← Alle artikelen

NIS2 België: valt uw maakbedrijf er echt onder?

Gepubliceerd op 14 oktober 2026 · 7 min lezen · CyberNovaLabs.io

De meeste Belgische fabrieken vallen niet onder NIS2, en wie er wel onder valt merkt dat aan een NACE-code, niet aan de omzet. De zes categorieën uit bijlage II, de Belgische deadlines die al verstreken zijn, de boetebedragen en de Vlaamse steun die weinig maakbedrijven aanvragen.

Het korte antwoord

Bij NIS2 België maakindustrie beslist een gesloten lijst van zes NACE-codes, niet uw omzet. Is uw hoofdactiviteit de vervaardiging van informaticaproducten, elektronische en optische producten, elektrische apparatuur, machines, motorvoertuigen, andere transportmiddelen of medische hulpmiddelen, en haalt u 50 voltijdse equivalenten of 10 miljoen euro omzet of balanstotaal, dan bent u een belangrijke entiteit onder de wet van 26 april 2024^[2][3].

Maakt u metaalproducten, kunststof, textiel, papier of meubelen, dan valt u niet onder de sector vervaardiging van bijlage II. Zeg dat ook zo tegen uw bestuur, en ga dan naar de echte vraag: uw klanten die er wel onder vallen, zullen u contractuele garanties vragen, want de wet verplicht hen hun toeleveringsketen te beveiligen.

Het derde punt is het lastigste. De Belgische deadlines liggen achter ons. Registratie op Safeonweb@work moest voor 18 maart 2025 gebeuren^[1][5], en het niveau CyberFundamentals Basic moest uiterlijk 18 april 2026 geverifieerd zijn door een geaccrediteerde conformiteitsbeoordelingsinstantie^[2]. Op 14 oktober 2026 is dat 179 dagen geleden. Achterstand verdwijnt niet: u legt die vast, zet er een prijs op en haalt die in een vaste volgorde op.

De zes NACE-codes die beslissen

België was de eerste lidstaat die NIS2 volledig omzette^[1]. Bijlage II spreekt niet over industrie in het algemeen, maar somt productcategorieën op, die het Centrum voor Cybersecurity België (CCB) koppelt aan deze afdelingen van de NACE Rev. 2^[2][3].

Twee nuances zijn belangrijk. Ten eerste vallen voeding en chemie wel onder NIS2, maar via hun eigen sectoren in bijlage II, met hun eigen definities: behandel ze dus niet als vervaardiging^[3]. Ten tweede valt een fabrikant van medische hulpmiddelen die als kritiek worden beschouwd bij een noodsituatie op het gebied van de volksgezondheid, in de zin van artikel 22 van verordening (EU) 2022/123, onder bijlage I zorg en dus niet meer onder de categorie vervaardiging van bijlage II^[2].

Valt u eronder? Vier vragen

1. Zit uw hoofdactiviteit in een van de zes categorieën hierboven? Controleer de NACE-code zoals die in de KBO staat, niet de code die u intern gebruikt.
2. Haalt u de drempel van een middelgrote onderneming? Minstens 50 voltijdse equivalenten, of meer dan 10 miljoen euro omzet of balanstotaal^[2]. Reken op het niveau van de rechtspersoon, niet per productievestiging.
3. Belangrijk of essentieel? Voor bijlage II is het antwoord gewoonlijk belangrijk, ook voor een grote groep: de categorie essentieel hoort in de eerste plaats bij de diensten van bijlage I^[2]. Dat verandert de boetebedragen en de certificeringsdatum die u moet halen.
4. Is het antwoord nee, wie trekt u er dan toch in? Een energiebedrijf als klant, een ziekenhuis, een vervoerder: hun plicht om leveranciers te beveiligen wordt uw beveiligingsvragenlijst om in te vullen.

België: wie houdt toezicht, en met welk kader

Het CCB is de nationale autoriteit. Registratie en opvolging lopen via het portaal Safeonweb@work^[5]. Het Belgische eigene, wat maakbedrijven die alleen ISO 27001 kennen verrast, komt van het koninklijk besluit van 9 juni 2024 en het kader CyberFundamentals (CyFun): België schreef niet alleen verplichtingen op, maar legde ook een meetbaar niveau vast en de verificatie daarvan door een geaccrediteerde derde^[2][8].

Voor een verspanend bedrijf met 80 mensen is het verschil concreet. Het gaat er niet om een beveiligingsbeleid te schrijven, maar om bewijs op tafel te leggen bij een auditor, precies op de punten waar de productie tegenstribbelt: scheiding tussen het kantoornetwerk en de PLC's, onderhoudsaccounts die u deelt met de integrator, en een getest herstel van een supervisiestation dat al twaalf jaar draait.

De deadline van 18 april 2026 is voorbij: in welke volgorde inhalen

Ontdekt u dit onderwerp vandaag, begin dan niet met de audit. Registreer u eerst. Een niet-geregistreerde entiteit is onzichtbaar voor het CCB; een late registratie valt recht te zetten, terwijl een ontbrekende registratie die bij een incident wordt vastgesteld u dubbel kost. De CyFun-nulmeting komt daarna, en alleen tegen het niveau dat werkelijk van u wordt gevraagd.

