Vergelijking NL / FR

Artikel 1. Dit besluit voorziet in de omzetting van de Europese richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148.

Art. 2. Voor de toepassing van dit besluit zijn de definities bedoeld in artikel 8 van de wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid van toepassing.
  Voor de toepassing van dit besluit, moet worden verstaan onder:
  1° "NIS2-wet" : de wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid;
  2° "conformiteitsbeoordeling": de beoordeling bedoeld in artikel 2, punt 12 van Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad van 9 juli 2008 tot vaststelling van de eisen inzake accreditatie en markttoezicht betreffende het verhandelen van producten en tot intrekking van Verordening (EEG) nr. 339/93;
  3° "conformiteitsattest": afgifte van een bevestiging van conformiteit gebaseerd op een beslissing die de naleving van de gespecifieerde eisen aantoont. Het document kan het resultaat bevatten van een verificatie of certificering;
  4° "verificatie": bevestiging van een verklaring door middel van objectieve bewijzen, dat aan de gespecifieerde einsen is voldaan;
  5° "verklaring": door de entiteit verklaarde informatie.

Art. 3. § 1. Het Centrum voor Cybersecurity België, opgericht bij het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België, wordt aangewezen als nationale cyberbeveiligingsautoriteit.
  § 2. De volgende autoriteiten worden aangewezen als sectorale overheden:
  1° voor de sector energie: de federale minister bevoegd voor Energie of, bij delegatie door deze laatste, een leidend personeelslid van zijn/haar administratie (in voorkomend geval kan de minister per deelsector een andere gemachtigde aanwijzen);
  2° voor de sector vervoer:
  - wat betreft de sector vervoer, met uitzondering van het vervoer over water: de federale minister bevoegd voor Vervoer of, bij delegatie door deze laatste, een leidend personeelslid van zijn/haar administratie (in voorkomend geval kan de minister per deelsector een andere gemachtigde aanwijzen);
  - wat betreft het vervoer over water: de federale minister bevoegd voor Maritieme Mobiliteit of, bij delegatie door deze laatste, een leidend personeelslid van zijn/haar administratie (in voorkomend geval kan de minister per deelsector een andere gemachtigde aanwijzen);
  3° voor de sector gezondheidszorg:
  - wat betreft entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen zoals gedefinieerd in artikel 1, punt 2, van Richtlijn 2001/83/EG van het Europees Parlement en de Raad van 6 november 2001 tot vaststelling van een communautair wetboek betreffende geneesmiddelen voor menselijk gebruik; entiteiten die farmaceutische basisproducten en farmaceutische bereidingen vervaardigen als bedoeld in bijlage I, sectie C, afdeling 21, van Verordening (EG) nr. 1893/2006 van het Europees Parlement en de Raad van 20 december 2006 tot vaststelling van de statistische classificatie van economische activiteiten NACE Rev. 2 en tot wijziging van Verordening (EEG) nr. 3037/90 en enkele EG-verordeningen op specifieke statistische gebieden; en entiteiten die medische hulpmiddelen vervaardigen die in het kader van de noodsituatie op het gebied van de volksgezondheid als kritiek worden beschouwd ("de lijst van in een noodsituatie op het gebied van de volksgezondheid kritieke hulpmiddelen") in de zin van artikel 22 van Verordening (EU) 2022/123 van het Europees Parlement en de Raad van 25 januari 2022 betreffende een grotere rol van het Europees Geneesmiddelenbureau inzake crisisparaatheid en -beheersing op het gebied van geneesmiddelen en medische hulpmiddelen: het Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten opgericht door de wet van 20 juli 2006 betreffende de oprichting en de werking van het federaal Agentschap voor geneesmiddelen en gezondheidsproducten;
  - wat betreft de andere soorten entiteiten van de sector gezondheidszorg: de federale minister bevoegd voor Volksgezondheid of, bij delegatie door deze laatste, een leidend personeelslid van zijn/haar administratie;
  4° voor de sector digitale infrastructuur, alleen voor wat betreft de verleners van vertrouwensdiensten: de federale minister bevoegd voor Economie of, bij delegatie door deze laatste, een leidend personeelslid van zijn/haar administratie;
  5° voor de sector digitale aanbieders: de federale minister bevoegd voor Economie of, bij delegatie door deze laatste, een leidend personeelslid van zijn/haar administratie;
  6° voor de sector ruimtevaart en de sector onderzoek: de federale minister van Wetenschapsbeleid of bij delegatie door deze laatste, een leidend personeelslid van zijn/haar administratie;
  7° voor de deelsector vervaardiging van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek, van de sector vervaardiging: het Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten.
  [1 § 3. De federale minister bevoegd voor Energie of, bij delegatie van deze laatste, een leidend personeelslid van zijn/haar administratie (waarbij de minister in voorkomend geval per deelsector een andere gemachtigde kan aanwijzen) wordt aangewezen als bevoegde instantie bedoeld in artikel 4, lid 1, van de Gedelegeerde Verordening (EU) 2024/1366 van de Commissie van 11 maart 2024 tot aanvulling van Verordening (EU) 2019/943 van het Europees Parlement en de Raad door middel van de vaststelling van een netcode inzake sectorspecifieke regels voor met cyberbeveiliging samenhangende aspecten van grensoverschrijdende elektriciteitsstromen.]1
  

