NIS2 voor defensietoeleveranciers: wat moet een kmo doen?

Een kmo die aan defensie toelevert, valt onder de Belgische NIS2-wet als ze actief is in een sector uit de bijlagen van de wet en minstens middelgroot is: vanaf 50 werknemers, of met zowel een jaaromzet als een balanstotaal boven 10 miljoen euro. Wie lucht- en ruimtevaartuigen, elektronica, elektrische apparatuur of machines vervaardigt, zit in die bijlagen. Een kleine kmo valt er meestal buiten, maar daarmee is ze niet vrij: haar klanten die wel onder NIS2 vallen, moeten volgens de wet de beveiliging van hun toeleveringsketen beheren en geven die eisen door. In beide gevallen loont het om de maatregelen uit de wet als checklist te gebruiken.

Dit artikel volgt de tekst van de wet van 26 april 2024, bekendgemaakt op 17 mei 2024 en van kracht sinds 18 oktober 2024, en het uitvoeringsbesluit van 9 juni 2024. De wet zet de Europese NIS2-richtlijn om in Belgisch recht.

Wat verandert NIS2 tegenover de vorige regels?

De Europese Commissie vat de richtlijn samen als een ruimer toepassingsgebied, duidelijkere regels en sterkere toezichtsinstrumenten. Enkele punten die voor onze sector tellen:

• Nieuwe sectoren. De eerste NIS-richtlijn dekte energie, vervoer, gezondheidszorg, financiën, water en digitale infrastructuur. NIS2 voegt onder meer de vervaardiging van kritieke producten, de overheid en de ruimtevaartsector toe. De richtlijn dekt volgens de Commissie 18 kritieke sectoren.
• Middelgrote en grote bedrijven. De verplichtingen richten zich op middelgrote en grote entiteiten in die sectoren.
• Verantwoordelijkheid van de top. NIS2 maakt het topmanagement aansprakelijk voor niet-naleving.
• Timing. De lidstaten hadden tot 17 oktober 2024 om de richtlijn om te zetten; NIS2 verving de eerste richtlijn vanaf 18 oktober 2024. België haalde die datum: de wet trad in werking op 18 oktober 2024. Andere lidstaten niet: in juli 2026 besloot de Commissie Ierland, Spanje, Frankrijk en Nederland voor het Hof van Justitie te dagen omdat ze geen omzettingsmaatregelen hadden gemeld.
• Bijsturing. Op 20 januari 2026 stelde de Commissie gerichte wijzigingen voor om de richtlijn duidelijker te maken, die volgens haar de naleving zouden vergemakkelijken voor 28.700 bedrijven, waaronder 6.200 micro- en kleine ondernemingen. Volg dus de Belgische tekst op: details kunnen nog veranderen.

Voor een Vlaamse toeleverancier die ook in Nederland of Frankrijk klanten heeft, betekent dat laatste: de regels zijn in de buurlanden niet overal even ver gevorderd, maar de richting is dezelfde.

Valt uw bedrijf onder NIS2?

Twee vragen beslissen het: zit u in een sector uit de bijlagen, en hoe groot bent u?

De sector

De wet geldt voor publieke of private entiteiten "van een in bijlage I of II bedoelde soort". Voor de lucht- en ruimtevaart- en defensie-industrie is vooral bijlage II, punt 5 (vervaardiging) relevant. Daar staan, verwijzend naar de Europese NACE-indeling:

Ook IT-dienstverleners kunnen eronder vallen, bijvoorbeeld als aanbieder van beheerde diensten of beheerde beveiligingsdiensten.

De omvang

De wet verwijst naar de Europese kmo-definitie (Aanbeveling 2003/361/EG). Ze geldt voor ondernemingen die minstens middelgroot zijn. Volgens die definitie is een onderneming klein bij minder dan 50 werknemers en een jaaromzet of balanstotaal van hoogstens 10 miljoen euro; wie 50 werknemers of meer telt, of zowel omzet als balanstotaal boven 10 miljoen heeft, is minstens middelgroot. Tel daarbij de gegevens van partner- en verbonden ondernemingen mee volgens de regels van de aanbeveling.

