Den belgiska cybersäkerhetsmiljön formas av en blandning av nationella lagar och EU-regler. Landet är värd för kritiska infrastruktursektorer, finansinstitut och leverantörer av digitala tjänster som måste uppfylla strikta säkerhetsstandarder. Lokala lagar som NIS2-lagen och CyberFundamentals kompletterar EU:s regler för att hantera specifika nationella utmaningar.

Efterlevnad av belgiska och europeiska lagar om cybersäkerhet är avgörande för att skydda känsliga uppgifter, upprätthålla förtroendet och uppfylla rättsliga skyldigheter. I den här artikeln beskrivs de viktigaste ramverken som är relevanta för belgiska företag, inklusive lokala lagar som NIS2-lagen och CyberFundamentals, EU-förordningar som CRA och GDPR samt allmänt antagna globala standarder som ISO/IEC 27001.

Relaterad konent: Cybersäkerhet i Belgien - Ramverk, regleringar, rådgivare

Vad är NIS2 Law (Belgien)?

Den belgiska NIS2-lagen genomför EU:s NIS2-direktiv lokalt, med vissa nationella anpassningar. Lagen syftar till att förbättra cybersäkerheten inom kritisk infrastruktur och samhällsviktiga tjänster och fokuserar på att förbättra riskhanteringen, incidentrapporteringen och tilldela tydliga styrningsroller inom organisationer.

Det ligger nära EU:s NIS2-direktiv men innehåller särskilda bestämmelser som återspeglar Belgiens nationella cybersäkerhetsstrategi. Jämfört med GDPR, som skyddar personuppgifter, är NIS2 inriktat på operativ säkerhet för nätverk och system. ISO 27001 utgör ett frivilligt ramverk för hantering av informationssäkerhet, medan NIS2-lagen är obligatorisk för definierade sektorer.

Läs hela beskrivningen av NIS2 Law här:
‍Läsartikeln

Vem måste följa NIS2-lagen (Belgien)? 

Lagen gäller för två huvudgrupper:

• Viktiga enheter: operatörer inom sektorer som energi, transport, hälsa, bank och dricksvatten.
• Viktiga enheter: digital infrastruktur, posttjänster, kemikalier och andra sektorer som är kritiska för samhället och ekonomin.

Små och medelstora företag kan också omfattas av lagen om de anses vara systemviktiga inom sin sektor. Efterlevnaden baseras på företagets storlek, sektorns betydelse och gränsöverskridande påverkan.

Det belgiska federala cybersäkerhetscentret (CCB) verkställer lagen, med påföljder som böter och driftsrestriktioner. Till exempel kan en leverantör av kritisk infrastruktur som inte rapporterar en cyberincident i tid drabbas av betydande böter.

Vilka är de viktigaste kraven i NIS2-lagen (Belgien)?

Lagen är strukturerad i flera skyldigheter, inklusive:

• Styrning: utnämning av en ansvarig styrelseledamot för cybersäkerhet.
• Riskhantering: genomförande av lämpliga tekniska och organisatoriska åtgärder (t.ex. åtkomstkontroll, nätverkssegmentering).
• Incidentrapportering: underrätta CCB inom 24 timmar om en betydande incident.
• Affärskontinuitet: policyer för säkerhetskopiering, krishantering och katastrofåterställning.
• Säkerhet i leveranskedjan: bedöma riskerna i leverantörsnätverket.
• Regelbunden övervakning av efterlevnaden: revisioner och korrigerande åtgärder.

Dessa krav är obligatoriska och tillåter inte att man väljer bort dem baserat på risknivå. Belgien kan också kräva sektorspecifika rapporteringsportaler och ytterligare kontroller.

NIS2 Law (Belgien) - bästa praxis och gemensamma utmaningar

Organisationer implementerar dokumenterade cybersäkerhetspolicyer, regelbundna riskbedömningar och incidenthanteringsplaner.

Vanliga utmaningar för belgiska företag är bland annat

• Tolkning av överlappningen mellan NIS2- och GDPR-skyldigheter (särskilt när det gäller rapportering av överträdelser).
• Anpassning av interna processer för korta rapporteringsfrister (t.ex. 24 timmar).
• Brist på intern expertis för att implementera säkerhetsstyrning och dokumentation från grunden.

