De bestuursorganen of leidinggevenden van essentiële en belangrijke entiteiten moeten de maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren, toezien op de uitvoering ervan en kunnen aansprakelijk worden gesteld voor eventuele inbreuken.

Om ervoor te zorgen dat ze begrijpen welke maatregelen ze goedkeuren, moeten de leden van de bestuursorganen van essentiële en belangrijke entiteiten een cyberbeveiligingsopleiding volgen en hun werknemers regelmatig een soortgelijke opleiding aanbieden. Managers moeten voldoende kennis en vaardigheden verwerven om risico’s te identificeren voor hun organisatie en om de cyberveiligheidsmaatregelen en de gevolgen ervan voor hun organisatie te kunnen beoordelen.

Voor alle details over al deze punten, zie artikelen 20-25 van de richtlijn.

Rapportageverplichtingen en verplichtingen inzake het melden van incidenten

Essentiële en belangrijke entiteiten moeten elk belangrijk incident onverwijld melden bij de bevoegde nationale autoriteiten (onder meer het nationaal CSIRT – in België het CCB).

Meer info: De NIS2-richtlijn : wat betekent dit voor mijn organisatie? | Centrum voor Cybersecurity België (belgium.be)

Eventuele sancties

Inbreuken op het gebied van risicobeheersmaatregelen of incidentmeldingen kunnen worden bestraft:

• voor essentiële entiteiten: met administratieve geldboeten tot maximum 10 000 000 euro of ten minste 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de essentiële entiteit behoort, afhankelijk van welk bedrag hoger is.
• voor belangrijke entiteiten: met administratieve geldboeten tot maximum 7 000 000 euro of ten minste 1,4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de belangrijke entiteit behoort, afhankelijk van welk bedrag hoger is.

Voor alle details over sancties, zie artikelen 31-37 van de richtlijn.

Essentiële entiteiten moeten het zekerheidsniveau basic of important behalen voor 18/04/2026, het eindniveau moet gecertificeerd zijn voor 18/04/2027.

Essentiële entiteiten moeten hun implementatie regelmatig laten nazien en beoordelen door een derde partij en heeft hiervoor drie opties:

• ofwel een CyberFundamentals (CyFun®)-certificering, toegekend door een door het CCB erkende conformiteitsbeoordelingsinstantie (na accreditatie door BELAC);
• ofwel een ISO/IEC 27001-certificatie, toegekend door een geaccrediteerde  conformiteitsbeoordelingsinstantie (CAB). Deze accreditatie kan afgeleverd worden door een accreditatieinstelling die de MLA ondertekend heeft waar ISO27001 onder valt in het kader van de European co-operation for Accreditation (EA) of IAF (International Accreditation Forum).
• ofwel een inspectie door de inspectiedienst van het CCB (of door een sectorale inspectiedienst).

Belangrijke entiteiten kunnen zich onderwerpen aan dezelfde regelmatige conformiteitsbeoordeling onder CyFun®, die hen een vermoeden van conformiteit geeft.