Het toepassingsgebied van de Belgische NIS2-wet

De basisregel van artikel 3

Volgens artikel 3, § 1, van de NIS2-wet valt een entiteit onder de wet als ze twee voorwaarden vervult. Ten eerste behoort ze tot een soort entiteit uit bijlage I of II van de wet. Ten tweede is ze minstens een middelgrote onderneming in de zin van Aanbeveling 2003/361/EG van de Europese Commissie.

Daarnaast moet de entiteit in België gevestigd zijn en haar diensten in de Europese Unie verlenen (art. 4, § 1). Voor enkele soorten aanbieders gelden aparte regels: telecomoperatoren vallen onder de wet als ze hun diensten in België verlenen, en digitale dienstverleners zoals cloud- en datacenteraanbieders als hun hoofdvestiging in België ligt (art. 4, § 2).

Voor de omvang gelden de Europese drempels. Een middelgrote onderneming telt minstens 50 personeelsleden, of heeft een jaaromzet en een balanstotaal van elk meer dan € 10 miljoen. Vanaf 250 personeelsleden, of meer dan € 50 miljoen omzet en meer dan € 43 miljoen balanstotaal, spreekt men van een grote onderneming.

Ondernemingen binnen een groep

Bij de berekening van de omvang tellen ook partner- en verbonden ondernemingen mee. Dat kan een kleine Belgische vestiging van een internationale groep onverwacht onder de wet brengen. De Belgische wet bevat hier een nuance die u niet in elke lidstaat vindt. Het CCB houdt rekening met de mate waarin een entiteit onafhankelijk is van haar partner- of verbonden ondernemingen, vooral voor de netwerk- en informatiesystemen die ze gebruikt en de diensten die ze levert (art. 3, § 2). Werkt een dochter met eigen systemen en zou ze op basis van haar eigen cijfers niet middelgroot zijn, dan kan het CCB haar als kleine onderneming beschouwen.

Daarnaast is de regel uit artikel 3, lid 4, van de bijlage bij de aanbeveling uitgesloten (art. 3, § 1). Die regel bepaalt normaal dat een onderneming waarin overheden 25% of meer zeggenschap hebben, niet als kmo kan gelden.

Wie er los van de omvang onder valt

Voor een aantal entiteiten speelt de grootte geen rol (art. 3, § 3 tot § 5):

• aanbieders van openbare elektronische-communicatienetwerken of -diensten;
• verleners van vertrouwensdiensten;
• registers voor topleveldomeinnamen en DNS-dienstverleners;
• entiteiten die het CCB als essentieel of belangrijk identificeert;
• overheidsinstanties die van de federale staat afhangen, hulpverleningszones, en overheidsinstanties van de deelgebieden die na identificatie onder de wet vallen;
• entiteiten die als kritieke entiteit zijn geïdentificeerd volgens de wet van 19 december 2025 betreffende de weerbaarheid van kritieke entiteiten;
• entiteiten die domeinnaamregistratiediensten verlenen.

Het CCB kan een entiteit ongeacht haar omvang identificeren, bijvoorbeeld als ze in België de enige aanbieder van een essentiële dienst is, of als een verstoring van haar dienst aanzienlijke gevolgen kan hebben voor de openbare veiligheid of de volksgezondheid (art. 11, § 1). Voordien krijgt de entiteit een ontwerpbeslissing voorgelegd (art. 11, § 3). Het CCB herziet de identificaties minstens om de twee jaar.

Essentieel of belangrijk

De wet verdeelt de entiteiten in twee categorieën. Beide moeten dezelfde maatregelen nemen en dezelfde incidenten melden. Het verschil zit in het toezicht, de verplichte conformiteitsbeoordeling en de maximale geldboete.

Uitzonderingen en lokale besturen

• Veiligheid en justitie: de wet geldt grotendeels niet voor de inlichtingen- en veiligheidsdiensten, Defensie en een aantal diensten van politie en justitie (art. 5, § 4).
• Financiële sector: door DORA is de financiële sector grotendeels uitgesloten (art. 6, § 3 en § 4).
• Lokale besturen: gemeenten, provincies, OCMW’s en intercommunales vallen niet automatisch onder de wet. Volgens de FAQ van het CCB gaat het alleen om lokale besturen die een activiteit uit de bijlagen uitoefenen en de omvangsdrempel halen, of die door het CCB worden aangeduid.
• Deelgebieden: overheidsinstanties van de gewesten en gemeenschappen vallen er pas onder na identificatie door het CCB (art. 11, § 2).

De scope-test van het CCB

Het CCB biedt op Safeonweb@Work een officiële scope-test aan. Doorloop die per activiteit en leg de uitkomst vast: welke activiteiten u bekeken heeft, welke bijlage van toepassing is, welke cijfers u voor de omvang gebruikte en wie de conclusie trok. De volledige wettekst vindt u in de Justel-databank.

Valt u eronder, dan volgt de registratie bij het CCB, en als essentiële entiteit ook de weg naar certificering. Een eerste inschatting van uw categorie krijgt u in de NIS2-zelftest.