NIS 2 status in Belgium
What the directive requires, how Belgium transposes it, and where the CCB sits inside the picture.
Overview
The NIS 2 directive is the EU layer. It binds every member state, including Belgium, with one cybersecurity floor for essential and important entities. Belgium must put that floor into Belgian law and run a supervision regime under it.
Belgium transposes NIS 2 through the Law of 26 April 2024 establishing a framework for the cybersecurity of networks and information systems of general interest for public security. The law was published in the Moniteur belge / Belgisch Staatsblad on 17 May 2024 and entered into force on 18 October 2024, alongside a Royal Decree that fills in the operational detail. Belgium is one of the few member states that met the directive's 17 October 2024 deadline.
Het Centre for Cybersecurity Belgium (CCB) is de leidende bevoegde autoriteit. CERT.be werkt als dienst binnen het CCB. Registratie loopt via het portaal Safeonweb@work. Sectorale autoriteiten blijven betrokken waar ze bestaan: de Nationale Bank van België (NBB) voor de financiële sector, waar DORA als lex specialis geldt, en het BIPT voor digitale infrastructuur (behalve vertrouwensdiensten) en postdiensten.
EU directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. Sets the obligations every member state must transpose, including the size and sector tests for essential and important entities.
EU implementation
Commission Implementing Regulation (EU) 2024/2690
Technische en methodologische eisen voor DNS-aanbieders, TLD-registers, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in België zonder nationale omzetting.
Belgian transposition
Law of 26 April 2024 (NIS 2 law)
De Belgische NIS 2-omzetting, gepubliceerd in de Moniteur belge op 17 mei 2024 en van kracht sinds 18 oktober 2024. Het koninklijk besluit van 9 juni 2024 en richtsnoeren van het CCB vullen de operationele details in. De wet heft de wet van 7 april 2019 (de Belgische NIS 1-omzetting) op.
Law of 26 April 2024
Zet de NIS 2-verplichtingen om in Belgisch recht. Definieert essentiële en belangrijke entiteiten, de toezichtsbevoegdheden van het CCB, meldplichten en sancties. De meeste operationele details staan in het koninklijk besluit van 9 juni 2024 en in richtsnoeren van het CCB.
CCB as supervisor, CERT.be as CSIRT
The Centre for Cybersecurity Belgium runs supervision, audits and sanctions. CERT.be operates inside the CCB as the national CSIRT for incident handling. Safeonweb@work is the public-facing portal for registration and guidance.
Registration and reporting
DNS-aanbieders, TLD-registers, domeinregistratiediensten, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines en sociale netwerken moesten zich uiterlijk 18 december 2024 registreren op Safeonweb@work. Alle andere essentiële en belangrijke entiteiten moesten zich uiterlijk 18 maart 2025 registreren. Significante incidenten worden gemeld via notif.safeonweb.be in het ritme van de richtlijn: vroege waarschuwing na 24 uur, melding na 72 uur, eindrapport na een maand.
Local law applies inside Belgium
Operations on Belgian territory follow the Belgian transposition. A German managing director running a Belgian subsidiary reads the Law of 26 April 2024 for that subsidiary, not the German BSIG. The directive obligations are the same; the procedure, the portal and the sanctions live in Belgian law.
Belgium cannot go below the EU floor
The directive is a minimum harmonisation instrument. Belgium can go stricter, and in practice does so via the CyberFundamentals framework and the Royal Decree. It cannot drop below the directive on essential and important entity duties, incident reporting deadlines or management body accountability.
CCB
Centre for Cybersecurity Belgium, de nationale cyberbeveiligingsautoriteit onder de premier. Leidende bevoegde autoriteit voor NIS 2: toezicht, audits, sancties en het registratieportaal Safeonweb@work. Publiceert het CyberFundamentals-raamwerk. Voor entiteiten die periodiek een conformiteitsbeoordeling ondergaan aan de hand van CyberFundamentals of ISO/IEC 27001 wordt vermoed dat zij aan de risicobeheersmaatregelen van NIS 2 voldoen.
CERT.be
The national Computer Security Incident Response Team. Operates as a service inside the CCB rather than as a separate agency. Handles incident notifications, technical coordination, and operational cooperation with other EU CSIRTs.
ENISA
The EU cybersecurity agency. Publishes guidance, manages the European vulnerability database, and supports cross-border coordination. Not a supervisor for Belgian entities; the CCB is.
Belgium is on the same timeline as Germany.
België heeft de termijn van 17 oktober 2024 gehaald. De wet van 26 april 2024 is op 17 mei 2024 gepubliceerd in de Moniteur belge en op 18 oktober 2024 in werking getreden, met registratietermijnen die in december 2024 en maart 2025 al zijn verstreken. Duitsland heeft later omgezet: de nieuwe BSIG geldt sinds 6 december 2025. Het tijdschema van een Duitse moeder zegt niets over de Belgische dochter. Het toezicht daar is actief, en een gemiste registratie is achterstallig.
There is no functioning registration portal yet.
Safeonweb@work is live en operationeel. Aanbieders van DNS, TLD, domeinregistratie, cloud, datacenters, CDN, beheerde (beveiligings)diensten, marktplaatsen, zoekmachines en sociale netwerken moesten zich uiterlijk 18 december 2024 registreren; alle andere essentiële en belangrijke entiteiten uiterlijk 18 maart 2025. Late registratie is een compliancetekort waartegen het CCB kan optreden, en registratiegegevens moeten volgens artikel 3(4) van de richtlijn actueel worden gehouden.
Only the sectors that already had a NIS 1 regulator are in scope.
NIS 2 widens the perimeter well beyond the NIS 1 OES list. New sectors include public administrations, manufacturing, food, postal and courier services, waste management and chemicals, among others. The size test caps at medium and large enterprises by default, but small entities can be captured where they are sole providers or where the law adds them. The applicability check has to be done case by case.
België is het zeldzame EU-land waar NIS 2 operationeel is, niet theoretisch. Het CCB is bemand, het registratieportaal werkt, het koninklijk besluit is van kracht en het CyberFundamentals-raamwerk geeft entiteiten een concreet implementatiepad dat, met een periodieke conformiteitsbeoordeling, leidt tot een vermoeden van conformiteit. Belgische exploitanten die zich nog niet hebben geregistreerd, lopen niet voor op de troepen, ze lopen achter.
De praktische stap is dezelfde als overal in de EU: bevestig de reikwijdte onder de richtlijn, registreer u op Safeonweb@work, zet de vier doorlopende verplichtingen op (registratie bijhouden, incidentmelding, toeleveringsketenrisico, toezicht door het leidinggevend orgaan) en documenteer het minimum. Het CyFun-raamwerk helpt bij de inhoudelijke maatregelen, maar vervangt niet het documenteren van de NIS 2-maatregelen zelf.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Law of 26 April 2024 establishing a framework for the cybersecurity of networks and information systems of general interest for public security: Moniteur belge / Belgisch Staatsblad, 17 May 2024
- Koninklijk besluit van 9 juni 2024 tot uitvoering van de NIS 2-wet: Moniteur belge / Belgisch Staatsblad
- Centre for Cybersecurity Belgium (CCB): ccb.belgium.be
- Safeonweb@work: atwork.safeonweb.be (NIS 2 registration portal)
- CERT.be: national CSIRT, operating inside the CCB
- CyberFundamentals (CyFun) framework: CCB
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
