NIS2 in Belgien: was das Gesetz vom 26. April 2024 verlangt, wer darunter fällt und die Fristen des CCB

Belgien hat NIS2 mit dem Gesetz vom 26. April 2024 umgesetzt, das seit dem 18. Oktober 2024 gilt. Das Zentrum für Cybersicherheit Belgien (CCB) ist die nationale Cybersicherheitsbehörde und das nationale CSIRT. Wesentliche Einrichtungen mussten bis zum 18. April 2026 einen ersten Schritt der Konformitätsbewertung nachweisen; der zweite Meilenstein ist der 18. April 2027.

Dieser Leitfaden behandelt das Gesetz und seinen Königlichen Erlass, den Anwendungsbereich, die Registrierung auf Safeonweb@work, die elf Maßnahmen und die Pflichten der Leitung, die Meldung von Sicherheitsvorfällen an das CCB, die Fristen der Konformitätsbewertung, die erforderliche CyberFundamentals-Stufe, die Sektorbehörden, die Geldbußen, was das Gesetz offenlässt, und eine Checkliste.

Pflicht	Belgische Regelung	NIS2-Richtlinie	Stand am 24. September 2026
Anwendungsbereich: Sektor und Größe	Gesetz, Art. 3	Art. 2 und 3	Gilt seit 18. Oktober 2024
Identifizierung durch das CCB, unabhängig von der Größe	Gesetz, Art. 11	Art. 2 Abs. 2	Im Einzelfall, mit der Einrichtung
Registrierung auf Safeonweb@work	Gesetz, Art. 13 und 14	Art. 3 Abs. 4 und Art. 27	Fristen verstrichen; Änderungen binnen zwei Wochen (Daten nach Art. 14: drei Monate)
Elf Risikomanagementmaßnahmen	Gesetz, Art. 30 § 3	Art. 21 Abs. 2 (zehn Maßnahmen)	Gilt bereits
Risikoanalyse	Gesetz, Art. 30 § 5	Art. 21 Abs. 1 und Abs. 2 Buchst. a	Bestimmt Ihre CyberFundamentals-Stufe
Billigung, Überwachung und Schulung durch die Leitungsorgane	Gesetz, Art. 31	Art. 20	Gilt bereits
Meldung von Sicherheitsvorfällen an das CCB: 24 Stunden, 72 Stunden, ein Monat	Gesetz, Art. 34 und 35	Art. 23	Gilt bereits
Regelmäßige Konformitätsbewertung, wesentliche Einrichtungen	Gesetz, Art. 39 bis 42; KE Art. 5 bis 10, 22 und 23	Art. 32	Erster Schritt fällig am 18. April 2026 (verstrichen); zweiter Meilenstein am 18. April 2027
Freiwillige Konformitätsbewertung, wichtige Einrichtungen	Gesetz, Art. 41; KE Art. 5 § 2	Art. 33	Freiwillig
Nachträgliche Inspektion, wichtige Einrichtungen	Gesetz, Art. 48	Art. 33	Nach einem Sicherheitsvorfall oder einem Hinweis auf Nichteinhaltung
Verwaltungsmaßnahmen und Geldbußen	Gesetz, Art. 58 bis 62 (Geldbußen: Art. 59)	Art. 32 bis 34	Bis zu 10 Mio. EUR oder 2 % (wesentlich), 7 Mio. EUR oder 1,4 % (wichtig)

KE steht für den Königlichen Erlass vom 9. Juni 2024.

Was ist das NIS2-Gesetz in Belgien?