Vad är CyberFundamentals?

CyberFundamentals är ett ramverk som stöds av den belgiska regeringen och som riktar sig till små och medelstora företag för att bygga upp en grundläggande cybersäkerhetshygien. Det betonar praktiska säkerhetsåtgärder som starka lösenord, programuppdateringar och medvetenhet hos medarbetarna.

Den kompletterar den strängare NIS2-lagen genom att omfatta företag med lägre riskprofiler. Till skillnad från GDPR:s fokus på datasekretess är CyberFundamentals inriktat på grundläggande säkerhetsfrågor. ISO 27001 är mer omfattande och formell, medan CyberFundamentals är utformad som en lättillgänglig startpunkt.

Vem måste följa CyberFundamentals?

Ramverket riktar sig främst till belgiska små och medelstora företag, särskilt de som är verksamma i kritiska värdekedjor eller som betjänar kunder inom den offentliga sektorn. I vissa sektorer (t.ex. hälso- och sjukvård, offentlig upphandling eller allmännyttiga tjänster) kan efterlevnad vara obligatorisk genom branschreglering eller kundavtal. I andra fall rekommenderas det som en bästa praxis.

Den belgiska cybersäkerhetskoalitionen stöder genomförandet, och lokala myndigheter övervakar efterlevnaden. Sanktionerna är i allmänhet lindrigare och fokuserar på vägledning och förbättringar snarare än böter.

Vilka är de viktigaste kraven för CyberFundamentals?

CyberFundamentals använder en struktur i form av en checklista som är uppdelad i tre nivåer: grundläggande, mellanliggande och avancerad. Varje nivå bygger vidare på den föregående, med praktiska uppgifter som t.ex:

• Grundläggande: starka lösenord, antivirus, programuppdateringar, begränsad administratörsbehörighet.
• Viktigt: brandväggskonfiguration, utbildning av anställda, verifiering av backup.
• Väsentligt: säker fjärråtkomst, incidenthanteringsplan, loggövervakning.

Den modulära strukturen gör det enkelt för små och medelstora företag att börja i liten skala och sedan expandera. Kontrollerna är obligatoriska inom varje nivå, men organisationerna väljer själva hur långt upp i stegen de vill gå.

Testa din efterlevnad med vår kostnadsfria utvärdering här.

CyberFundamentals bästa praxis och vanliga utmaningar

Små och medelstora företag implementerar ofta lösenordspolicyer, regelbundna säkerhetskopior och utbildning i phishing. Utmaningarna är bland annat begränsade resurser och att förstå grunderna i cybersäkerhet. Belgiska små och medelstora företag förväxlar ibland överlappande skyldigheter med GDPR eller NIS2.

Läs mer om CyberFundamentals: Vad är CyberFundamentals? 🇧🇪 Belgiens ramverk för cybersäkerhet

Vad är GDPR?

Den allmänna dataskyddsförordningen (GDPR) är en EU-förordning som skyddar personuppgifters integritet och säkerhet. Den gäller för alla organisationer som behandlar personuppgifter för personer bosatta i EU, även om företaget inte är beläget i EU.

Till skillnad från ramverk som NIS2 eller ISO 27001 fokuserar GDPR på rätten till integritet, laglig behandling och transparens snarare än enbart tekniska säkerhetskontroller. Förordningen kräver dock att organisationer genomför lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter - vilket skapar överlappning med cybersäkerhetsrutiner.

Vem måste följa GDPR? 

Alla organisationer som behandlar personuppgifter om EU-medborgare, oavsett var de befinner sig, måste följa reglerna. Den belgiska dataskyddsmyndigheten (DPA) verkställer GDPR i Belgien.

Påföljderna kan uppgå till 4% av den globala årsomsättningen eller 20 miljoner euro.

Vilka är de viktigaste kraven i GDPR?

