CyberFundamentals: hoe bewijst u dat uw kmo in orde is met NIS2?
In België is het CyberFundamentals-kader (CyFun) van het Centrum voor Cybersecurity België (CCB) de eenvoudigste weg: gratis en ontworpen voor kmo's. U kiest een niveau (Basic, Important of Essential), voert een zelfevaluatie uit en laat het resultaat daarna verifiëren of certificeren door een geaccrediteerde instelling. Een gevalideerde toepassing van CyFun geeft een vermoeden van conformiteit met NIS2. Voor essentiële entiteiten is een regelmatige beoordeling verplicht en de kalender loopt tot 18 april 2027.
Het scenario in het kort
Voorbeeld, verzonnen ter illustratie. Een distributiebedrijf met 70 medewerkers verneemt dat het onder de NIS2-wet valt. De zaakvoerder heeft al een antivirus, back-ups en tweestapsverificatie. Zijn vraag is eenvoudig: ‘Hoe bewijs ik morgen dat we in orde zijn?’
Het Belgische antwoord in één woord: CyberFundamentals, vaak afgekort tot CyFun. Het is een lijst van beveiligingsmaatregelen, gratis gepubliceerd door het CCB, die tegelijk als stappenplan en als bewijs dient. Zo werkt het, zonder jargon.
Wat is CyberFundamentals?
CyberFundamentals is een cyberbeveiligingskader van het Centrum voor Cybersecurity België (CCB), de nationale autoriteit voor NIS2. Een ‘kader’ is hier een gestructureerde lijst van maatregelen: wie toegang heeft tot wat, hoe de back-up gebeurt, hoe u op een aanval reageert, enzovoort.
Het begint niet bij nul, en dat maakt het geloofwaardig:
- Erkende normen: het bouwt voort op internationale beveiligingsreferentiekaders, waaronder de norm ISO/IEC 27001 en het Amerikaanse NIST-kader.
- Echte aanvallen: de maatregelen zijn gekozen op basis van gegevens over geslaagde aanvallen. U beschermt zich eerst tegen wat echt gebeurt.
- Een gedeeld kader: Ierland heeft trouwens voor hetzelfde kader gekozen. Het is mede-eigenaar geworden en bereidt de invoering als nationaal schema voor, volgens zijn nationale centrum voor cyberbeveiliging.
De Belgische NIS2-wet van 26 april 2024 is van toepassing sinds 18 oktober 2024. Artikel 42 is duidelijk: een entiteit die haar maatregelen laat beoordelen door een erkende instelling, wordt vermoed in orde te zijn, tot bewijs van het tegendeel. Bij een controle ligt het bewijs dus al klaar.
De niveaus: van eenvoudig tot veeleisend
CyFun is opgebouwd als een trap. Elk niveau neemt het vorige over en voegt maatregelen toe. De keuze gebeurt niet op gevoel: het CCB biedt een risicobeoordelingstool die aangeeft welk niveau bij uw activiteit past.
| Niveau | Voor wie | Waartegen het beschermt |
|---|---|---|
| Basic | Elk bedrijf, en de leveranciers van een NIS2-organisatie | Veelvoorkomende aanvallen, met algemeen beschikbare tools en methodes |
| Important | Belangrijke entiteiten in de zin van NIS2, of een meer blootgestelde activiteit | Gerichte aanvallen door hackers met gewone middelen |
| Essential | Essentiële entiteiten in de zin van NIS2 | Geavanceerde aanvallen door actoren met aanzienlijke middelen |
Voor een kmo die zelf niet onder NIS2 valt, is het niveau Basic het juiste vertrekpunt: het eerste niveau, dat beschermt tegen de meest voorkomende aanvallen.
Zelfevaluatie, verificatie, certificering: drie stappen
Het traject volgt altijd dezelfde logica: u meet zelf waar u staat, u stuurt bij en daarna bevestigt een onafhankelijke derde. Die derde is een conformiteitsbeoordelingsinstantie (vaak CAB genoemd). Ze moet geaccrediteerd zijn door een nationale accreditatie-instelling (in België BELAC) en daarna door het CCB erkend zijn.
- Keuze van het niveau: u, met de risicobeoordelingstool van het CCB.
- Zelfevaluatie: u, zo nodig samen met uw IT-dienstverlener.
- Verificatie (Basic en Important): een geaccrediteerde instelling bezorgt u een verslag dat uw niveau al dan niet bevestigt.
- Certificering (Essential): een geaccrediteerde instelling levert een CyFun Essential-certificaat af.
De zelfevaluatie is voor een zaakvoerder het nuttigste deel. Ze gebeurt maatregel per maatregel, met twee maturiteitsscores: één voor wat op papier staat (procedures, regels), één voor wat echt wordt toegepast. Het resultaat wordt uw werkplan voor de komende maanden.
En als u al ISO 27001 hebt?
CyFun is niet de enige weg. Volgens het koninklijk besluit van 9 juni 2024 kan een essentiële entiteit ook kiezen voor een ISO/IEC 27001-certificering (de internationale norm voor informatiebeveiligingsbeheer), of voor een rechtstreekse inspectie door het CCB op basis van een zelfevaluatie. Voor een kmo zonder bestaande certificering blijft CyFun doorgaans de toegankelijkste weg.
