Statutul NIS 2 în Belgia
Ce cere directiva, cum o transpune Belgia și unde se situează CCB în tablou.
Prezentare generală
Directiva NIS 2 este stratul UE. Obligă fiecare stat membru, inclusiv Belgia, cu un singur prag de securitate cibernetică pentru entitățile esențiale și importante. Belgia trebuie să introducă acel prag în legislația belgiană și să ruleze un regim de supraveghere sub el.
Belgia transpune NIS 2 prin Legea din 26 aprilie 2024 de instituire a unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice de interes general pentru securitatea publică. Legea a fost publicată în Moniteur belge / Belgisch Staatsblad pe 17 mai 2024 și a intrat în vigoare pe 18 octombrie 2024, alături de un Decret regal care completează detaliul operațional. Belgia este unul dintre puținele state membre care au respectat termenul directivei din 17 octombrie 2024.
Centrul pentru Securitate Cibernetică Belgia (CCB) este autoritatea competentă principală. CERT.be operează ca serviciu în cadrul CCB. Înregistrarea se face prin portalul Safeonweb@work. Autoritățile sectoriale rămân implicate acolo unde există: Banca Națională a Belgiei (NBB) pentru sectorul financiar, unde DORA acționează ca lex specialis, și BIPT pentru infrastructura digitală (cu excepția serviciilor de încredere) și serviciile poștale.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva de securitate cibernetică valabilă în întreaga UE. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testele de mărime și de sector pentru entitățile esențiale și importante.
Implementarea UE
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
Cerințe tehnice și metodologice pentru furnizorii de DNS, registrele TLD, furnizorii de cloud, centre de date și CDN, furnizorii de servicii (de securitate) gestionate, piețele online, motoarele de căutare, rețelele sociale și furnizorii de servicii de încredere. Direct aplicabil în Belgia fără transpunere națională.
Transpunerea belgiană
Legea din 26 aprilie 2024 (legea NIS 2)
Transpunerea belgiană a NIS 2, publicată în Moniteur belge pe 17 mai 2024 și în vigoare de la 18 octombrie 2024. Decretul regal de punere în aplicare din 9 iunie 2024 și îndrumările CCB completează detaliul operațional. Legea abrogă Legea din 7 aprilie 2019 (transpunerea belgiană a NIS 1).
Legea din 26 aprilie 2024
Aduce obligațiile NIS 2 în legislația belgiană. Definește entitățile esențiale și importante, competențele de supraveghere ale CCB, îndatoririle de raportare a incidentelor și sancțiunile. Cea mai mare parte a detaliului operațional se află în Decretul regal din 9 iunie 2024 și în îndrumările CCB.
CCB ca supraveghetor, CERT.be ca CSIRT
Centrul pentru Securitate Cibernetică Belgia conduce supravegherea, auditurile și sancțiunile. CERT.be operează în cadrul CCB ca CSIRT național pentru gestionarea incidentelor. Safeonweb@work este portalul public pentru înregistrare și îndrumare.
Înregistrare și raportare
Furnizorii de DNS, registrele TLD, serviciile de înregistrare a domeniilor, furnizorii de cloud, centre de date și CDN, furnizorii de servicii (de securitate) gestionate, piețele online, motoarele de căutare și rețelele sociale au trebuit să se înregistreze pe Safeonweb@work până la 18 decembrie 2024. Toate celelalte entități esențiale și importante au trebuit să se înregistreze până la 18 martie 2025. Incidentele semnificative se notifică prin notif.safeonweb.be pe cadența directivei: avertizare timpurie 24h, notificare 72h, raport final într-o lună.
Legea locală se aplică în interiorul Belgiei
Operațiunile pe teritoriul belgian urmează transpunerea belgiană. Un Geschäftsführer german care conduce o filială belgiană citește Legea din 26 aprilie 2024 pentru acea filială, nu BSIG-ul german. Obligațiile directivei sunt aceleași; procedura, portalul și sancțiunile se află în legislația belgiană.
Belgia nu poate coborî sub pragul minim al UE
Directiva este un instrument de armonizare minimă. Belgia poate fi mai strictă și, în practică, face acest lucru prin cadrul CyberFundamentals și Decretul regal. Nu poate coborî sub directivă la îndatoririle entităților esențiale și importante, la termenele de raportare a incidentelor sau la răspunderea organului de conducere.