GDPR fastställer skyldigheter inom flera viktiga områden:

• Laglig grund: all behandling av uppgifter måste ha en tydlig rättslig grund (t.ex. samtycke, avtal, rättslig förpliktelse).
• Öppenhet: företagen måste tydligt informera enskilda personer om hur deras uppgifter används (via integritetsmeddelanden).
• Registrerades rättigheter: enskilda personer har rätt att få tillgång till, korrigera, radera och invända mot behandling.
• Säkerhetsåtgärder: lämpliga tekniska och organisatoriska skyddsåtgärder krävs (men är inte normativa).
• Dataskyddsombud (DPO): krävs för offentliga myndigheter eller organisationer som behandlar känsliga uppgifter i stor skala.
• Anmälan av personuppgiftsincidenter: Personuppgiftsincidenter måste anmälas till dataskyddsmyndigheten inom 72 timmar efter att de blivit kända.

GDPR är uppbyggd av 99 artiklar och 173 skäl, men den praktiska efterlevnaden fokuserar vanligtvis på de viktigaste skyldigheterna ovan.

Bästa praxis och vanliga utmaningar med GDPR 

Belgiska företag för ofta ett register över behandlingsaktiviteter (ROPA), genomför konsekvensbedömningar för behandlingar med hög risk och utbildar personalen i datahantering. Många använder mallar för att hantera förfrågningar från registrerade.

Vanliga utmaningar är oklara rättsliga grunder, försenad rapportering av intrång och begränsad tillsyn av tredjepartsleverantörer. Det råder också förvirring mellan GDPR:s integritetsregler och NIS2:s cybersäkerhetsskyldigheter. Vissa använder ISO 27701 för att stödja en strukturerad integritetshantering.

Vad är CRA (Cyber Resilience Act)?

Cyber Resilience Act är en EU-förordning som fastställer säkerhetskrav för digitala produkter och anslutna enheter som säljs på EU-marknaden. Syftet är att täppa till den nuvarande klyftan där många produkter levereras med liten eller ingen inbyggd säkerhet, vilket gör att användarna utsätts för exploatering.

CRA gäller för hela produktlivscykeln, från utveckling och design till underhåll och uppdateringar. Det är en av de första EU-förordningarna som inför säkerhetsskyldigheter direkt för produkttillverkare, importörer och distributörer. Till skillnad från GDPR eller NIS2, som är inriktade på cybersäkerhet på organisations- eller tjänstenivå, är CRA specifikt inriktat på motståndskraft på produktnivå.

Vem måste följa CRA?

CRA gäller för alla enheter som tillverkar, importerar eller distribuerar digitala produkter i EU - oavsett var de är baserade. Detta inkluderar:

• Belgiska teknikföretag som utvecklar uppkopplade enheter eller SaaS-verktyg
• Globala mjukvaruleverantörer som erbjuder nedladdningsbara appar i EU
• Återförsäljare och distributörer som säljer smarta produkter i Belgien

Nationella marknadsövervakningsmyndigheter verkställer förordningen, med påföljder för bristande efterlevnad. Bristande efterlevnad kan leda till böter på upp till 15 miljoner euro eller 2,5% av den globala omsättningen, produktåterkallelser eller försäljningsförbud.

Vilka är de viktigaste kraven för CRA?

CRA fastställer grundläggande cybersäkerhetskrav, inklusive:

• Säker utveckling: Produkter måste utformas så att de minimerar sårbarheter som kan utnyttjas.
• Standardinställningar för säkerhet: stark konfiguration som standard, utan att användaren behöver göra några ändringar.
• Sårbarhetshantering: Tillverkarna måste hantera rapporter och åtgärda problem snabbt.
• Uppdateringsstöd: säkerhetsuppdateringar måste tillhandahållas under produktens förväntade livscykel.
• Dokumentation av överensstämmelse: inklusive en riskbedömning och en försäkran om överensstämmelse.

Dessa krav gäller innan produkten säljs (pre-market) och efter att den har tagits i drift (post-market), vilket säkerställer långsiktig motståndskraft.

