Die belgische Cybersicherheitsumgebung wird durch eine Mischung aus nationalen Gesetzen und EU-Vorschriften bestimmt. Das Land beherbergt kritische Infrastruktursektoren, Finanzinstitute und Anbieter digitaler Dienste, die strenge Sicherheitsstandards erfüllen müssen. Lokale Gesetze wie das NIS2-Gesetz und die CyberFundamentals ergänzen die EU-weiten Vorschriften, um spezifische nationale Herausforderungen anzugehen.

Die Einhaltung der belgischen und EU-Cybersicherheitsgesetze ist für den Schutz sensibler Daten, die Aufrechterhaltung des Vertrauens und die Erfüllung rechtlicher Verpflichtungen unerlässlich. Dieser Artikel behandelt die wichtigsten Rahmenbedingungen, die für belgische Unternehmen relevant sind, darunter lokale Gesetze wie das NIS2-Gesetz und CyberFundamentals, EU-Vorschriften wie CRA und GDPR sowie weithin angenommene globale Standards wie ISO/IEC 27001.

Verwandter Inhalt: Cybersicherheit in Belgien - Rahmen, Vorschriften, Berater

Was ist das NIS2-Gesetz (Belgien)?

Das belgische NIS2-Gesetz setzt die NIS2-Richtlinie der EU mit einigen nationalen Anpassungen lokal um. Es zielt darauf ab, die Cybersicherheit in kritischen Infrastrukturen und wesentlichen Diensten zu verbessern und konzentriert sich auf die Verbesserung des Risikomanagements, die Meldung von Vorfällen und die Zuweisung klarer Führungsrollen innerhalb von Organisationen.

Sie lehnt sich eng an die NIS2-Richtlinie der EU an, enthält jedoch spezifische Bestimmungen, die die nationale Cybersicherheitsstrategie Belgiens widerspiegeln. Im Vergleich zur GDPR, die personenbezogene Daten schützt, zielt NIS2 auf die operative Sicherheit von Netzwerken und Systemen ab. ISO 27001 bietet einen freiwilligen Rahmen für die Verwaltung der Informationssicherheit, während das NIS2-Gesetz für bestimmte Sektoren verbindlich ist.

Lesen Sie die vollständige Beschreibung des NIS2-Gesetzes hier:
‍Lesen Sieden Artikel

Wer muss das NIS2-Gesetz (Belgien) einhalten? 

Das Gesetz gilt für zwei Hauptgruppen:

• Wesentliche Einrichtungen: Akteure in Bereichen wie Energie, Verkehr, Gesundheit, Banken und Trinkwasser.
• Wichtige Einrichtungen: digitale Infrastruktur, Postdienste, chemische Industrie und andere für Gesellschaft und Wirtschaft wichtige Sektoren.

Auch KMU können unter das Gesetz fallen, wenn sie in ihrem Sektor als systemrelevant eingestuft werden. Die Einhaltung der Vorschriften hängt von der Unternehmensgröße, der Bedeutung des Sektors und den grenzüberschreitenden Auswirkungen ab.

Das belgische föderale Zentrum für Cybersicherheit (CCB) setzt das Gesetz durch und verhängt Strafen wie Geldbußen und Betriebsbeschränkungen. So kann beispielsweise ein Anbieter kritischer Infrastrukturen, der einen Cybervorfall nicht rechtzeitig meldet, mit erheblichen Geldstrafen belegt werden.

Was sind die wichtigsten Anforderungen des NIS2-Gesetzes (Belgien)?

Das Gesetz ist in mehrere Verpflichtungen gegliedert, darunter:

• Governance: Ernennung eines verantwortlichen Vorstandsmitglieds für Cybersicherheit.
• Risikomanagement: Umsetzung geeigneter technischer und organisatorischer Maßnahmen (z. B. Zugangskontrolle, Netzsegmentierung).
• Meldung von Zwischenfällen: Benachrichtigen Sie das CCB innerhalb von 24 Stunden nach einem bedeutenden Zwischenfall.
• Geschäftskontinuität: Richtlinien für Backup, Krisenreaktion und Notfallwiederherstellung.
• Sicherheit der Lieferkette: Bewerten Sie die Risiken in Ihrem Lieferantennetz.
• Regelmäßige Überwachung der Einhaltung der Vorschriften: Audits und Abhilfemaßnahmen.

