NIS2-boetes in België: wat riskeert je bedrijf?

Welke boetes staan er in de NIS2-wet?

De Belgische NIS2-wet (Wet van 26 april 2024) maakt een duidelijk onderscheid tussen twee categorieën:

Categorie	Maximale boete	Toezicht
Essentiële entiteit	10 miljoen euro of 2% wereldwijde jaaromzet	Proactief (het CCB kan audits uitvoeren zonder aanleiding)
Belangrijke entiteit	7 miljoen euro of 1,4% wereldwijde jaaromzet	Reactief (het CCB controleert pas bij aanwijzingen)

Het hogere bedrag van de twee geldt. Bij herhaling van dezelfde overtreding binnen drie jaar wordt de boete verdubbeld.

Niet zeker of je bedrijf als essentieel of belangrijk wordt geclassificeerd? Onze NIS2-checklist helpt je op weg.

Hoe handhaaft het CCB?

Het Centre for Cybersecurity Belgium (CCB) is de toezichthouder. De aanpak is getrapt, niet direct punitief.

Het proces ziet er in de praktijk zo uit:

1. Inspectie. Het CCB kan inspecties uitvoeren op locatie, documenten opvragen en security-scans uitvoeren
2. Waarschuwing. Bij tekortkomingen volgt eerst een formele waarschuwing met een termijn om te herstellen
3. Bindende instructies. Wordt er niet hersteld, dan kan het CCB concrete maatregelen opleggen die je verplicht bent uit te voeren
4. Administratieve boete. Pas bij aanhoudende niet-naleving of ernstige overtredingen volgt een geldboete

Het CCB moet je vooraf informeren over het voornemen een sanctie op te leggen. Je krijgt de kans je te verweren. Dit is geen snelrecht.

Bestuurdersaansprakelijkheid: het onderschatte risico

De NIS2-wet gaat verder dan bedrijfsboetes. Bestuurders en zaakvoerders zijn persoonlijk aansprakelijk voor het goedkeuren en toezicht houden op cybersecurity-maatregelen.

Concreet betekent dit:

• Je moet als bestuurder de cybersecurity-risicomaatregelen goedkeuren
• Je moet toezicht houden op de uitvoering ervan
• Je moet voldoende kennis hebben (of verwerven) om die risico’s te beoordelen

Schiet je hierin tekort? Dan kan je persoonlijk worden beboet én tijdelijk worden geschorst als bestuurder. De wet is duidelijk: onwetendheid is geen verweer. Het Belgisch bestuurders-instituut GUBERNA benadrukt dat bestuurders een actieve rol moeten spelen, niet slechts een handtekening zetten.

Meer over je verplichtingen als bestuurder lees je in onze gids over security-beleid.

Wat betekent dit voor KMO’s in de praktijk?

Laten we nuchter zijn. De maximale boetes van 10 miljoen euro zijn ontworpen voor grote essentiële entiteiten, niet voor een KMO met 30 medewerkers. Het CCB heeft beperkte capaciteit en richt zich op de sectoren met het hoogste risico.

Maar dat betekent niet dat je als KMO niets te vrezen hebt. Het echte risico zit op drie plekken:

1. Supply chain-eisen. Grote klanten die onder NIS2 vallen, moeten hun toeleveranciers beoordelen op cybersecurity. Val je niet direct onder NIS2 maar lever je diensten aan een bedrijf dat er wél onder valt? Dan krijg je contractuele eisen opgelegd. Geen CyFun-certificering? Mogelijk geen contract.

2. Na een incident. Als je bedrijf gehackt wordt en je had geen basismaatregelen genomen, ligt de aansprakelijkheidsvraag op tafel. De NIS2-wet geeft een concreet toetsingskader. Had je dat niet? Dan sta je zwak.

3. Meldplicht. Essentiële en belangrijke entiteiten moeten significante incidenten melden bij het CCB: binnen 24 uur een vroegtijdige melding, binnen 72 uur een volledig incidentrapport. Niet melden is een overtreding op zich.

Wat kun je nu doen?

De beste bescherming tegen boetes is geen juridische truc. Het is je beveiliging op orde brengen.

1. Check of NIS2 op je van toepassing is. Doe onze NIS2 Check voor een eerste indicatie, of raadpleeg het CCB
2. Registreer bij het CCB als je onder de wet valt (via Safeonweb@Work)
3. Start met CyFun SMALL. Het basisniveau van het CyberFundamentals framework is een goede eerste stap richting aantoonbare naleving
4. Documenteer wat je doet. Een geschreven security-beleid en een logboek van maatregelen tonen aan dat je bezig bent. Dat weegt mee bij de beoordeling
5. Betrek je bestuurders. Zorg dat de zaakvoerder of het bestuur de maatregelen formeel goedkeurt. Dat is wettelijk vereist én het beschermt hen persoonlijk

Dit artikel is informatief en geen juridisch advies. De NIS2-wet is nieuw en de interpretatie ervan evolueert. Raadpleeg het CCB of een gespecialiseerde jurist voor je specifieke situatie.