Status NIS 2 w Belgii
Czego wymaga dyrektywa, jak Belgia ją transponuje i gdzie w tym obrazie znajduje się CCB.
Przegląd
Dyrektywa NIS 2 jest warstwą unijną. Wiąże każde państwo członkowskie, w tym Belgię, jednym progiem cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. Belgia musi wpisać ten próg do prawa belgijskiego i prowadzić pod nim reżim nadzoru.
Belgia transponuje NIS 2 poprzez ustawę z 26 kwietnia 2024 r. ustanawiającą ramy dla cyberbezpieczeństwa sieci i systemów informatycznych o znaczeniu ogólnym dla bezpieczeństwa publicznego. Ustawa została opublikowana w Moniteur belge / Belgisch Staatsblad w dniu 17 maja 2024 r. i weszła w życie 18 października 2024 r., wraz z dekretem królewskim uzupełniającym szczegóły operacyjne. Belgia jest jednym z nielicznych państw członkowskich, które dotrzymało terminu dyrektywy z 17 października 2024 r.
Centrum Cyberbezpieczeństwa Belgii (CCB) jest wiodącym właściwym organem. CERT.be działa jako usługa wewnątrz CCB. Rejestracja przebiega przez portal Safeonweb@work. Regulatorzy sektorowi pozostają w obiegu tam, gdzie już istnieją: Narodowy Bank Belgii (NBB) dla sektora finansowego, gdzie DORA działa jako lex specialis, oraz BIPT dla infrastruktury cyfrowej (z wyjątkiem usług zaufania) i usług pocztowych.
Dyrektywa unijna
Dyrektywa (UE) 2022/2555 (NIS 2)
Ogólnounijna dyrektywa o cyberbezpieczeństwie. Ustanawia obowiązki, które każde państwo członkowskie musi transponować, w tym testy wielkości i sektora dla podmiotów kluczowych i ważnych.
Unijne wdrożenie
Rozporządzenie wykonawcze Komisji (UE) 2024/2690
Wymogi techniczne i metodyczne dla dostawców DNS, rejestrów TLD, dostawców chmury, centrów danych i CDN, dostawców usług zarządzanych (bezpieczeństwa), internetowych platform handlowych, wyszukiwarek, sieci społecznościowych i dostawców usług zaufania. Bezpośrednio stosowane w Belgii bez transpozycji krajowej.
Belgijska transpozycja
Ustawa z 26 kwietnia 2024 r. (ustawa NIS 2)
Belgijska transpozycja NIS 2, opublikowana w Moniteur belge w dniu 17 maja 2024 r. i obowiązująca od 18 października 2024 r. Wykonawczy dekret królewski z 9 czerwca 2024 r. i wytyczne CCB uzupełniają szczegóły operacyjne. Ustawa uchyla ustawę z 7 kwietnia 2019 r. (belgijską transpozycję NIS 1).
Ustawa z 26 kwietnia 2024 r.
Wnosi obowiązki NIS 2 do prawa belgijskiego. Definiuje podmioty kluczowe i ważne, uprawnienia nadzorcze CCB, obowiązki zgłaszania incydentów oraz sankcje. Większość szczegółów operacyjnych mieści się w dekrecie królewskim z 9 czerwca 2024 r. oraz w wytycznych CCB.
CCB jako nadzorca, CERT.be jako CSIRT
Centrum Cyberbezpieczeństwa Belgii prowadzi nadzór, audyty i sankcje. CERT.be działa wewnątrz CCB jako krajowy CSIRT do obsługi incydentów. Safeonweb@work jest publicznym portalem do rejestracji i wytycznych.
Rejestracja i zgłaszanie
Dostawcy DNS, rejestry TLD, usługi rejestracji domen, dostawcy chmury, centrów danych i CDN, dostawcy usług zarządzanych (bezpieczeństwa), internetowe platformy handlowe, wyszukiwarki i sieci społecznościowe musieli zarejestrować się na Safeonweb@work do 18 grudnia 2024 r. Wszystkie pozostałe podmioty kluczowe i ważne musiały zarejestrować się do 18 marca 2025 r. Poważne incydenty zgłasza się przez notif.safeonweb.be w rytmie dyrektywy: wczesne ostrzeżenie 24 h, powiadomienie 72 h i raport końcowy w ciągu jednego miesiąca.
Prawo lokalne obowiązuje wewnątrz Belgii
Operacje na terytorium belgijskim podlegają belgijskiej transpozycji. Niemiecki dyrektor zarządzający prowadzący belgijską spółkę zależną czyta dla tej spółki ustawę z 26 kwietnia 2024 r., a nie niemiecki BSIG. Obowiązki dyrektywy są takie same; procedura, portal i sankcje żyją w prawie belgijskim.
Belgia nie może zejść poniżej unijnego progu minimalnego
Dyrektywa jest instrumentem minimalnej harmonizacji. Belgia może być surowsza i w praktyce taka jest poprzez ramy CyberFundamentals i dekret królewski. Nie może zejść poniżej dyrektywy co do obowiązków podmiotów kluczowych i ważnych, terminów zgłaszania incydentów ani rozliczalności organu zarządzającego.