Diese Anforderungen sind verpflichtend und erlauben kein Opting-out auf der Grundlage des Risikoniveaus. Belgien kann auch sektorspezifische Meldeportale und zusätzliche Kontrollen verlangen.

NIS2-Gesetz (Belgien) - Bewährte Verfahren und gemeinsame Herausforderungen

Unternehmen setzen dokumentierte Cybersicherheitsrichtlinien, regelmäßige Risikobewertungen und Pläne zur Reaktion auf Vorfälle ein.

Belgische Unternehmen stehen häufig vor großen Herausforderungen:

• Auslegung der Überschneidungen zwischen NIS2- und GDPR-Verpflichtungen (insbesondere in Bezug auf die Meldung von Verstößen).
• Anpassung interner Prozesse an enge Berichtsfristen (z. B. 24 Stunden).
• Fehlender interner Sachverstand, um Sicherheitsmanagement und Dokumentation von Grund auf zu implementieren.

Was ist CyberFundamentals?

CyberFundamentals ist ein von der belgischen Regierung unterstützter Rahmen, der sich an kleine und mittlere Unternehmen (KMU) richtet, um eine grundlegende Cybersicherheitshygiene aufzubauen. Der Schwerpunkt liegt dabei auf praktischen Sicherheitsmaßnahmen wie sicheren Passwörtern, Software-Updates und der Sensibilisierung der Mitarbeiter.

Es ergänzt das strengere NIS2-Gesetz, indem es Unternehmen mit geringerem Risikoprofil abdeckt. Im Gegensatz zur GDPR, die den Schwerpunkt auf den Datenschutz legt, konzentriert sich CyberFundamentals auf die Grundlagen der betrieblichen Sicherheit. ISO 27001 ist umfassender und formeller, während CyberFundamentals als zugänglicher Einstiegspunkt konzipiert ist.

Wer muss die CyberFundamentals einhalten?

Der Rahmen richtet sich in erster Linie an belgische KMU, insbesondere an solche, die in kritischen Wertschöpfungsketten tätig sind oder Kunden des öffentlichen Sektors bedienen. In einigen Sektoren (wie dem Gesundheitswesen, dem öffentlichen Beschaffungswesen oder der Versorgungswirtschaft) kann die Einhaltung der Vorschriften durch Branchenvorschriften oder Kundenverträge vorgeschrieben sein. In anderen wird sie als bewährte Praxis empfohlen.

Die belgische Cybersicherheitskoalition unterstützt die Umsetzung, wobei die lokalen Behörden die Einhaltung überwachen. Die Strafen sind im Allgemeinen milder und konzentrieren sich eher auf Beratung und Verbesserung als auf Geldstrafen.

Was sind die wichtigsten Anforderungen von CyberFundamentals?

CyberFundamentals verwendet eine checklistenähnliche Struktur, die in drei Stufen unterteilt ist: Grundlagen, Mittelstufe und Fortgeschrittene. Jede Stufe baut auf der vorhergehenden auf, mit praktischen Aufgaben wie:

• Grundlegend: sichere Passwörter, Virenschutz, Software-Updates, eingeschränkter Admin-Zugang.
• Wichtig: Firewall-Konfiguration, Mitarbeiterschulung, Überprüfung der Datensicherung.
• Unverzichtbar: sicherer Fernzugriff, Reaktionsplan auf Zwischenfälle, Protokollüberwachung.

Diese modulare Struktur macht es für KMU einfach, klein anzufangen und zu expandieren. Die Kontrollen sind auf jeder Ebene obligatorisch, aber die Unternehmen entscheiden, wie weit sie auf der Leiter nach oben gehen wollen.

Testen Sie Ihre Konformität mit unserer kostenlosen Bewertung hier.

CyberFundamentals - bewährte Verfahren und gemeinsame Herausforderungen

KMU führen häufig Passwortrichtlinien, regelmäßige Backups und Schulungen zur Sensibilisierung für Phishing ein. Zu den Herausforderungen gehören begrenzte Ressourcen und das Verständnis der Grundlagen der Cybersicherheit. Belgische KMU verwechseln manchmal sich überschneidende Verpflichtungen mit GDPR oder NIS2.

