Vanaf 18 oktober is de Belgische NIS2-wet van kracht. Deze richtlijn rond cyberveiligheid, de Network and Information Security Directive, legt strengere eisen op aan meer sectoren. Organisaties moeten maatregelen nemen om hun digitale weerbaarheid te verhogen. Wie onder de wet valt, begint met een interne risicoanalyse(opent nieuw venster) en moet zich uiterlijk op 18 maart 2025 registreren(opent nieuw venster) bij het Centrum voor Cybersecurity België (CCB).
Lokale besturen vallen in principe niet onder de NIS2-wet, tenzij ze actief zijn in kritieke sectoren. De uitzonderingen staan opgesomd in bijlages bij de wet. Hier volgt een lijst met veelvoorkomende diensten binnen lokale besturen, maar deze is niet volledig. Twijfel je? Gebruik de scoping tool van het CCB of stuur je vraag naar NIS2@vlaanderen.be.
Gezondheidszorg
Gemeenten of OCMW's die een woonzorgcentrum of ziekenhuis beheren en meer dan 50 medewerkers tellen, of een omzet/balanstotaal van meer dan €10 miljoen hebben, vallen onder de NIS2-wet. Zij moeten zich dus voor 18 maart 2025 registreren. Bij de registratie bepaalt het OCMW of het een belangrijke of essentiële entiteit is, afhankelijk van de grootte.
In de praktijk werken OCMW’s vaak samen met gemeenten op dezelfde ICT-systemen. Dat betekent dat in veel gevallen het volledige ICT-systeem van de gemeente aan de basisvereisten zal voldoen, ook al hoeft alleen het OCMW zich officieel te registreren, tenzij de gemeente zelf onder de NIS2-wet valt.
En een welzijnsvereniging? In dat geval moet de welzijnsvereniging, als aparte juridische entiteit, zich registreren en niet de gemeente of het OCMW, ook al gebruikt het woonzorgcentrum het ICT-systeem van het lokaal bestuur.
Andere sectoren: vervoer, drinkwater, afvalwater, afvalbeheer
Organisaties die actief zijn in deze sectoren vallen alleen onder de NIS2-wet als deze diensten een essentieel onderdeel zijn van hun werking. Gemeenten vallen hier doorgaans buiten, maar intercommunales met een van deze diensten als hoofdactiviteit wel. Zij moeten op basis van hun grootte het niveau belangrijk of essentieel van het Cyber Fundamentals Framework volgen.
Vanaf 18 oktober 2024 moeten alle organisaties significante cyberincidenten binnen de 24 uur melden bij het CCB(opent nieuw venster). Lokale besturen melden daarnaast ook bij het Vlaamse Cyber Response Team(opent nieuw venster). Binnen 72 uur moet je verdere informatie doorgeven, en binnen 30 dagen een volledig rapport indienen.
Ben je onderhevig aan de NIS2-wet? Dan start je na de risicoanalyse de registratie van je organisatie. Je vult de contactpersoon, sector en omvang in en bepaalt het niveau van het Cyber Fundamentals Framework waaraan je tegen april 2027 moet voldoen.
Ondersteuning voor lokale besturen
De VVSG pleitte in een eerder NIS2-standpunt voor een duidelijk plan van aanpak en een strategie om de cyberveiligheid bij lokale besturen te versterken, nog voor ze aan de normen van de NIS2-wet moesten voldoen. Het Vlaams regeerakkoord benadrukt alvast dat digitale veiligheid een prioriteit is. De VVSG vindt het belangrijk dat lokale besturen de juiste ondersteuning krijgen, zowel op maat van gemeenten als via centrale initiatieven en blijft hierop inzetten.
