NIS2-boetes in België: de bedragen op een rij

“Tot 10 miljoen euro boete.” Die zin staat in zowat elke mail die je over NIS2 krijgt, meestal van iemand die je meteen daarna iets wil verkopen. Het bedrag klopt, maar het is het plafond van een schaal die bij 500 euro begint, en het geldt alleen voor bedrijven die effectief onder de wet vallen.

Deze gids zet de bedragen uit de Belgische wet op een rij, legt uit wie ze riskeert, en toont wat er allemaal gebeurt voordat een toezichthouder aan een boete toekomt.

Weet je niet of NIS2 op jou van toepassing is? Doe de gratis NIS2-check: drie vragen, meteen een indicatie.

Hoe hoog zijn de boetes onder NIS2?

De bedragen staan niet in de Europese richtlijn zelf, maar in de Belgische omzetting: de wet van 26 april 2024. Artikel 59 somt vijf administratieve geldboetes op.

Twee dingen vallen op. Ten eerste begint elke schaal bij 500 euro: het miljoenenbedrag is een maximum, geen tarief. Ten tweede telt bij de eerste twee lijnen de omzet van de onderneming waartoe de entiteit behoort, niet enkel die van de entiteit zelf. Voor een dochter in een grote groep kan dat percentage dus zwaarder wegen dan het bedrag in euro.

Nog twee regels uit hetzelfde artikel: de boete wordt verdubbeld wanneer dezelfde feiten zich binnen drie jaar herhalen, en meerdere inbreuken samen kunnen tot één enkele boete leiden die in verhouding staat tot het geheel.

Geldt dit ook voor een kleine KMO?

In de regel niet. NIS2 kent een uitzondering voor kleine ondernemingen, en de grote meerderheid van de Belgische KMO’s valt daardoor buiten de wet. Of dat voor jou zo is, hangt af van je sector, je grootte en enkele bijzondere diensten. Dat leggen we volledig uit in de gids over NIS2 voor KMO’s in België.

Er is wel één scenario waarin ook een klein bedrijf met de wet in aanraking komt. De nationale cyberbeveiligingsautoriteit kan een entiteit ongeacht haar omvang identificeren als essentieel of belangrijk, bijvoorbeeld wanneer je in België de enige aanbieder bent van een dienst die essentieel is voor de maatschappij, of wanneer een verstoring bij jou een aanzienlijk systeemrisico zou meebrengen. In dat kader mag de autoriteit je alle informatie vragen die nuttig is voor die beoordeling.

Bezorg je die informatie niet, dan is dat de boete van 500 tot 125.000 euro uit de tabel hierboven. Het is meteen de enige NIS2-boete die je kunt oplopen zonder dat je zelf al besloten hebt dat je onder de wet valt. Krijg je post van het Centrum voor Cybersecurity België, antwoord dan gewoon.

Ook goed om te weten: de geldboetes en de zwaarste maatregelen gelden niet voor entiteiten die deel uitmaken van de overheidssector. Voor hen voorziet de wet een apart spoor.

Wat gebeurt er voordat er een boete valt?

Een boete is het einde van een traject, niet het begin. De wet zet eerst een reeks lichtere maatregelen op tafel, waaronder:

• een waarschuwing over de vastgestelde inbreuk;
• bindende aanwijzingen of een bevel om de tekortkoming te verhelpen;
• het bevel om je risicomaatregelen of je meldingen binnen een bepaalde termijn in orde te brengen;
• het bevel om de aanbevelingen van een beveiligingsaudit uit te voeren;
• het bevel om klanten te verwittigen over een dreiging die hen kan raken;
• het bevel om bepaalde aspecten van de inbreuk openbaar te maken;
• bij een essentiële entiteit: de aanstelling van een controlefunctionaris die een tijd meekijkt.

Ook de procedure zelf staat uitgeschreven in de wet. De toezichthouder moet je een gemotiveerd ontwerp van beslissing sturen waarin staat wat hij vaststelt en wat hij overweegt. Vanaf dat moment heb je dertig dagen om je verweer schriftelijk in te dienen of te vragen om gehoord te worden. Pas daarna wordt de beslissing gehandhaafd, gewijzigd of ingetrokken. Bij het bepalen van de sanctie moet de autoriteit onder meer rekening houden met de ernst en de duur van de inbreuk, eerdere inbreuken, de veroorzaakte schade, opzet of nalatigheid, en de mate waarin je hebt meegewerkt.