Art. 4. § 1. De nationale cyberbeveiligingsautoriteit zorgt, in overleg met de relevante belanghebbenden, voor de uitwerking, actualisering en openbaarmaking, met name via haar website, van een referentiekader. Dit kader bevat de praktische modaliteiten voor de beoordeling van de in artikel 30, § 3, van de NIS2-wet, bedoelde minimale maatregelen voor het beheer van cyberbeveiligingsrisico's.
  Overeenkomstig de internationale regels met betrekking tot conformiteitsbeoordelingsschema's zijn de in het eerste lid bedoelde relevante belanghebbenden ten minste de autoriteiten vermeld in artikel 15 van de NIS2-wet, de geaccrediteerde instanties en de organisaties die het referentiekader het eerste lid gebruiken.
  § 2. Het referentiekader beschrijft, op evenredige wijze, ten minste de volgende zekerheidsniveaus: basis, belangrijk en essentieel.

Art. 5. § 1. In het kader van de in artikel 39 van de NIS2-wet bedoelde conformiteitsbeoordeling en rekening houdend met de relevante methoden voor risicoanalyse, kiezen essentiële entiteiten één of meer referentiekaders waarvan het toepassingsgebied alle netwerk- en informatiesystemen van de entiteit omvat uit een van de volgende referentiekaders:
  1° het in artikel 4 bedoelde referentiekader; of
  2° de norm NBN EN ISO/IEC 27001.
  § 2. In het kader van de vrijwillige conformiteitsbeoordeling bedoeld in artikel 41 van de NIS2-wet kiezen belangrijke entiteiten een van de in paragraaf 1 bedoelde referentiekaders.

Art. 6. In het kader van de conformiteitsbeoordeling door een conformiteitsbeoordelingsinstantie die overeenkomstig hoofdstuk 6 erkend is door de nationale cyberbeveiligingsautoriteit en op basis van het in artikel 4 bedoelde referentiekader, verkrijgen essentiële entiteiten een certificering voor het niveau "essentieel" van voornoemd referentiekader.

Art. 7. In afwijking van artikel 6 kunnen essentiële entiteiten, indien zij dit motiveren, een verificatie verkrijgen die uitgevoerd wordt door een conformiteitsbeoordelingsinstantie die overeenkomstig hoofdstuk 6 erkend is door de nationale cyberbeveiligingsautoriteit, voor een lager niveau van het in artikel 4 bedoelde referentiekader, indien het resultaat van hun risicoanalyse bedoeld in artikel 30, § 5, eerste lid, van de NIS2-wet dit rechtvaardigt.
  Het gebruik van de in het eerste lid bedoelde afwijking valt onder de verantwoordelijkheid van de essentiële entiteit en wordt als zodanig niet beoordeeld door een conformiteitsbeoordelingsinstantie.

Art. 8. In het kader van de conformiteitsbeoordeling op basis van het referentiekader bedoeld in artikel 5, § 1, 2°, verkrijgen essentiële entiteiten een certificering via een procedure van regelmatige audits uitgevoerd door een conformiteitsbeoordelingsinstantie die overeenkomstig hoofdstuk 6 erkend is door de nationale cyberbeveiligingsautoriteit.

