CyFun-verificatie en NIS2

Toepassingsgebied van de NIS2

Om onder de Belgische NIS2-wet te vallen, moet een organisatie in België gevestigd zijn en een dienst leveren die in bijlage I en II van de NIS2-wet staat. De drempelwaarden voor middelgrote ondernemingen moeten worden overschreden. Dit omvat onder andere middelgrote ondernemingen met meer dan 50 werknemers of een jaaromzet van meer dan €10 miljoen.

Via deze NIS2-scope-test-tool test u of uw organisatie een zogenaamde essentiële of belangrijke entiteit is.  

Verplichtingen aan belangrijke en essentiële entiteiten

De NIS2-wet legt een aantal verplichtingen op aan essentiële en belangrijke entiteiten. Organisaties binnen het toepassingsgebied moeten maatregelen nemen om hun cyberbeveiliging te verbeteren, incidenten te beheren en te rapporteren.  

1. Registratie
   NIS2-entiteiten die onder het toepassingsgebied van de Belgische NIS2-wet vallen, moeten hun organisatie registreren bij het Centrum voor Cybersecurity België CCB;
2. Maatregelen cyberbeveiligingsrisico’s
   Essentiële en belangrijke entiteiten moeten geschikte maatregelen nemen om hun netwerken en informatiesystemen te beveiligen, incidenten te voorkomen, en de impact van incidenten op hun klanten en andere diensten te beperken; 
3. Melden van significante incidenten
   Beide entiteiten moeten het nationale CSIRT (in België is dit het CCB) informeren over elk groot incident dat hun diensten beïnvloedt, inclusief informatie over mogelijke grensoverschrijdende effecten; 
4. Verantwoordelijkheid management
   Bestuursorganen van NIS2-entiteiten moeten cyberbeveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering ervan. Als de entiteit deze maatregelen niet naleeft, is het bestuursorgaan verantwoordelijk. 

Essentiële entiteiten moeten tevens een verplichte regelmatige conformiteitsbeoordeling ondergaan, waarbij ze kunnen kiezen uit drie opties: een CyFun-certificering, een ISO/IEC 27001-certificering, of een inspectie door de inspectiedienst van het CCB. 

Belangrijke entiteiten moeten zelf een risicobeoordeling uitvoeren en passende beveiligingsmaatregelen nemen om hun netwerken en informatiesystemen te beschermen.  

Toezicht en sancties

Het CCB is aangewezen als de nationale autoriteit voor cyberbeveiliging en zal toezicht houden op de naleving van de wet.  

Boetes

Het CCB kan boetes opleggen voor niet rapporteren, bestraffen van werknemers, en niet naleven van toezicht. Er kunnen hoge boetes worden opgelegd aan belangrijke en essentiële entiteiten gebaseerd op omzet. 

Waarschuwingen

Ook kunnen er door het CCB waarschuwingen worden opgelegd, onder andere instructies om gedrag te stoppen of aan te passen, het openbaar maken van overtredingen, het benoemen van een controlefunctionaris, het uitvoeren van aanbevelingen, opschorten van certificeringen of vergunningen en verbod op leidinggevende functies voor essentiële entiteiten. 

Voor wie is de CyFun-certificering bedoeld?

De NIS2-wet is van toepassing op organisaties die essentiële diensten leveren zoals vermeld in bijlage I en II van de wet. CyFun is geschikt voor: 

• Kleine en middelgrote ondernemingen (KMO’s): Die hun basisbeveiliging op orde willen brengen zonder complexe beheerssystemen; 
• Grote ondernemingen: Die een solide fundament willen leggen voor verdere beveiligingsmaatregelen zoals ISO 27001; 
• Publieke en semi-publieke instellingen: Die verplicht zijn om aan de eisen van de NIS2-richtlijn te voldoen; 
• Dienstverleners en toeleveranciers: Die klanten zekerheid willen bieden over hun informatiebeveiliging. 

Kortom, de certificering is relevant voor elke organisatie die cyberveiligheid serieus neemt en/of wil voldoen aan wet- en regelgeving.