NIS2-checklist voor België met 34 controlepunten

Bestuursorganen art. 31 en 61 NIS2-wet

1. Hebben de bestuursorganen de maatregelen voor het beheer van cyberbeveiligingsrisico’s formeel goedgekeurd, met een gedateerde beslissing?
2. Zien de bestuursorganen op vaste tijdstippen toe op de uitvoering, bijvoorbeeld via een periodiek verslag?
3. Volgen de leden van de bestuursorganen een opleiding over cyberbeveiligingsrisico’s?
   Artikel 31, § 2, van de NIS2-wet verplicht de leden van de bestuursorganen tot een opleiding.
4. Is er een aangestelde verantwoordelijke voor informatiebeveiliging met een duidelijk mandaat en een eigen budget?

Toelichting in de gids

Registratie en meldingsplicht art. 13, 34 en 35 NIS2-wet

1. Is uw onderneming geregistreerd bij het CCB via Safeonweb@Work, of is gedocumenteerd dat registratie niet nodig is?
   De algemene termijn liep af op 18 maart 2025. Wie later wordt geïdentificeerd, heeft vijf maanden (art. 13, § 1).
2. Bestaat er een vaste procedure om significante incidenten tijdig te melden aan het CCB?
   Binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding, en een eindverslag uiterlijk een maand na de incidentmelding.
3. Heeft u vastgelegd vanaf wanneer een incident voor u ‘significant’ is?
4. Is er geregeld hoe u de afnemers van uw diensten verwittigt bij een significant incident?

Toelichting in de gids

Risicoanalyse en I.B.B. art. 30, § 3, 1°, en § 5 NIS2-wet

1. Beschikt u over een gedocumenteerde risicoanalyse van uw netwerk- en informatiesystemen die geregeld wordt herzien?
2. Heeft u een informatiebeveiligingsbeleid (I.B.B.) dat door de bestuursorganen is goedgekeurd?
3. Heeft u gekozen voor CyberFundamentals of ISO/IEC 27001 als referentiekader, en weet u welk niveau op u van toepassing is?
   Essentiële entiteiten moeten tegen 18 april 2027 gecertificeerd zijn via CyFun of ISO/IEC 27001, of een voortgangsverslag voorleggen bij inspectie door het CCB.

Incidentenbehandeling art. 30, § 3, 2°, NIS2-wet

1. Bestaat er een beschreven werkwijze om beveiligingsincidenten op te sporen, in te schatten en af te handelen?
2. Worden beveiligingsrelevante gebeurtenissen gelogd en opgevolgd, bijvoorbeeld via logs en alarmen?
3. Heeft u de afgelopen twaalf maanden een incident ingeoefend, bijvoorbeeld met een simulatie aan tafel?

Bedrijfscontinuïteit en crisisbeheer art. 30, § 3, 3°, NIS2-wet

1. Neemt u regelmatig back-ups die apart bewaard worden en waarvan u de terugzetting test?
2. Is er een noodplan dat bepaalt hoe kritieke processen blijven draaien of opnieuw opstarten na een uitval?
3. Is er een crisiscel met vaste rollen en bereikbaarheidsgegevens?

Beveiliging van de toeleveringsketen art. 30, § 3, 4°, en § 4 NIS2-wet

1. Heeft u een lijst van de leveranciers en dienstverleners die belangrijk zijn voor uw beveiliging?
2. Bevatten de contracten met belangrijke leveranciers beveiligingseisen, zoals een meldingsplicht en auditrechten?
3. Evalueert u de beveiliging van belangrijke leveranciers op geregelde tijdstippen, via vragenlijst, certificaat of audit?

Verwerving, ontwikkeling en onderhoud art. 30, § 3, 5° en 11°, NIS2-wet

1. Worden beveiligingsupdates voor systemen en software snel en controleerbaar geïnstalleerd?
2. Laat u uw systemen regelmatig op kwetsbaarheden controleren, met scans of penetratietests, en heeft u een beleid voor het melden van kwetsbaarheden door derden?
3. Legt u beveiligingseisen op bij de aankoop of ontwikkeling van nieuwe systemen?

Doeltreffendheid van de maatregelen art. 30, § 3, 6°, en § 6 NIS2-wet

1. Gaat u geregeld na of de beveiligingsmaatregelen werken, via interne audits of indicatoren?
2. Worden vaststellingen uit audits en controles opgevolgd tot ze opgelost zijn?

Cyberhygiëne en opleiding art. 30, § 3, 7°, NIS2-wet

1. Krijgen alle personeelsleden geregeld een opleiding informatiebeveiliging, bijvoorbeeld over phishing?
2. Zijn er bindende basisregels voor veilig gebruik van IT, bijvoorbeeld voor wachtwoorden, toestellen en e-mail?

Cryptografie en encryptie art. 30, § 3, 8°, NIS2-wet

1. Zijn gegevens op laptops, mobiele toestellen en draagbare opslagmedia versleuteld?
2. Bestaan er regels voor encryptie en sleutelbeheer, bijvoorbeeld bij gegevensoverdracht en back-ups?

Personeel, toegang en activa art. 30, § 3, 9°, NIS2-wet

1. Worden toegangsrechten toegekend volgens het principe van de minste rechten en periodiek nagekeken?
2. Worden toegangen bij indiensttreding, functiewijziging en vertrek volgens een vaste procedure aangemaakt en afgesloten?
3. Beschikt u over een actuele inventaris van uw IT-systemen, toepassingen en clouddiensten?

Authenticatie en beveiligde communicatie art. 30, § 3, 10°, NIS2-wet

1. Is multifactorauthenticatie ingevoerd voor toegang van op afstand, clouddiensten en beheerdersaccounts?
2. Heeft u een beveiligd communicatiemiddel voor noodsituaties, als e-mail en telefonie wegvallen?