NIS2 België: vallen softwarebedrijven en IT-dienstverleners eronder?
Software uitgeven staat niet in de Belgische NIS2-wet. Beheerde diensten, hosting en SaaS wel. Zo beslist u in tien minuten over uw eigen situatie: de Belgische data, het CyberFundamentals-kader, en wat u alsnog raakt als u buiten de wet valt.
Het korte antwoord
In België zet de wet van 26 april 2024 de NIS2-richtlijn om; ze geldt sinds 18 oktober 2024[5]. Of NIS2 België op u van toepassing is, leest u niet af van uw NACE-code maar van de dienst die u verkoopt. "Uitgeven van software" staat noch in bijlage I noch in bijlage II. Drie profielen die in de IT heel gewoon zijn, vallen er wel rechtstreeks onder: aanbieders van beheerde diensten (MSP) en van beheerde beveiligingsdiensten (MSSP), ondergebracht bij "beheer van ICT-diensten (B2B)" in bijlage I; aanbieders van cloudcomputing, datacenters, CDN en DNS, ook bijlage I; en online marktplaatsen, zoekmachines en sociale netwerken in bijlage II[1].
Kort gezegd: verkoopt u een licentie die de klant zelf installeert en beheert, dan valt u vermoedelijk buiten NIS2. Host, monitort, patcht of beheert u namens de klant, dan valt u er vrijwel zeker onder. En buiten het toepassingsgebied vallen betekent niet: vrij van verplichtingen. De Cyber Resilience Act en de beveiligingsvragenlijsten van uw klanten halen u alsnog in.
Valt u eronder? De punten om af te vinken
- Groottedrempel: minstens 50 voltijdse werknemers, of meer dan 10 miljoen euro jaaromzet, of meer dan 10 miljoen euro balanstotaal[1]. Het zijn alternatieven: één is genoeg.
- Beheerde dienst: installeert, beheert, exploiteert of onderhoudt u ICT-producten, netwerken, infrastructuur of toepassingen namens klanten? Dat is de wettelijke definitie van een beheerde dienst en die plaatst u onder "beheer van ICT-diensten (B2B)"[1]. IT-uren verkopen is niet genoeg; het stuur van de infrastructuur van de klant overnemen wel.
- SaaS: host en exploiteert u uw software zelf, dan verkoopt u geen licentie maar een clouddienst — bijlage I, digitale infrastructuur.
- Vestiging: de Belgische wet richt zich op entiteiten die in België gevestigd zijn en in de Unie een dienst uit bijlage I of II leveren[1].
- Zonder groottedrempel: sommige categorieën vallen er ongeacht hun grootte onder, met name DNS-dienstverleners, registers voor topleveldomeinnamen en vertrouwensdienstverleners[1].
Of u essentieel of belangrijk bent, volgt niet uit de grootte alleen: dat hangt af van sector en categorie. In de regel vallen grote entiteiten uit bijlage I onder het essentiële regime; andere entiteiten uit bijlage I en die uit bijlage II zijn belangrijk, behoudens de wettelijke uitzonderingen[5].
Wat de NIS2-wet in België vraagt: de data die tellen
De nationale autoriteit is het Centrum voor Cybersecurity België (CCB): centraal contactpunt, CSIRT en bevoegde autoriteit, naast sectorale autoriteiten afhankelijk van de activiteit[2]. Registratie verloopt via het portaal Safeonweb@work. Eén eigenaardigheid treft onze sector recht in het gezicht: de registratietermijn van twee maanden uit artikel 13 haalde de digitale spelers vóór alle andere binnen.