Daarna volgt de indeling:

Let op twee uitzonderingen. De nationale cyberbeveiligingsautoriteit kan een bedrijf ongeacht zijn omvang aanwijzen, bijvoorbeeld als het de enige aanbieder in België is van een essentiële dienst of als een verstoring aanzienlijke gevolgen kan hebben voor de openbare veiligheid. En de wet voorziet in een beoordeling van de onafhankelijkheid tegenover partner- en verbonden ondernemingen: een dochter van een grote groep telt niet automatisch als groot bedrijf als ze eigen systemen gebruikt.

En defensie zelf?

De wet is, op enkele artikelen na, niet van toepassing op het ministerie van Landsverdediging, de inlichtingen- en veiligheidsdiensten en enkele andere overheidsdiensten. Ze is ook niet van toepassing op communicatie- en informatiesystemen die goedgekeurd zijn om geclassificeerde informatie te verwerken volgens de wet van 11 december 1998; daarvoor gelden de regels rond classificatie en veiligheidsmachtigingen. Voor een defensietoeleverancier betekent dat: uw bedrijfssystemen worden beoordeeld zoals bij elk ander bedrijf in uw sector, los van wat uw klant is.

Welke maatregelen vraagt de wet?

Artikel 30 verplicht essentiële en belangrijke entiteiten tot "passende en evenredige technische, operationele en organisatorische maatregelen". Ze zijn gebaseerd op een benadering die alle gevaren omvat en dekken minstens:

1. beleid voor risicoanalyse en beveiliging van informatiesystemen;
2. incidentenbehandeling;
3. bedrijfscontinuïteit, zoals back-upbeheer, noodplannen en crisisbeheer;
4. beveiliging van de toeleveringsketen, inclusief de relaties met rechtstreekse leveranciers en dienstverleners;
5. beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, inclusief het omgaan met kwetsbaarheden;
6. beleid om de doeltreffendheid van de maatregelen te beoordelen;
7. basispraktijken voor cyberhygiëne en opleiding;
8. beleid voor cryptografie en, waar nodig, encryptie;
9. personeelsbeveiliging, toegangsbeleid en beheer van activa;
10. waar gepast, multifactorauthenticatie en beveiligde communicatie, ook voor noodgevallen;
11. een beleid voor gecoördineerde bekendmaking van kwetsbaarheden.

Evenredigheid telt: de wet houdt rekening met de blootstelling aan risico's, de omvang van de entiteit en de kans op en ernst van incidenten. Een bedrijf dat vaststelt dat het niet voldoet, neemt "onverwijld" corrigerende maatregelen.

Het bestuur is aansprakelijk. Volgens artikel 31 keuren de bestuursorganen de maatregelen goed, zien ze toe op de uitvoering en zijn ze aansprakelijk voor inbreuken. Bestuurders moeten ook een opleiding volgen om cyberrisico's te kunnen beoordelen.

Waarom geldt NIS2 ook voor kleine toeleveranciers?

Door punt 4 van die lijst. De wet zegt dat entiteiten, bij het kiezen van maatregelen voor hun toeleveringsketen, rekening houden met "de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener" en met de cyberbeveiligingspraktijken van hun leveranciers, inclusief hun veilige ontwikkelingsprocedures.

Concreet: een middelgrote of grote fabrikant die onder NIS2 valt, moet zijn leveranciers beoordelen. Hij zal vragenlijsten sturen, contractclausules toevoegen, soms audits doen of een certificaat vragen. Voor een kleine kmo is NIS2 dus vaak een contractuele eis, geen wettelijke.

Grote klanten in de luchtvaart deden dat al vóór NIS2. Airbus publiceert bijvoorbeeld een veiligheidsbijlage voor leveranciers die geldt voor alle leveranciers: een aanspreekpunt voor beveiliging, een inventaris van toegelaten toestellen en software, unieke gebruikers-ID's en sterke authenticatie, versleuteling van mobiele toestellen, snelle reactie op kwetsbaarheden en incidenten, en het doorgeven van dezelfde eisen aan de eigen leveranciers. Wie aan zo'n lijst voldoet, heeft een groot deel van de NIS2-maatregelen al in huis.

Wat moet u melden, en hoe snel?

Essentiële en belangrijke entiteiten melden elk significant incident aan het nationale CSIRT. Artikel 35 legt de termijnen vast:

Waar nodig verwittigt u ook de afnemers van uw diensten. De wet zegt uitdrukkelijk dat een melding niet leidt tot een verhoogde aansprakelijkheid. Ook bedrijven buiten het toepassingsgebied mogen vrijwillig incidenten, dreigingen en bijna-incidenten melden.

