De Belgische cyberbeveiligingsomgeving wordt gevormd door een mix van nationale wetten en regelgeving van de Europese Unie. Het land herbergt kritieke infrastructuursectoren, financiële instellingen en digitale dienstverleners die aan strenge veiligheidsnormen moeten voldoen. Lokale wetten zoals de NIS2-wet en de CyberFundamentals vormen een aanvulling op EU-brede regels om specifieke nationale uitdagingen aan te pakken.

Naleving van de Belgische en Europese cyberbeveiligingswetten is essentieel voor de bescherming van gevoelige gegevens, het behoud van vertrouwen en het voldoen aan wettelijke verplichtingen. Dit artikel behandelt de belangrijkste kaders die relevant zijn voor Belgische bedrijven, waaronder lokale wetten zoals de NIS2-wet en CyberFundamentals, EU-regelgeving zoals CRA en GDPR, en algemeen aanvaarde wereldwijde normen zoals ISO/IEC 27001.

Gerelateerd conent: Cyberbeveiliging in België - Kaders, regelgeving, adviseurs

Wat is NIS2 Law (België)?

De Belgische NIS2-wet voert de NIS2-richtlijn van de EU lokaal uit, met enkele nationale aanpassingen. De wet is gericht op het verbeteren van de cyberbeveiliging in kritieke infrastructuur en essentiële diensten en richt zich op het verbeteren van het risicobeheer, het melden van incidenten en het toewijzen van duidelijke beheerstaken binnen organisaties.

De richtlijn sluit nauw aan bij de NIS2-richtlijn van de EU, maar bevat specifieke bepalingen die de nationale cyberbeveiligingsstrategie van België weerspiegelen. Vergeleken met GDPR, dat persoonsgegevens beschermt, richt NIS2 zich op operationele beveiliging van netwerken en systemen. ISO 27001 biedt een vrijwillig kader voor het beheren van informatiebeveiliging, terwijl de NIS2-wet verplicht is voor bepaalde sectoren.

Lees de volledige beschrijving van NIS2 Law hier:
‍Leeshet artikel

Wie moet voldoen aan de NIS2-wet (België)? 

De wet is van toepassing op twee hoofdgroepen:

• Essentiële entiteiten: operatoren in sectoren zoals energie, transport, gezondheid, bankieren en drinkwater.
• Belangrijke entiteiten: digitale infrastructuur, postdiensten, chemicaliën en andere sectoren die van cruciaal belang zijn voor de samenleving en de economie.

Kleine en middelgrote ondernemingen kunnen ook onder de wet vallen als ze worden beschouwd als systeemrelevant in hun sector. Naleving is gebaseerd op bedrijfsgrootte, sectoraal belang en grensoverschrijdende impact.

Het Belgische Federal Cybersecurity Center (CCB) ziet toe op de naleving van de wet, met sancties zoals boetes en operationele beperkingen. Een leverancier van kritieke infrastructuur die een cyberincident niet tijdig meldt, kan bijvoorbeeld hoge boetes opgelegd krijgen.

Wat zijn de belangrijkste vereisten van de NIS2-wet (België)?

De wet is gestructureerd in verschillende verplichtingen, waaronder:

• Governance: aanstelling van een verantwoordelijk bestuurslid voor cyberbeveiliging.
• Risicobeheer: implementatie van geschikte technische en organisatorische maatregelen (bijv. toegangscontrole, netwerksegmentatie).
• Rapportage van incidenten: stel het CCB binnen 24 uur op de hoogte van een belangrijk incident.
• Bedrijfscontinuïteit: beleid voor back-up, crisisrespons en noodherstel.
• Beveiliging van de toeleveringsketen: evalueer de risico's in uw leveranciersnetwerk.
• Regelmatig toezicht op naleving: audits en corrigerende maatregelen.

Deze vereisten zijn verplicht en er is geen opt-out mogelijk op basis van het risiconiveau. België kan ook sectorspecifieke rapporteringsportalen en bijkomende controles vereisen.

NIS2 Law (België) beste praktijken en gemeenschappelijke uitdagingen

Organisaties implementeren gedocumenteerd cyberbeveiligingsbeleid, regelmatige risicobeoordelingen en incidentbestrijdingsplannen.