Art. 9. Ongeacht het gekozen referentiekader bezorgen essentiële entiteiten hun conformiteitsattest en de risicoanalyse bedoeld in artikel 30, § 5, eerste lid, van de NIS2-wet elektronisch aan de nationale cyberbeveiligingsautoriteit.
  Daartoe creëert en actualiseert de nationale cyberbeveiligingsautoriteit een beveiligd platform dat voor de entiteiten toegankelijk is via internet.

Art. 10. In het kader van artikel 39, eerste lid, 2°, van de NIS2-wet vindt de regelmatige conformiteitsbeoordeling door de inspectiedienst van de nationale cyberbeveiligingsautoriteit niet meer dan één keer per jaar plaats.

Art. 11. § 1. Wanneer belangrijke entiteiten opteren voor een regelmatige conformiteitsbeoordeling op basis van het in artikel 4 bedoelde referentiekader, verkrijgen zij een verificatieverklaring van minstens het niveau belangrijk van voornoemd referentiekader.
  § 2. In het kader van de in paragraaf 1 bedoelde regelmatige vrijwillige conformiteitsbeoordeling verrichten belangrijke entiteiten elk jaar een zelfbeoordeling die wordt geverifieerd door een conformiteitsbeoordelingsinstantie die overeenkomstig hoofdstuk 6 erkend is door de nationale cyberbeveiligingsautoriteit.
  De erkende conformiteitsbeoordelingsinstantie bezorgt de betrokken entiteit een verificatieverslag dat al dan niet een verificatieverklaring bevat, overeenkomstig het in artikel 4 bedoelde referentiekader.

Art. 12. In het kader van de conformiteitsbeoordeling op basis van het referentiekader bedoeld in artikel 5, § 1, 2°, verkrijgen belangrijke entiteiten indien gewenst een certificering via een procedure van regelmatige audits uitgevoerd door een conformiteitsbeoordelingsinstantie die overeenkomstig hoofdstuk 6 erkend is door de nationale cyberbeveiligingsautoriteit.

Art. 13. Belangrijke entiteiten die opteren voor de in artikel 41 van de NIS2-wet bedoelde conformiteitsbeoordeling, bezorgen de nationale cyberbeveiligingsautoriteit, ongeacht het gekozen referentiekader, hun conformiteitsattest en de risicoanalyse bedoeld in artikel 30, § 5, eerste lid, van de NIS2-wet op de in artikel 9, eerste lid, bedoelde wijze.
  Daartoe krijgen belangrijke entiteiten toegang tot het platform bedoeld in artikel 9, tweede lid.

Art. 14. § 1. Onverminderd hoofdstuk 8 erkent de nationale cyberbeveiligingsautoriteit conformiteitsbeoordelingsinstanties die de erkenningsvoorwaarden van dit hoofdstuk naleven:
  1° hetzij in het kader van de toepassing van de artikelen 39 en 41 van de NIS2-wet,
  2° hetzij in het kader van de conformiteitsbeoordeling op basis van het in artikel 4 bedoelde referentiekader.
  § 2. Wanneer de inspectiedienst van de nationale cyberbeveiligingsautoriteit een inbreuk op de in dit hoofdstuk bedoelde erkenningsvoorwaarden vaststelt, kan deze inspectiedienst, via de procedure bedoeld in afdeling 1 van hoofdstuk 2 van titel 4 van de NIS2-wet, de conformiteitsbeoordelingsinstantie aanmanen om een einde te maken aan de inbreuk. Zo niet kan de nationale cyberbeveiligingsautoriteit de in paragraaf 1 bedoelde erkenning opschorten of intrekken.

