18 Monate nach Inkrafttreten des belgischen NIS2-Gesetzes geht das Centre for Cybersecurity Belgium (CCB) in die aktive Durchsetzungsphase. Rund 2.500 Einrichtungen sind registriert; erste Prüfverfahren wurden eingeleitet.
Belgien hatte die NIS2-Richtlinie als eines der ersten EU-Länder fristgerecht mit dem Gesetz vom 26. April 2024 umgesetzt. Das CCB hat seitdem Leitlinien für alle 18 NIS2-Sektoren veröffentlicht und betreibt die Meldeplattform SafeOnWeb@work für Sicherheitsvorfälle.
Erste Prüfprioritäten
Das CCB konzentriert sich zunächst auf wesentliche Einrichtungen (essential entities) in drei Hochrisikosektoren: Energie, Gesundheit und digitale Infrastruktur. Prüfer bewerten vor allem, ob Einrichtungen Risiken dokumentiert, ein Incident-Response-Verfahren implementiert und die Registrierungspflicht erfüllt haben. Nicht registrierte Einrichtungen riskieren Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
Das CyberFundamentals-Framework
Das CCB empfiehlt betroffenen Unternehmen, die Selbstbewertung über das Portal CyberFundamentals durchzuführen. Das Framework definiert vier Assurance-Level – Basic, Important, Essential und Critical – und orientiert sich an CIS Controls, ISO 27001 und dem NIST CSF. Wesentliche Einrichtungen müssen Level Essential nachweisen, wichtige Einrichtungen Level Important.
Was passiert bei einer Prüfung?
CCB-Prüfungen folgen einem strukturierten Ablauf: Zunächst fordern Prüfer eine Selbstauskunft an (Fragebogen zu Sicherheitsmaßnahmen und Vorfallshistorie). Anschließend können On-site-Besuche und technische Tests folgen. Einrichtungen, die CyberFundamentals-Nachweise vorlegen können, profitieren von deutlich kürzeren Verfahren.
Praktische Prioritäten
Wer noch keine Vorbereitung gestartet hat, sollte jetzt mit diesen Schritten beginnen:
- Registrierung: Prüfen, ob eine Meldepflicht besteht, und die Einrichtung über das CCB-Portal anmelden.
- Risikoanalyse: Eine dokumentierte Risikoanalyse erstellen – Basis für alle weiteren Maßnahmen.
- Incident-Response-Plan: Verfahren für die 24-Stunden-Erstmeldung und 72-Stunden-Folgemeldung etablieren.
- CyberFundamentals-Assessment: Lückenanalyse gemäß dem passenden Assurance-Level durchführen.
- Lieferkette: Sicherheitsanforderungen gegenüber kritischen Lieferanten vertraglich verankern.
Unternehmen, die die Selbstbewertung vor einem offiziellen Prüftermin abgeschlossen haben, zeigen nachweislich kooperatives Verhalten – was sich positiv auf mögliche Sanktionsentscheidungen auswirkt.