Veel voorkomende uitdagingen waarmee Belgische bedrijven worden geconfronteerd, zijn onder meer

• De overlap tussen NIS2- en GDPR-verplichtingen interpreteren (met name rond het melden van inbreuken).
• Aanpassen van interne processen voor strakke rapportagetermijnen (bijv. 24 uur).
• Gebrek aan interne expertise om beveiligingsbeheer en -documentatie vanaf nul te implementeren.

Wat is CyberFundamentals?

CyberFundamentals is een door de Belgische overheid gesteund kader dat zich richt op kleine en middelgrote ondernemingen (KMO's) om een basishygiëne op het gebied van cyberbeveiliging op te bouwen. Het legt de nadruk op praktische beveiligingsmaatregelen zoals sterke wachtwoorden, software-updates en bewustwording van werknemers.

Het vormt een aanvulling op de strengere NIS2-wet door bedrijven met een lager risicoprofiel te bestrijken. In tegenstelling tot GDPR's focus op gegevensprivacy, concentreert CyberFundamentals zich op operationele beveiligingsfundamenten. ISO 27001 is uitgebreider en formeler, terwijl CyberFundamentals is ontworpen als een toegankelijk startpunt.

Wie moet voldoen aan CyberFundamentals?

Het kader is in de eerste plaats gericht op Belgische kmo's, vooral diegene die actief zijn in kritieke waardeketens of die klanten uit de publieke sector bedienen. In sommige sectoren (zoals gezondheidszorg, openbare aanbestedingen of nutsbedrijven) kan naleving verplicht worden gesteld door regelgeving of klantencontracten. In andere sectoren wordt het aanbevolen als een best practice.

De Belgische Cybersecurity Coalition ondersteunt de implementatie, waarbij lokale overheden toezicht houden op de naleving. De straffen zijn over het algemeen lichter en richten zich meer op begeleiding en verbetering dan op boetes.

Wat zijn de belangrijkste vereisten voor CyberFundamentals?

CyberFundamentals maakt gebruik van een checklistachtige structuur die is onderverdeeld in drie niveaus: basis, gemiddeld en gevorderd. Elk niveau bouwt voort op het vorige, met praktische taken zoals:

• Basis: sterke wachtwoorden, antivirus, software-updates, beperkte beheerderstoegang.
• Belangrijk: firewallconfiguratie, personeelstraining, back-upverificatie.
• Essentieel: beveiligde toegang op afstand, plan voor respons bij incidenten, logboekbewaking.

Deze modulaire structuur maakt het makkelijk voor MKB-bedrijven om klein te beginnen en uit te breiden. De controles zijn verplicht binnen elk niveau, maar organisaties kiezen zelf hoe ver ze op de ladder willen gaan.

Test hier uw naleving met onze gratis beoordeling.

CyberFundamentals best practices en veelvoorkomende uitdagingen

MKB-bedrijven implementeren vaak wachtwoordbeleid, regelmatige back-ups en training in phishingbewustzijn. Tot de uitdagingen behoren beperkte middelen en een goed begrip van de basisprincipes van cyberbeveiliging. Belgische kmo's verwarren soms overlappende verplichtingen met GDPR of NIS2.

Lees meer: Wat is CyberFundamentals? 🇧🇪 Belgisch cyberbeveiligingskader

Wat is GDPR?

De General Data Protection Regulation (GDPR) is een EU-verordening die de privacy en beveiliging van persoonlijke gegevens beschermt. Het is van toepassing op alle organisaties die persoonlijke gegevens van inwoners van de EU verwerken, zelfs als het bedrijf niet in de EU is gevestigd.

In tegenstelling tot raamwerken als NIS2 of ISO 27001 richt GDPR zich op privacyrechten, rechtmatige verwerking en transparantie in plaats van alleen op technische beveiligingsmaatregelen. De verordening vereist echter wel van organisaties dat ze passende technische en organisatorische maatregelen treffen om persoonlijke gegevens te beschermen, waardoor er overlap ontstaat met cyberbeveiligingspraktijken.

Wie moet voldoen aan GDPR? 

Alle organisaties die persoonlijke gegevens van inwoners van de EU verwerken, ongeacht hun locatie, moeten hieraan voldoen. De Belgische gegevensbeschermingsautoriteit (DPA) handhaaft de GDPR in België.

Boetes kunnen oplopen tot 4% van de wereldwijde jaaromzet of €20 miljoen.

Wat zijn de belangrijkste vereisten van GDPR?

