← Alle artikelen

NIS2 Belgie: vallen accountantskantoren eronder?

Gepubliceerd op 27 oktober 2026 · 8 min lezen · CyberNovaLabs.io

Boekhouding staat noch in bijlage I noch in bijlage II van de Belgische wet van 26 april 2024. Maar een fiduciaire die de IT van haar klanten beheert, kan een aanbieder van beheerde ICT-diensten worden, en elk kantoor voelt de druk van de toeleveringsketen van zijn klanten.

Het korte antwoord

Nee, in de overgrote meerderheid van de gevallen: een Belgisch accountantskantoor of een fiduciaire valt niet onder NIS2 louter omdat het boekhoudingen voert. Boekhoudkundige, fiscale en adviesactiviteiten staan noch in bijlage I noch in bijlage II van de Belgische wet van 26 april 2024 die de NIS2-richtlijn omzet, en het Centrum voor Cybersecurity Belgie (CCB) behandelt ze niet als een gereglementeerde sector^[1]. In principe hoeft u zich dus niet te registreren op Safeonweb@work en hoeft u geen CyberFundamentals-certificering te halen.

Toch drie redenen om verder te lezen. Ten eerste kan een kantoor via een nevenactiviteit wel onder de wet vallen: beheert het de IT van zijn klanten, dan kan het beantwoorden aan de definitie van aanbieder van beheerde ICT-diensten in bijlage I^[1]. Ten tweede vallen uw klanten in de industrie, de zorg, de logistiek en de energie er wel onder, en is de beveiliging van hun toeleveringsketen voor hen een wettelijke verplichting: zij leggen u verbintenissen voor^[4]. Ten derde houdt u fiscale mandaten, eStox-toegang en, sinds 1 januari 2026, stromen van gestructureerde elektronische facturatie^[5][6][7]. Met of zonder NIS2 is dat de mooiste sleutelbos van de Belgische economie.

Valt u eronder? Zes vragen

Antwoord met ja of nee. Een enkele ja op vraag 1 tot 3 verdient een grondige analyse; vraag 4 tot 6 brengen NIS2 niet in werking, maar bepalen uw werkelijke blootstelling.

• 1. Installeert, beheert of onderhoudt u voor uw klanten servers, werkplekken, een netwerk, hosting of een bedrijfstoepassing, ter plaatse of op afstand?
• 2. Verkoopt u boekhoud- of kantoorsoftware door en voegt u daar exploitatie, monitoring of eerstelijnssupport aan toe?
• 3. Telt uw groep 50 medewerkers of meer, of een omzet en een balanstotaal boven 10 miljoen euro? Die drempel doet de verplichting niet ontstaan, maar bepaalt de indeling als belangrijke of essentiele entiteit zodra de sector vaststaat^[4].
• 4. Kreeg u de afgelopen twaalf maanden een veiligheidsvragenlijst of een cybersecurityclausule van een klant die onder de wet valt?
• 5. Hebben uw medewerkers actieve MyMinfin-mandaten namens klanten^[7]?
• 6. Wisselt u sinds 1 januari 2026 gestructureerde elektronische facturen uit voor klanten^[5]?

Wat de Belgische wet van 26 april 2024 eist, en van wie

Valt een van uw activiteiten er toch onder, dan geldt de Belgische kalender, en die is anders dan elders. Het CCB is zowel de nationale cyberbeveiligingsautoriteit als de toezichthouder, met steun van de sectorale autoriteiten^[1].

Verplichting	Termijn	Voor wie
Registratie op het portaal Safeonweb@work	18 maart 2025, vijf maanden na de inwerkingtreding van de wet[1]	Essentiele en belangrijke entiteiten
CyberFundamentals-verificatie op niveau Basic of Important door een geaccrediteerde conformiteitsbeoordelingsinstantie	18 april 2026[1][2]	Essentiele entiteiten
CyberFundamentals-certificering op niveau Essential	18 april 2027 (twaalf maanden extra)[1][2]	Essentiele entiteiten waarvan het risico dat vraagt
Vroegtijdige waarschuwing van een significant incident aan het CCB	24 uur[3]	Alle entiteiten die eronder vallen
Incidentmelding	72 uur[3]	Alle entiteiten die eronder vallen
Eindverslag	1 maand na de melding[3]	Alle entiteiten die eronder vallen

Het CyberFundamentals-kader (CyFun) van het CCB kent drie zekerheidsniveaus: Basic, Important en Essential. Welk niveau geldt, volgt uit de risicobeoordeling van de entiteit zelf^[1]. Voor de sancties legt de richtlijn de administratieve boetes af op 10 miljoen euro of 2 % van de wereldwijde jaaromzet voor een essentiele entiteit en 7 miljoen euro of 1,4 % voor een belangrijke entiteit, waarbij het hoogste bedrag geldt^[4].

De Belgische valkuil: wanneer een fiduciaire een aanbieder van beheerde ICT-diensten wordt

Dit is de enige realistische toegangspoort tot NIS2 voor een Belgisch accountantskantoor, en ze staat wijd open. Bijlage I vermeldt beheer van ICT-diensten (B2B), en het CCB omschrijft een aanbieder van beheerde diensten als een entiteit die ICT-producten, netwerken, infrastructuur of toepassingen installeert, beheert, exploiteert of onderhoudt via actieve ondersteuning of administratie, ter plaatse of op afstand^[1].