CRA:s bästa praxis och vanliga utmaningar

Belgiska tillverkare börjar integrera metoder för säker kodning i sin livscykel för programvaruutveckling (SDLC), automatisera sårbarhetsskanningar och dokumentera efterlevnadsbevis tidigt. Många inrättar också PSIRT-team (Product Security Incident Response Team) för att effektivt hantera problem efter marknadsintroduktionen.

Utmaningarna omfattar eftermontering av äldre produkter som inte byggdes med säkerhet i åtanke, budgetering för support för uppdateringar under livscykeln och förståelse för hur CRA överlappar andra lagar som direktivet om radioutrustning eller befintliga regler för CE-märkning.

Vad är DORA?

Digital Operational Resilience Act (DORA) är en EU-förordning som fokuserar på riskhantering inom informations- och kommunikationsteknik (IKT) i finanssektorn.

DORA infördes för att täppa till luckorna mellan den befintliga finansiella tillsynen och cybersäkerheten genom att förenhetliga reglerna för banker, försäkringsbolag, värdepappersföretag och tredjepartsleverantörer av IKT. Det kompletterar sektorsspecifika förordningar (som EBA:s och ECB:s riktlinjer) genom att införa ett övergripande ramverk för cybersäkerhet för finansiella tjänster. Till skillnad från ISO 27001, som är frivillig, är DORA juridiskt bindande i hela EU, inklusive Belgien.

Vem måste följa DORA?

DORA gäller för ett brett spektrum av enheter inom finanssektorn, inklusive:

• Banker, kreditinstitut och betalningsföretag
• Försäkrings- och återförsäkringsbolag
• Värdepappersföretag, leverantörer av tjänster för kryptotillgångar
• Tredjepartsleverantörer av kritiska ICT-tjänster (CTPP)

Om ett företag regleras av EU:s finanslagstiftning omfattas det troligen av DORA. Detta inkluderar belgiska företag som övervakas av FSMA (Financial Services and Markets Authority) eller Belgiens centralbank (NBB).

Genomförandet börjar i januari 2025, och tillsynsmyndigheterna kommer att ha befogenhet att införa korrigerande åtgärder, administrativa böter eller till och med stänga av kritiska tredjepartstjänster.

Vilka är de viktigaste kraven för DORA?

DORA fastställer obligatoriska regler inom fem nyckelområden:

1. Hantering av ICT-risker: upprätthålla policyer, kontroller och styrning för att hantera cyberrisker från början till slut.
2. Incidentrapportering: klassificera ICT-incidenter och rapportera större incidenter till tillsynsmyndigheter inom snäva tidsramar.
3. Test av digital operativ motståndskraft: genomför regelbundna penetrationstester och scenariobaserade tester.
4. Riskhantering för tredje part: bedöma, övervaka och avtalsmässigt kontrollera leverantörer av ICT-tjänster.
5. Informationsutbyte: uppmuntra tillförlitligt utbyte av underrättelser om hot mellan reglerade enheter.

Dessa regler beskrivs i förordningens 58 artiklar och relaterade tekniska standarder från EU:s tillsynsorgan (EBA, ESMA, EIOPA).

Bästa praxis och gemensamma utmaningar för DORA

Finansiella organisationer i Belgien förbereder sig för DORA genom att utöka sina ramverk för IKT-styrning, uppdatera avtal med moln- och SaaS-leverantörer och inrätta system för incidentklassificering i linje med DORA:s tröskelvärden. Många anpassar sina interna policyer till befintliga ISO 27001- eller NIST-standarder, men DORA kräver ett mer detaljerat fokus på operativ testning och tredjepartstillsyn.

Vanliga utmaningar är att kartlägga alla ICT-beroenden (särskilt i komplexa leverantörskedjor), anpassa DORA till flera överlappande EU-regler och nationella regler samt förbereda sig för obligatoriska tester av motståndskraft, vilket många företag aldrig har gjort tidigare.

Vad är ISO 27001?

ISO/IEC 27001 är den ledande internationella standarden för ledningssystem för informationssäkerhet (ISMS). Den ger ett systematiskt tillvägagångssätt för att hantera känsliga data och säkerhetsrisker.

Även om det inte är lagstadgat i Belgien eller EU är det allmänt vedertaget inom olika sektorer som en erkänd bästa praxis för att skydda data, minska risker och bygga förtroende.

