NIS2: valt mijn medische praktijk of mijn kmo eronder?
De Belgische NIS2-wet geldt voor organisaties in een opgesomde sector, waaronder de gezondheidszorg, met minstens 50 voltijdse werknemers, of met een jaaromzet én een jaarlijks balanstotaal van elk meer dan 10 miljoen euro. Een praktijk van een paar mensen blijft daaronder. Toch kan NIS2 u op drie manieren raken: als u deel uitmaakt van een groep die de drempels haalt, als het Centrum voor Cybersecurity België (CCB) u aanwijst, of als een klant die onder NIS2 valt, zoals een ziekenhuis, u maatregelen oplegt in het contract.
De drie voorwaarden van het CCB
De wet van 26 april 2024 zet de Europese NIS2-richtlijn om in Belgisch recht. Ze geldt sinds 18 oktober 2024 en het CCB is de bevoegde autoriteit. Volgens het CCB valt een organisatie er in principe onder als ze aan drie voorwaarden tegelijk voldoet:
- Ze levert een dienst uit de bijlagen van de wet. De gezondheidszorg hoort daarbij, onder meer de zorgaanbieders.
- Ze heeft minstens de omvang van een middelgrote onderneming: minstens 50 voltijdse werknemers, of een jaaromzet én een jaarlijks balanstotaal van meer dan 10 miljoen euro.
- Ze is in België gevestigd.
De korte versie staat op onze pagina NIS2, kort uitgelegd. Om uw eigen geval te beoordelen, biedt het CCB een gratis hulpmiddel aan, de « NIS2 Scope Test Tool », op Safeonweb@Work. In de drie situaties hieronder denkt een kleine praktijk of kmo vaak ten onrechte dat NIS2 haar niet aangaat.
Hoort uw praktijk bij een groep? Dan telt de omvang van de groep
De drempel van 50 werknemers of 10 miljoen euro meet u niet altijd per vennootschap. Het CCB wijst erop: maakt een organisatie deel uit van een groep (« partnerondernemingen » of « verbonden ondernemingen »), dan worden de cijfers van de verschillende vennootschappen van die groep geconsolideerd.
| Uw situatie | Wat telt voor de omvang |
|---|---|
| Zelfstandige praktijk, zonder band met een andere vennootschap | Het personeel en de cijfers van de praktijk alleen |
| Kliniek of praktijk die in handen is van een groep | De cijfers van de groep, geconsolideerd |
| Vennootschap die andere vennootschappen bezit (meerdere vestigingen, meerdere vennootschappen) | De cijfers van het geheel, geconsolideerd |
Een groep van klinieken of centra kan de drempels dus halen, ook al blijft elke vestiging op zich klein. De exacte berekening volgt de Europese aanbeveling 2003/361/EG over de omvang van ondernemingen: maak ze samen met uw boekhouder, op uw echte cijfers, voor u besluit dat NIS2 u niet aangaat.
Kan het CCB een kleine praktijk aanwijzen?
Ja, ongeacht de omvang. Artikel 11 van de wet laat het CCB toe een organisatie aan te merken als essentiële of belangrijke entiteit in vier gevallen:
- ze is de enige aanbieder in België van een essentiële dienst;
- een storing bij haar kan aanzienlijke gevolgen hebben voor de openbare veiligheid of de volksgezondheid;
- een storing bij haar kan een aanzienlijk systeemrisico veroorzaken;
- ze is kritiek op nationaal of regionaal niveau voor haar sector of voor andere sectoren die ervan afhangen.
Zo'n aanwijzing komt niet onverwacht: volgens het CCB gebeurt ze in overleg met de betrokken organisatie en, als die er is, met de sectorale overheid. Een praktijk of centrum dat in de regio een zeldzame dienst aanbiedt, houdt daar best rekening mee.
Is een ziekenhuis uw klant? Dan kan het u maatregelen opleggen
Organisaties die onder NIS2 vallen, zoals een ziekenhuis of een groot labo, moeten hun toeleveringsketen beveiligen, ook hun relaties met rechtstreekse leveranciers en dienstverleners. Ze kunnen dus beveiligingseisen opnemen in het contract dat u met hen hebt, ook als u zelf te klein bent om eronder te vallen.