Registratie en toezicht

Bedrijven binnen het toepassingsgebied moesten zich binnen vijf maanden na de inwerkingtreding van de wet registreren bij de nationale cyberbeveiligingsautoriteit, met hun KBO-nummer, contactgegevens, IP-bereiken en sector. Wijzigingen worden binnen twee weken doorgegeven. Een bedrijf dat pas later onder de wet valt of aangewezen wordt, heeft vijf maanden vanaf dat moment.

Het uitvoeringsbesluit wijst het Centrum voor Cybersecurity België (CCB) aan als nationale cyberbeveiligingsautoriteit. Het CCB werkt een referentiekader uit met drie zekerheidsniveaus: basis, belangrijk en essentieel. Voor hun conformiteitsbeoordeling kiezen essentiële entiteiten dat kader of de norm NBN EN ISO/IEC 27001; belangrijke entiteiten mogen vrijwillig hetzelfde doen. Wie voor certificering kiest, moet binnen 18 maanden na de inwerkingtreding van de wet (of na de aanwijzing) een eerste tussenstap halen en binnen 30 maanden de certificering. Een bedrijf dat zich vrijwillig laat beoordelen, wordt tot bewijs van het tegendeel geacht aan artikel 30 te voldoen.

Essentiële entiteiten hebben volgens artikel 39 twee wegen: een regelmatige conformiteitsbeoordeling door een instantie die het CCB heeft erkend, of een inspectie door de inspectiedienst van het CCB. De lijst van erkende conformiteitsbeoordelingsinstanties houdt het CCB bij. Voor een belangrijke entiteit is de beoordeling vrijwillig, maar een certificaat is ook een sterk antwoord op de vragenlijsten van klanten.

Welke sancties zijn er?

Artikel 59 bepaalt de administratieve geldboetes:

Bij herhaling binnen drie jaar wordt de boete verdubbeld. Daarnaast zijn de personen die de entiteit vertegenwoordigen of erover beslissen, aansprakelijk als ze niet zorgen voor de naleving.

Een stappenplan voor een kmo

Voor een defensietoeleverancier komt daar nog iets bij. Werk voor defensie kan geclassificeerde informatie bevatten. Die valt buiten NIS2 maar onder de regels van de wet van 1998 over classificatie en veiligheidsmachtigingen. Houd beide sporen gescheiden: NIS2 voor uw bedrijfssystemen, veiligheidsmachtigingen voor geclassificeerd werk.

Waar helpt FADEC?

FADEC brengt lucht- en ruimtevaart- en defensiebedrijven in Vlaanderen samen, met digitale engineering en veilige software als een van de focusdomeinen. Leden delen ervaringen met klantvragenlijsten en certificering, en vinden partners voor projecten waarin cyberbeveiliging een eis is. Zie lidmaatschap of neem contact op. Voor de kwaliteitseisen van defensieklanten, zie onze gids over het kwaliteitshandboek volgens AQAP 2110.

Snelle antwoorden

Valt mijn kmo onder NIS2? De Belgische wet geldt voor bedrijven in een sector van bijlage I of II die minstens middelgroot zijn volgens de Europese kmo-definitie. Kleine en micro-ondernemingen vallen er in principe buiten, tenzij de overheid ze aanwijst of ze een bepaald type dienst leveren, zoals vertrouwensdiensten.

Vallen defensiebedrijven onder NIS2? Het ministerie van Landsverdediging zelf valt buiten de meeste verplichtingen, net als systemen die goedgekeurd zijn voor geclassificeerde informatie. Bedrijven worden beoordeeld op hun sector: wie bijvoorbeeld lucht- of ruimtevaartuigen, elektronica of machines vervaardigt, valt onder bijlage II.

Hoe snel moet ik een incident melden? Een vroegtijdige waarschuwing binnen 24 uur nadat u kennis krijgt van een significant incident, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand na die melding, aan het nationale CSIRT.

Wat is de rol van het CCB? Het Centrum voor Cybersecurity België is aangewezen als nationale cyberbeveiligingsautoriteit. Het werkt ook het referentiekader uit voor de conformiteitsbeoordeling, met de niveaus basis, belangrijk en essentieel.

Hoe hoog zijn de boetes? Voor een belangrijke entiteit tot 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet, voor een essentiële entiteit tot 10 miljoen euro of 2 procent, telkens het hoogste bedrag.