Doorstaat jouw organisatie een NIS2-inspectie?

Sinds oktober 2024 geldt in België de NIS2-wet. Voor heel wat organisaties betekent dat nieuwe verplichtingen rond cybersecurity, en voor hun bestuur een persoonlijke verantwoordelijkheid. De vragen die we het vaakst horen, blijven dezelfde: vallen wij eronder, wat moeten we precies doen, hoe beginnen we daaraan?

Hier lees je wat NIS2 inhoudt en hoe je stap voor stap werk maakt van je weerbaarheid, op basis van de trajecten die we bij klanten begeleiden.

NIS2 is een Europese richtlijn (EU 2022/2555) die organisaties in kritieke sectoren verplicht om hun cybersecurity op orde te brengen. In België is ze omgezet in de NIS2-wet, die op 18 oktober 2024 in werking trad. Het Centrum voor Cybersecurity België (CCB) houdt toezicht.

De wet geldt voor organisaties in 18 sectoren, zoals energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, voeding, chemie en de maakindustrie. Je valt eronder vanaf 50 medewerkers, of vanaf een jaaromzet en balanstotaal boven 10 miljoen euro. Afhankelijk van je sector en je grootte ben je een essentiële of een belangrijke entiteit.

Val je zelf buiten de wet, dan kan NIS2 je toch raken. Organisaties die eronder vallen, moeten ook de risico's in hun toeleveringsketen beheren en stellen dus eisen aan hun leveranciers en dienstverleners.

• Risicobeheer: je neemt passende technische en organisatorische maatregelen, zoals toegangsbeheer, back-ups, patching, versleuteling en een plan voor incidenten.

• Incidentmelding: een significant incident meld je binnen 24 uur met een eerste waarschuwing aan het CCB. Binnen 72 uur volgt de incidentmelding, binnen een maand het eindrapport.

• Verantwoordelijkheid van het bestuur: het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en volgt zelf een opleiding.

• Toeleveringsketen: je beoordeelt de beveiliging van je leveranciers en dienstverleners.

• Registratie: essentiële en belangrijke entiteiten moesten zich tegen 18 maart 2025 registreren via Safeonweb@work.

Essentiële entiteiten moesten tegen 18 april 2026 aantonen dat ze hun risicobeheer op orde brengen. Dat kan via het CyberFundamentals-kader van het CCB, via ISO 27001 of via een inspectie.

Tegen april 2027 moet die certificering rond zijn. Voor belangrijke entiteiten is die conformiteitsbeoordeling vrijwillig, en het CCB houdt pas achteraf toezicht, bijvoorbeeld na een incident. De boetes lopen op tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor zware inbreuken loopt dat nog hoger op.

Veel organisaties weten dat NIS2 bestaat, maar hebben geen zicht op waar ze vandaag staan. Dreigingen vallen pas op als de schade er al is. Laptops blijven maanden ongepatcht en thuiswerkplekken vallen buiten beeld. Een phishingmail of een verkeerde klik volstaat om binnen te raken. Security vraagt meer specialisten dan een intern team kan vrijmaken.

Met de zes stappen hieronder ga je aan de slag om NIS2-compliant te worden.

In welke sector ben je actief, hoe groot is je organisatie, ben je een essentiële of een belangrijke entiteit?

Controleer of je geregistreerd bent bij het CCB. Werk je voor klanten die onder NIS2 vallen? Vraag dan na welke eisen zij aan jou stellen.

Een nulmeting toont waar je staat tegenover de eisen. Met de NIS2 Quickscan van Xylos zie je snel waar de grootste gaten zitten en welke maatregelen eerst aandacht vragen. Daarna volgt een security roadmap: wat je wanneer aanpakt, en met welk budget.

Begin bij de maatregelen die het meeste risico wegnemen. Denk aan meervoudige authenticatie en bewust geregelde toegang, beheerde en gepatchte laptops en back-ups die je effectief getest hebt. Tools zoals Microsoft Intune, Defender en Entra ID zorgen dat elk toestel en elke gebruiker aan dezelfde regels voldoet.

Leg ook vast wat je doet als het toch misloopt. Een ransomware-aanval raakt vaak ook de back-ups, dus kies voor een oplossing die daartegen beschermd is en waarmee je snel kan herstellen.

NIS2 vraagt dat je een incident snel opmerkt en meldt. Dat lukt enkel als iemand je omgeving continu bewaakt. Een Security Operations Center (SOC) volgt meldingen 24 op 7 op, onderzoekt ze en grijpt in. Die dienst heet ook managed detection and response (MDR). Zo kan je binnen 24 uur een eerste waarschuwing doen, met de informatie die het CCB vraagt.

Een awarenessprogramma met realistische phishingsimulaties leert je mensen risico's herkennen. Ook het bestuur hoort erbij: NIS2 verplicht de leden om zelf een opleiding te volgen, zodat ze de risico's kunnen inschatten en de maatregelen kunnen opvolgen.

NIS2 is een doorlopend proces, want dreigingen veranderen en je omgeving ook. Evalueer je maatregelen regelmatig, werk je roadmap bij en hou je documentatie klaar voor een audit of inspectie.

Dit moet je NIS2-partner kunnen waarmaken:

• Kent de partner de Belgische NIS2-wet en het CyberFundamentals-kader van het CCB?

• Kan de partner je adviseren en de maatregelen ook technisch uitvoeren?

• Is er een SOC dat je omgeving 24 op 7 bewaakt, en wie grijpt in bij een incident?

• Hoe helpt de partner je mensen en je bestuur om risico's te herkennen?

• Is de partner zelf ISO 27001-gecertificeerd?

Xylos is een Belgisch familiebedrijf in tech met hoofdzetel in Antwerpen, met veertig jaar ervaring en meer dan 150 gecertificeerde experts. Xylos is ISO 27001-gecertificeerd en Microsoft Solutions Partner voor Security.

Xylos helpt organisaties aan NIS2 te voldoen en hun weerbaarheid op te bouwen. Met Cyber Resilience breng je je risico's in kaart via assessments, een security roadmap en NIS2-ondersteuning met de NIS2 Quickscan en Advisory. Secure Workplace beschermt elk toestel, elke medewerker en elke locatie. Applied Security combineert de Microsoft Security Stack met HPE, Palo Alto Networks en Cohesity voor ransomware-herstel. Managed Security bewaakt je omgeving 24/7 met ons SOC, samen met Eye Security. Het Cybersecurity Awareness Programma maakt van je mensen je eerste verdedigingslinie.

Alles loopt via één team met een vast aanspreekpunt.

Benieuwd waar je organisatie staat? Doe de NIS2 Quickscan of spreek met een van onze experts.