Der vollständige Titel lautet Gesetz vom 26. April 2024 zur Festlegung eines Rahmens für die Cybersicherheit von Netz- und Informationssystemen von allgemeinem Interesse für die öffentliche Sicherheit. Das belgische NIS2-Gesetz wurde am 17. Mai 2024 im Belgischen Staatsblatt veröffentlicht (Seite 63179, NUMAC 2024202344). Es setzt die Richtlinie (EU) 2022/2555 um und hat das Gesetz vom 7. April 2019 aufgehoben, mit dem NIS1 umgesetzt worden war (Art. 97). Es ist am 18. Oktober 2024 in Kraft getreten (Art. 98), dem Tag, ab dem NIS2 in der gesamten EU anzuwenden war. Das Gesetz vom 19. Dezember 2025 über kritische Einrichtungen hat es mit Wirkung zum 19. Januar 2026 geändert, zum Beispiel bei den Sektorbehörden (Art. 15 § 2) und bei den Sicherheitsermächtigungen für Prüfer kritischer Einrichtungen und der öffentlichen Verwaltung (Art. 40 § 1).

Ein Königlicher Erlass vom 9. Juni 2024, veröffentlicht am 24. Juni 2024 im Belgischen Staatsblatt, führt das Gesetz aus. Er benennt das CCB als nationale Cybersicherheitsbehörde (Art. 3 § 1), bestimmt Sektorbehörden (Art. 3 § 2) und legt den Rahmen für die Konformitätsbewertung, die Stufen und die Übergangsfristen fest (Art. 4 bis 23). Das CCB ist außerdem die zentrale Anlaufstelle gegenüber anderen Mitgliedstaaten und der EU.

Drei belgische Entscheidungen fallen auf. Das Gesetz nennt elf Mindestmaßnahmen statt zehn. Wesentliche Einrichtungen müssen sich einer regelmäßigen Konformitätsbewertung unterziehen. Und eine erfolgreiche Bewertung begründet eine Konformitätsvermutung (Art. 42).

Wer fällt in Belgien unter NIS2?

Wie in der Richtlinie gelten zwei Bedingungen. Die Einrichtung erbringt einen in Anhang I oder Anhang II des Gesetzes aufgeführten Dienst, und sie ist mindestens ein mittleres Unternehmen im Sinne der Empfehlung 2003/361/EG der Kommission.

In der Praxis heißt das: 50 oder mehr Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR. Die Beschäftigten werden in Jahresarbeitseinheiten gezählt, und die Daten von Partnerunternehmen und verbundenen Unternehmen werden hinzugerechnet. Belgien schwächt das ab: Das CCB berücksichtigt, wie unabhängig die Einrichtung von ihren Partnerunternehmen und verbundenen Unternehmen ist, insbesondere bei den Netz- und Informationssystemen, die sie für die Erbringung ihrer Dienste nutzt. Ist sie nach ihren eigenen Daten kein mittleres Unternehmen, wird sie nicht als mittleres Unternehmen behandelt (Art. 3 § 2). Ein Unternehmen mit 40 Beschäftigten, 12 Mio. EUR Umsatz und 6 Mio. EUR Bilanzsumme bleibt ein kleines Unternehmen.

Anhang I umfasst Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anhang II umfasst sonstige kritische Sektoren, etwa Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe und Anbieter digitaler Dienste. Auch die Forschung ist erfasst.

Wesentlich oder wichtig?

Das CCB fasst die Aufteilung so zusammen:

• Wesentlich: große Unternehmen (250 oder mehr Beschäftigte oder ein Umsatz über 50 Mio. EUR und eine Bilanzsumme über 43 Mio. EUR), die einen Dienst nach Anhang I erbringen; außerdem, unabhängig von der Größe, qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, vom Staat abhängige Einrichtungen der öffentlichen Verwaltung und Einrichtungen, die nach der CER-Richtlinie auf nationaler Ebene als kritisch eingestuft wurden. Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste sind ab mittlerer Größe wesentlich.
• Wichtig: mittlere Einrichtungen nach Anhang I sowie mittlere oder große Einrichtungen nach Anhang II.

Die Pflichten sind dieselben. Der Unterschied betrifft nach den Worten des CCB vor allem, wie streng die Einrichtungen beaufsichtigt und sanktioniert werden. Der Vergleich wesentlicher und wichtiger Einrichtungen erläutert das auf EU-Ebene.