De kalender volgens uw statuut
Alles hangt af van de categorie waarin de wet u plaatst. Beide categorieën hebben dezelfde beveiligingsverplichtingen; het toezicht verschilt.
| Uw statuut | Wat het CCB vraagt | Termijn |
|---|---|---|
| Essentiële entiteit | Verplichte eerste stap: CyFun-verificatie Basic of Important, of een ISO 27001-dossier, of een zelfevaluatie bezorgd aan het CCB bij rechtstreekse inspectie | 18 april 2026 (verstreken) |
| Essentiële entiteit | CyFun Essential-certificering (of een lager niveau als de risicoanalyse dat rechtvaardigt), of ISO 27001-certificering, of een stand van zaken bezorgd aan het CCB bij rechtstreekse inspectie | 18 april 2027 |
| Belangrijke entiteit | Geen verplichte periodieke beoordeling; toezicht achteraf, op basis van aanwijzingen van tekortkomingen | Maatregelen verplicht sinds 18 oktober 2024 |
| Leverancier van een NIS2-entiteit | Wat de klant contractueel eist: de wet verplicht die klant om haar toeleveringsketen te beveiligen | Volgens het contract |
Een belangrijke entiteit is dus niet verplicht een verificatie te laten uitvoeren. Maar als het CCB haar controleert, moet ze tonen wat ze heeft ingevoerd. Een vrijwillige verificatie, minstens op niveau Important, is de duidelijkste manier om dat te doen: ze geeft hetzelfde vermoeden van conformiteit.
Wat het label niet voor u doet
Het label bewijst dat uw beveiligingsmaatregelen er zijn. Het dekt niet heel NIS2. Drie verplichtingen moet u apart regelen:
- Ernstige incidenten melden aan het CCB: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur, een eindverslag uiterlijk een maand later.
- De directie betrekken: zij keurt de maatregelen goed, ziet toe op de uitvoering, is ervoor verantwoordelijk en volgt een opleiding in cyberbeveiliging.
- Zich registreren bij het CCB, als dat nog niet gebeurd is.
Een label is ook geen bescherming op zich. Het is een momentopname. Worden de back-ups zes maanden later niet meer getest, dan redt het label u niet van een aanval.
Valt u er niet onder? CyFun blijft nuttig
Veel Belgische kmo's blijven onder de NIS2-drempels (in principe minder dan 50 voltijdse werknemers en een omzet of balanstotaal onder 10 miljoen euro). Drie redenen om toch naar CyFun te kijken:
- Uw klanten gaan erom vragen. De wet verplicht NIS2-organisaties hun relaties met hun rechtstreekse leveranciers te beveiligen. Ze zullen u vragen stellen en soms een CyFun-niveau eisen. Wie het niveau Basic al op zak heeft, hoeft niet in allerijl te antwoorden.
- Het is een gratis prioriteitenlijst. De documenten en zelfevaluatietools worden kosteloos door het CCB gepubliceerd. Ze zijn een veel betere leidraad dan een toevallig gevonden lijstje goede praktijken.
- Uw verzekeraar spreekt dezelfde taal. Een erkend kader maakt beveiligingsvragenlijsten makkelijker, welke het ook zijn: de verwachte maatregelen overlappen grotendeels.
Wat u maandagochtend doet
- Nagaan of NIS2 op u van toepassing is (sector, personeelsbestand, omzet) om te weten of u essentieel, belangrijk of buiten het toepassingsgebied bent.
- CyberFundamentals downloaden samen met de risicobeoordelingstool op de website van het CCB, en het niveau noteren dat de tool aangeeft.
- Twee halve dagen inplannen met wie uw IT beheert, intern of extern, om de zelfevaluatie maatregel per maatregel in te vullen.
- De tekortkomingen in drie kolommen indelen: deze maand, dit kwartaal, dit jaar. Begin met tweestapsverificatie, externe back-ups en updates.
- Bewijzen bijhouden gaandeweg: schermafbeeldingen, geschreven procedures, verslagen van hersteltests. De verificatie-instelling zal ernaar vragen.
- Zodra de score gehaald is, een offerte vragen aan twee erkende instellingen voor de verificatie.
Dit traject vraagt tijd, maar elke stap verkleint uw risico al. Ook zonder label is een eerlijke zelfevaluatie beter dan geen.
Uw zelfevaluatie voorbereiden→
Veelgestelde vragen
Moet u betalen voor CyberFundamentals?
Nee. Het kader, de documenten en de zelfevaluatietools worden gratis gepubliceerd door het CCB. Alleen de verificatie of certificering door een geaccrediteerde instelling kost geld, tegen het tarief van de gekozen instelling.
Is het CyFun-label verplicht voor een kmo?
Nee, niet op zich. Een regelmatige conformiteitsbeoordeling is alleen verplicht voor essentiële entiteiten, die ook via ISO 27001 of een inspectie door het CCB kunnen gaan. Voor een belangrijke entiteit of een leverancier is het een bewijsmiddel, geen wettelijke verplichting, tenzij een klant het contractueel eist.
Wat is het verschil tussen verificatie en certificering?
Verificatie geldt voor de niveaus Basic en Important: een geaccrediteerde instelling controleert uw zelfevaluatie en levert een verificatieverslag af. Certificering geldt voor het niveau Essential: de audit gaat dieper en leidt tot een certificaat. In beide gevallen moet de instelling geaccrediteerd en daarna door het CCB erkend zijn.
Kan mijn IT-dienstverlener mij het label bezorgen?
Nee. Alleen een conformiteitsbeoordelingsinstantie die geaccrediteerd en door het CCB erkend is, kan een CyFun-niveau verifiëren of certificeren. Uw dienstverlener kan u wel helpen met de zelfevaluatie en met het invoeren van de ontbrekende maatregelen.
Volstaat het label om in orde te zijn met NIS2?
Het geeft een vermoeden van conformiteit voor de beveiligingsmaatregelen, en dat is de kern. Maar het vervangt de andere verplichtingen niet: de registratie bij het CCB, het tijdig melden van ernstige incidenten en de betrokkenheid van de directie.