responsplan, opleiding van personeel en bestuur, wettelijke meldingsplicht, beveiliging van de toeleveringsketen. Antivirus is slechts één bouwsteen op ongeveer tien verwachte.
Wat zijn de 4 pijlers van de checklist?
Pijler 1 governance (stappen 1 tot 3). Pijler 2 risicobeheer (4 tot 6). Pijler 3 incidentbeheer (7 tot 9). Pijler 4 toeleveringsketen en opleiding (10 tot 12). De 12 stappen dekken het essentiële van de NIS2-verplichtingen voor een KMO.