NIS2-richtlijn

NIS2 is van kracht.
Bent u conform?

De NIS2-richtlijn verplicht cyberbeveiligingsmaatregelen voor operatoren van kritieke infrastructuur in heel Europa. In Belgie handhaaft het CCB de naleving met proactieve audits, bestuursaansprakelijkheid en boetes tot EUR 10 miljoen.

Handhaving Actief

De NIS2-omzettingsdeadline is verstreken

EU-lidstaten moesten NIS2 uiterlijk op 17 oktober 2024 in nationaal recht omzetten. Het Belgische CCB is nu bevoegd om proactieve audits uit te voeren bij essentiele entiteiten. Elke dag zonder auditeerbaar beveiligingsbewijs is een dag van regelgevende en juridische blootstelling.

Wat is NIS2?

De Netwerk- en Informatiebeveiligingsrichtlijn 2 (EU 2022/2555) is de uitgebreide EU-cyberbeveiligingswetgeving voor kritieke infrastructuur. Het vervangt de oorspronkelijke NIS-richtlijn met aanzienlijk uitgebreid toepassingsgebied, strengere handhaving en persoonlijke bestuursaansprakelijkheid.

NIS2 classificeert operatoren in "essentiele" en "belangrijke" entiteiten. Essentiele entiteiten worden proactief gecontroleerd. Beide staan voor verplichte incidentmelding binnen 24 uur en risicobeheersverplichtingen onder Artikel 21.

Wie valt onder het toepassingsgebied?

NIS2 bestrijkt 18 sectoren in twee bijlagen. Bijlage I (essentiele) sectoren omvatten:

  • Energie (elektriciteit, olie, gas, waterstof, stadsverwarming)
  • Transport (lucht, spoor, water, weg)
  • Banken en financiele marktinfrastructuur
  • Gezondheidszorg
  • Drinkwatervoorziening
  • Afvalwaterbeheer
  • Digitale infrastructuur
  • Openbaar bestuur
  • Ruimtevaart

CCB Proactief Toezicht (Belgie)

In Belgie is het Centrum voor Cybersecurity Belgie (CCB) de bevoegde autoriteit voor NIS2-handhaving. Essentiele entiteiten vallen onder proactief toezicht -- het CCB kan op elk moment bewijs van naleving opvragen, niet alleen na een inbreuk of incident.

De Belgische NIS2-omzettingswet geeft CCB-inspecteurs de bevoegdheid om audits ter plaatse uit te voeren, documentatie op te vragen en administratieve boetes op te leggen tot EUR 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiele entiteiten.
Artikel 21
Cyberbeveiligingsrisicobeheersmaatregelen
NIS2 Artikel 21 verplicht specifieke beveiligingsmaatregelen. Hier is hoe RX-OS aan elke vereiste voldoet.
Art. 21(2)(a)

Risicoanalyse en informatiesysteembeveiliging

Uitgebreid beleid inzake risicoanalyse, inclusief identificatie en beoordeling van risico's voor netwerk- en informatiesystemen.

RX-OS: Geautomatiseerde OT-activainventaris met risicoscores per apparaat, firmwarekwetsbaarheidskaart en continue risicoherbeoordeling.
Art. 21(2)(b)

Incidentafhandeling

Procedures voor preventie, detectie en respons op cyberincidenten, inclusief meldingsverplichtingen binnen 24 uur.

RX-OS: Realtime anomaliedetectie met hash-geketende gebeurtenislogs. Levert het bewijs dat nodig is voor verplichte incidentmelding aan het CCB.
Art. 21(2)(d)

Toeleveringsketenbeveiliging

Beveiligingsmaatregelen met betrekking tot de relatie met directe leveranciers en dienstverleners.

RX-OS: Detecteert externe toegangssessies, VPN-verbindingen van leveranciers-IP's en ongeautoriseerde apparaten die tijdens onderhoud worden geintroduceerd.
Art. 21(2)(e)

Netwerk- en informatiesysteembeveiliging

Beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen, inclusief kwetsbaarhedenafhandeling.

RX-OS: Firmwarversietracking, configuratiewijzigingsdetectie en protocolniveau-kwetsbaarheidsidentificatie over alle ontdekte OT/IT-activa.
Art. 21(2)(i)

Activabeheer

Beleid inzake informatie- en activabeheer, inclusief classificatie van activa op basis van kriticiteit.

RX-OS: Continue passieve OT-activadiscovery en classificatie. Automatisch bijgehouden register met apparaattype, fabrikant, firmwareversie en risicoscore.
Art. 21(2)(j)

Audittrail en verantwoording

Gebruik van logging- en monitoringoplossingen om beveiligingsrelevante gebeurtenissen te detecteren en vast te leggen.

RX-OS: Hash-geketende bewijslogs. Elke observatie is voorzien van een tijdstempel en cryptografisch gekoppeld om wijziging achteraf te voorkomen.
Bewijs
Hash-geketende audittrail

Elke observatie die RX-OS vastlegt -- apparaatontdekking, anomaliedetectie, configuratiewijziging -- wordt opgeslagen als een hash-geketend bewijsblok. Elk blok bevat een SHA-256 hash van het vorige blok, waardoor een fraudebestendige keten ontstaat.

Als een blok in de keten achteraf wordt gewijzigd, breken alle volgende hashes. Dit levert cryptografisch bewijs dat het bewijs niet is gewijzigd tussen observatie en audit.

Wanneer het CCB bewijs vraagt van uw beveiligingshouding op een specifiek moment, kunt u de keten verstrekken en zij kunnen de integriteit onafhankelijk verifieren. Dit is uw verweer tegen bestuursaansprakelijkheid.

Blok #1042
  ts: 2025-03-15T08:41:02Z
  event: apparaat_ontdekt
  apparaat: PLC-S7-1200-03
  hash: a3f8c2...
  vorige: 7b2e91...
|
Blok #1043
  ts: 2025-03-15T08:41:14Z
  event: anomalie_gedetecteerd
  type: nieuwe_modbus_functie
  hash: e9d4f1...
  vorige: a3f8c2...

Bestuursaansprakelijkheid -- Artikel 20

NIS2 Artikel 20 houdt bestuursorganen expliciet persoonlijk aansprakelijk voor het goedkeuren en toezien op de implementatie van cyberbeveiligingsrisicobeheersmaatregelen. Niet-naleving kan leiden tot persoonlijke aansprakelijkheid voor bestuurders en senior management -- inclusief tijdelijke verboden op het uitoefenen van bestuursfuncties.

Dit is niet hypothetisch. De richtlijn verplicht dat bestuursorganen een cyberbeveiligingsopleiding volgen en dat zij persoonlijk de maatregelen goedkeuren en toezien die vereist zijn onder Artikel 21.

Referentie: NIS2-richtlijn (EU) 2022/2555, Artikel 20 -- Governance
Essentiele Entiteiten
EUR 10M / 2%

Tot EUR 10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Proactief toezicht door CCB.

Belangrijke Entiteiten
EUR 7M / 1,4%

Tot EUR 7 miljoen of 1,4% van de wereldwijde jaaromzet. Reactief toezicht (na incident).

Aan de Slag
Bouw vandaag uw NIS2-bewijsspoor

De nalevingsdeadline is verstreken. Elke dag zonder auditeerbare OT-zichtbaarheid is een dag van blootstelling. Start een pilootproject van twee weken en ontvang uw eerste NIS2-gaprapport.

Demo Aanvragen →
Inclusief NIS2-gapanalyse en Artikel 21-mappingrapport