CCB
Centrum Cyberbezpieczeństwa Belgii, krajowy organ cyberbezpieczeństwa podlegający urzędowi Premiera. Wiodący właściwy organ dla NIS 2: nadzór, audyty, sankcje oraz portal rejestracyjny Safeonweb@work. Publikuje ramy CyberFundamentals. Podmiotom, które przechodzą okresową ocenę zgodności według CyberFundamentals lub ISO/IEC 27001, domniemywa się spełnianie środków zarządzania ryzykiem NIS 2.
CERT.be
Krajowy zespół reagowania na incydenty bezpieczeństwa komputerowego. Działa jako usługa wewnątrz CCB, a nie jako odrębna agencja. Obsługuje powiadomienia o incydentach, koordynację techniczną oraz współpracę operacyjną z innymi unijnymi CSIRT.
ENISA
Unijna agencja cyberbezpieczeństwa. Publikuje wytyczne, zarządza europejską bazą danych o podatnościach i wspiera koordynację transgraniczną. Nie jest nadzorcą belgijskich podmiotów; jest nim CCB.
Belgia jest na tej samej osi czasu co Niemcy.
Belgia dotrzymała terminu 17 października 2024 r. Ustawa z 26 kwietnia 2024 r. została opublikowana w Moniteur belge w dniu 17 maja 2024 r. i weszła w życie 18 października 2024 r., z terminami rejestracji, które już upłynęły w grudniu 2024 r. i marcu 2025 r. Niemcy dokonały transpozycji później: ich nowa BSIG obowiązuje od 6 grudnia 2025 r. Harmonogram niemieckiej spółki dominującej nic nie mówi o belgijskiej spółce zależnej. Jej nadzorca jest aktywny, a pominięta rejestracja jest zaległa.
Nie ma jeszcze działającego portalu rejestracyjnego.
Safeonweb@work jest uruchomiony i operacyjny. Dostawcy DNS, TLD, rejestracji domen, chmury, centrów danych, CDN, usług zarządzanych (bezpieczeństwa), platform handlowych, wyszukiwarek i sieci społecznościowych musieli zarejestrować się do 18 grudnia 2024 r.; wszystkie pozostałe podmioty kluczowe i ważne do 18 marca 2025 r. Spóźniona rejestracja jest luką w zgodności, na którą CCB może zareagować, a dane rejestracyjne muszą być utrzymywane na bieżąco na mocy art. 3 ust. 4 NIS 2.
W zakresie są tylko sektory, które miały już regulatora NIS 1.
NIS 2 poszerza obwód daleko poza listę OES z NIS 1. Nowe sektory obejmują administracje publiczne, produkcję, żywność, usługi pocztowe i kurierskie, gospodarkę odpadami oraz chemikalia, między innymi. Test wielkości domyślnie ogranicza się do średnich i dużych przedsiębiorstw, ale małe podmioty mogą zostać wyłapane tam, gdzie są jedynymi dostawcami lub gdzie ustawa je dodaje. Sprawdzenie stosowalności trzeba przeprowadzać indywidualnie dla każdego przypadku.
Belgia to rzadki kraj UE, w którym NIS 2 jest operacyjne, a nie teoretyczne. CCB jest obsadzone kadrowo, portal rejestracyjny działa, dekret królewski obowiązuje, a ramy CyberFundamentals dają podmiotom konkretną ścieżkę wdrożenia, która wraz z okresową oceną zgodności prowadzi do domniemania zgodności. Belgijscy operatorzy, którzy jeszcze się nie zarejestrowali, nie są przed krzywą, są za nią.
Praktyczny ruch jest taki sam jak wszędzie indziej w UE: potwierdź zakres na mocy dyrektywy, zarejestruj się na Safeonweb@work, ustanów cztery ciągłe obowiązki (utrzymywanie rejestracji, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór organu zarządzającego) i udokumentuj minimum. Ramy CyFun pomagają z merytorycznymi zabezpieczeniami, ale nie zastępują dokumentowania samych środków NIS 2.
- Dyrektywa (UE) 2022/2555 (NIS 2): EUR-Lex
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690
- Ustawa z 26 kwietnia 2024 r. ustanawiająca ramy dla cyberbezpieczeństwa sieci i systemów informatycznych o znaczeniu ogólnym dla bezpieczeństwa publicznego: Moniteur belge / Belgisch Staatsblad, 17 maja 2024 r.
- Dekret królewski z 9 czerwca 2024 r. wykonujący ustawę NIS 2: Moniteur belge / Belgisch Staatsblad
- Centrum Cyberbezpieczeństwa Belgii (CCB): ccb.belgium.be
- Safeonweb@work: atwork.safeonweb.be (portal rejestracyjny NIS 2)
- CERT.be: krajowy CSIRT, działający wewnątrz CCB
- Ramy CyberFundamentals (CyFun): CCB
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
