De NIS2-wet en de CyFun-verificatie, en de vastleggingen die een beoordelaar kan inzien.
De Belgische NIS2-wet is sinds 18 oktober 2024 van kracht. Het CCB wijst entiteiten naar CyFun als kader, en een erkende beoordelaar verifieert wat ze kunnen aantonen. Voor uw klanten bent u de leverancier, en zij vragen u wat een verificatie van hen vraagt. Hieronder staat hoe de wet en de verificatie zich tot elkaar verhouden, en wat uit de vastleggingen van Opafra komt.
Entiteiten onder de wet, met u als leverancier.
De wet legt maatregelen op aan essentiële en belangrijke entiteiten. Een klant die onder de wet valt, vraagt zijn leveranciers om het bewijs dat een CyFun-verificatie van hem vraagt. Hosters en managed serviceproviders die in scope zijn, vallen daarnaast onder Uitvoeringsverordening (EU) 2024/2690: zie de Engelse pagina over de verordening.
Welke regels voor uw organisatie gelden, is een vraag voor uw eigen adviseurs.
Hoe de verificatie zich tot de wet verhoudt, volgens het CCB.
Dit staat in de brief van de inspectiedienst van het CCB en de uitleg van het CCB bij CyFun. Het is een samenvatting in eigen woorden.
- De wet
- De Belgische NIS2-wet is sinds 18 oktober 2024 van kracht. De inspectiedienst van het CCB kan op elk moment elk document of elke informatie opvragen.
- Essentiële entiteiten
- Voor de CyFun-route vroeg de inspectiedienst uiterlijk 18 april 2026 minstens een ondertekende overeenkomst met een door BELAC geaccrediteerde instelling (CAB) voor het niveau Basic, ook als de verificatie zelf later plaatsvindt. Er zijn ook een ISO/IEC 27001-route en een route via een formeel verzoek om inspectie.
- Belangrijke entiteiten
- Voor hen gelden geen specifieke administratieve formaliteiten. Na een incident kan het CCB wel bewijs opvragen dat de maatregelen correct zijn toegepast.
- De beoordelaar
- Een CAB met BELAC-accreditatie voert de verificatie uit. Voor Basic en Important duurt die minstens 1,5 mandag, waarvan minstens een dag ter plaatse, en worden alle sleutelmaatregelen ter plaatse geverifieerd. Essential is een certificering volgens ISO/IEC 17021 in twee fasen.
- Het bewijs
- Het CCB legt geen vorm op: het bewijs moet de beoordeling van de daadwerkelijke uitvoering van de sleutelmaatregelen mogelijk maken. De beoordelaar zoekt het niet zelf op, en bij onvoldoende bewijs behoudt de maatregel zijn niveau niet. Bij een verificatie ter plaatse moet het bewijs aan het begin direct beschikbaar zijn.
De score is een gemiddelde, dus bewijs van de uitvoering telt mee.
- Documentatie en uitvoering
- De score per sleutelmaatregel is het gemiddelde van de documentatiescore en de uitvoeringsscore. Een vastlegging die laat zien dat een maatregel in de praktijk is toegepast, ondersteunt de tweede. De documentatie zelf, zoals een procedure, schrijft uw organisatie.
- Toegang op afstand en leveranciers
- De vastlegging van toegang toont het verzoek, de goedkeurder, het venster en elke verbinding eronder. Welke maatregelen ze beantwoordt, staat op de CyFun-pagina.
- Toegangsreview, hersteltest en wijziging
- De drie andere vastleggingen staan, met de maatregel die ze beantwoorden, op de bewijspagina.
Bewijs voor een maatregel, geen oordeel.
- Een verificatie of label
- Nee. Opafra is geen CyFun-verificatie, geen label en geen certificering: de score geeft de beoordelaar. De vastleggingen zijn bewijs voor maatregelen, niet een verklaring dat een organisatie een niveau haalt.
- Werk buiten Opafra
- Nee. Opafra legt vast wat er via Opafra loopt: plannen, runs, toekenningen en het inloggen bij Opafra zelf. Werk op een server buiten Opafra om staat niet in de vastleggingen.
- Documenten en toelichting
- Nee. Voor het label Essential vraagt het CCB per sleutelmaatregel een toelichting van één pagina met aantoonbaar bewijs. Die toelichting en de procedures schrijft uw organisatie, en de vastlegging is het bewijs erin.
Zie de vastleggingen voor uw eigen servers.
Vertel ons wat u beheert en welke vragen uw klanten stellen. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.