Lesen Sie mehr: Was ist CyberFundamentals? 🇧🇪 Der belgische Rahmen für Cybersicherheit

Was ist GDPR?

Die Allgemeine Datenschutzverordnung (GDPR) ist eine EU-Verordnung zum Schutz der Privatsphäre und der Sicherheit personenbezogener Daten. Sie gilt für alle Organisationen, die personenbezogene Daten von in der EU ansässigen Personen verarbeiten, auch wenn das Unternehmen nicht in der EU ansässig ist.

Im Gegensatz zu Rahmenwerken wie NIS2 oder ISO 27001 konzentriert sich die GDPR auf Datenschutzrechte, rechtmäßige Verarbeitung und Transparenz und nicht nur auf technische Sicherheitskontrollen. Die Verordnung verlangt jedoch, dass Organisationen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ergreifen, was zu Überschneidungen mit Cybersicherheitspraktiken führt.

Wer muss die Datenschutzgrundverordnung einhalten? 

Alle Organisationen, die personenbezogene Daten von in der EU ansässigen Personen verarbeiten, müssen die Bestimmungen einhalten, unabhängig von ihrem Standort. Die belgische Datenschutzbehörde (DPA) setzt die GDPR in Belgien durch.

Die Strafen können bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro betragen.

Was sind die wichtigsten Anforderungen der DSGVO?

Die Datenschutz-Grundverordnung legt die Verpflichtungen in mehreren Schlüsselbereichen fest:

• Rechtmäßige Grundlage: Für jede Datenverarbeitung muss eine eindeutige rechtliche Begründung vorliegen (z. B. Einwilligung, Vertrag, rechtliche Verpflichtung).
• Transparenz: Die Unternehmen müssen den Einzelnen eindeutig darüber informieren, wie seine Daten verwendet werden (über Datenschutzhinweise).
• Rechte der betroffenen Person: Personen haben das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch gegen die Verarbeitung.
• Sicherheitsmaßnahmen: Geeignete technische und organisatorische Schutzmaßnahmen sind erforderlich (aber nicht zwingend vorgeschrieben).
• Datenschutzbeauftragter (DSB): erforderlich für Behörden oder Organisationen, die in großem Umfang sensible Daten verarbeiten.
• Meldung von Verstößen: Verstöße gegen personenbezogene Daten müssen innerhalb von 72 Stunden nach Bekanntwerden an die Datenschutzbehörde gemeldet werden.

Die Datenschutz-Grundverordnung ist in 99 Artikel und 173 Erwägungsgründe gegliedert, aber die praktische Einhaltung konzentriert sich in der Regel auf die oben genannten Hauptpflichten.

Bewährte GDPR-Verfahren und gemeinsame Herausforderungen 

Belgische Unternehmen führen häufig ein Verzeichnis der Verarbeitungstätigkeiten (Record of Processing Activities, ROPA), führen Datenschutzfolgenabschätzungen für risikoreiche Verarbeitungen durch und schulen ihre Mitarbeiter im Umgang mit Daten. Viele verwenden Vorlagen, um Anfragen von Betroffenen zu bearbeiten.

Zu den allgemeinen Herausforderungen gehören unklare Rechtsgrundlagen, verspätete Meldungen von Datenschutzverletzungen und eine begrenzte Aufsicht über Drittverarbeiter. Es gibt auch Verwirrung zwischen den GDPR-Datenschutzvorschriften und den NIS2-Cybersicherheitspflichten. Einige führen ISO 27701 ein, um ein strukturiertes Datenschutzmanagement zu unterstützen.

Was ist der CRA (Cyber Resilience Act)?

Der Cyber Resilience Act ist eine EU-Verordnung, die Sicherheitsanforderungen für digitale Produkte und vernetzte Geräte festlegt, die auf dem EU-Markt verkauft werden. Sie zielt darauf ab, die derzeitige Lücke zu schließen, in der viele Produkte mit wenig oder gar keiner eingebauten Sicherheit ausgeliefert werden, so dass die Nutzer einem Missbrauch ausgesetzt sind.

