NIS2 en je website: wat moet een Belgische kmo van zijn host vragen?

27.1Wat is NIS2?

NIS2 is de Europese richtlijn (EU) 2022/2555 van 14 december 2022 over cyberbeveiliging van netwerk- en informatiesystemen (EUR-Lex). België zette die richtlijn om in de wet van 26 april 2024, de “NIS2-wet”, gepubliceerd in het Belgisch Staatsblad op 17 mei 2024 en in werking sinds 18 oktober 2024 (Justel). Het koninklijk besluit van 9 juni 2024 werkt de wet uit en wijst het CCB aan als nationale cyberbeveiligingsautoriteit.

De NIS2-wet verplicht organisaties in kritieke sectoren tot drie dingen: zich registreren bij het CCB, beveiligingsmaatregelen nemen en ernstige incidenten melden. Het woord “webhosting” staat niet in de wet. Wel staan er diensten in die een host levert, zoals DNS, cloud en datacenters. Daarover gaat het verderop.

Dit artikel is een praktische uitleg, geen juridisch advies. Alleen de teksten in het Belgisch Staatsblad zijn bindend.

27.2Valt jouw kmo onder NIS2?

De Belgische NIS2-wet geldt in principe voor een organisatie die aan drie voorwaarden voldoet, zegt het CCB op Safeonweb@Work:

1. Een dienst uit bijlage I of II van de wet. Bijlage I zijn de zeer kritieke sectoren: energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheid, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstenbeheer (B2B), overheid en ruimtevaart. Bijlage II zijn andere kritieke sectoren: post- en koeriersdiensten, afvalbeheer, chemicaliën, voeding, maakindustrie (onder meer medische hulpmiddelen, elektronica, machines en voertuigen), digitale aanbieders en onderzoek.
2. Minstens een middelgrote onderneming. Dat betekent minstens 50 voltijdse werknemers, of een jaaromzet én een balanstotaal van meer dan € 10 miljoen, volgens de Europese kmo-definitie (Aanbeveling 2003/361/EG). Bij een groep tellen partner- en verbonden ondernemingen mee.
3. Gevestigd in België.

Een kmo met minder dan 50 werknemers en maximaal € 10 miljoen omzet valt dus meestal niet zelf onder de NIS2-wet, ook niet als ze in een sector uit de bijlagen werkt. Er zijn uitzonderingen. Het CCB biedt een NIS2 Scope Test Tool en een Definition Matrix om de diensten van je bedrijf naast de definities van de wet te leggen.

27.3Welke kleine bedrijven vallen er toch onder?

Sommige organisaties vallen onder de NIS2-wet ongeacht hun grootte. Artikel 3 van de wet en het CCB noemen:

• DNS-dienstverleners (essentieel);
• registers voor topleveldomeinnamen, zoals DNS Belgium voor .be (essentieel);
• wie domeinnamen registreert voor klanten, zoals een registrar of reseller (alleen de registratieplicht);
• gekwalificeerde en niet-gekwalificeerde verleners van vertrouwensdiensten;
• aanbieders van openbare elektronische-communicatienetwerken of -diensten;
• entiteiten die als kritieke entiteit zijn aangeduid, en federale overheidsdiensten.

Daarnaast kan het CCB een kleine organisatie zelf aanduiden als essentiële of belangrijke entiteit, bijvoorbeeld als ze in België de enige aanbieder van een essentiële dienst is of als een storing grote gevolgen kan hebben voor de openbare veiligheid of de volksgezondheid (artikel 11).

27.4Essentiële of belangrijke entiteit: wat is het verschil?

Het verschil tussen een essentiële en een belangrijke entiteit zit vooral in het toezicht en de boetes. Een essentiële entiteit is volgens artikel 9 onder meer een organisatie uit bijlage I die groter is dan een middelgrote onderneming, dus minstens 250 werknemers of meer dan € 50 miljoen omzet en € 43 miljoen balanstotaal. DNS-dienstverleners en topleveldomeinregisters zijn altijd essentieel. Alle andere organisaties uit bijlage I of II die onder de wet vallen, zijn belangrijke entiteiten (artikel 10).

