← Alle artikelen

NIS2 België: vallen hotels en toerisme onder de wet?

Gepubliceerd op 2 november 2026 · 8 min lezen · CyberNovaLabs.io

Logies en restaurants staan niet in de bijlagen van de Belgische wet van 26 april 2024. Drie plichten raken u toch, en één ervan beslist nu al over zakelijke contracten.

Het korte antwoord

Nee. In België is een hotel, een camping, een restaurant, een reisbureau of een touroperator in de regel geen entiteit onder de wet van 26 april 2024. Die wet is op 18 oktober 2024 in werking getreden^[1]. Ze geldt voor openbare of particuliere entiteiten van een type in bijlage I of II, en alleen als ze minstens een middelgrote onderneming zijn in de zin van aanbeveling 2003/361/EG^[1][2]. De tekst van de wet noemt noch logies, noch horeca, noch toerisme. Bijlage II, punt 4, geldt alleen voor levensmiddelenbedrijven die aan groothandel of aan industriële productie en verwerking doen^[1]. Een hotelkeuken is dat niet.

Voor die activiteit alleen hoeft u zich niet te registreren bij de nationale cyberbeveiligingsautoriteit, hoeft u geen incidentmelding binnen 24 uur te doen, en hoeft u geen NIS2-boete te voorzien. Drie dingen raken u toch, en het tweede beslist nu al over contracten: de gegevens van uw gasten, onder toezicht van de Gegevensbeschermingsautoriteit op grond van verordening (EU) 2016/679^[3][4]; beveiligingsvragenlijsten van klanten die zelf wel een NIS2-entiteit zijn; en het zeldzamere geval waarin een nevenactiviteit, of een aanwijzing door de autoriteit, u alsnog onder de wet brengt.

NIS2 België: valt u eronder?

Eén ontbrekend criterium zet u buiten het toepassingsgebied. Neem ze in de volgorde van de wet, niet in de volgorde van een commerciële vragenlijst.

1. Staat uw activiteit in bijlage I of II? Voor een hotel, een gastenkamer, een camping, een restaurant, een bankettraiteur of een touroperator: nee. Punt 4 van bijlage II verandert dat antwoord niet, tenzij een entiteit van de groep levensmiddelen op industriële schaal produceert of verwerkt, of ze in de groothandel verdeelt^[1]. Een brigade die de eigen hotelgasten bedient, is geen levensmiddelenfabriek.
2. Haalt u de omvangsdrempel? Zelfs een genoemde activiteit valt er alleen onder als de entiteit een middelgrote onderneming is, of de plafonds overschrijdt van artikel 2 van de bijlage bij aanbeveling 2003/361/EG^[1][2]. De Belgische wet plakt die plafonds niet in artikel 3: ze verwijst ernaar. Eronder bent u geen NIS2-entiteit, behoudens artikel 11.
3. Heeft de autoriteit u bij name aangewezen? Artikel 11 laat de nationale cyberbeveiligingsautoriteit een entiteit als essentieel of belangrijk aanwijzen, ongeacht de omvang, met name als ze in België de enige aanbieder is van een essentiële dienst, of als een verstoring een belangrijk effect zou hebben op de openbare veiligheid, de openbare orde of de volksgezondheid^[1]. Een stadshotel is dat, door zijn kamers, niet. Zeg geen "ja" tegen een klant op een gerucht: vraag de aanwijzingsbeslissing.
4. Is een nevenactiviteit wel genoemd? Een online marktplaats die verblijven van derden verkoopt, een datacenter, een communicatienetwerk, een aparte industriële productie. De genoemde activiteit valt eronder, niet de hotelnaam door besmetting.

Wat de Belgische wet eist, als u er echt onder valt

Deze plichten gelden alleen voor een essentiële of belangrijke entiteit. Ze voorlezen aan een hotel buiten de bijlagen is een offertefout, geen voorzichtigheid.

De registratie gebeurt bij de nationale cyberbeveiligingsautoriteit, binnen vijf maanden na de inwerkingtreding of na een aanwijzing op grond van artikel 11^[1]. De wet is op 18 oktober 2024 in werking getreden, dus die termijn van vijf maanden viel op 18 maart 2025 voor entiteiten die op die datum al onder de wet vielen. Artikel 13 vraagt de naam, het nummer bij de Kruispuntbank van Ondernemingen, het adres, het e-mailadres, de IP-bereiken en het telefoonnummer, plus de bijlagesector en, in voorkomend geval, de lidstaten waar de dienst wordt geleverd^[1]. Een hotel dat een genoemde nevenactiviteit ontdekt, registreert zich niet "als hotel": het registreert zich voor die dienst.

Artikel 30 eist passende en evenredige technische, operationele en organisatorische maatregelen voor de netwerken en systemen die voor de betrokken dienst worden gebruikt^[1]. Artikel 31 legt de leiding vast: ze keurt die maatregelen goed, ziet toe op de uitvoering, en haar leden moeten voldoende gevormd zijn om de risico's te beoordelen^[1]. Artikel 35 zet de klok van een significant incident: een vroege waarschuwing binnen vierentwintig uur, een melding binnen tweeënzeventig uur, en een eindverslag ten laatste een maand na die melding^[1].