Identifizierung durch das CCB

Das CCB kann eine Organisation außerdem unabhängig von ihrer Größe als wesentlich oder wichtig identifizieren, und zwar in vier Fällen, in Abstimmung mit der Einrichtung und den zuständigen Behörden (Art. 11). Für eine später identifizierte Einrichtung laufen die Fristen der Konformitätsbewertung ab dem Tag der Identifizierung, nicht ab dem 18. Oktober 2024 (KE Art. 22 und 23).

Zuständigkeit und Lieferanten

Das Gesetz gilt für Einrichtungen mit Niederlassung in Belgien, mit den Ausnahmen der Richtlinie für Anbieter elektronischer Kommunikation sowie für DNS-, Cloud-, Rechenzentrums- und ähnliche digitale Anbieter.

Fallen Sie nicht in den Anwendungsbereich, können aber in der Lieferkette einer NIS2-Einrichtung stehen, empfiehlt Ihnen das CCB, mindestens die CyberFundamentals-Stufe Basic zu erfüllen. In der Praxis geben Kunden ihre Pflicht zur Sicherheit der Lieferkette über Verträge und Fragebögen an ihre Lieferanten weiter.

Unsicher, wo Sie stehen? Der NIS2-Betroffenheitscheck führt Sie durch Sektor und Größe.

Wie registrieren Sie sich beim CCB auf Safeonweb@work?

Die Registrierung erfolgt über ein Formular auf Safeonweb@work, dem Portal des CCB für Organisationen. Beide Fristen sind verstrichen:

• 18. Dezember 2024, zwei Monate nach Inkrafttreten, für die Daten, die digitale Anbieter für das ENISA-Register übermitteln (Art. 14 § 1): DNS-Diensteanbieter, TLD-Namenregister, Domänennamen-Registrierungsdienste, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke.
• 18. März 2025, fünf Monate nach Inkrafttreten, für die Registrierung aller wesentlichen und wichtigen Einrichtungen und der Domänennamen-Registrierungsdienste (Art. 13 § 1).

Eine später vom CCB identifizierte Einrichtung hat ab ihrer Identifizierung fünf Monate Zeit (Art. 13 § 1). Wenn Sie in den Anwendungsbereich fallen und sich nicht registriert haben, holen Sie das jetzt nach. Änderungen sind unverzüglich und in jedem Fall binnen zwei Wochen zu melden (Art. 13 § 3); für die Daten der digitalen Anbieter nach Artikel 14 binnen drei Monaten (Art. 14 § 2). Das CCB bittet darum, Änderungen sofort zu melden. Die Liste der Daten als Nachweis zum Aufbewahren:

NIS2-REGISTRIERUNGSNACHWEIS (CCB, Safeonweb@work)

Alle wesentlichen und wichtigen Einrichtungen (Art. 13)
1. Name und Nummer in der Zentralen Datenbank der Unternehmen (ZDU/BCE)
   (oder gleichwertige Eintragung)
2. Aktuelle Anschrift
3. Kontaktdaten: E-Mail, Telefon, IP-Adressbereiche
4. Sektor und Teilsektor (Anhang I oder II des Gesetzes)
5. Mitgliedstaaten, in denen Sie Dienste im Anwendungsbereich erbringen

Digitale Anbieter, zusätzlich (Art. 14)
6. Sektor, Teilsektor und Art der Einrichtung
7. Anschrift der Hauptniederlassung und weiterer Niederlassungen in der EU
8. Vertreter, falls nicht in der EU niedergelassen
9. Mitgliedstaaten, in denen Sie Dienste erbringen
10. IP-Adressbereiche

Verantwortlich: ____________   Zuletzt geprüft: ____________
Änderung an das CCB gemeldet am: ____________ (binnen 2 Wochen)

Was verlangt das belgische NIS2-Gesetz?