Essentiële entiteiten krijgen toezicht vooraf en achteraf en moeten een regelmatige conformiteitsbeoordeling ondergaan. Belangrijke entiteiten krijgen in principe alleen toezicht achteraf, bijvoorbeeld na een incident. De verplichtingen zelf (maatregelen, melden, registreren) gelden voor beide.

27.5Registratie bij het CCB: tot wanneer?

De registratie bij het CCB gebeurt met een online formulier op Safeonweb@Work. De wet gaf twee termijnen, gerekend vanaf 18 oktober 2024:

• 18 december 2024 voor digitale diensten uit artikel 14: DNS-dienstverleners, topleveldomeinregisters, registrars, cloudcomputingdiensten, datacentrumdiensten, netwerken voor levering van inhoud (CDN), beheerde diensten, beheerde beveiligingsdiensten, onlinemarktplaatsen, zoekmachines en sociale netwerken;
• 18 maart 2025 voor alle andere essentiële en belangrijke entiteiten.

Bij de registratie geef je onder meer je KBO-nummer, contactgegevens, IP-bereiken en sector door. Een wijziging meld je binnen twee weken (artikel 13). Beide termijnen liggen achter ons. Merk je nu pas dat je organisatie onder de wet valt, dan is registreren nog altijd de eerste stap. Vraag bij twijfel het CCB of een jurist hoe je dat laattijdig regelt.

27.6Wat moet een NIS2-entiteit doen?

Een NIS2-entiteit moet passende technische, operationele en organisatorische maatregelen nemen tegen cyberrisico’s. Artikel 30 van de wet noemt minstens elf onderwerpen:

1. beleid voor risicoanalyse en beveiliging van informatiesystemen;
2. incidentenbehandeling;
3. bedrijfscontinuïteit, zoals back-upbeheer, noodplannen en crisisbeheer;
4. beveiliging van de toeleveringsketen, met de relaties met rechtstreekse leveranciers en dienstverleners;
5. beveiliging bij aankoop, ontwikkeling en onderhoud van systemen, met de aanpak van kwetsbaarheden;
6. beoordelen of de maatregelen werken;
7. cyberhygiëne en opleiding;
8. cryptografie en, waar nodig, encryptie;
9. personeelsbeveiliging, toegangsbeleid en beheer van middelen;
10. waar gepast, multifactorauthenticatie en beveiligde communicatie;
11. een beleid voor gecoördineerde bekendmaking van kwetsbaarheden.

Het bestuur van een NIS2-entiteit keurt die maatregelen goed, houdt er toezicht op, volgt een opleiding en is aansprakelijk als het misloopt, zegt het CCB. Voor onder meer DNS-, cloud-, datacenter- en CDN-aanbieders en aanbieders van beheerde diensten werkt de Europese uitvoeringsverordening 2024/2690 de elf maatregelen technisch uit.

27.7Incident melden: 24 uur, 72 uur, 1 maand

Een NIS2-entiteit meldt elk significant incident aan het nationale CSIRT, het CCB, in stappen (artikel 35):

• binnen 24 uur nadat ze het incident kent: een vroegtijdige waarschuwing;
• binnen 72 uur: een incidentmelding met een eerste beoordeling van ernst en gevolgen (24 uur voor verleners van vertrouwensdiensten);
• op vraag van het CCB: een tussentijds verslag;
• uiterlijk één maand na de incidentmelding: een eindverslag, of een voortgangsverslag als het incident nog loopt.

Een incident is significant als het een ernstige verstoring of financieel verlies kan veroorzaken, of anderen aanzienlijke schade kan berokkenen. Volgens het CCB licht een entiteit, in voorkomend geval, ook haar eigen klanten in over significante incidenten die hun dienst kunnen raken. Voor een website betekent dat concreet: als je host een NIS2-entiteit is, kan je host jou moeten verwittigen.

27.8CyberFundamentals of ISO 27001: de deadlines van 2026 en 2027

Het CCB raadt elke NIS2-entiteit het CyberFundamentals Framework (CyFun) aan, het eigen referentiekader van het CCB met de niveaus Basic, Important en Essential. Essentiële entiteiten kiezen voor hun verplichte beoordeling tussen CyFun en de norm ISO/IEC 27001 (artikel 5 van het koninklijk besluit van 9 juni 2024), via een erkende conformiteitsbeoordelingsinstantie of via een inspectie door het CCB (artikel 39 van de wet).