Het gevolg is hard: de toepassing wordt beoordeeld op de activiteit, niet op de naam van de vennootschap. Een kantoor met 60 medewerkers dat een kleine IT-tak voor zijn klanten heeft uitgebouwd, kan als belangrijke entiteit eindigen, met registratie, risicobeheersmaatregelen en meldplicht, terwijl de strikt boekhoudkundige concurrent met 200 medewerkers erbuiten blijft.

Wat ook buiten NIS2 voor u geldt

Buiten het toepassingsgebied vallen betekent niet dat u met rust wordt gelaten. Vier zeer Belgische drukpunten.

1. De toeleveringsketen van uw klanten die eronder vallen. De richtlijn verplicht essentiele en belangrijke entiteiten rekening te houden met de beveiliging van hun toeleveringsketen en met de praktijken van hun directe leveranciers^[4]. Uw ziekenhuis- of industrieklant vraagt u niet om CyFun te halen, maar om te bewijzen wat u doet. Dat is dezelfde beweging als in onze gids over NIS2 Belgie voor de maakindustrie, gezien van de andere kant van het contract.

2. De fiscale mandaten. Het ITAA documenteert een module voor mandaatbeheer waarmee het kantoor namens zijn klanten optreedt^[7]. Een gecompromitteerd medewerkersaccount legt geen dossier bloot, maar een portefeuille.

3. eStox en het UBO-register. eStox, ontwikkeld door het ITAA met Fednot, is een elektronisch effectenregister dat met het UBO-register verbonden is: als de functie is geactiveerd en een geldig mandaat in MyMinfin is geregistreerd, worden bepaalde gegevens automatisch doorgegeven en wordt de jaarlijkse herbevestiging via het platform beheerd^[6]. De inschrijving in het UBO-register blijft de plicht van de vennootschap, maar de toegang zit bij u.

4. Gestructureerde elektronische facturatie. Sinds 1 januari 2026 moeten Belgische btw-plichtige ondernemingen gestructureerde elektronische facturen uitwisselen voor de betrokken B2B-transacties^[5]. De verplichting ligt bij de onderneming, niet bij haar boekhouder, maar het is wel het kantoor dat de stromen opzet, en net zo'n factuurstroom is wat betalingsfraude probeert om te leiden.

Daar komt de AVG bij: in Belgie blijft de Gegevensbeschermingsautoriteit de bevoegde autoriteit, los van NIS2. Een datalek met loon- of klantgegevens wordt daar behandeld, niet bij het CCB.

De eerste vijf acties

1. Beslecht de MSP-vraag op papier. Som de IT-diensten op die u aan klanten levert, toets ze aan de definitie van het CCB^[1] en leg de conclusie vast, gedateerd en ondertekend door een partner. Kostprijs: een halve dag. Dat is het stuk dat u bij toezicht voorlegt.
2. Sluit de toegang van vertrekkers op hun laatste dag. MyMinfin-mandaten, eStox, boekhoudsoftware, e-mail, VPN: een lijst, een verantwoordelijke, een controle per kwartaal. De meeste incidenten in een kantoor beginnen bij een account dat gesloten had moeten zijn.
3. Maak tweefactorauthenticatie verplicht op e-mail en toegang op afstand. Zonder uitzondering voor partners. Het is de maatregel die de meeste aanvallen stopt voor het kleinste budget.
4. Schrijf een terugbelprocedure van een pagina. Elke wijziging van rekeningnummer die per e-mail wordt gemeld, door een klant of een leverancier, wordt gecontroleerd met een uitgaand gesprek naar een al bekend nummer. Niets anders doet factuurfraude dalen.
5. Maak een standaardantwoord van twee pagina's op veiligheidsvragenlijsten. Back-ups met een gedateerde hersteltest, versleuteling van toestellen, 2FA, toegangsbeheer, onderaannemers en hosting, incidentcontact. U antwoordt in twintig minuten in plaats van in drie dagen.

Bij CyberNovaLabs.io

CyberNovaLabs.io werkt in Nederland, Belgie, Frankrijk en Luxemburg, en het antwoord verandert aan elke grens: vergelijk met onze gids over NIS2 in Luxemburg voor accountantskantoren en fiduciaires, of met onze overzichtspagina NIS2 in Belgie. Wilt u in vijf minuten weten of uw IT-activiteit u binnen het toepassingsgebied brengt, gebruik dan onze gratis NIS2-check.

Wil uw kantoor vooral met de juiste beslissers praten in plaats van formulieren invullen, dan is onze dienst B2B-afspraken laten maken voor accountants- en administratiekantoren zonder looptijdverbintenis, per afspraak of in een pakket, met kwalificatiecriteria die voor de start op papier staan; tarieven op aanvraag.

Praat met ons over uw kantoor: vraag een gesprek van 20 minuten aan.

Bronnen

1. CCB - FAQ NIS2 en Belgique, version 2.0.1 (fevrier 2025)
2. CCB - NIS2: 18 April 2026 deadline, what essential entities must have in place
3. CCB - La notification des incidents NIS2
4. Directive (UE) 2022/2555 (NIS2) - champ d'application, mesures et sanctions (art. 2, 3, 21, 34)
5. SPF Finances - Facturation electronique (E-invoicing)
6. ITAA - eStox et le registre UBO (manuel)
7. ITAA - Manuel de gestion des mandats

Lees ook