Een incident melden: 24 uur, 72 uur, een maand

De termijnen lopen vanaf het moment dat u kennis heeft van het significante incident, en elke stap moet zonder onnodige vertraging gebeuren^[4]:

• 24 uur: vroegtijdige waarschuwing.
• 72 uur: incidentmelding, met een eerste beoordeling.
• Een maand na de melding: eindverslag. Loopt het incident nog, dan stuurt u een voortgangsverslag en daarna het eindverslag binnen een maand na de oplossing^[4].

Melden gebeurt via het onlineformulier notif.safeonweb.be^[4]. In een fabriek zijn 24 uur snel op: een lijn die op vrijdagavond stilvalt, zet eerst het onderhoud in beweging, en niemand denkt aan de wettelijke klok. Hang de procedure op hetzelfde blad als de noodstopinstructies, en zet er de naam bij van wie 's nachts en in het weekend de melding start.

Boetes en verantwoordelijkheid van het bestuur

Voor een belangrijke entiteit bedraagt de maximale administratieve boete 7 miljoen euro of 1,4 procent van de totale wereldwijde jaaromzet van het vorige boekjaar, waarbij het hoogste bedrag geldt^[2]. Voor een essentiële entiteit stijgt het plafond naar 10 miljoen euro of 2 procent^[2]. Bij 1,4 procent loopt een maakbedrijf met 60 miljoen euro omzet een risico van 840.000 euro: een rekenveronderstelling, te vervangen door uw eigen geconsolideerde omzet.

Wat directiecomités onderschatten: de wet laat de risicomaatregelen goedkeuren door het bestuursorgaan en verplicht dat orgaan om een opleiding te volgen^[2]. Delegeren naar de IT-verantwoordelijke draagt die plicht niet over. In een familiaal industrieel mkb-bedrijf betekent dat een halve dag in de agenda van de bedrijfsleider, niet alleen in die van de technicus.

De Vlaamse steun die weinig maakbedrijven aanvragen

Vlaanderen financiert de naleving via de cybersecurity verbetertrajecten van VLAIO. In 2026 dekt de steun 50 procent van de prijs van het traject voor kmo's, en 35 procent voor niet-kmo's die onder NIS2 vallen^[6][7]. De trajecten kosten tussen 7.100 en 11.900 euro exclusief btw voor START, 16.600 tot 28.600 euro voor MEDIUM en 26.500 tot 39.900 euro voor PLUS^[6]. De steun geldt voor begeleiding door een geselecteerde dienstverlener, niet voor de aankoop van hardware of licenties^[6].

Voor Wallonië en Brussel publiceren wij geen percentages: de regelingen voor 2026 waren bij het schrijven niet door een officiële bron bevestigd. Vraag ze op bij uw regionale loket voordat u een prijsvoorstel ondertekent. Het verschil tussen 0 en 50 procent verandert de volgorde van uw werken.

De eerste vijf acties

1. Zet uw toepassingsgebied op één pagina. NACE-code uit de KBO, personeel in voltijdse equivalenten, omzet, balanstotaal, gedateerde en ondertekende conclusie. Dat is het stuk dat u zowel aan het CCB als aan een klant voorlegt.
2. Registreer u op Safeonweb@work als u eronder valt, ook te laat, en houd de ontvangstbevestiging bij.
3. Meet de CyFun-afstand tot het vereiste niveau, en begin met de drie punten die in productie bijna altijd falen: scheiding van kantoornetwerk en PLC-netwerk, inventaris van de externe toegang van integratoren, en een echt getest herstel.
4. Hang de meldprocedure op met de termijn van 24 uur, naast de noodstopinstructies.
5. Zet de opleiding van het bestuursorgaan op de agenda van de volgende bestuursvergadering, en vraag de VLAIO-steun aan voordat u de kosten maakt als u in Vlaanderen zit.

Bij CyberNovaLabs.io

Begin met de gratis NIS2-check: die vertelt u in enkele minuten of de zes categorieën uit bijlage II op u van toepassing zijn, en op welk niveau. De sectorijkpunten staan samen op de pagina NIS2 België voor de maakindustrie, en de beveiligingsvragenlijst voor leveranciers helpt wanneer niet de wet maar een klant u onder druk zet.

Lees daarna: NIS2 Luxemburg voor de maakindustrie en productie als u een vestiging over de grens heeft, en NIS2 België voor softwarebedrijven en IT-dienstverleners om te zien wat uw eigen IT-leveranciers u moeten garanderen.

De opleiding van het bestuursorgaan koopt u niet zoals een audit. Onze AI-training voor medewerkers behandelt de governance van tools en het gebruiksbeleid, dus de beslissingshelft van het onderwerp; de CyFun-verificatie blijft het werk van een geaccrediteerde instantie. Wilt u liever dat iemand eerst naar uw toepassingsgebied kijkt voordat u kosten maakt, schrijf ons dan en wij bekijken uw concrete situatie. Dienstverlening op maat, zonder minimumduur.

→ Uw NIS2-situatie laten nakijken

Bronnen

1. CCB — Belgium sets the standard: first member state to fully implement NIS2
2. CCB — FAQ NIS2 en Belgique (v2.0.1, FR)
3. CCB — Annexes de la loi NIS2 du 26 avril 2024
4. CCB — Guide sur les notifications NIS2 (v1.3, FR)
5. CCB Safeonweb@work — The NIS2 Law
6. VLAIO — Cybersecurity verbetertrajecten
7. VLAIO — Krijg ook in 2026 VLAIO-steun om te investeren in cyberveiligheid
8. CCB — Adoption de l'arrêté royal NIS2

Lees ook