Het CCB zegt daar zelf over dat het niet zijn doel is om elke entiteit die de wet niet respecteert te sanctioneren, en dat het mikt op een hoog beveiligingsniveau in samenwerking met de betrokken bedrijven (CCB over administratieve maatregelen en boetes). Een opgelegde maatregel of boete kun je aanvechten bij de Raad van State.

Praktisch nog dit: een opgelegde geldboete moet betaald worden binnen zestig dagen na de aangetekende zending, de feiten verjaren drie jaar na de inbreuk, en een opgelegde boete verjaart vijf jaar na de datum waarop ze uitgevoerd moest worden.

Is de zaakvoerder persoonlijk aansprakelijk?

Dit is het deel dat NIS2 anders maakt dan de meeste IT-regelgeving. De wet bepaalt dat wie een essentiële of belangrijke entiteit vertegenwoordigt, er beslissingen voor neemt of er controle over uitoefent, de bevoegdheid heeft om te zorgen dat de wet wordt nageleefd, en aansprakelijk is wanneer die verplichting niet wordt nagekomen. Cyberbeveiliging is daarmee een punt voor de bestuurstafel geworden, niet iets dat je volledig bij een IT-partner kunt parkeren.

Er is ook een concrete maatregel die op een persoon slaat. Doet een essentiële entiteit binnen de gestelde termijn niets met de gevraagde maatregelen, dan kan de autoriteit een natuurlijke persoon met leidinggevende verantwoordelijkheid op het niveau van algemeen directeur of wettelijke vertegenwoordiger tijdelijk verbieden die functie uit te oefenen. Datzelfde artikel laat toe om een certificering of vergunning tijdelijk op te schorten. Beide gelden zolang de tekortkoming niet is rechtgezet, en beide zijn voorbehouden aan essentiële entiteiten.

En als het incident ook een datalek is?

Dat komt vaak samen voor: een ransomware-aanval die persoonsgegevens raakt, is meteen ook een zaak voor de AVG. De wet heeft dat voorzien. Merkt de toezichthouder dat een inbreuk ook een datalek kan inhouden dat onder de AVG gemeld moet worden, dan verwittigt hij de Gegevensbeschermingsautoriteit onverwijld.

Dubbel beboet worden voor dezelfde gedraging gebeurt niet: heeft de Gegevensbeschermingsautoriteit al een administratieve geldboete opgelegd, dan legt de cyberbeveiligingsautoriteit er geen tweede op voor een inbreuk die uit diezelfde gedraging voortvloeit. Dat betekent uiteraard niet dat je met één toezichthouder te maken krijgt: de meldplichten lopen naast elkaar, elk met hun eigen termijnen.

Wat je hiermee doet als je erbuiten valt

Voor de meeste lezers van deze gids eindigt het verhaal met “wij vallen er niet onder”, en dat klopt waarschijnlijk. Toch komt de wet langs een omweg alsnog binnen. Bedrijven die er wél onder vallen, moeten hun toeleveringsketen beveiligen, en dat vertaalt zich in een vragenlijst op jouw bureau. In België verwijst zo’n vragenlijst meestal naar CyberFundamentals van het CCB.

Wat daar gevraagd wordt, is zelden een technisch hoogstandje. Het is: heb je een informatiebeveiligingsbeleid, weet je wie waarvoor verantwoordelijk is, en kun je tonen wat je doet. Dat is precies dezelfde lat waarop een verzekeraar je legt, en het is ook gewoon de basis van een veilig bedrijf. Welke maatregelen dat zijn en in welke volgorde je ze aanpakt, staat in de complete cybersecuritygids voor KMO’s.

Kort samengevat

• De boetes lopen van 500 euro tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (essentiële entiteiten) en 7 miljoen euro of 1,4% (belangrijke entiteiten), telkens het hoogste van de twee.
• Wie gevraagde identificatie-informatie niet bezorgt, riskeert 500 tot 125.000 euro, ook zonder zelf te weten of hij onder de wet valt.
• Herhaling van dezelfde feiten binnen drie jaar verdubbelt de boete.
• Een boete komt na waarschuwingen en bevelen, en na een procedure met dertig dagen verweer.
• Bestuurders zijn aansprakelijk, en bij essentiële entiteiten kan een leidinggevende tijdelijk aan de kant gezet worden.
• De meeste kleine KMO’s vallen buiten NIS2, maar krijgen de eisen via hun klanten alsnog op tafel.

Waar sta je vandaag? Doe de gratis cybersecurity-scan: elf vragen, en je krijgt meteen een rapport met prioriteiten. Twijfel je over je positie tegenover de wet, gebruik dan de NIS2-check.

Deze gids is informatief en geen juridisch advies. Laat je voor je concrete situatie bijstaan door een specialist.