De deadlines voor essentiële entiteiten, uit artikel 22 en 23 van dat besluit en de tijdlijn van het CCB:

• 18 april 2026 (18 maanden): een CyFun-verificatie op niveau Basic of Important door een erkende conformiteitsbeoordelingsinstantie, of bij ISO 27001 het toepassingsgebied, de toepasselijkheidsverklaring (statement of applicability) en de laatste interne audit bezorgen aan het CCB;
• 18 april 2027 (30 maanden): een CyFun-certificering Essential, een verificatie Important voor wie eerst op Basic stond, of een ISO 27001-certificering door een erkende instantie.

Wie voor een inspectie door het CCB kiest, bezorgt tegen 18 april 2026 een zelfbeoordeling of de ISO 27001-documenten, en tegen 18 april 2027 een stand van zaken.

Een essentiële entiteit met zo’n attest wordt vermoed haar verplichtingen na te komen, tot het tegendeel bewezen is (artikel 42 van de wet). Belangrijke entiteiten mogen dezelfde beoordeling vrijwillig laten doen.

27.9Boetes onder de Belgische NIS2-wet

De boetes onder de NIS2-wet hangen af van het soort entiteit. Een essentiële entiteit die de maatregelen of meldplicht niet naleeft, riskeert € 500 tot € 10.000.000 of 2% van de wereldwijde jaaromzet van de onderneming, het hoogste van de twee. Voor een belangrijke entiteit is dat € 500 tot € 7.000.000 of 1,4%. Bij herhaling binnen 3 jaar verdubbelt de boete, zegt het CCB. Daarnaast kan het CCB waarschuwingen, bindende instructies en voor essentiële entiteiten een tijdelijk verbod op leidinggevende functies opleggen.

27.10Niet onder NIS2, maar je klanten wel?

Een kmo die zelf niet onder de NIS2-wet valt, kan er toch mee te maken krijgen als leverancier. NIS2-entiteiten moeten hun toeleveringsketen beveiligen en houden daarbij rekening met de kwetsbaarheden en beveiligingspraktijken van elke rechtstreekse leverancier (artikel 30, § 4). Een klant in de zorg, de energie of het vervoer kan je dus contractueel beveiligingseisen opleggen.

Het CCB raadt organisaties die in de toeleveringsketen van een NIS2-entiteit zitten aan om minstens CyFun Basic te halen. Een NIS2-entiteit kan volgens het CCB een bepaald CyFun-niveau opleggen aan haar rechtstreekse leveranciers. Draait jouw website of webshop een deel van die dienst, bijvoorbeeld een klantenportaal of bestelformulier, dan valt je hosting onder die vragen.

27.11Valt je webhost onder NIS2?

Een Belgische webhost valt onder de NIS2-wet als hij een dienst levert die in de wet staat. De wet zegt nergens “webhosting”, maar noemt in bijlage I onder digitale infrastructuur onder meer:

• DNS-dienstverleners: wie gezaghebbende DNS voor domeinen van derden draait. Ongeacht grootte en altijd essentieel. Veel hosts beheren de DNS van de domeinen van hun klanten. DNS Belgium zegt het ook zo: een registrar die recursieve of gezaghebbende naamservers aanbiedt, valt onder alle bepalingen van de wet (DNS Belgium).
• Registrars en resellers van domeinnamen: ongeacht grootte, maar alleen voor de registratieplicht. DNS Belgium noemt daarnaast plichten rond de contactgegevens van domeinhouders.
• Aanbieders van cloudcomputingdiensten en datacentrumdiensten: alleen vanaf middelgrote onderneming. Of klassieke shared hosting een “cloudcomputingdienst” is, hangt af van de definitie: schaalbare, elastische, deelbare rekencapaciteit die je op aanvraag beheert (artikel 8, 29°).
• Aanbieders van beheerde diensten (bijlage I, ICT-dienstenbeheer): wie ICT-systemen van klanten installeert, beheert of onderhoudt. Ook hier geldt de grootte.

Voor die digitale diensten telt de hoofdvestiging. Een host valt onder de Belgische wet als hij zijn beslissingen over cyberbeveiliging hoofdzakelijk in België neemt (artikel 4). Een host met hoofdvestiging in Nederland of Litouwen valt in principe onder de NIS2-wet van dat land; de richtlijn geldt in de hele EU.