Elf Risikomanagementmaßnahmen (Art. 30 § 3)

Artikel 30 § 3 legt die Mindestmaßnahmen für das Risikomanagement im Bereich der Cybersicherheit fest, gestützt auf einen gefahrenübergreifenden Ansatz. Die ersten zehn folgen Artikel 21 Absatz 2 der Richtlinie. Belgien fügt eine elfte hinzu:

1. Risikoanalyse und Sicherheitskonzepte für Informationssysteme.
2. Bewältigung von Sicherheitsvorfällen.
3. Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.
4. Sicherheit der Lieferkette.
5. Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen.
6. Konzepte zur Bewertung der Wirksamkeit der Maßnahmen.
7. Grundlegende Cyberhygiene und Schulungen im Bereich der Cybersicherheit.
8. Kryptografie und gegebenenfalls Verschlüsselung.
9. Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen.
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung und gesicherte Kommunikation, soweit angemessen.
11. Eine Leitlinie zur koordinierten Offenlegung von Schwachstellen.

In der Praxis ist es die elfte, die Teams vergessen. Sie braucht einen veröffentlichten Weg, auf dem Außenstehende eine Schwachstelle melden können, und einen Prozess dahinter: siehe Offenlegung von Schwachstellen unter NIS2.

Risikoanalyse (Art. 30 § 5)

Die Risikoanalyse nach Artikel 30 § 5 ist in Belgien keine Formalität. Auf dem CyberFundamentals-Weg bestimmte sie die Stufe, auf der eine wesentliche Einrichtung bis April 2026 verifiziert sein musste, und sie entscheidet, ob die Einrichtung danach unterhalb der Stufe Essential bleiben darf (KE Art. 7 und 22). Sie wird außerdem zusammen mit der Konformitätsbescheinigung an das CCB übermittelt (KE Art. 9).

Leitungsorgane

Nach Artikel 31 § 1 billigen die Leitungsorgane die Risikomanagementmaßnahmen, die zur Einhaltung von Artikel 30 ergriffen werden, überwachen ihre Umsetzung und sind für Verstöße der Einrichtung gegen diesen Artikel verantwortlich. Nach Artikel 31 § 2 müssen ihre Mitglieder an Schulungen teilnehmen, damit ihre Kenntnisse und Fähigkeiten ausreichen, um Risiken zu erkennen und Risikomanagementpraktiken sowie deren Auswirkungen auf die Dienste der Einrichtung zu bewerten.

Unter Berufung auf die Begründung zum Gesetzentwurf legt das CCB den Begriff Mitglied eines Leitungsorgans weit aus und bezieht Personen ein, die die Einrichtung kontrollieren. In einer belgischen Gesellschaft bestimmt sich die Kontrolle nach den Artikeln 1:14 bis 1:18 des Gesetzbuchs der Gesellschaften und Vereinigungen. Artikel 61 fügt eine persönliche Verantwortung hinzu: Jede natürliche Person, die für eine wesentliche oder wichtige Einrichtung verantwortlich ist oder als deren gesetzlicher Vertreter handelt, hat die Befugnis, dafür zu sorgen, dass die Einrichtung das Gesetz einhält, und ist verantwortlich, wenn sie diese Pflicht verletzt. Bei wesentlichen Einrichtungen, die nicht rechtzeitig handeln, kann ein vorübergehendes Verbot der Ausübung von Leitungsaufgaben beantragt werden (Art. 60).

Wie melden Sie einen Sicherheitsvorfall an das CCB?

Erhebliche Sicherheitsvorfälle gehen unverzüglich an das nationale CSIRT, also an das CCB (Art. 34 § 1), über das Meldeverfahren, das das CCB für NIS2-Einrichtungen bereitstellt. Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung oder beträchtliche Schäden für andere verursacht oder verursachen kann. Die Stufen (Art. 35):

1. Frühwarnung: unverzüglich, spätestens innerhalb von 24 Stunden, nachdem die Einrichtung Kenntnis von dem erheblichen Sicherheitsvorfall erlangt hat.
2. Meldung über den Sicherheitsvorfall: innerhalb von 72 Stunden nach Kenntniserlangung. Vertrauensdiensteanbieter haben 24 Stunden (Art. 35 § 2).
3. Zwischenbericht: auf Ersuchen des CSIRT oder der Sektorbehörde.
4. Abschlussbericht: spätestens einen Monat nach der Meldung über den Sicherheitsvorfall.
5. Fortschrittsbericht: wenn der Vorfall zu diesem Zeitpunkt noch andauert, gefolgt von einem Abschlussbericht innerhalb eines Monats nach seiner Bearbeitung.

