NIS2: de cybersecurityverplichtingen van ondernemingen in België

De wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid, bekendgemaakt in het Belgisch Staatsblad van 17 mei 2024, zet richtlijn (EU) 2022/2555 (de « NIS2-richtlijn ») om in Belgisch recht en heft het stelsel van de wet van 7 april 2019 op. Zij wordt aangevuld door het koninklijk besluit van 9 juni 2024, dat de nadere regels voor de aanwijzing van de autoriteiten, de procedures voor conformiteitsbeoordeling en de toepasselijke referentiekaders preciseert. De regeling is op 18 oktober 2024 in werking getreden. Zij verhoogt het vereiste niveau inzake het beheer van cyberbeveiligingsrisico's en breidt het aantal betrokken entiteiten aanzienlijk uit ten opzichte van de vroegere regeling.

Het Centrum voor Cybersecurity België (CCB) wordt aangewezen als nationale cyberbeveiligingsautoriteit en als nationaal computercrisisresponsteam (CSIRT), bijgestaan door sectorale autoriteiten. Het CCB verzorgt de registratie van de entiteiten, het toezicht, de ontvangst van incidentmeldingen en de methodologische begeleiding. Het stelt het platform Safeonweb@Work ter beschikking voor de administratieve stappen. Deze gecentraliseerde architectuur beoogt ondernemingen een duidelijk aanspreekpunt te bieden, met behoud van de bevoegdheden van de sectorale regelgevers. Ondernemingen doen er goed aan onverwijld de sectorale autoriteit te identificeren waaronder zij ressorteren, aangezien de verdeling van de bevoegdheden kan verschillen naargelang de activiteitensector en de aard van de verleende diensten.

Het toepassingsgebied berust op een dubbele logica: de aard van de activiteit en de omvang van de entiteit. De wet viseert in beginsel de middelgrote en grote entiteiten die actief zijn in de sectoren opgesomd in de bijlagen I (zeer kritieke sectoren) en II (andere kritieke sectoren), volgens de drempels van aanbeveling 2003/361/EG van de Commissie. De entiteiten worden onderverdeeld in « essentiële » en « belangrijke » entiteiten, waarbij deze kwalificatie de intensiteit van de verplichtingen en van het toezichtsregime bepaalt. Bij de beoordeling wordt rekening gehouden met verbonden en partnerondernemingen. De precieze kwalificatie van een bepaalde onderneming moet geval per geval worden nagegaan, aangezien bepaalde sectoren of diensten onderworpen kunnen zijn ongeacht enig omvangscriterium.

Op methodologisch vlak heeft het CCB het referentiekader CyberFundamentals (CyFun®) ontwikkeld, dat een geheel van beveiligingsmaatregelen voorstelt, gegradeerd naargelang het risiconiveau. Dit referentiekader vormt een van de wijzen om de conformiteit met de verplichtingen inzake risicobeheer aan te tonen; ook de norm ISO/IEC 27001 wordt aanvaard. Het koninklijk besluit van 9 juni 2024 omkadert de procedures voor conformiteitsbeoordeling en de voorwaarden voor de beoordelingsinstanties. Het gebruik van CyFun is geen doel op zich: het moet worden afgestemd op het werkelijke risicoprofiel van de entiteit, en het zekerheidsniveau ervan moet in verhouding staan tot de kriticiteit van de betrokken activiteiten. De gekozen aanpak moet worden gedocumenteerd.

De essentiële en belangrijke entiteiten moesten zich bij het CCB registreren, via het platform Safeonweb@Work, binnen een termijn van vijf maanden vanaf de inwerkingtreding, dit wil zeggen uiterlijk op 18 maart 2025. Een specifieke, kortere kalender gold voor bepaalde aanbieders uit de digitale sector (met name DNS-diensten, registers voor topleveldomeinnamen, cloudcomputing, datacentra, netwerken voor de levering van inhoud, marktplaatsen, zoekmachines en sociale netwerken), waarvan de registratietermijn op 18 december 2024 was vastgesteld. Ondernemingen die nog niet tot registratie zijn overgegaan, of die later de drempels zouden overschrijden, dienen hun situatie onverwijld te regulariseren en hun onderwerpingsanalyse te documenteren.

De regeling voor de melding van significante incidenten is in verschillende fasen gestructureerd. De betrokken entiteit moet aan het nationale CSIRT een vroegtijdige waarschuwing richten zonder onnodige vertraging en, in elk geval, binnen 24 uur na kennisname van het incident, vervolgens een incidentmelding binnen 72 uur (24 uur voor verleners van vertrouwensdiensten), en ten slotte een eindverslag uiterlijk één maand na de incidentmelding. Een tussentijds verslag kan door de autoriteit worden gevraagd, en in een voortgangsverslag is voorzien indien het incident voortduurt. Deze meldingen treden, in voorkomend geval, niet in de plaats van de verplichting om een inbreuk in verband met persoonsgegevens aan de Gegevensbeschermingsautoriteit te melden.

De niet-naleving van de verplichtingen kan aanleiding geven tot administratieve maatregelen (waarschuwingen, bindende instructies, zelfs schorsing) en tot geldboetes. Volgens de referentieanalyses kunnen deze, voor de essentiële entiteiten, oplopen tot 10 miljoen euro of 2 % van de totale wereldwijde jaaromzet, waarbij het hoogste bedrag wordt weerhouden, en, voor de belangrijke entiteiten, tot 7 miljoen euro of 1,4 % van de omzet; deze bedragen moeten worden getoetst aan de wettekst. De aansprakelijkheid van de leidinggevende organen wordt bovendien versterkt. Deze nota is informatief: de kwalificatie van een entiteit, de exacte omvang van haar verplichtingen en het toepasselijke sanctieregime moeten geval per geval worden beoordeeld, in het licht van de officiële bronnen van het CCB en van de wettekst.

• Centre pour la Cybersécurité Belgique — La loi NIS2 et l'arrêté royal du 9 juin 2024
• Loi du 26 avril 2024 (NIS2), Moniteur belge du 17 mai 2024 (Justel, NUMAC 2024202344)
• CCB — Obligations NIS2 et notifications d'incidents (alerte 24h / 72h / rapport final 1 mois)
• Eubelius — Entrée en vigueur des lois belges transposant NIS2