Het CCB raadt elke organisatie die in zo'n keten kan zitten aan om minstens het niveau Basic van het CyberFundamentals-raamwerk (CyFun®) toe te passen, en zegt dat een NIS2-entiteit een CyFun®-niveau kan opleggen aan haar rechtstreekse leveranciers. Krijgt u zo'n vraag, laat dan schriftelijk bevestigen welk niveau en welk bewijs verwacht wordt.
Valt uw organisatie onder NIS2? De termijnen op 26 oktober 2026
Sinds 18 oktober 2024 moet een NIS2-entiteit de minimale beveiligingsmaatregelen nemen (de wet somt er 11 op), significante incidenten melden en toezicht door het CCB aanvaarden. Het bestuur keurt die maatregelen goed, ziet toe op de uitvoering, is aansprakelijk en volgt een opleiding cyberbeveiliging. De rest van de kalender:
| Termijn | Wie | Wat moest of moet er gebeuren |
|---|---|---|
| 18 maart 2025 (voorbij) | De meeste NIS2-entiteiten | Registratie bij het CCB op Safeonweb@Work |
| 18 april 2026 (voorbij) | Essentiële entiteiten | Eerste conformiteitsbeoordeling: CyFun®-verificatie door een erkende instelling, of ISO/IEC 27001-dossier aan het CCB bezorgd, of zelfevaluatie aan het CCB bezorgd |
| 18 april 2027 | Essentiële entiteiten | CyFun® Essential- of ISO/IEC 27001-certificering voor wie daarvoor koos, of voortgangsrapport aan het CCB |
Bij een significant incident gaat het snel: een vroegtijdige waarschuwing aan het CCB binnen 24 uur, een melding binnen 72 uur en een eindverslag uiterlijk een maand na de melding.
Essentiële of belangrijke entiteit: toezicht en boetes
Beide categorieën hebben dezelfde verplichtingen. Het verschil zit in het toezicht: een essentiële entiteit krijgt toezicht vooraf en regelmatige, verplichte conformiteitsbeoordelingen; een belangrijke entiteit krijgt in principe pas achteraf toezicht, na een incident of bij aanwijzingen dat ze de wet niet naleeft.
De boetes gaan tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet voor een essentiële entiteit en tot 7 miljoen euro of 1,4 % voor een belangrijke entiteit, waarbij het hoogste bedrag geldt.
Wat DeepIT doet, of NIS2 u nu raakt of niet
Bij de praktijken en kmo's die we beheren, zetten we dezelfde basis neer: Microsoft Defender op elke computer, door ons beheerd en opgevolgd; een bevestigingscode bovenop het wachtwoord op de Microsoft 365-accounts; een back-up buiten uw gebouw; de instellingen van uw e-mail die verhinderen dat een fraudeur in uw naam mailt (SPF, DKIM, DMARC); en een tussenkomst als er iets misloopt. De GDPR verplicht u hoe dan ook om de persoonsgegevens die u verwerkt te beschermen (voor een praktijk: die van uw patiënten).
We kunnen de test van het CCB samen met u doen en het resultaat lezen, ook voor een groep. Die basis is geen certificering: DeepIT is geen conformiteitsbeoordelingsinstantie, en alleen een erkende instantie kan een CyFun®-niveau verifiëren of certificeren. Voor praktijken: zie ook onze pagina medische IT.
Laat ons nagaan of NIS2 u raakt→
Veelgestelde vragen
Valt een medische praktijk in België onder NIS2?
De gezondheidszorg is een NIS2-sector, maar pas vanaf de omvang van een middelgrote onderneming: minstens 50 voltijdse werknemers, of een jaaromzet en een balanstotaal van elk meer dan 10 miljoen euro. Een praktijk op zich blijft daaronder, tenzij ze deel uitmaakt van een groep die de drempels haalt na consolidatie, of het CCB haar aanwijst.
Mijn kmo is te klein voor NIS2: moet ik iets doen?
Een klant die onder NIS2 valt, zoals een ziekenhuis, kan u via het contract beveiligingsmaatregelen opleggen. Het CCB raadt dan minstens het niveau Basic van het CyberFundamentals-raamwerk aan. En de GDPR verplicht u nu al om de persoonsgegevens die u verwerkt te beschermen.