Soweit angemessen, müssen Einrichtungen auch die Empfänger ihrer Dienste über erhebliche Sicherheitsvorfälle informieren, die diese Dienste beeinträchtigen können. Wie die Fristen im Einzelnen laufen, steht im Beitrag zu den NIS2-Meldefristen für Sicherheitsvorfälle.

Welche Fristen setzt das CCB für wesentliche Einrichtungen?

Wesentliche Einrichtungen müssen sich einer regelmäßigen Konformitätsbewertung unterziehen (Art. 39). Sie wählen zwischen einer Bewertung durch eine vom CCB zugelassene Konformitätsbewertungsstelle auf der Grundlage eines vom König festgelegten Referenzrahmens (Art. 39 Abs. 1 Nr. 1 und Art. 40) und einer Inspektion durch das CCB (Art. 39 Abs. 1 Nr. 2). Zwei Referenzrahmen sind zugelassen: CyberFundamentals (CyFun) und NBN EN ISO/IEC 27001. Wofür sich die Einrichtung auch entscheidet, der Anwendungsbereich muss alle ihre Netz- und Informationssysteme abdecken (KE Art. 5 § 1).

Der Königliche Erlass hat dies schrittweise eingeführt: ein erster Schritt innerhalb von 18 Monaten nach Inkrafttreten, vollständige Konformität innerhalb von 30 Monaten.

Weg	Bis 18. April 2026 (18 Monate, verstrichen)	Bis 18. April 2027 (30 Monate)
CyberFundamentals	Verifizierung auf Stufe Basic oder Important durch eine vom CCB zugelassene Stelle, je nach Risikoanalyse	Zertifizierung auf Stufe Essential oder eine Verifizierung auf niedrigerer Stufe, wenn die Risikoanalyse dies rechtfertigt
ISO/IEC 27001	Anwendungsbereich und Erklärung zur Anwendbarkeit (SoA) an das CCB übermittelt	Zertifizierung durch eine akkreditierte Stelle
Inspektion durch das CCB	Selbstbewertung auf Stufe Basic oder Important oder Informationssicherheitsleitlinie, Anwendungsbereich und SoA	Fortschrittsbericht zur Konformität

Die Aktualisierung des CCB vom 16. April 2026 legte dar, was es zum ersten Meilenstein akzeptierte. Auf dem CyFun-Weg eine erhaltene oder laufende Verifizierung auf Stufe Basic oder Important oder eine mit einer akkreditierten Stelle unterzeichnete Vereinbarung. Auf dem ISO-Weg den Anwendungsbereich, die Erklärung zur Anwendbarkeit und den letzten Bericht über das interne Audit. Auf dem Inspektionsweg eine Selbstbewertung mit einem Antrag auf Inspektion. Das CCB warnte, dass es zu Verwaltungsmaßnahmen oder finanziellen Sanktionen führen kann, wenn Angaben nicht vollständig oder nicht rechtzeitig übermittelt werden.

Zwei weitere Regeln stammen aus dem Königlichen Erlass. Die Inspektion durch das CCB findet höchstens einmal im Jahr statt (KE Art. 10), und die Einrichtung zahlt 150 EUR pro Stunde, indexiert; Einrichtungen der öffentlichen Verwaltung sind in der Regel von der Gebühr befreit (KE Art. 20). Außerdem müssen alle wesentlichen und wichtigen Einrichtungen eine kontinuierliche Verbesserung nachweisen, unabhängig vom gewählten Weg (KE Art. 23 § 3).