Art. 15. § 1. Om te worden erkend, moet de conformiteitsbeoordelingsinstantie vooraf beschikken over een accreditatie van een nationale accreditatie-instantie voor het uitvoeren van de certificering en/of van de verificatie als conformiteitsbeoordelingsactiviteiten voor een of meer van de referentiekaders bedoeld in artikel 5, § 1, 1° en/of 2°. De erkenning is beperkt tot de referentiekaders waarvoor de conformiteitsbeoordelingsinstantie geaccrediteerd is.
  § 2. Wanneer er sprake is van een belangenconflict tussen de conformiteitsbeoordelingsinstantie of haar uitvoeringsinstanties en een entiteit waarvoor de verplichtingen van de NIS2-wet gelden, kan voor die entiteit geen erkenning worden verleend.
  Om de in het eerste lid bedoelde situaties op te sporen, maakt de nationale cyberbeveiligingsautoriteit de toekenning van de erkenning afhankelijk van het verstrekken van alle nodige informatie.
  Indien de in het eerste lid bedoelde situatie zich voordoet na de toekenning van de erkenning, moet de conformiteitsbeoordelingsinstantie de nationale cyberbeveiligingsautoriteit zo snel mogelijk op de hoogte brengen en afzien van de beoordeling van de betrokken entiteiten.
  § 3. Erkende conformiteitsbeoordelingsinstanties moeten de nationale cyberbeveiligingsautoriteit jaarlijks een verslag bezorgen volgens de modaliteiten bepaald door deze autoriteit. Dit verslag bevat minstens de volgende gegevens over entiteiten die tot het toepassingsgebied van de NIS2-wet behoren:
  1° een lijst van de uitgereikte conformiteitsattesten;
  2° een lijst van de geweigerde en geschorste conformiteitsattesten;
  3° een lijst van de ontvangen klachten en van het gevolg dat hieraan werd gegeven.
  De conformiteitsbeoordelingsinstantie wordt geacht op elk ogenblik samen te werken met de nationale cyberbeveiligingsautoriteit, onder meer door haar verzoeken om informatie te beantwoorden.

Art. 16. § 1. De beëdigde leden van de inspectiedienst van de nationale cyberbeveiligingsautoriteit beschikken over een legitimatiekaart waarvan het model in bijlage is opgenomen.
  § 2. De in paragraaf 1 bedoelde legitimatiekaart is rechthoekig, 85,6 mm lang en 53,98 mm breed, en geplastificeerd.

Art. 17. De Federale Interneauditdienst, opgericht bij artikel 3 van het koninklijk besluit van 4 mei 2016 tot oprichting van de Federale Interneauditdienst, wordt aangewezen als conformiteitsbeoordelingsinstantie voor de instanties bedoeld in artikel 1 van dat besluit, wat het in artikel 5, § 1, 1°, bedoelde referentiekader betreft.

Art. 18. De nationale cyberbeveiligingsautoriteit erkent de als conformiteitsbeoordelingsinstantie aangewezen autoriteit wanneer zij de erkenningsvoorwaarden van dit hoofdstuk naleeft, evenals de artikelen 14, § 2, en 15, § 3.

Art. 19. Om te worden erkend en regelmatige conformiteitsbeoordelingen te kunnen verrichten op basis van het in artikel 5, § 1, 1°, bedoelde referentiekader, moet een als conformiteitsbeoordelingsinstantie aangewezen autoriteit over de technische bekwaamheid beschikken voor het uitvoeren van certificeringsaudits en verificaties in het kader van de conformiteitsbeoordeling.

Art. 20. § 1. Er is voorzien in een retributie voor inspectieprestaties die de essentiële entiteit gekozen heeft in het kader van artikel 39, eerste lid, 2°, van de NIS2-wet.
  Deze retributie wordt bepaald op basis van de duur van de in uren berekende prestaties en vermenigvuldigd met het in paragraaf 2, tweede lid, bedoelde uurtarief.
  § 2. De duur van de prestaties wordt bepaald door de methodologie van het in artikel 5 bedoelde referentiekader.
  Het uurtarief bedraagt 150 euro.
  § 3. De in dit artikel bedoelde bedragen zijn gekoppeld aan het indexcijfer van de consumptieprijzen van november 2023 en worden jaarlijks op 1 januari aangepast aan de schommelingen van dit indexcijfer.
  § 4. Retributies worden gedetailleerd gefactureerd.
  Gefactureerde bedragen moeten uiterlijk op de laatste dag van de maand na de factuurdatum worden betaald. Als dit niet gebeurt, wordt een herinnering gestuurd naar de betrokken entiteit.
  Bij niet-betaling binnen twee maanden na de herinnering wordt een aangetekende ingebrekestelling verstuurd naar de betrokken entiteit.
  § 5. De in paragraaf 1 bedoelde retributie is niet van toepassing op entiteiten die deel uitmaken van de overheidssector bedoeld in bijlage I van de NIS2-wet, voor zover deze niet zijn vermeld in artikel 1 van het koninklijk besluit van 4 mei 2016 tot oprichting van de Federale Interneauditdienst.