Die CRA gilt für den gesamten Produktlebenszyklus, von der Entwicklung und dem Design bis zur Wartung und Aktualisierung. Sie ist eine der ersten EU-Verordnungen, die Produktherstellern, -importeuren und -vertreibern direkte Sicherheitsverpflichtungen auferlegt. Anders als GDPR oder NIS2, die auf die Cybersicherheit auf Organisations- oder Dienstleistungsebene abzielen, konzentriert sich CRA speziell auf die Widerstandsfähigkeit auf Produktebene.

Wer muss sich an die CRA halten?

Die CRA gilt für jedes Unternehmen, das digitale Produkte in der EU herstellt, importiert oder vertreibt - unabhängig davon, wo es seinen Sitz hat. Dies schließt ein:

• Belgische Technologieunternehmen, die vernetzte Geräte oder SaaS-Tools entwickeln
• Globale Software-Anbieter, die in der EU herunterladbare Anwendungen anbieten
• Einzelhändler und Distributoren, die intelligente Produkte in Belgien verkaufen

Die nationalen Marktaufsichtsbehörden setzen die Verordnung durch und verhängen bei Nichteinhaltung Sanktionen. Die Nichteinhaltung kann zu Geldstrafen von bis zu 15 Mio. EUR oder 2,5 % des weltweiten Umsatzes, Produktrückrufen oder Verkaufsverboten führen.

Was sind die wichtigsten Anforderungen der CRA?

Die CRA legt grundlegende Anforderungen an die Cybersicherheit fest, darunter:

• Sichere Entwicklung: Die Produkte müssen so konzipiert sein, dass ausnutzbare Schwachstellen minimiert werden.
• Voreingestellte Sicherheitseinstellungen: Starke Standardkonfiguration, ohne Benutzereingriffe.
• Schwachstellenmanagement: Die Hersteller müssen Meldungen bearbeiten und Probleme schnell beheben.
• Update-Unterstützung: Sicherheitsupdates müssen für den erwarteten Lebenszyklus des Produkts bereitgestellt werden.
• Unterlagen zur Einhaltung der Vorschriften: einschließlich einer Risikobewertung und einer Konformitätserklärung.

Diese Anforderungen gelten sowohl vor dem Verkauf des Produkts (vor der Markteinführung) als auch nach seiner Einführung (nach der Markteinführung), so dass eine langfristige Belastbarkeit gewährleistet ist.

Bewährte Praktiken der Ratingagenturen und gemeinsame Herausforderungen

Die belgischen Hersteller beginnen damit, Praktiken der sicheren Kodierung in ihren Softwareentwicklungszyklus (SDLC) zu integrieren, Schwachstellenscans zu automatisieren und die Einhaltung der Vorschriften frühzeitig zu dokumentieren. Viele sind auch dabei, Teams für die Reaktion auf Produktsicherheitsvorfälle (PSIRTs ) einzurichten, um Probleme nach der Markteinführung effizient zu lösen.

Zu den Herausforderungen gehören die Nachrüstung älterer Produkte, die nicht mit Blick auf die Sicherheit entwickelt wurden, die Budgetierung für den Support von Lebenszyklus-Updates und das Verständnis der Überschneidungen von CRA mit anderen Gesetzen wie der Funkgeräterichtlinie oder bestehenden CE-Kennzeichnungsvorschriften.

Was ist DORA?

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die sich auf das Risikomanagement der Informations- und Kommunikationstechnologie (IKT) im Finanzsektor konzentriert.

DORA wurde eingeführt, um Lücken zwischen der bestehenden Finanzaufsicht und der Cybersicherheit zu schließen und die Vorschriften für Banken, Versicherer, Wertpapierfirmen und IKT-Drittanbieter zu vereinheitlichen. Es ergänzt die sektorspezifischen Vorschriften (wie die Leitlinien der EBA und der EZB) durch die Einführung eines horizontalen Cybersicherheitsrahmens für Finanzdienstleistungen. Im Gegensatz zur ISO 27001, die freiwillig ist, ist DORA in der gesamten EU - auch in Belgien - rechtsverbindlich.

Wer muss sich an DORA halten?