Der Lohn ist Rechtssicherheit. Bei wesentlichen und wichtigen Einrichtungen, die sich einer regelmäßigen Konformitätsbewertung durch eine zugelassene Stelle unterziehen, wird bis zum Beweis des Gegenteils vermutet, dass sie ihre Pflichten nach Artikel 30 erfüllen (Art. 42).

Wichtige Einrichtungen unterliegen keiner vorgeschriebenen Bewertung. Sie können sich freiwillig einer Bewertung mit denselben Referenzrahmen unterziehen (Art. 41) und werden ansonsten nachträglich inspiziert, nach einem Sicherheitsvorfall oder bei Hinweisen auf Nichteinhaltung (Art. 48).

Welche CyberFundamentals-Stufe brauchen Sie?

CyberFundamentals ist der Rahmen des CCB. Er hat vier Stufen: Small für eine erste Bewertung durch Kleinstorganisationen; Basic; Important gegen gezielte Angriffe durch Akteure mit gängigen Fähigkeiten; und Essential gegen fortgeschrittene Angriffe durch Akteure mit umfangreichen Ressourcen. Basic und Important werden verifiziert, Essential wird zertifiziert. Der Königliche Erlass verlangt, dass der Rahmen mindestens drei Vertrauenswürdigkeitsstufen enthält: Basic, Important und Essential (KE Art. 4 § 2).

Wer Sie sind	Stufe	Grundlage
Wesentliche Einrichtung, CyFun-Weg	Verifizierung auf Stufe Basic oder Important bis 18. April 2026; Zertifizierung auf Stufe Essential bis 18. April 2027 oder eine Verifizierung auf niedrigerer Stufe, wenn die Risikoanalyse dies rechtfertigt, in der Verantwortung der Einrichtung	KE Art. 6, 7 und 22
Wichtige Einrichtung	Keine vorgeschriebene Stufe; freiwillige Bewertung möglich	Gesetz, Art. 41
Lieferant einer NIS2-Einrichtung, nicht im Anwendungsbereich	Mindestens Basic, auf Empfehlung des CCB	Leitlinien des CCB
Kleinstorganisation am Anfang	Small als erste Selbstbewertung	Leitlinien des CCB

Haben Sie bereits ein ISO/IEC-27001-Zertifikat mit geeignetem Anwendungsbereich, können Sie nach den Vorgaben des CCB ein CyFun-Label erhalten, indem Ihre Konformitätsbewertungsstelle den Anwendungsbereich des Zertifikats verifiziert. Wie Zertifikate und nationale Systeme allgemein mit NIS2 zusammenhängen, steht im Beitrag zu NIS2 und ISO-27001-Zertifizierung.

Wer beaufsichtigt Ihren Sektor?

Das CCB hat die Federführung bei der Aufsicht, betreibt den Inspektionsdienst, nimmt Meldungen von Sicherheitsvorfällen entgegen und wickelt die Registrierung ab. Der Königliche Erlass in seiner im Juni 2024 veröffentlichten Fassung benennt daneben Sektorbehörden (KE Art. 3 § 2). Die Minister können an einen hohen Beamten ihrer Verwaltung delegieren.

Sektor	Sektorbehörde
Energie	Föderalminister für Energie
Verkehr, ohne Schifffahrt	Föderalminister für Verkehr
Schifffahrt	Föderalminister für maritime Mobilität
Gesundheit: Forschung und Entwicklung von Arzneimitteln, pharmazeutische Grundstoffe, kritische Medizinprodukte	Föderalagentur für Arzneimittel und Gesundheitsprodukte (FAAG)
Gesundheit: andere Einrichtungen	Föderalminister für Volksgesundheit
Digitale Infrastruktur: nur Vertrauensdiensteanbieter	Föderalminister für Wirtschaft
Anbieter digitaler Dienste	Föderalminister für Wirtschaft
Weltraum und Forschung	Föderalminister für Wissenschaftspolitik
Herstellung von Medizinprodukten und In-vitro-Diagnostika	FAAG

Sektorbehörden können Einrichtungen ihres Sektors zu sektorspezifischen Maßnahmen inspizieren, und gemeinsame oder delegierte Inspektionen mit dem CCB sind möglich. Die Anlaufstelle für Sicherheitsvorfälle bleibt das CCB.

