Valt uw organisatie onder de NIS2-wetgeving

Kort samengevat

• De Belgische NIS2-wet is sinds 18 oktober 2024 van kracht, met toezicht door het Centre for Cybersecurity Belgium (CCB).
• De wet onderscheidt essentiële entiteiten (proactief toezicht) en belangrijke entiteiten (reactief toezicht).
• Afvalbeheer, waaronder de verwerking van afgedankte elektrische en elektronische apparatuur, is één van de sectoren die met naam in de richtlijn zijn opgenomen, doorgaans als belangrijke entiteit.
• Het CCB biedt een gratis tool om zelf na te gaan of uw organisatie in scope valt.
• Ook wie zelf niet rechtstreeks in scope valt, kan via klanten die dat wel zijn, bijkomende beveiligingseisen opgelegd krijgen.

Wat is de NIS2-wetgeving

NIS2 is de Europese cyberbeveiligingsrichtlijn die sinds 18 oktober 2024 in Belgische wetgeving is omgezet, met toezicht door het Centre for Cybersecurity Belgium. Organisaties die eronder vallen, moesten zich tegen 18 maart 2025 registreren. Essentiële entiteiten dienden tegen 18 april 2026 hun eerste conformiteitsbeoordeling in, die deadline is intussen gepasseerd. Tegen april 2027 moeten zij het volledige verplichte beveiligingsniveau halen.

Essentiële versus belangrijke entiteiten

De wet onderscheidt essentiële en belangrijke entiteiten.

• Essentiële entiteiten vallen onder proactief toezicht, met verplichte controles vooraf.
• Belangrijke entiteiten vallen onder reactief toezicht: geen verplichte voorafgaande audit, maar wel de plicht om conformiteit aan te tonen zodra het CCB dat vraagt.

Welke van de twee van toepassing is, hangt af van zowel de sector als de grootte van de organisatie.

Valt afvalbeheer onder NIS2

Wat vaak niet geweten is: afvalbeheer is één van de sectoren die met naam in de richtlijn zijn opgenomen. Dat betekent dat verwerkers van afgedankte elektrische en elektronische apparatuur, afhankelijk van hun omvang, in scope kunnen vallen, doorgaans als belangrijke entiteit.

Bij Brainscape raakt dit rechtstreeks aan onze eigen activiteit. Onze certificeringen zijn precies het soort bewijs dat een organisatie nodig heeft om aan te tonen dat haar keten beheerst wordt, zowel op het vlak van kwaliteit en milieu als van data.

Hoe u zelf nagaat of u onder NIS2 valt

Om zelf te bepalen of u al dan niet onder de NIS2-wetgeving valt, bestaat een uitgebreide tool van het CCB. In het kort kijkt deze naar vier elementen:

• Grootte van de organisatie: aantal FTE, jaaromzet en balanstotaal.
• Sector en dienst: een lijst van alle sectoren uit de wet, waaronder afvalbeheer.
• Band met België: waar de organisatie gevestigd is.
• Lidstaten waar de dienst geleverd wordt.

Op basis daarvan volgt één van drie uitkomsten, bepaald door de grootte van de organisatie:

1. Buiten scope — onder 50 FTE, én onder 10 miljoen euro omzet, én onder 10 miljoen euro balanstotaal.
2. Belangrijke entiteit — vanaf 50 FTE, of vanaf 10 miljoen euro omzet, of vanaf 10 miljoen euro balanstotaal.
3. Essentiële entiteit — vanaf 250 FTE, of vanaf 50 miljoen euro omzet, of vanaf 43 miljoen euro balanstotaal.

Voor sommige sectoren, zoals aanbieders van domeinnaamregistratie of overheidsdiensten, geldt deze drempel niet: zij zijn sowieso essentieel of belangrijk, ongeacht hun grootte.

Wilt u de volledige NIS2 Scope Assessment-tool downloaden? Dat kan via deze link, rechtstreeks als Excel-bestand, zonder formulier of registratie.

De leveranciersketen telt ook mee, zelfs buiten scope

NIS2 verplicht organisaties die eronder vallen om ook de veiligheid van hun leveranciersketen te beheren en aantoonbaar te maken. Die verplichting werkt door naar leveranciers die zelf niet rechtstreeks onder de wet vallen: wie levert aan een essentiële of belangrijke entiteit, krijgt via het contract vaak dezelfde eisen doorgeschoven. Hoe een leverancier omgaat met data en met de afvoer van IT-apparatuur, maakt daar onderdeel van uit.

Wat betekent dit voor IT-verantwoordelijken?

Wie beslist over de afvoer van bedrijfshardware, beslist mee over een stuk van die leveranciersketen. Een gecertificeerd en traceerbaar proces voor dataverwijdering en apparatuurafvoer levert precies het bewijs dat nodig is bij een leveranciersaudit of een klantvraag in het kader van NIS2.

Bij Brainscape is elk toestel dat binnenkomt gekoppeld aan een controleerbaar proces: van rapportage over dataverwijdering tot certificering volgens ISO 9001, ISO 14001 en WEEELabex. Meer over hoe die certificeringen precies tot stand komen en wat ze voor uw organisatie betekenen, leest u in ons artikel over ISO 9001 en ISO 14001 voor uw ITAD-partner.

Vragen over uw eigen situatie

Neem gerust contact op met Brainscape. We bekijken graag samen of uw organisatie onder deze wetgeving valt, en hoe onze certificeringen en processen kunnen bijdragen aan uw eigen NIS2-dossier.