Vem bör anta ISO 27001?

ISO 27001 är lämplig för alla organisationer, oavsett storlek eller sektor, som vill hantera informationssäkerhet på ett systematiskt sätt.

Antagandet är frivilligt, men kunder (särskilt inom B2B) kräver ofta certifiering som ett avtalsvillkor eller due diligence-krav. Certifieringen utfärdas av ackrediterade organ och är normalt giltig i tre år, med årliga övervakningsrevisioner.

Det finns inga juridiska påföljder för att inte vara certifierad, men avsaknad av strukturerade säkerhetsrutiner kan öka risken för intrång, granskning av myndigheter eller missade affärsmöjligheter.

Vilka är de viktigaste kraven i ISO 27001? 

Standarden kräver att organisationer:

• Etablera ett ISMS-omfång och ett engagemang från ledningen
• Identifiera och hantera risker genom en formell riskbedömning
• Definiera säkerhetsmål och roller
• Genomföra och upprätthålla kontroller från bilaga A (uppdaterad till 93 kontroller i 4 teman)
• Genomföra interna revisioner, ledningens genomgångar och driva på ständiga förbättringar

Kontrollerna omfattar allt från åtkomsthantering och kryptering till fysisk säkerhet och utvärdering av leverantörer. ISO 27001 dikterar inte vilka kontroller som ska implementeras, utan förväntar sig att organisationerna motiverar sina val baserat på risk.

Bästa praxis och vanliga utmaningar för ISO 27001 

Organisationer som eftersträvar ISO 27001 i Belgien börjar vanligtvis med att utse en intern eller extern ISMS-ledare, genomföra en gapanalys och definiera en enkel riskmetodik. De bygger upp en dokumentationsuppsättning som omfattar policyer, procedurer, tillgångsinventeringar och riskloggar. Många använder verktyg för att spåra efterlevnad, automatisera granskningar och stödja revisioner.

Vanliga utmaningar är resursbegränsningar, särskilt i små och medelstora företag, svårigheter att tilldela ägande för kontroller och att inte integrera ISMS i vardagliga processer, vilket kan göra certifieringen till ett engångsprojekt snarare än en pågående praxis.

VANLIGA FRÅGOR OCH SVAR: Efterlevnad av cybersäkerhet i Belgien

Vilka regler gäller för utländska företag som är verksamma i Belgien? 

Utländska företag som behandlar personuppgifter eller erbjuder digitala tjänster i Belgien måste följa GDPR och NIS2-lagen. Lokal närvaro eller inriktning på belgiska kunder utlöser skyldigheter.

Kan ISO 27001-certifiering täcka lokala efterlevnadsbehov?

ISO 27001 stämmer väl överens med Belgiens och EU:s cybersäkerhetskrav, men ersätter inte tvingande lagar. Det finns luckor i specifika regler för incidentrapportering och dataskydd.

Vilken är den bästa utgångspunkten för compliance i Belgien?

Börja med att kartlägga tillämpliga lagar baserat på sektor och behandlad data, genomför sedan en riskbedömning för att prioritera kontroller.

Vilka verktyg eller tjänster är användbara lokalt?

Belgiska nationella resurser som Federal Cybersecurity Center (CCB), konsultföretag inom cybersäkerhet och EU:s stödplattformar hjälper till med efterlevnaden. Cyberday erbjuder hjälp med EU- och lokala NIS2-implementeringar.

Hur samverkar dessa ramverk?

De kompletterar varandra: GDPR hanterar datasekretess, NIS2 och nationella lagar fokuserar på operativ säkerhet, medan ISO 27001 ger en grund för ett ledningssystem. Prioritera utifrån lagstadgade mandat och affärspåverkan.

Finns det några kommande förändringar som man bör vara medveten om?

Belgien håller på att uppdatera sin NIS2-lag för att anpassa den till det senaste EU-direktivet. CRA:s bestämmelser kommer snart att gälla för tillverkare av digitala produkter. Det är viktigt att hålla sig informerad om dessa regler som håller på att utvecklas.