Welche NIS2-Geldbußen drohen in Belgien?

Die Verwaltungsmaßnahmen stehen in den Artikeln 58 und 60 des Gesetzes, die Verwaltungsgeldbußen in Artikel 59. Bei einem Wiederholungsfall wegen derselben Tatsachen innerhalb von drei Jahren verdoppeln sie sich:

Verstoß	Verwaltungsgeldbuße (Art. 59)
Informationspflichten nach Art. 12	500 bis 125.000 EUR
Nachteilige Folgen für eine Person, die für die Einrichtung handelt und die Pflichten aus dem Gesetz in gutem Glauben erfüllt hat	500 bis 200.000 EUR
Pflichten gegenüber der Aufsicht	500 bis 200.000 EUR
Wichtige Einrichtungen: Pflichten zu Risikomanagement oder Meldung von Sicherheitsvorfällen	500 bis 7.000.000 EUR oder 1,4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Wesentliche Einrichtungen: Pflichten zu Risikomanagement oder Meldung von Sicherheitsvorfällen	500 bis 10.000.000 EUR oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Die beiden höchsten Obergrenzen entsprechen den Mindestwerten, die die Richtlinie verlangt (Art. 34). Neben Geldbußen kann das CCB Verwarnungen oder verbindliche Anweisungen erteilen, eine Einrichtung anweisen, einen Verstoß zu beenden oder die Vorschriften einzuhalten, und sie anweisen, Betroffene zu informieren oder den Verstoß öffentlich bekannt zu machen. Drei Maßnahmen sind wesentlichen Einrichtungen vorbehalten: die Benennung eines Überwachungsbeauftragten sowie, wenn die Einrichtung nicht rechtzeitig handelt, die vorübergehende Aussetzung einer Zertifizierung oder Genehmigung und ein vorübergehendes Verbot der Ausübung von Leitungsaufgaben, die beide beantragt werden können (Art. 60). Die Maßnahmen und Geldbußen der Artikel 59 und 60 gelten nicht für Einrichtungen der öffentlichen Verwaltung (Art. 62). Das Bild auf EU-Ebene zeigt der Beitrag zu NIS2-Geldbußen.

Was das belgische Modell offenlässt

Das Gesetz und der Königliche Erlass legen Wege und Termine fest. Sie sagen nicht, was ein Prüfer oder Inspektor als Nachweis akzeptiert, und genau dort liegt die Arbeit.

Der Anwendungsbereich ist die erste Falle. In der Praxis decken viele ISO/IEC-27001-Zertifikate ein Produkt, einen Standort oder einen Dienst ab. Der Königliche Erlass verlangt, dass der gewählte Rahmen alle Netz- und Informationssysteme der Einrichtung abdeckt. Für eine wesentliche Einrichtung mit einem engen Zertifikat ist das Projekt für 2027 oft eine Erweiterung des Anwendungsbereichs, kein neuer Rahmen.

Die Risikoanalyse wiegt schwerer, als es scheint. Sie bestimmt die CyFun-Stufe und geht mit der Bescheinigung an das CCB. Eine Entscheidung, unterhalb von Essential zu bleiben, stützt sich auf sie und liegt allein bei der Einrichtung. Ein generisches, aus einer Vorlage kopiertes Register trägt diese Entscheidung bei einer Inspektion nicht.

Kontinuierliche Verbesserung braucht einen Trend. Wer Jahr für Jahr Verbesserung zeigen will, muss über die Zeit dieselben Dinge messen: MFA-Abdeckung, Patch-Zeiten, Wiederherstellungstests, offene Befunde. Eine einmalige Momentaufnahme aus einem Audit zeigt keine Richtung.