GDPR legt verplichtingen vast op verschillende belangrijke gebieden:

• Wettelijke basis: elke gegevensverwerking moet een duidelijke wettelijke rechtvaardiging hebben (bijv. toestemming, contract, wettelijke verplichting).
• Transparantie: bedrijven moeten individuen duidelijk informeren over hoe hun gegevens worden gebruikt (via privacyverklaringen).
• Rechten van de betrokkene: personen hebben het recht op inzage, correctie, verwijdering en bezwaar tegen verwerking.
• Beveiligingsmaatregelen: passende technische en organisatorische beschermingen zijn vereist (maar niet dwingend).
• Functionaris voor gegevensbescherming (Data Protection Officer, DPO): vereist voor overheidsinstanties of organisaties die op grote schaal gevoelige gegevens verwerken.
• Melding van inbreuken: inbreuken op persoonsgegevens moeten binnen 72 uur na ontdekking worden gemeld aan de DPA.

GDPR is gestructureerd in 99 artikelen en 173 overwegingen, maar naleving in de praktijk richt zich meestal op de belangrijkste verplichtingen hierboven.

GDPR best practices en algemene uitdagingen 

Belgische bedrijven houden vaak een Record of Processing Activities (ROPA) bij, voeren DPIA's uit voor risicovolle verwerkingen en trainen hun personeel in gegevensverwerking. Veel bedrijven gebruiken sjablonen om verzoeken van betrokkenen te beheren.

Veel voorkomende problemen zijn onduidelijke rechtsgrondslagen, vertraagde rapportage van inbreuken en beperkt toezicht op externe verwerkers. Er is ook verwarring tussen de GDPR-privacyregels en de NIS2-taken op het gebied van cyberbeveiliging. Sommigen gebruiken ISO 27701 om gestructureerd privacybeheer te ondersteunen.

Wat is CRA (Cyber Resilience Act)?

De Cyber Resilience Act is een EU-verordening die beveiligingseisen stelt aan digitale producten en aangesloten apparaten die op de EU-markt worden verkocht. Het doel is om de huidige kloof te dichten waarin veel producten worden geleverd met weinig of geen ingebouwde beveiliging, waardoor gebruikers worden blootgesteld aan uitbuiting.

CRA is van toepassing op de volledige levenscyclus van een product, van ontwikkeling en ontwerp tot onderhoud en updates. Het is een van de eerste EU-verordeningen die beveiligingsverplichtingen rechtstreeks oplegt aan fabrikanten, importeurs en distributeurs van producten. In tegenstelling tot GDPR of NIS2, die gericht zijn op cyberbeveiliging op organisatie- of serviceniveau, is CRA specifiek gericht op veerkracht op productniveau.

Wie moet voldoen aan CRA?

CRA is van toepassing op elke entiteit die digitale producten produceert, importeert of distribueert in de EU - ongeacht waar ze gevestigd zijn. Dit omvat:

• Belgische techbedrijven die connected apparaten of SaaS-tools ontwikkelen
• Wereldwijde softwareleveranciers bieden downloadbare apps aan in de EU
• Detailhandelaars en distributeurs die slimme producten verkopen in België

Nationale markttoezichtautoriteiten zien toe op de naleving van de regelgeving, met sancties voor niet-naleving. Niet-naleving kan leiden tot boetes tot €15 miljoen of 2,5% van de wereldwijde omzet, het terugroepen van producten of een verkoopverbod.

Wat zijn de belangrijkste vereisten van CRA?

De CRA bevat basisvereisten voor cyberbeveiliging, waaronder:

• Veilige ontwikkeling: producten moeten zo ontworpen worden dat ze zo min mogelijk kwetsbaarheden bevatten die misbruikt kunnen worden.
• Standaard beveiligingsinstellingen: standaard sterke configuratie, zonder aanpassingen door de gebruiker.
• Beheer van kwetsbaarheden: fabrikanten moeten meldingen afhandelen en problemen snel oplossen.
• Updateondersteuning: er moeten beveiligingsupdates worden geleverd voor de verwachte levenscyclus van het product.
• Conformiteitsdocumentatie: inclusief een risicobeoordeling en conformiteitsverklaring.

Deze vereisten zijn van toepassing voordat het product wordt verkocht (pre-market) en nadat het is ingezet (post-market), zodat de veerkracht op de lange termijn is gegarandeerd.

Beste praktijken van ratingbureaus en veelvoorkomende uitdagingen

Belgische fabrikanten beginnen veilige codeerpraktijken te integreren in hun softwareontwikkelingscyclus (SDLC), scans op kwetsbaarheden te automatiseren en bewijs van naleving vroegtijdig te documenteren. Velen richten ook teams op om te reageren op productbeveiligingsincidenten (PSIRT's) om problemen na het op de markt brengen efficiënt af te handelen.