Art. 21. Het koninklijk besluit van 12 juli 2019 tot uitvoering van de wet van 7 april 2019 tot vaststelling van een kader voor de beveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid, en van de wet van 1 juli 2011 betreffende de beveiliging en de bescherming van de kritieke infrastructuren wordt opgeheven, met uitzondering van artikel 4, bijlage I, punt c), en bijlage II, punt a), van voornoemd koninklijk besluit waarvan de draagwijdte beperkt is tot de uitvoering van de wet van 1 juli 2011 betreffende de beveiliging en de bescherming van de kritieke infrastructuren.

Art. 22. § 1. Indien essentiële entiteiten opteren voor de certificering op basis van een van de in artikel 5 bedoelde referentiekaders, moeten zij binnen 18 maanden na de inwerkingtreding van de NIS2-wet of na de datum van de identificatie bedoeld in artikel 11 van de NIS2-wet, minstens voldoen aan de volgende verplichtingen:
  1° een verificatie verkrijgen die uitgevoerd wordt door een conformiteitsbeoordelingsinstantie die overeenkomstig hoofdstuk 6 erkend is door de nationale cyberbeveiligingsautoriteit, voor het niveau basis of belangrijk van het in artikel 4 bedoelde referentiekader, naargelang het resultaat van hun risicoanalyse bedoeld in artikel 30, § 5, eerste lid, van de NIS2-wet, indien de entiteit opteert voor het in artikel 4 bedoelde referentiekader; of
  2° het toepassingsgebied en de toepasselijkheidsverklaring bezorgen indien de entiteit opteert voor het referentiekader bedoeld in artikel 5, paragraaf 1, 2°.
  § 2. Indien essentiële entiteiten opteren voor de certificering op basis van een van de in artikel 5 bedoelde referentiekaders, verkrijgen zij binnen 30 maanden na de inwerkingtreding van de NIS2-wet of na de datum van de identificatie bedoeld in artikel 11 van de NIS2-wet en naargelang de keuze gemaakt overeenkomstig § 1:
  1° een certificering overeenkomstig artikel 6, onverminderd artikel 7; of
  2° een certificering overeenkomstig artikel 8.

Art. 23. § 1. Indien essentiële entiteiten opteren voor toezicht door een inspectiedienst bedoeld in artikel 39, eerste lid, 2°, van de NIS2-wet op basis van een van de in artikel 5 bedoelde referentiekaders, moeten zij binnen 18 maanden na de inwerkingtreding van de NIS2-wet of na de datum van de identificatie bedoeld in artikel 11 van de NIS2-wet, minstens voldoen aan de volgende verplichtingen:
  1° een zelfbeoordeling van niveau "basis" of "belangrijk" bezorgen indien zij opteren voor het referentiekader bedoeld in artikel 4;
  2° het I.B.B., het toepassingsgebied en de toepasselijkheidsverklaring bezorgen, indien zij opteren voor het referentiekader bedoeld in artikel 5, paragraaf 1, 2°.
  § 2. Indien essentiële entiteiten opteren voor toezicht door een inspectiedienst bedoeld in artikel 39, eerste lid, 2°, van de NIS2-wet op basis van een van de in artikel 5 bedoelde referentiekaders, bezorgen zij een stand van zaken van de voortgang van het conformiteitsproces binnen 30 maanden na de inwerkingtreding van de NIS2-wet of na de datum van de identificatie bedoeld in artikel 11 van de NIS2-wet en naargelang de keuze die overeenkomstig § 1 is gemaakt.
  § 3. Ongeacht de gemaakte keuze moeten essentiële en belangrijke entiteiten een continue verbetering aantonen.

Art. 24. De Eerste Minister en de Minister bevoegd voor Binnenlandse Zaken zijn, ieder wat hem of haar betreft, belast met de uitvoering van dit besluit.
  Bijlage
  Bijlage bij het koninklijk besluit van 9 juni 2024 tot uitvoering van de wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid

Art. N. - Legitimatiekaart
  (Beeld niet opgenomen om technische redenen, zie B.St. van 24-06-2024, p. 78189)