CyFun-verificatie en NIS2
Laat de cyberbeveiligingsmaatregelen van uw organisatie onafhankelijk beoordelen volgens het CyberFundamentals Framework.
Met onze BELAC-accreditatie en autorisatie van het centrum voor Cybersecurity Belgie (CCB) kunnen wij een verificatie voor CyberFundamentals (CyFun) uitvoeren.
Als u de verificatie succesvol afrondt, kunt u een CyFun-label aanvragen.
Hiermee kunt u (vermoedelijk) voldoen aan de NIS2-wetgeving!
Wat is het CyberFundamentals Framework?
Het CyberFundamentals Framework, ook wel CyFun® genoemd, is een raamwerk dat is ontwikkeld door het Centrum voor Cybersecurity België (CCB). Het bevat concrete maatregelen om gegevens te beschermen, de risico’s van de meest voorkomende cyberaanvallen te verminderen en de cyberweerbaarheid van organisaties te vergroten.
CyFun kan zowel worden gebruikt door entiteiten die onder de Belgische NIS2-wetgeving vallen als door andere organisaties die hun cyberbeveiligingsmaatregelen gestructureerd willen implementeren en laten beoordelen.
Het raamwerk kent verschillende zekerheidsniveaus. Hierdoor kunnen de maatregelen en de verificatie worden afgestemd op het risicoprofiel, de potentiële impact en de blootstelling aan cyberdreigingen van de organisatie.
Toepassingsgebied van de NIS2
Om onder de Belgische NIS2-wet te vallen, moet een organisatie in België gevestigd zijn en een dienst leveren die in bijlage I en II van de NIS2-wet staat. De drempelwaardeden. Dit omvat onder andere middelgrote ondernemingen met meer dan 50 werknemers of een jaaromzet van meer dan €10 miljoen. Er kunnen echter uitzonderingen en bijzondere regels van toepassing zijn.
Met de NIS2-scope-test-tool kunt u een eerste beoordeling uitvoeren om vast te stellen of uw organisatie mogelijk als een essentiële of belangrijke entiteit wordt beschouwd.
Voor wie is CyFun bedoeld?
De NIS2-wet is van toepassing op organisaties die essentiële diensten leveren zoals vermeld in bijlage I en II van de wet. CyFun is geschikt voor:
- Kleine en middelgrote ondernemingen (KMO’s): Die hun basisbeveiliging op orde willen brengen zonder complexe beheerssystemen;
- Grote ondernemingen: Die een solide fundament willen leggen voor verdere beveiligingsmaatregelen;
- Publieke en semi-publieke instellingen: Die verplicht zijn om aan de eisen van de NIS2-richtlijn te voldoen;
- Dienstverleners en toeleveranciers: Die klanten zekerheid willen bieden over hun informatiebeveiliging.
Kortom, CyFun is relevant voor elke organisatie die cyberveiligheid serieus neemt en/of wil voldoen aan wet- en regelgeving.
Herkent u uw organisatie? Laat ons meekijken.
CyFun® 2023 en CyFun® 2025
In oktober 2025 is een nieuwe versie van het CyberFundamentals Framework gepubliceerd. CyFun® 2023 en CyFun® 2025 blijven tot 18 april 2027 naast elkaar bestaan.
Tijdens deze overgangsperiode kunnen organisaties kiezen welke versie van het raamwerk zij willen toepassen, onder voorbehoud van de voorwaarden die op hun situatie van toepassing zijn.
Bekijk de officiële informatie over CyFun® 2023 en CyFun® 2025 op Safeonweb@work.
Waarom kiezen voor een CyFun-verificatie?
Het behalen van een CyFun-verificatie biedt tal van voordelen voor Belgische organisaties die hun cyberbeveiliging naar een hoger niveau willen tillen.
- Bescherming tegen cyberdreigingen: Minimaliseert de kans op datalekken en cyberaanvallen;
- Vertrouwen van klanten en partners: Laat zien dat uw organisatie serieus werk maakt van cyberveiligheid;
- Wettelijke naleving: Helpt voldoen aan wettelijke verplichtingen;
- Operationele continuïteit: Vermindert de kans op bedrijfsverstoringen door cyberincidenten;
- Continue verbetering: Ondersteunt bij het regelmatig evalueren en optimaliseren van beveiligingsmaatregelen.
Welke CyFun-niveaus zijn er?
CyberFundamentals kent drie zekerheidsniveaus, elk gericht op organisaties van verschillende omvang en risicoprofiel:
CyFun Basic
Het zekerheidsniveau CyFun Basic omvat standaardmaatregelen voor informatiebeveiliging die geschikt zijn voor alle bedrijven. Deze maatregelen bieden effectieve bescherming met technologie en processen die meestal al beschikbaar zijn. Indien nodig, worden de maatregelen aangepast en verfijnd.