DORA gilt für ein breites Spektrum von Unternehmen des Finanzsektors, einschließlich

• Banken, Kreditinstitute und Zahlungsdienstleister
• Versicherungs- und Rückversicherungsgesellschaften
• Wertpapierfirmen, Anbieter von Krypto-Asset-Dienstleistungen
• Kritische IKT-Drittdienstleister (CTPPs)

Wenn ein Unternehmen nach EU-Finanzrecht reguliert wird, fällt es höchstwahrscheinlich unter DORA. Dies gilt auch für belgische Unternehmen, die von der FSMA (Financial Services and Markets Authority) oder der Belgischen Nationalbank (BNB) beaufsichtigt werden.

Die Durchsetzung beginnt im Januar 2025, und die Aufsichtsbehörden werden die Befugnis haben, Abhilfemaßnahmen und Geldbußen zu verhängen oder sogar kritische Dienstleistungen Dritter auszusetzen.

Was sind die wichtigsten Anforderungen von DORA?

DORA legt verbindliche Regeln in fünf Schlüsselbereichen fest:

1. IKT-Risikomanagement: Aufrechterhaltung von Richtlinien, Kontrollen und Governance, um Cyberrisiken durchgängig zu verwalten.
2. Meldung von Vorfällen: Klassifizierung von IKT-Vorfällen und Meldung größerer Vorfälle an die Aufsichtsbehörden innerhalb enger Fristen.
3. Testen der digitalen operativen Belastbarkeit: Durchführung regelmäßiger Penetrationstests und szenariobasierter Tests.
4. Risikomanagement für Dritte: Bewertung, Überwachung und vertragliche Kontrolle von IKT-Dienstleistern.
5. Informationsaustausch: Förderung des vertrauensvollen Austauschs von Informationen über Bedrohungen zwischen den beaufsichtigten Stellen.

Diese Regeln sind in den 58 Artikeln der Verordnung und den entsprechenden technischen Standards der EU-Aufsichtsbehörden (EBA, ESMA, EIOPA) detailliert aufgeführt.

Bewährte DORA-Verfahren und gemeinsame Herausforderungen

Finanzorganisationen in Belgien bereiten sich auf DORA vor, indem sie ihre IKT-Governance-Rahmenwerke erweitern, Verträge mit Cloud- und SaaS-Anbietern aktualisieren und Systeme zur Klassifizierung von Vorfällen einrichten, die auf die Schwellenwerte von DORA abgestimmt sind. Viele passen ihre internen Richtlinien an bestehende ISO 27001- oder NIST-Standards an, aber DORA erfordert einen detaillierteren Fokus auf operative Tests und die Überwachung durch Dritte.

Zu den gemeinsamen Herausforderungen gehören die Erfassung aller IKT-Abhängigkeiten (insbesondere in komplexen Zuliefererketten), die Anpassung von DORA an sich überschneidende EU- und nationale Vorschriften und die Vorbereitung auf obligatorische Ausfallsicherheitstests, die viele Unternehmen noch nie durchgeführt haben.

Was ist ISO 27001?

ISO/IEC 27001 ist die führende internationale Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie bietet einen systematischen Ansatz für die Verwaltung sensibler Daten und Sicherheitsrisiken.

Obwohl es in Belgien oder der EU nicht gesetzlich vorgeschrieben ist, wird es branchenübergreifend als anerkannte Best Practice zum Schutz von Daten, zur Risikominderung und zur Vertrauensbildung eingesetzt.

Wer sollte ISO 27001 übernehmen?

ISO 27001 eignet sich für jede Organisation, unabhängig von ihrer Größe oder Branche, die die Informationssicherheit systematisch verwalten will.

Die Annahme ist freiwillig, aber die Kunden (vor allem im B2B-Bereich) verlangen die Zertifizierung oft als Vertragsbedingung oder im Rahmen der Sorgfaltspflicht. Die Zertifizierung wird von akkreditierten Stellen ausgestellt und ist in der Regel drei Jahre lang gültig, mit jährlichen Überwachungsaudits.

Es gibt keine gesetzlichen Strafen für eine fehlende Zertifizierung, aber ein Mangel an strukturierten Sicherheitspraktiken kann das Risiko von Sicherheitsverletzungen, die behördliche Kontrolle oder verpasste Geschäftschancen erhöhen.

Was sind die wichtigsten Anforderungen von ISO 27001? 

