Waar staat NIS2 vandaag?
NIS2 is in België omgezet in de wet van 26 april 2024, die sinds 18 oktober 2024 van kracht is. Het Centrum voor Cybersecurity België (CCB) is de toezichthouder; elke NIS2-entiteit registreert zich op Safeonweb@Work. Voor essentiële entiteiten was 18 april 2026 een formele mijlpaal: afhankelijk van de gekozen route moest een verificatietraject aantoonbaar lopen, ISO-documentatie zijn ingediend of documentatie voor rechtstreekse inspectie zijn aangeleverd. Tegen 18 april 2027 volgen route- en niveaugebonden verplichtingen, zoals Important-verificatie, Essential-certificering of ISO/IEC 27001-certificering. Bekijk de volledige tijdlijn →
Volgens het CCB had eind 2025 ongeveer drie kwart van de entiteiten een beveiligingskader gekozen; binnen die groep koos de meerderheid voor CyFun. De kern van de vraag is dus meestal niet "wat is NIS2", maar: val ik eronder, welk niveau heb ik nodig, en hoe raak ik op tijd klaar?
Valt u onder NIS2?
Twee criteria bepalen het: uw sector (één van de 18 in de wet) en uw omvang (grofweg vanaf 50 medewerkers of €10 mln omzet). Sommige types, zoals telecom, vertrouwensdiensten, DNS/TLD en bepaalde overheidsdiensten, vallen er ongeacht hun omvang onder. En zelfs wie er niet rechtstreeks onder valt, kan via de toeleveringsketen alsnog CyFun-eisen van klanten krijgen.
Doe de snelle scope-indicatie → Voor de formele bepaling gebruikt u de officiële scope test van het CCB.
De CyFun-niveaus
CyFun (het CyberFundamentals-framework van het CCB) is opgebouwd rond de NIST-kernfuncties en kent een instapniveau plus drie assurance levels. Het benodigde niveau bepaalt u risicogestuurd.
| Niveau | Doel | Externe beoordeling |
|---|---|---|
| Small | Vrijwillig instapniveau voor kleine organisaties | Geen NIS2-assurance level |
| Basic | Bescherming tegen bekende en gangbare cyberrisico’s | Verificatie wanneer formeel bewijs nodig is |
| Important | Extra bescherming tegen gerichte aanvallen met gangbare middelen | Verificatie |
| Essential | Hoogste CyFun-assurance level voor kritieke risico’s | Certificering |
Let op de versie. Sinds oktober 2025 bestaan CyFun 2023 en CyFun 2025 naast elkaar. Ze blijven allebei geldig tot 18 april 2027; tot dan mag u zelf kiezen welke versie uw toepast. CyFun 2025 sluit aan op NIST CSF 2.0 en op NIS2.
CyFun of ISO 27001?
Beide routes worden aanvaard om NIS2-compliance aan te tonen. ISO 27001 loont vooral als u die certificering al heeft of nastreeft; dan dient u een Statement of Applicability in. Voor de meeste kmo's is CyFun de snellere en concretere weg: risicogestuurd, met kant-en-klare maatregelen en een officiële self-assessment. Lees de volledige vergelijking en hoe u kiest →
Zo pakken we het samen aan
Van verplichting naar een werkbaar plan, in de juiste volgorde:
- Scope- en niveaubepaling: valt u eronder en welk CyFun-niveau past?
- Gap-analyse tegen de gekozen CyFun-versie, met bewijsstukken
- Risicogestuurd actieplan met haalbare prioriteiten voor uw gekozen mijlpalen
- Governance, rollen, rapportering en incidentvoorbereiding
- Voorbereiding op de zelfevaluatie of de CAB-verificatie
Dit alles bundelen we desgewenst in een NIS2- en CyFun-gap-assessment. Wil u dit doorlopend laten opvolgen, dan kan dat via CISO as a Service. zoek u breder naar uw grootste digitale risico’s, los van NIS2? Bekijk dan cybersecurity voor kmo’s.