Registrierungsdaten veralten unbemerkt. IP-Adressbereiche ändern sich mit jeder Cloud-Migration, und Ansprechpartner gehen. Das Gesetz lässt zwei Wochen, um eine Änderung zu melden; sinnvoll ist es daher, den Registrierungsnachweis mit Ihrem Asset-Inventar zu verknüpfen.

Diese Lücken zu schließen ist vor allem eine Frage der Nachweise. Die Nachweise liegen in Identitätsanbietern, Endpoint-Tools, Cloud-Konten und Ticketsystemen. Einmal im Jahr von Hand gesammelt, sind sie schon bei Ankunft veraltet. CloudSoul ist eine automatisierte Plattform mit Human-in-the-Loop-Expertise: Die Plattform erhebt Nachweise zu den Controls laufend aus diesen Systemen, und ein Mensch prüft die Ausnahmen. Das Gesamtprogramm finden Sie auf der NIS2-Compliance-Seite.

Checkliste NIS2 Belgien

• Bestätigen Sie Ihren Anwendungsbereich und Ihre Einrichtungsart anhand der Anhänge I und II und des Größentests, einschließlich Partnerunternehmen und verbundener Unternehmen.
• Prüfen Sie, ob Ihre Registrierung auf Safeonweb@work, Ihre Kontakte und IP-Adressbereiche aktuell sind, und melden Sie Änderungen binnen zwei Wochen.
• Dokumentieren Sie die Billigung der Maßnahmen durch das Leitungsorgan und die Schulung seiner Mitglieder.
• Ordnen Sie Ihre Controls den elf Maßnahmen von Artikel 30 § 3 zu, einschließlich einer veröffentlichten Leitlinie zur Offenlegung von Schwachstellen.
• Testen Sie den Weg zum Meldeformular des CCB gegen die 24-Stunden- und die 72-Stunden-Frist.
• Wesentliche Einrichtungen: Bestätigen Sie Ihren Weg, prüfen Sie, ob der Anwendungsbereich Ihres Rahmens alle Netz- und Informationssysteme abdeckt, und planen Sie die Zertifizierung vor dem 18. April 2027.
• Wichtige Einrichtungen: Entscheiden Sie, ob sich eine freiwillige CyberFundamentals-Bewertung für Ihre Kunden lohnt.
• Überprüfen Sie die Risikoanalyse mindestens jährlich; sie bestimmt Ihre CyberFundamentals-Stufe.

Quellen

• Gesetz vom 26. April 2024 zur Festlegung eines Rahmens für die Cybersicherheit von Netz- und Informationssystemen von allgemeinem Interesse für die öffentliche Sicherheit, Belgisches Staatsblatt vom 17. Mai 2024, S. 63179, NUMAC 2024202344, konsolidierte Fassung mit den Änderungen durch das Gesetz vom 19. Dezember 2025 auf Justel (Art. 3, 11 bis 15, 30, 31, 34, 35, 39 bis 42, 58 bis 62, 97 und 98); Überblick auf der NIS2-Seite des CCB.
• Königlicher Erlass vom 9. Juni 2024 zur Ausführung des Gesetzes vom 26. April 2024, Belgisches Staatsblatt vom 24. Juni 2024, NUMAC 2024005260, etaamb-Spiegel des Belgischen Staatsblatts.
• Zentrum für Cybersicherheit Belgien, NIS2: Anwendungsbereich, Pflichten sowie Aufsicht und Sanktionen.
• Zentrum für Cybersicherheit Belgien, „NIS2: 18 April 2026 deadline, what essential entities must have in place“, aktualisiert am 16. April 2026, CCB.
• Safeonweb@work, Das NIS2-Gesetz und La loi NIS2 (Geldbußen, Registrierung, Konformitätsbewertung) sowie CyberFundamentals Framework.
• Zentrum für Cybersicherheit Belgien, Sicherheitsvorfall melden.
• Europäische Kommission, NIS2-Richtlinie: Belgien.
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23, 27 und 32 bis 34, EUR-Lex.
• Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, EUR-Lex.

Häufige Fragen