27.12Wat vraag je aan je webhost?

Deze vragen helpen een kmo om de beveiliging van zijn hosting op papier te krijgen, of je nu zelf onder NIS2 valt of een NIS2-klant hebt:

1. Valt jullie bedrijf onder NIS2, en als welk soort entiteit? Essentieel of belangrijk, en in welk land.
2. Welke certificering hebben jullie, en wat is het toepassingsgebied? Vraag het ISO 27001-certificaat zelf, met de naam van de certificerende instantie en de vervaldatum. Een certificaat dekt soms alleen een datacenter of één bedrijfsonderdeel, niet de hostingdienst die jij koopt.
3. Hoe en wanneer verwittigen jullie mij bij een incident? Kanaal, termijn en wie je contacteert.
4. Waar staan mijn site, mijn databases en mijn back-ups? Land en, als het kan, datacenter. Een NIS2-klant kan in een contract vragen dat je data in de EU blijft.
5. Hoe vaak maken jullie back-ups, hoe lang bewaren jullie ze, en op een andere locatie? En kan je zelf een back-up terugzetten zonder ticket?
6. Ondersteunt het controlepaneel multifactorauthenticatie (MFA), ook voor DNS en domeinbeheer? Een overgenomen hostingaccount geeft toegang tot je site, je mail en je domein.
7. Wie bij jullie heeft toegang tot mijn data, en wordt die toegang gelogd?
8. Hoe krijg ik mijn data en mijn domein mee als ik vertrek? Een exitregeling hoort bij continuïteit.

Leg de antwoorden schriftelijk vast. Een NIS2-klant die jou als leverancier beoordeelt, vraagt vaak dezelfde dingen.

27.13Welke hosts tonen ISO 27001 op hun eigen site?

Vier hosts uit onze vergelijking vermelden op 28 oktober 2026 een ISO 27001-certificering op hun eigen website:

• Combell zegt het ISO 27001-certificaat in 2011 te hebben behaald, als eerste Belgische host, naast ISO 9001 en ISO 27701 (combell.com).
• TransIP toont ISO 27001:2022, NEN 7510:2017 en ISO 9001:2015, met een link naar elk certificaat (transip.be).
• Versio schrijft op de over-onspagina dat het ISO 27001-gecertificeerd is (versio.nl).
• Hostinger schrijft op de Belgische homepage dat het ISO/IEC 27001:2022-gecertificeerd is (hostinger.com).

Vimexx vermeldt dat het datacenter van BIT in Ede, waar zijn servers staan, ISO/IEC 27001-gecertificeerd is (vimexx.be). Dat is een certificaat van het datacenter, niet van Vimexx zelf. Op de over-onspagina’s van Cloud86 en Easyhost vonden we geen ISO 27001-vermelding. Dat zegt niet dat ze geen certificaat hebben, alleen dat het daar niet staat.

Een ISO 27001-certificaat zegt dat een host een beheerssysteem voor informatiebeveiliging heeft dat een auditor heeft goedgekeurd, voor een bepaald toepassingsgebied. Het zegt niets over de beveiliging van jouw WordPress-site, je plugins of je wachtwoorden. Hoe je de rest van een host beoordeelt, lees je in onze Combell review en de webhosting reviews.

27.14Wanneer heb je meer nodig dan dit artikel?

Dit artikel volstaat om te weten welke vragen je stelt. Het volstaat niet als je bedrijf in een sector uit bijlage I of II zit en rond de grens van 50 werknemers of € 10 miljoen omzet schommelt, als je deel uitmaakt van een groep, of als een klant een NIS2-clausule in je contract wil. Doe dan de scopetest van het CCB op Safeonweb@Work en vraag een jurist of cyberbeveiligingsadviseur om mee te kijken.

Ook de plaats van je data speelt mee, los van NIS2. Daar komt een apart artikel over: GDPR, de CLOUD Act en hosting in de EU.

Bronnen (nagekeken op 28 oktober 2026): de wet van 26 april 2024 en het koninklijk besluit van 9 juni 2024 op Justel; de NIS2-pagina van het CCB op Safeonweb@Work; de cijfers 2025 op ccb.belgium.be; richtlijn (EU) 2022/2555 op EUR-Lex; DNS Belgium over NIS2 voor registrars. Dit is geen juridisch advies.