Inzichten
Veel organisaties die onder NIS2 vallen, weten niet hoe ze hun CyFun-zekerheidsniveau moeten bepalen. Ze gaan ervan uit dat het niveau gewoon vastligt met hun kwalificatie: een essentiële entiteit werkt op zekerheidsniveau essentieel, een belangrijke entiteit op zekerheidsniveau belangrijk. Die veronderstelling voelt veilig. Ze is vaak ook duurder dan nodig.
De kwalificatie volgt uit de wet en hangt af van uw sector, uw omvang en soms een aanwijzing door de bevoegde overheid. Ze bepaalt welke verplichtingen voor u gelden en hoe het toezicht verloopt. Het zekerheidsniveau, in de praktijk ook uw CyFun-niveau genoemd, beantwoordt een andere vraag: hoeveel zekerheid moeten uw beveiligingsmaatregelen bieden, gelet op de risico’s waaraan u werkelijk blootstaat?
Het CCB laat een entiteit toe om op een lager CyFun-niveau te werken dan het niveau dat bij haar kwalificatie hoort, bijvoorbeeld een essentiële entiteit op zekerheidsniveau belangrijk. Voorwaarde is dat ze die keuze objectief kan verantwoorden op basis van haar risicoanalyse. De kwalificatie zelf verandert niet, en de verplichtingen die erbij horen evenmin.
Bron: CCB, Veelgestelde vragen (FAQ) NIS2 in België, v2.1.4 (oktober 2026), vragen 4.11 en 4.12
De kwalificatie is dus het vertrekpunt. Een gedocumenteerde risicoanalyse kan vervolgens aantonen dat een lager zekerheidsniveau passend is, omdat ze vaststelt waaraan de organisatie werkelijk blootstaat. De niveaus bouwen op elkaar voort: elk niveau bevat alles van het niveau eronder en voegt er iets aan toe.
Onlangs zag ik hoe een overheidsinstantie met de kwalificatie essentiële entiteit de risicoanalyse uitwerkte voor elk van de NIS2-sectoren waarin ze actief is. Ze legde de redenering vast en besliste dat zekerheidsniveau belangrijk volstond. Een aparte rechtspersoon die verbonden is met dezelfde overheidsinstantie ging nog verder: uit haar analyse bleek dat zekerheidsniveau basis voldoende was.
Dat bespaart heel wat tijd en middelen. Zekerheidsniveau basis omvat 34 eisen, belangrijk 133 en essentieel 218 (CyFun 2025). Een lager niveau betekent minder CyFun-eisen, en dus minder implementatie, documentatie, toetsing en onderhoud. Bij een overheidsinstantie telt dat dubbel, want uiteindelijk betaalt de burger.
Er is nog een tweede besparing. Alleen essentiële entiteiten zijn verplicht tot een regelmatige conformiteitsbeoordeling. Belangrijke entiteiten vallen onder toezicht achteraf (ex post) en kunnen zich vrijwillig laten beoordelen. Kiest een essentiële entiteit de CyFun-route, dan leidt alleen zekerheidsniveau essentieel tot een certificatie. Op basis of belangrijk laat ze haar maatregelen verifiëren door een conformiteitsbeoordelingsinstantie die door BELAC geaccrediteerd en door het CCB gemachtigd is. Ook een verificatie vraagt voorbereiding en bewijsvoering, maar ze is minder omvangrijk dan een certificatie op zekerheidsniveau essentieel.
De bescherming wordt daardoor niet zwakker dan de risico’s vragen. Wat overblijft, zijn precies de maatregelen die de risico’s nodig hebben om correct onder controle te krijgen. Ze brengen het risico terug tot een voldoende veilig niveau. Vraagt een specifiek risico een bijkomende maatregel, dan wordt ook die genomen. Maatregelen moeten in verhouding staan tot het risico dat ze afdekken.
Een bedrijf bevindt zich in exact dezelfde positie. Het geld komt dan van het bedrijf zelf en niet van de belastingbetaler, maar de redenering blijft dezelfde. Maatregelen waar de risico’s niet om vragen, kosten tijd en budget die u elders had kunnen inzetten.
De analyse toont welk niveau nodig is. Wat de organisatie met die uitkomst doet, is een beslissing, en die ligt bij het bestuur. Het bestuur kan het lagere niveau aanvaarden dat de analyse onderbouwt, of het niveau aanhouden dat standaard bij de kwalificatie past.
Het hogere niveau aanhouden mag, en het kan aanvoelen als de voorzichtige keuze. Maar als de analyse correct is uitgevoerd en de onderbouwing correct is, dan geeft u meer uit dan nodig om de risico’s correct af te dekken. Ook dat is een beslissing, en die neemt u best bewust, niet stilzwijgend.
Onder NIS2 is het bestuursorgaan, in de meeste organisaties de raad van bestuur, wettelijk verplicht om de maatregelen voor het beheer van cyberbeveiligingsrisico’s goed te keuren en op de uitvoering ervan toe te zien. Het zekerheidsniveau legt de basis voor die maatregelen, aangevuld waar de risicoanalyse meer vraagt. Leg de keuze van het niveau daarom aan het bestuur voor, samen met de analyse die ze onderbouwt.
Het CCB keurt de keuze niet vooraf goed. U moet de verantwoording intern documenteren, en de inspectiedienst kan ze op elk moment in vraag stellen. Dat is geen reden om een lager niveau te vermijden maar exact de reden om de analyse correct uit te voeren.
Een degelijk uitgevoerde en gedocumenteerde risicoanalyse is de basis voor een keuze die u kunt verdedigen. Kan een deskundige ze zonder veel moeite onderuithalen, dan is het huiswerk niet goed genoeg gemaakt. De analyse moet steunen op feiten en cijfers, niet op de indruk dat de gevolgen wellicht beperkt zullen blijven.
Een analyse die zo is uitgevoerd, doet meer dan de werklast verlagen. Gebeurt er ooit iets, dan ligt er een duidelijke en uitgewerkte verantwoording klaar die toont waarom de beslissing zo genomen werd.
Valt uw organisatie onder NIS2, stel dan deze week twee vragen. Ligt er onder ons zekerheidsniveau een risicoanalyse die een buitenstaander kan narekenen? En heeft het bestuur de keuze en de analyse formeel behandeld?
Is het antwoord op de eerste vraag nee, dan is het niveau waarop u werkt een veronderstelling en geen beslissing. Is het antwoord op de tweede nee, dan draagt het bestuur een keuze die het nooit gemaakt heeft, terwijl de wet het verantwoordelijk maakt voor de goedkeuring van de maatregelen die eruit volgen. Dat rechtzetten vraagt een bewuste beslissing en een degelijke onderbouwing. De beslissing in de notulen opnemen is geen wettelijke verplichting, maar wel goede praktijk. Zo kan u de toezichthouder een verantwoorde en gedocumenteerde keuze voorleggen indien er zich ooit iets voordoet.
Uw zekerheidsniveau volgt niet vanzelf uit uw kwalificatie: het is een weloverwogen beslissing die u perfect kunt uitleggen mocht de toezichthouder ze in vraag stellen. Bovendien kan ze u een flinke besparing opleveren, zonder dat de bescherming zwakker wordt dan uw risico’s vragen.