| Deadline | Voor wie | Wat |
|---|---|---|
| 18-12-2024 | Cloud, datacenters, DNS, CDN, beheerde en beheerde beveiligingsdiensten | Registratie op Safeonweb@work, termijn van twee maanden (art. 13)[3] |
| 18-03-2025 | De overige betrokken sectoren | Registratie op Safeonweb@work[3] |
| 18-04-2026 | Niveaus Basic, Important en Essential | Eerste CyberFundamentals-verificatie, op niveau Basic of Important[5][6] |
| 18-04-2027 | Essentiële entiteiten die niveau Essential nastreven | CyFun Essential-certificering[5][6] |
| 11-09-2026 en daarna 11-12-2027 | Elk softwarebedrijf, ook buiten NIS2 | Cyber Resilience Act: melden van actief misbruikte kwetsbaarheden, daarna algemene toepassing[7] |
Het referentiekader van het CCB is CyberFundamentals (CyFun). Het dekt risicobeheer, incidenten, continuïteit, de toeleveringsketen en de beveiliging van ontwikkeling en onderhoud — dat laatste is letterlijk uw vak als u code schrijft. Een CyFun- of ISO/IEC 27001-certificaat kan een vermoeden van conformiteit opleveren[6]. Hebt u ISO 27001 al voor overheidsopdrachten, dan is het grootste deel van het werk gedaan.
De administratieve boetes in artikel 37 van de Belgische wet: minstens 10 000 000 EUR of 2 % van de totale wereldwijde jaaromzet voor een essentiële entiteit, minstens 7 000 000 EUR of 1,4 % voor een belangrijke entiteit, waarbij het hoogste bedrag geldt[3].
Het softwarebedrijf dat erbuiten valt
Geeft u software uit die bij de klant wordt geïnstalleerd, met minder dan 50 mensen en onder 10 miljoen euro? Dan bent u vermoedelijk geen NIS2-entiteit. Drie verplichtingen bereiken u toch.
(1) Via uw klanten. Een NIS2-entiteit moet de beveiliging van haar toeleveringsketen meenemen, inclusief de risico's van haar directe leveranciers[2]. In de praktijk belandt dat bij u als contractclausules en vragenlijsten. Een Belgisch ziekenhuis onder NIS2 kan geen softwareleverancier houden die niet kan zeggen hoe snel een patch komt: we werkten dat uit in onze gids over NIS2 voor de zorg, ziekenhuizen en labo's in België.
(2) Via de Cyber Resilience Act. Verordening (EU) 2024/2847 maakt u fabrikant zodra u onder uw eigen naam of merk een product met digitale elementen op de markt brengt — of de software verkocht wordt, anders gemonetiseerd of gratis geleverd[7]. In werking sinds 10 december 2024, meldplichten vanaf 11 september 2026, algemene toepassing vanaf 11 december 2027[7].
(3) Via de AVG, als uw software persoonsgegevens verwerkt namens uw klanten: dan bent u verwerker, met alle contract- en meldplichten die daarbij horen.
Een incident melden: 24 uur, 72 uur, één maand
Bent u een NIS2-entiteit, dan verloopt de melding aan het CCB in stappen: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur, en een eindverslag uiterlijk één maand na die melding. De eerste twee termijnen beginnen zodra u kennis krijgt van het incident; loopt het incident nog, dan stuurt u een voortgangsverslag en volgt het eindverslag binnen een maand na definitieve afhandeling[4].
Voor een MSP is het formulier niet het probleem. Het probleem is om op zondag om 3 uur te weten welke klant geraakt is en wie beslist. De drie weken vertraging bij een recent datalek bij een overheidsleverancier laten precies zien waar het misgaat — we analyseerden dat in deze terugblik op de termijn van 72 uur. En zit het lek in een tool die u zelf host, dan loopt de klok voor u: zie het Atlassian-lek in zelf gehoste Jira en Confluence.
De eerste vijf acties
- Zet uw status op papier, dienst per dienst: on-premise licentie, SaaS, beheerde dienst, hosting. Eén bedrijf kan met de ene activiteit binnen en met de andere buiten het toepassingsgebied vallen. Houd die nota bij — die legt u voor aan de vragenlijst van een klant of aan een vraag van het CCB.
- Controleer uw registratie op Safeonweb@work. Valt u onder cloud, DNS of beheerde diensten, dan was uw deadline 18 december 2024[3]: te laat is te herstellen, niet te negeren.
- Kies uw CyFun-niveau (Basic, Important, Essential) en plan de verificatie vóór 18 april 2026[6]. Mikt u op Essential, dan is de certificering verschuldigd op 18 april 2027.
- Schrijf uw disclosure- en patchproces uit: beveiligingscontactpunt, streeftermijnen per ernst, kanaal om klanten te informeren. CyFun vraagt het onder veilige ontwikkeling, uw NIS2-klanten onder toeleveringsketen, en de Cyber Resilience Act vraagt het meldgedeelte.
