NIS2 en Belgische kmo's: moet jij eraan geloven?

NIS2 is de opvolger van de eerste Europese richtlijn rond netwerk- en informatiebeveiliging. België zette ze om in een eigen wet, met het Centrum voor Cybersecurity België (CCB) als toezichthouder. De wet mikt op organisaties waarvan een incident de samenleving of de economie raakt: denk aan energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, post, afvalverwerking, chemie, voeding en een reeks digitale diensten.

Binnen die sectoren geldt de verplichting hoofdzakelijk voor middelgrote en grote organisaties. Een zelfstandige webdesigner of een bakkerij valt er dus doorgaans buiten. Zit je wel in zo'n sector en heb je een serieuze omvang, dan moet je je registreren bij het CCB, beveiligingsmaatregelen nemen, incidenten melden en kan het bestuur aansprakelijk gesteld worden bij nalatigheid.

Twijfel je? Het CCB biedt op zijn website een test aan waarmee je nagaat of je organisatie onder de Belgische NIS2-wet valt. Doe die check één keer grondig, leg het resultaat vast en je hebt meteen een antwoord klaar wanneer een klant of verzekeraar ernaar vraagt.

Hier wordt het relevant voor de gewone kmo. NIS2 verplicht grote organisaties om ook de risico's in hun toeleveringsketen te beheersen. Vertaald: jouw grote klanten moeten aan hun toezichthouder kunnen tonen dat hun leveranciers geen zwakke schakel zijn. En dus komen er vragenlijsten, clausules in contracten en audits, ook bij leveranciers die zelf niet onder de wet vallen.

Wie levert aan ziekenhuizen, energiebedrijven, voedingsbedrijven, logistieke spelers of overheden, mag zich daaraan verwachten. De kmo die dan een geloofwaardig verhaal heeft, met basismaatregelen op papier en in de praktijk, behoudt het contract. Wie niets kan voorleggen, wordt op termijn een risico dat de klant liever kwijt is.

Er is ook een positieve lezing: aantoonbare beveiliging wordt een verkoopargument. In een markt waar 78% van de bedrijven het voorbije jaar met fraude te maken kreeg volgens de fraudebarometer van Allianz Trade, kiezen opdrachtgevers liever een leverancier die zijn zaken op orde heeft. Vroeg beginnen is dus geen kost maar een voorsprong.

Om te vermijden dat elk bedrijf zelf het wiel uitvindt, ontwikkelde het CCB het CyberFundamentals-kader (CyFun): een concrete lijst maatregelen in oplopende niveaus, van Small over Basic en Important tot Essential. Het is gratis, Nederlandstalig en gedacht vanuit de praktijk.

De niveaus in mensentaal:

• Small: de essentie voor kleine bedrijven zonder IT-dienst: updates, back-ups, sterke authenticatie, weten wie toegang heeft.
• Basic: een stevigere basis voor wie al wat structuur heeft, met aandacht voor netwerken en toegangsbeheer.
• Important en Essential: de niveaus die aansluiten bij wat NIS2 van geviseerde organisaties verwacht, inclusief formele processen en controles.

Voor een kmo is niveau Small of Basic een realistisch en zinvol doel, ook zonder enige wettelijke verplichting. Je kan jezelf toetsen met de zelfevaluatie van het CCB en de resultaten gebruiken als bewijs richting klanten. Zo verandert een vage eis ("wees cyberveilig") in een afvinkbare lijst.

Geen stappenplan van achttien maanden, maar vier dingen die je deze maand in gang zet:

1. Doe de NIS2-check van het CCB en leg schriftelijk vast of je onder de wet valt. Tien minuten werk, veel discussies vermeden.
2. Download het CyberFundamentals-niveau Small en loop de lijst door met je IT-partner of je meest digitale medewerker. Markeer wat al in orde is en wat niet.
3. Pak de drie klassiekers eerst: tweestapsverificatie op alle belangrijke accounts, automatische updates en een geteste back-up. Deze drie stoppen het gros van de alledaagse aanvallen.
4. Train je mensen tegen phishing, want techniek houdt geen medewerker tegen die zijn wachtwoord weggeeft. De schaal van het probleem is enorm: Safeonweb ontving in 2025 bijna 10 miljoen meldingen van verdachte berichten.

Wie deze vier punten afwerkt, staat verder dan een groot deel van de Belgische kmo's en heeft een eerlijk verhaal voor elke klant die naar NIS2 vraagt.

Nog een praktische tip voor wanneer die leveranciersvragenlijst binnenvalt: antwoord eerlijk, ook op de punten waar je nog niet in orde bent, en voeg een korte planning toe. Opdrachtgevers zoeken geen perfectie, ze zoeken leveranciers die het ernstig nemen en vooruitgang tonen. Een gedocumenteerd "nee, gepland voor volgend kwartaal" scoort beter dan een ongeloofwaardig "ja" op elke vraag, want dat laatste valt bij de eerste doorvraag door de mand.

NIS2 verplicht misschien niet jouw kmo, maar wel jouw grootste klant, en die kijkt vervolgens naar jou.

Beveiliging op orde is één ding; ze uitstralen naar klanten en prospecten is het tweede. Doe de gratis marketing scan en ontdek of jouw website vandaag het vertrouwen wekt dat je beveiligingsinspanningen verdienen.