Uitdagingen zijn onder andere het retrofitten van oudere producten die niet zijn gebouwd met beveiliging in gedachten, budgetteren voor lifecycle update support en begrijpen hoe CRA overlapt met andere wetten zoals de Radio Equipment Directive of bestaande CE-markeringsregels.

Wat is DORA?

De Digital Operational Resilience Act (DORA) is een EU-verordening die zich richt op risicobeheer van informatie- en communicatietechnologie (ICT) in de financiële sector.

DORA is geïntroduceerd om gaten te dichten tussen bestaand financieel toezicht en cyberbeveiliging, door de regels voor banken, verzekeraars, beleggingsondernemingen en externe ICT-aanbieders te harmoniseren. Het vormt een aanvulling op sectorspecifieke regelgeving (zoals EBA- en ECB-richtlijnen) door één horizontaal cyberbeveiligingsraamwerk voor financiële diensten te introduceren. In tegenstelling tot ISO 27001, dat vrijwillig is, is DORA wettelijk bindend in de hele EU, inclusief België.

Wie moet voldoen aan DORA?

DORA is van toepassing op een breed scala aan entiteiten in de financiële sector, waaronder:

• Banken, kredietinstellingen en betalingsbedrijven
• Verzekerings- en herverzekeringsmaatschappijen
• Beleggingsondernemingen, aanbieders van crypto-activa diensten
• Kritische ICT-dienstverleners (CTPP's)

Als een bedrijf onder de financiële wetgeving van de EU valt, dan valt het hoogstwaarschijnlijk onder DORA. Dit geldt ook voor Belgische bedrijven die onder toezicht staan van de FSMA (Autoriteit voor Financiële Diensten en Markten) of de Nationale Bank van België (NBB).

De handhaving begint in januari 2025 en toezichthoudende autoriteiten zullen de bevoegdheid hebben om corrigerende maatregelen op te leggen, administratieve boetes op te leggen of zelfs cruciale diensten van derden op te schorten.

Wat zijn de belangrijkste vereisten van DORA?

DORA stelt verplichte regels op vijf belangrijke gebieden:

1. ICT-risicobeheer: beleid, controles en governance onderhouden om cyberrisico's end-to-end te beheren.
2. Rapportage van incidenten: classificeer ICT-incidenten en rapporteer grote incidenten binnen strakke tijdlijnen aan regelgevende instanties.
3. Testen van digitale operationele veerkracht: voer periodieke penetratietests en op scenario's gebaseerde tests uit.
4. Risicobeheer van derden: beoordelen, bewaken en contractueel controleren van ICT-dienstverleners.
5. Informatie-uitwisseling: betrouwbare informatie-uitwisseling over bedreigingen tussen gereguleerde entiteiten aanmoedigen.

Deze regels staan gedetailleerd beschreven in de 58 artikelen van de verordening en de bijbehorende technische normen van de toezichthoudende instanties van de EU (EBA, ESMA, EIOPA).

DORA best practices en algemene uitdagingen

Financiële organisaties in België bereiden zich voor op DORA door hun ICT-governanceraamwerken uit te breiden, contracten met cloud- en SaaS-leveranciers bij te werken en incidentclassificatiesystemen op te zetten die zijn afgestemd op de drempelwaarden van DORA. Veel organisaties stemmen hun interne beleid af op bestaande ISO 27001- of NIST-normen, maar DORA vereist een meer granulaire focus op operationele tests en toezicht door derden.

Veelvoorkomende uitdagingen zijn het in kaart brengen van alle ICT-afhankelijkheden (vooral in complexe leveranciersketens), het afstemmen van DORA op meerdere overlappende EU- en nationale regelgevingen en het voorbereiden op verplichte resiliëntietests, die veel bedrijven nog nooit hebben uitgevoerd.

Wat is ISO 27001?

ISO/IEC 27001 is de toonaangevende internationale norm voor beheersystemen voor informatiebeveiliging (ISMS). Het biedt een systematische aanpak voor het beheren van gevoelige gegevens en beveiligingsrisico's.

Hoewel het niet wettelijk verplicht is in België of de EU, wordt het in veel sectoren gebruikt als een erkende best practice voor het beschermen van gegevens, het verminderen van risico's en het opbouwen van vertrouwen.