CCB
Centrul pentru Securitate Cibernetică Belgia, autoritatea națională de securitate cibernetică aflată sub prim-ministru. Autoritate competentă principală pentru NIS 2: supraveghere, audituri, sancțiuni și portalul de înregistrare Safeonweb@work. Publică cadrul CyberFundamentals. Entitățile care trec printr-o evaluare periodică a conformității în raport cu CyberFundamentals sau ISO/IEC 27001 sunt prezumate că îndeplinesc măsurile de management al riscurilor din NIS 2.
CERT.be
Echipa națională de răspuns la incidente de securitate informatică. Operează ca serviciu în cadrul CCB, nu ca agenție separată. Gestionează notificările de incidente, coordonarea tehnică și cooperarea operațională cu alte CSIRT-uri din UE.
ENISA
Agenția UE pentru securitate cibernetică. Publică îndrumări, gestionează baza de date europeană a vulnerabilităților și sprijină coordonarea transfrontalieră. Nu este un supraveghetor pentru entitățile belgiene; CCB este.
Belgia este pe același calendar ca Germania.
Belgia a respectat termenul din 17 octombrie 2024. Legea din 26 aprilie 2024 a fost publicată în Moniteur belge pe 17 mai 2024 și a intrat în vigoare pe 18 octombrie 2024, cu termene de înregistrare care au trecut deja în decembrie 2024 și martie 2025. Germania a transpus mai târziu: noul său BSIG se aplică din 6 decembrie 2025. Calendarul unei societăți-mamă germane nu spune nimic despre filiala belgiană. Supraveghetorul acesteia este activ, iar o înregistrare ratată este restantă.
Nu există încă un portal de înregistrare funcțional.
Safeonweb@work este activ și operațional. Furnizorii de DNS, TLD, înregistrare de domenii, cloud, centre de date, CDN, servicii (de securitate) gestionate, piețe online, motoare de căutare și rețele sociale au trebuit să se înregistreze până la 18 decembrie 2024; toate celelalte entități esențiale și importante până la 18 martie 2025. Înregistrarea întârziată este o lacună de conformitate asupra căreia CCB poate acționa, iar datele de înregistrare trebuie menținute la zi în temeiul articolului 3 alineatul (4) din directivă.
Doar sectoarele care aveau deja un reglementator NIS 1 intră în domeniul de aplicare.
NIS 2 lărgește perimetrul mult dincolo de lista OES din NIS 1. Sectoarele noi includ administrațiile publice, producția, alimentația, serviciile poștale și de curierat, gestionarea deșeurilor și substanțele chimice, printre altele. Testul de mărime se plafonează implicit la întreprinderile mijlocii și mari, dar entitățile mici pot fi prinse acolo unde sunt furnizori unici sau unde legea le adaugă. Verificarea de aplicabilitate trebuie făcută de la caz la caz.
Belgia este țara rară din UE în care NIS 2 este operațional, nu teoretic. CCB are personal, portalul de înregistrare funcționează, Decretul regal este în vigoare, iar cadrul CyberFundamentals oferă entităților o cale concretă de implementare care, cu o evaluare periodică a conformității, duce la o prezumție de conformitate. Operatorii belgieni care nu s-au înregistrat încă nu sunt în avans, ci în urmă.
Mișcarea practică este aceeași ca peste tot în UE: confirmați domeniul de aplicare în temeiul directivei, înregistrați-vă pe Safeonweb@work, configurați cele patru obligații continue (menținerea înregistrării, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Cadrul CyFun ajută la controalele de fond, dar nu înlocuiește documentarea măsurilor NIS 2 în sine.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
- Legea din 26 aprilie 2024 de instituire a unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice de interes general pentru securitatea publică, Moniteur belge / Belgisch Staatsblad, 17 mai 2024
- Decretul regal din 9 iunie 2024 de punere în aplicare a legii NIS 2, Moniteur belge / Belgisch Staatsblad
- Centrul pentru Securitate Cibernetică Belgia (CCB), ccb.belgium.be
- Safeonweb@work, atwork.safeonweb.be (portalul de înregistrare NIS 2)
- CERT.be, CSIRT național, operând în cadrul CCB
- Cadrul CyberFundamentals (CyFun), CCB
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