- Oefen de melding droog. Wie vult het CCB-formulier in, wie waarschuwt de klanten, wie spreekt naar buiten? Twee uur oefenen is meer waard dan een procedure van twaalf bladzijden.
Bij CyberNovaLabs.io
Begin met de gratis NIS2-check: een paar vragen en u weet of u eronder valt en op welke grond. De richtpunten voor uw sector staan op onze pagina NIS2 België voor managed IT-diensten, en de beveiligingsvragenlijst voor leveranciers geeft u de antwoorden die uw klanten verwachten. Moet het product zelf bij — logging, patchbeheer, scheiding tussen klantomgevingen — dan werkt onze dienst software op maat aan de bestaande code in plaats van alles te herschrijven. Prijzen op aanvraag, zonder vaste looptijd.
Vraag een gesprek van 20 minuten over uw situatie: we vertrekken van uw klantcontracten en uw architectuur, niet van een algemene checklist.
Bronnen
- CCB — NIS2 : champ d'application (scope)
- CCB — NIS2 : obligations
- CCB — FAQ NIS2 en Belgique (v2.0.1, FR)
- CCB — La notification des incidents NIS2
- CCB — Brochure « The NIS2 directive in Belgium »
- Safeonweb@work — FAQ NIS2 et CyberFundamentals
- Règlement (UE) 2024/2847 — Cyber Resilience Act
Gekwalificeerde afspraken, zonder looptijd.
Criteria vooraf op papier, betalen per afspraak of per maand, stoppen met een simpele e-mail.
Lees ook
Kritieke PHP-lekken: uw website is geraakt (21-10-2026)
Twee kritieke kwetsbaarheden in PHP, de motor onder de meeste mkb-websites, maken het uitvoeren van code op afstand zonder authenticatie mogelijk. De fixes kwamen op 21 oktober 2026 uit. Wat u deze week controleert, en wat nooit meer wordt gerepareerd.
Lees het artikel →22 oktober 2026 · 9 min lezenNIS2 Nederland: valt uw softwarebedrijf onder de Cbw?
Software uitgeven staat niet in de Cyberbeveiligingswet. Het ICT-landschap van een klant beheren, hosten of monitoren wel. Zo beslist u in tien minuten over uw eigen situatie: de Nederlandse data, de juiste toezichthouder en de hoofdvestigingsregel die bepaalt wie u inspecteert.
Lees het artikel →12 oktober 2026 · 7 min lezenNIS2 Nederland: valt uw zorgorganisatie onder de Cbw?
In de zorg is de vraag "vallen wij eronder?" sneller beslist dan in veel andere sectoren: vanaf 50 fte zit u erin, en een overgangsperiode is er niet. Hieronder de exacte drempels, de toezichthouder, het sectorale CSIRT en vijf acties voor deze week.
Lees het artikel →11 oktober 2026 · 7 min lezenNIS2 Frankrijk: vallen transport en logistiek eronder?
Een wegvervoerder valt niet onder NIS2 omdat hij vracht vervoert. Maar twee regimes gelden in Frankrijk vandaag al, en een derde komt binnen via de opdrachtgever. De teksten, de data en de cijfers, zonder verzonnen boetes.
Lees het artikel →9 oktober 2026 · 7 min lezenCNIL sluit bevel France Travail: geen dwangsom (08-10-2026)
Op 8 oktober 2026 sloot de Franse CNIL het bevel tegen France Travail zonder de dwangsom van 5.000 euro per dag toe te passen. Niet de boete van 5 miljoen is interessant voor het mkb, maar de vier beveiligingsmaatregelen die de toezichthouder verplicht achtte.
Lees het artikel →9 oktober 2026 · 7 min lezenHoeveel B2B-afspraken heb je nodig voor een klant?
Sluit een op de vier gekwalificeerde afspraken? Dan heb je vier afspraken per klant nodig. Dat getal zegt niets over jouw bedrijf. Hier zijn het model in zes stappen, de omgekeerde formule en publieke kostencijfers om je prospectie te dimensioneren zonder gokwerk.
Lees het artikel →