Wie moet ISO 27001 gebruiken?

ISO 27001 is geschikt voor elke organisatie, ongeacht grootte of sector, die informatiebeveiliging systematisch wil beheren.

Goedkeuring is vrijwillig, maar klanten (vooral in B2B) eisen vaak certificering als contractuele of due diligence voorwaarde. Certificering wordt afgegeven door geaccrediteerde instanties en is meestal drie jaar geldig, met jaarlijkse toezichtsaudits.

Er zijn geen wettelijke straffen voor het niet gecertificeerd zijn, maar het ontbreken van gestructureerde beveiligingspraktijken kan het risico op inbreuken vergroten, de regelgeving onder de loep nemen of gemiste zakelijke kansen met zich meebrengen.

Wat zijn de belangrijkste vereisten van ISO 27001? 

De standaard vereist dat organisaties:

• Een ISMS toepassingsgebied en leiderschapsverplichting vaststellen
• Risico's identificeren en behandelen via een formele risicobeoordeling
• Beveiligingsdoelstellingen en -rollen definiëren
• Controles uit Bijlage A implementeren en onderhouden (bijgewerkt tot 93 controles in 4 thema's)
• Voer interne audits en managementbeoordelingen uit en stimuleer voortdurende verbetering

Controles omvatten alles van toegangsbeheer en encryptie tot fysieke beveiliging en evaluatie van leveranciers. ISO 27001 dicteert niet welke controles moeten worden geïmplementeerd, maar verwacht dat organisaties hun keuzes rechtvaardigen op basis van risico's.

ISO 27001 best practices en veelvoorkomende uitdagingen 

Organisaties die ISO 27001 in België nastreven, beginnen meestal met het aanstellen van een interne of externe ISMS-verantwoordelijke, het uitvoeren van een gap-analyse en het definiëren van een eenvoudige risicomethodologie. Ze bouwen een documentatieset op met beleid, procedures, inventarisatie van bedrijfsmiddelen en risicologs. Velen gebruiken tools om de naleving bij te houden, beoordelingen te automatiseren en audits te ondersteunen.

Veelvoorkomende uitdagingen zijn onder andere beperkte middelen, vooral in het MKB, problemen met het toewijzen van verantwoordelijkheid voor controles en het niet integreren van het ISMS in de dagelijkse processen, waardoor certificering een eenmalig project wordt in plaats van een doorlopende praktijk.

FAQ: Conformiteit met cyberveiligheid in België

Welke voorschriften zijn van toepassing op buitenlandse bedrijven die actief zijn in België? 

Buitenlandse bedrijven die persoonsgegevens verwerken of digitale diensten aanbieden in België moeten voldoen aan de GDPR en de NIS2-wet. Lokale aanwezigheid of gerichtheid op Belgische klanten brengt verplichtingen met zich mee.

Kan ISO 27001-certificering voldoen aan lokale compliance-eisen?

ISO 27001 sluit goed aan bij de Belgische en EU-vereisten voor cyberbeveiliging, maar vervangt geen dwingende wetten. Er bestaan hiaten in specifieke regels voor het melden van incidenten en gegevensbescherming.

Wat is het beste startpunt voor compliance in België?

Breng eerst de toepasselijke wetgeving in kaart op basis van de sector en de verwerkte gegevens en voer vervolgens een risicobeoordeling uit om de controles te prioriteren.

Welke hulpmiddelen of diensten zijn lokaal nuttig?

Belgische nationale hulpbronnen zoals het Federal Cybersecurity Center (CCB), cyberbeveiligingsadviesbureaus en EU-ondersteuningsplatforms helpen bij de naleving. Cyberday biedt hulp bij EU- en lokale NIS2-implementaties.

Hoe werken deze kaders op elkaar in?

Ze vullen elkaar aan: GDPR behandelt gegevensprivacy, NIS2 en nationale wetten richten zich op operationele beveiliging, terwijl ISO 27001 een basis biedt voor een managementsysteem. Stel prioriteiten op basis van wettelijke mandaten en de impact op het bedrijf.

Zijn er aankomende veranderingen waar je op moet letten?

België is zijn NIS2-wet aan het bijwerken om deze in overeenstemming te brengen met de nieuwste EU-richtlijn. De bepalingen van de CRA zullen binnenkort van toepassing zijn op fabrikanten van digitale producten. Het is van cruciaal belang om op de hoogte te blijven van deze veranderende regels.