Der Standard verlangt von den Organisationen:

• Festlegung des Umfangs des ISMS und der Verpflichtung der Leitung
• Identifizierung und Behandlung von Risiken durch eine formelle Risikobewertung
• Definition von Sicherheitszielen und Rollen
• Umsetzung und Beibehaltung der Kontrollen aus Anhang A (aktualisiert auf 93 Kontrollen in 4 Themenbereichen)
• Durchführung von internen Audits und Managementprüfungen sowie Förderung der kontinuierlichen Verbesserung

Die Kontrollen reichen von der Zugangsverwaltung und Verschlüsselung bis hin zur physischen Sicherheit und Lieferantenbewertung. ISO 27001 schreibt nicht vor, welche Kontrollen zu implementieren sind, sondern erwartet von den Unternehmen, dass sie ihre Wahl auf der Grundlage des Risikos begründen.

Bewährte ISO 27001-Verfahren und gemeinsame Herausforderungen 

Organisationen, die ISO 27001 in Belgien anstreben, beginnen in der Regel damit, einen internen oder externen ISMS-Verantwortlichen zu benennen, eine Lückenanalyse durchzuführen und eine einfache Risikomethodik zu definieren. Sie erstellen eine Dokumentation, die Richtlinien, Verfahren, Bestandsverzeichnisse und Risikoprotokolle umfasst. Viele verwenden Tools, um die Einhaltung der Vorschriften zu verfolgen, Überprüfungen zu automatisieren und Audits zu unterstützen.

Zu den häufigen Herausforderungen gehören Ressourcenbeschränkungen, insbesondere in KMU, Schwierigkeiten bei der Zuweisung der Verantwortung für die Kontrollen und das Versäumnis, das ISMS in die alltäglichen Abläufe einzubetten, was dazu führen kann, dass die Zertifizierung eher ein einmaliges Projekt als eine kontinuierliche Praxis ist.

FAQ: Einhaltung der belgischen Cybersicherheitsvorschriften

Welche Vorschriften gelten für ausländische Unternehmen, die in Belgien tätig sind? 

Ausländische Unternehmen, die personenbezogene Daten verarbeiten oder digitale Dienstleistungen in Belgien anbieten, müssen die DSGVO und das NIS2-Gesetz einhalten. Lokale Präsenz oder Ausrichtung auf belgische Kunden löst Verpflichtungen aus.

Kann die ISO 27001-Zertifizierung die lokalen Compliance-Anforderungen abdecken?

ISO 27001 stimmt gut mit den belgischen und EU-Anforderungen an die Cybersicherheit überein, ersetzt jedoch keine zwingenden Gesetze. Es bestehen Lücken in den spezifischen Vorschriften für die Meldung von Vorfällen und den Datenschutz.

Was ist der beste Ausgangspunkt für die Einhaltung der Vorschriften in Belgien?

Beginnen Sie damit, die geltenden Gesetze je nach Branche und verarbeiteten Daten zu erfassen, und führen Sie dann eine Risikobewertung durch, um die Prioritäten für die Kontrollen festzulegen.

Welche Instrumente oder Dienste sind vor Ort nützlich?

Belgische nationale Ressourcen wie das Föderale Zentrum für Cybersicherheit (CCB), Cybersecurity-Beratungsunternehmen und EU-Unterstützungsplattformen helfen bei der Einhaltung der Vorschriften. Cyberday bietet Unterstützung bei der EU- und lokalen NIS2-Implementierung.

Wie interagieren diese Rahmenwerke?

Sie ergänzen sich gegenseitig: GDPR befasst sich mit dem Datenschutz, NIS2 und nationale Gesetze konzentrieren sich auf die betriebliche Sicherheit, während ISO 27001 die Grundlage für ein Managementsystem bildet. Setzen Sie Prioritäten auf der Grundlage der gesetzlichen Vorgaben und der Auswirkungen auf das Geschäft.

Gibt es irgendwelche bevorstehenden Änderungen, die Sie beachten sollten?

Belgien aktualisiert sein NIS2-Gesetz, um es an die neueste EU-Richtlinie anzupassen. Die CRA-Bestimmungen werden bald für die Hersteller digitaler Produkte gelten. Es ist von entscheidender Bedeutung, über diese sich entwickelnden Vorschriften informiert zu sein.