Artikel 59 bepaalt de administratieve boetes, en alleen voor entiteiten die eronder vallen. Een belangrijke entiteit die de risicobeheersingsmaatregelen of de meldingsplicht mist, riskeert een boete van 500 tot 7.000.000 euro, of 1,4 procent van de wereldwijde jaaromzet van het vorige boekjaar, waarbij het hoogste bedrag geldt. Voor een essentiële entiteit is het plafond 500 tot 10.000.000 euro, of 2 procent van diezelfde omzet. De boete wordt verdubbeld bij herhaling van dezelfde feiten binnen drie jaar^[1]. Buiten het toepassingsgebied zijn die bedragen niet uw NIS2-risico. Het is het risico van uw ziekenhuis, uw bank of uw vervoerder, en daarom stuurt die klant u een vragenlijst.

Wat u toch aanbelangt

Verordening (EU) 2016/679 geldt voor het gastenfiche, de kopie van een identiteitsbewijs, de details van het verblijf en de betaling, of u nu wel of niet een NIS2-entiteit bent^[3]. In België is de toezichthoudende autoriteit de Gegevensbeschermingsautoriteit^[4]. Een inbreuk op persoonsgegevens meldt u aan die autoriteit. Een NIS2-melding, mocht die u ooit aanbelangen, vervangt die niet: het zijn twee regimes.

Het tweede kanaal is contractueel. Een ziekenhuis, een bank, een spoorwegonderneming of een overheid die kamers blokkeert, kan zelf een entiteit van bijlage I zijn. Artikel 30 verplicht haar naar haar leveranciers te kijken. De vragenlijst die u ontvangt, is geen wet die op het hotel van toepassing is. Het is een voorwaarde van het contract. Antwoorden "niet geviseerd door de wet van 26 april 2024" zonder bijlage kost het kamerblok. Antwoorden "wij zijn NIS2" terwijl de bijlage u niet noemt, is onjuist, en een onjuiste verklaring komt terug.

Ingang	Viseert ze u?	Stuk om bij te houden
Bijlage I of II, logies of restaurant	Nee, de tekst noemt ze niet[1]	Nota van één bladzijde: activiteit, geen nevenactiviteit uit de bijlage, datum, KBO-nummer
Bijlage II, punt 4, levensmiddelen	Alleen groothandel of industrie, niet de hotelkeuken[1]	Bestaat er een industriële centrale keuken: haal ze uit de hotelperimeter en kwalificeer ze apart
Artikel 11, aanwijzing ongeacht de omvang	Zeldzaam: enige aanbieder, of effect op veiligheid, orde of volksgezondheid[1]	Nooit een aanwijzing beweren zonder de beslissing
Vragenlijst van een klant die zelf NIS2-entiteit is	Ja, door het contract, niet door een hotelwet	Antwoorddossier: toegang, back-ups, incident, onderaannemers van het PMS
Gegevens van gasten	Ja, verordening (EU) 2016/679, Belgische autoriteit[3][4]	Lijst van systemen, geschreven bewaartermijn, pad naar de GBA

De eerste 5 acties

1. Schrijf de nota hierboven en laat de leiding ze tekenen. Zonder datum en zonder KBO-nummer is het geen stuk.
2. Lijst de systemen die gastgegevens dragen: reserveringssoftware, channel manager, sloten, betaalterminal, reservatiepostbus. Per systeem: wie buiten het hotel kan meelezen, en hoe die toegang wordt afgesloten.
3. Scheid twee incidentpaden. Inbreuk op persoonsgegevens: de Gegevensbeschermingsautoriteit^[4]. Incident op een bijlagedienst, alleen als u eronder valt: de nationale cyberbeveiligingsautoriteit, volgens het ritme van artikel 35^[1]. Meng de twee formulieren niet.
4. Zet een antwoorddossier van vier bladzijden klaar voor de zakelijke klant: toepassingsgebied, toegang op afstand, back-ups, hoe snel u waarschuwt, en de onderaannemers die het gastenfiche zien. Het kader van die vragen staat hier: beveiligingsvragenlijst van een leverancier.
5. Sluit de reservatiepost af. Een vals betalingsbevel of een valse wijziging van het verblijf komt van een adres dat op het uwe lijkt. De gratis controle: e-mailbeveiliging. De perimetertest, als een vennoot zegt dat u eronder valt: NIS2-test.

Bij CyberNovaLabs.io

Dezelfde vraag, gesteld in Luxemburg en in Frankrijk, krijgt niet hetzelfde loket en niet dezelfde datum. De gids hotels in Luxemburg en de gids hotels in Frankrijk vervangen de Belgische wet van 26 april 2024 niet. Aan Belgische kant is de nuttige buur de gids vastgoed en verhuurbeheer, een andere activiteit die niet in de bijlagen staat, en de pagina NIS2 in België. Voor Brussel: B2B-afspraken in Brussel.

CyberNovaLabs.io schrijft de perimeterota en het antwoorddossier op de vragenlijst, op offerte, zonder u een hoedanigheid te laten claimen die de wet u niet geeft. Valt een nevenactiviteit er toch onder, dan is de vorming van de leiding uit artikel 31 een apart stuk: opleiding van teams. Om de nota te laten schrijven: de perimeterota aanvragen.

Bronnen

1. Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique — Justel, entrée en vigueur le 18 octobre 2024
2. Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises
3. Règlement (UE) 2016/679 du 27 avril 2016 (RGPD)
4. Autorité de protection des données / Gegevensbeschermingsautoriteit

Lees ook