CyFun Important
Het zekerheidsniveau CyFun Important is ontworpen om, naast de bekende cyberbeveiligingsrisico’s, ook de risico’s op gerichte cyberaanvallen door actoren met gangbare vaardigheden en middelen te minimaliseren.
CyFun Essential
Het zekerheidsniveau CyFun Essential biedt extra bescherming tegen geavanceerde cyberaanvallen door actoren met uitgebreide vaardigheden en middelen.
Het verificatieproces
Om een CyberFundamentals verificatie te behalen dient een organisatie de volgende stappen te doorlopen:
- Voer een risicobeoordeling uit
Gebruik de CyFun Selection Tool om het juiste zekerheidsniveau te selecteren;
- Voltooi uw Self Assessment en implementeer corrigerende maatregelen
Gebruik de CyFun Self-Assessment Tool voor zelfbeoordeling en managementrapportage;
- Vraag een verificatie of audit aan bij Brand Compliance
Laat uw Self Assessment verifiëren door Brand Compliance;
- Ontvang de verificatieverklaring
Bij een positief verificatieresultaat geeft Brand Compliance een CyFun®-verificatieverklaring af.
- Vraag uw label aan op Safeonweb@work
Nadat de verificatieverklaring is afgegeven, kan uw organisatie het CyFun®-label aanvragen volgens de procedure van het CCB.
Proces bij Brand Compliance
Het proces bij Brand Compliance komt er als volgt uit te zien:
Verplichtingen aan belangrijke en essentiële entiteiten
De NIS2-wet legt een aantal verplichtingen op aan essentiële en belangrijke entiteiten. Organisaties binnen het toepassingsgebied moeten maatregelen nemen om hun cyberbeveiliging te verbeteren, incidenten te beheren en te rapporteren.
- Registratie
NIS2-entiteiten die onder het toepassingsgebied van de Belgische NIS2-wet vallen, moeten hun organisatie registreren bij het Centrum voor Cybersecurity België (CCB); - Maatregelen cyberbeveiligingsrisico’s
Essentiële en belangrijke entiteiten moeten geschikte maatregelen nemen om hun netwerken en informatiesystemen te beveiligen, incidenten te voorkomen, en de impact van incidenten op hun klanten en andere diensten te beperken; - Melden van significante incidenten
Beide entiteiten moeten het nationale CSIRT (in België is dit het CCB) informeren over elk groot incident dat hun diensten beïnvloedt, inclusief informatie over mogelijke grensoverschrijdende effecten; - Verantwoordelijkheid management
Bestuursorganen van NIS2-entiteiten moeten cyberbeveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering ervan. Als de entiteit deze maatregelen niet naleeft, is het bestuursorgaan verantwoordelijk.
Essentiële entiteiten moeten tevens een verplichte regelmatige conformiteitsbeoordeling ondergaan, waarbij ze kunnen kiezen uit drie opties: een CyFun-certificering, een ISO/IEC 27001-certificering, of een inspectie door de inspectiedienst van het CCB.
Belangrijke entiteiten zijn wettelijk verplicht om zelf een risicobeoordeling uit te voeren en passende beveiligingsmaatregelen te nemen om hun netwerken en informatiesystemen te beschermen. Het CyFun-programma is de manier voor het aantonen van de cyberveiligheid.
Toezicht en sancties
Het CCB is aangewezen als de nationale autoriteit voor cyberbeveiliging en zal toezicht houden op de naleving van de wet.
Boetes
Het CCB kan boetes opleggen voor niet rapporteren, bestraffen van bestuurders, en niet naleven van toezicht. Er kunnen hoge boetes worden opgelegd aan belangrijke en essentiële entiteiten.
Waarschuwingen
Ook kunnen er door het CCB waarschuwingen worden opgelegd, onder andere instructies om gedrag te stoppen of aan te passen, het openbaar maken van overtredingen, het benoemen van een controlefunctionaris, het uitvoeren van aanbevelingen, opschorten van certificeringen of vergunningen en verbod op leidinggevende functies voor essentiële entiteiten.
ISO 27001 & CyberFundamentals
In sommige gevallen is het tevens mogelijk om met een ISO 27001-certificering een CyFun®-label te behalen. De certificering moet dan aan bepaalde eisen voldoen.
Het ISO 27001-certificaat, het toepassingsgebied van de certificering en de Verklaring van Toepasselijkheid moeten dan voldoen aan de voorwaarden van het CCB. Ook moeten het toepasselijke zekerheidsniveau en de gelijkwaardigheid van de geïmplementeerde maatregelen kunnen worden aangetoond.
Lees meer in dit artikel over NIS2-compliance via ISO 27001-certificering.
