Toezicht en sancties NIS2

De NIS2-wet en het Koninklijk Besluit treden in België in werking op 18 oktober 2024. Bijgevolg zullen alle verplichtingen van de wet en het Koninklijk Besluit vanaf die datum van toepassing zijn op essentiële en belangrijke entiteiten (cyberbeveiligingsmaatregelen, melding van incidenten, enz.).

De controle van essentiële entiteiten vindt dan gradueel verlopen, op basis van het gekozen traject voor de regelmatige conformiteitsbeoordeling. 

Niet later dan 18 april 2026 moeten essentiële entiteiten, als onderdeel van de eerste verplichte conformiteitsbeoordelingen, ten minste:

1. Ofwel een CyFun® -niveau Important verificatie verkrijgen, in het kader van een beoordeling uitgevoerd door een conformiteitsbeoordelingsinstantie (CAB) op basis van het CyFun® -kader ;
2. Ofwel de toepassingsgebied en de statement of applicability voorleggen aan de CCB als onderdeel van een beoordeling uitgevoerd door een CAB op basis van de ISO/IEC 27001 norm;
3. Of een CyFun® -zelfevaluatie van niveau Important* (*of niveau Basic afhankelijk van het resultaat van de risicoanalyse) voorleggen aan het CCB, in het kader van een evaluatie uitgevoerd door de inspectiedienst van het CCB;
4. Ofwel het informatiebeveiligingsbeleid, de toepassingsgebied en de statement of applicability van de ISO/IEC 27001-norm voorleggen aan het CCB, in het kader van een beoordeling door de CCB-inspectiedienst. 

Uiterlijk 18 april 2027 moeten essentiële entiteiten die kiezen voor een CyFun® of ISO/IEC 27001 certificering deze hebben verkregen.

Voor entiteiten die geïdentificeerd zijn door het CCB (zoals uitgelegd aan het einde van het toepassingsgebied-sectie hierboven), beginnen deze termijnen te lopen op de dag dat de identificatie wordt meegedeeld aan de betrokken entiteit.

De Belgische wetgeving heeft voor NIS2 boetes opgesteld zowel administratief alsook voor het niet voldoen aan alle vereisten. We zijn uiteraard benieuwd welke maatregelen de Nederlandse overheid zal communiceren bij de Nederlandse NIS2 publicatie in Q3 2025.

Hieronder kan u een overzicht terugvinden van de Belgische boetes voor het niet naleven van de gestelde eisen :

Inspecteurs kunnen ter plaatse gaan, notulen opmaken en rapporten schrijven. Op basis van deze bevindingen kan een procedure worden gestart om een entiteit te bevelen een einde te maken aan een overtreding en, indien nodig, passende administratieve maatregelen te nemen, variërend van waarschuwingen tot administratieve boetes.

Mogelijke administratieve maatregelen en boetes worden door de richtlijn vastgesteld. Als een maatregel of boete nodig wordt geacht, wordt altijd de facto rekening gehouden met de situatie en eventuele herhaalde overtredingen, zodat de maatregel of boete evenredig is.

De volgende administratieve boetes kunnen worden opgelegd (verdubbeld bij herhaaldelijk gedrag binnen een periode van 3 jaar):

• 500 tot 125.000 euro voor het niet voldoen aan de rapportageverplichtingen van artikel 12 (identificatieproces);
• 500 tot 200.000 euro voor een entiteit die een van haar werknemers of onderaannemers heeft gesanctioneerd voor het te goeder trouw en binnen het kader van hun taken uitvoeren van de verplichtingen van de wet;
• 500 tot 200.000 euro voor het niet voldoen aan toezichtverplichtingen;
• 500 tot 7.000.000 euro of, indien dit hoger is, 1,4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van het bedrijf waartoe de entiteit behoort [belangrijke entiteiten];
• 500 tot 10.000.000 euro of, indien dit hoger is, 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de entiteit behoort [essentiële entiteiten].

Het CCB kan ook de volgende administratieve maatregelen opleggen:

• Waarschuwingen of bindende instructies geven;
• Instrueren om een gedrag te stoppen of om risicobeheersmaatregelen of rapportageverplichtingen in overeenstemming te brengen;
• Instrueren om de natuurlijke of rechtsperso(o)n(en) aan wie zij diensten verlenen te informeren of om vastgestelde overtredingen openbaar te maken;
• Een controlefunctionaris benoemen [essentiële entiteiten];
• Instrueren om de voorgestelde aanbevelingen uit te voeren;
• Temp. een certificering of vergunning tijdelijk opschorten met betrekking tot alle of een deel van de relevante verleende diensten [essentiële entiteiten];
• Temp. de uitoefening van leidinggevende functies tijdelijk verbieden [essentiële entiteiten].

Het uiteindelijke doel van deze maatregelen en boetes is om het niveau van cyberbeveiliging van essentiële en belangrijke entiteiten te versterken en daarmee ook het niveau van cyberbeveiliging van het hele land.