Reglyze
NIS2 Belgien: CyFun

NIS2 in Belgien, auf Deutsch und mit CyFun

In Belgien setzt das Gesetz vom 26. April 2024 die NIS-2-Richtlinie um (Art. 2). Für die Umsetzung der Maßnahmen rät das Zentrum für Cybersicherheit Belgien (CCB) allen betroffenen Einrichtungen zu CyFun, seinem CyberFundamentals Framework. Reglyze bringt Sie mit KI-Unterstützung zu Ihrer CyFun-Sicherheitsstufe: eine Bewertung Ihrer Lücken mit den Anforderungen in der deutschen Fassung des CCB, die passenden Richtlinien auf Deutsch und Nachweise, die für die Konformitätsbewertung bereitliegen.

Die Pflichten gelten bereits

Das Gesetz ist am 18. Oktober 2024 in Kraft getreten (Art. 98). Wesentliche und wichtige Einrichtungen registrieren sich beim CCB über Safeonweb@Work (Art. 13). Für wesentliche Einrichtungen ist am 18. April 2026 die erste Frist der Konformitätsbewertung abgelaufen; am 18. April 2027 folgt die Zertifizierung auf Stufe Essential für die Einrichtungen, die diese Stufe einhalten müssen.

Was das Gesetz von einer belgischen Einrichtung verlangt

  • Einstufung: Wesentliche Einrichtung (Art. 9) oder wichtige Einrichtung (Art. 10), je nach Sektor der Anlagen I und II und nach Größe. Grundsätzlich fällt unter das Gesetz, wer mindestens ein mittleres Unternehmen ist (Art. 3 § 1); einige Anbieter unabhängig von ihrer Größe, etwa DNS-Diensteanbieter und Vertrauensdiensteanbieter (Art. 3 § 3).
  • Registrierung: Bei der nationalen Cybersicherheitsbehörde, in der Praxis über ein Online-Formular auf Safeonweb@Work: binnen fünf Monaten nach Inkrafttreten, also bis zum 18. März 2025, oder binnen fünf Monaten nach einer Einstufung durch die Behörde (Art. 13 § 1). Einrichtungen der digitalen Sektoren, etwa Anbieter von Cloud- und Rechenzentrumsdiensten, hatten zwei Monate (Art. 14 § 1).
  • Risikomanagementmaßnahmen: Elf Mindestmaßnahmen, von Konzepten zur Risikoanalyse über die Sicherheit der Lieferkette bis zur Multi-Faktor-Authentifizierung und zur koordinierten Offenlegung von Schwachstellen (Art. 30 § 3).
  • Leitungsorgane: Sie billigen die Risikomanagementmaßnahmen, überwachen ihre Umsetzung und sind für Verstöße verantwortlich (Art. 31 § 1). Ihre Mitglieder nehmen an Schulungen teil (Art. 31 § 2). Eine Zertifizierung dieser Schulungen verlangt das Gesetz nicht; das CCB erleichtert und fördert sie (Art. 17 Nr. 13).
  • Meldung von Sicherheitsvorfällen: Jeder erhebliche Sicherheitsvorfall geht unverzüglich an das nationale CSIRT (Art. 34 § 1), in den Fristen des Art. 35 (unten).
  • Regelmäßige Konformitätsbewertung: Wesentliche Einrichtungen unterziehen sich ihr: entweder durch eine zugelassene Konformitätsbewertungsstelle auf einem vom König festgelegten Referenzrahmen oder durch die Kontrolle der Behörde (Art. 39). Für wichtige Einrichtungen ist sie freiwillig (Art. 41). Wer sie besteht, gilt bis zum Gegenbeweis als konform (Art. 42).
  • Geldbußen: Bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes für wesentliche Einrichtungen (Art. 59 Nr. 5), bis zu 7 Millionen Euro oder 1,4 % für wichtige (Art. 59 Nr. 4), jeweils der höhere Betrag; im Wiederholungsfall binnen drei Jahren verdoppelt. Für Einrichtungen der öffentlichen Verwaltung gelten sie nicht (Art. 62).

CyFun ist der praktische Rahmen, den das CCB dafür empfiehlt: Er übersetzt die gesetzlichen Pflichten in konkrete Anforderungen, nach Funktion und Sicherheitsstufe geordnet. Wer bereits nach ISO/IEC 27001:2022 zertifiziert ist, hat eine anerkannte Alternative: Der Königliche Erlass vom 9. Juni 2024 erkennt beide Rahmen an.

Das Gesetz auf Deutsch

Das Gesetz vom 26. April 2024 wurde auf Französisch und Niederländisch erlassen und am 17. Mai 2024 im Belgischen Staatsblatt veröffentlicht. Eine amtliche deutsche Übersetzung gab es am 29. Oktober 2026 nicht. Seit dem 23. Oktober 2026 liegt eine inoffizielle Koordinierung in deutscher Sprache vor, erstellt von der Zentralen Dienststelle für Deutsche Übersetzungen in Malmedy und im Belgischen Staatsblatt veröffentlicht; sie berücksichtigt die Änderungen durch das Gesetz vom 19. Dezember 2025 über die Resilienz kritischer Einrichtungen. Ihre Begriffe verwenden wir auf dieser Seite: wesentliche und wichtige Einrichtungen, nationale Cybersicherheitsbehörde, erheblicher Sicherheitsvorfall, Frühwarnung.

Die deutsche Fassung im Belgischen Staatsblatt (Numac 2026007305)

Die 6 Funktionen von CyFun im Überblick

CyFun 2025 folgt den sechs Funktionen des NIST Cybersecurity Framework 2.0. Zusammen umfassen sie 22 Kategorien und 218 Anforderungen. Die Namen sind die der deutschen Ausgabe, die das CCB veröffentlicht.

REGELN
GV
Stellt sicher, dass Cybersicherheit als strategische Priorität behandelt wird und nicht nur als technisches Thema: klare Erwartungen, Richtlinien, Zuständigkeiten und Befugnisse, die in der ganzen Organisation bekannt gemacht und überprüft werden. Neu in CyFun 2025.
IDENTIFIZIEREN
ID
Ein klares Verständnis dessen, was für die Organisation am wichtigsten ist: Systeme, Mitarbeiter, Vermögenswerte, Daten sowie die Prozesse und Werkzeuge, die den Betrieb tragen. Die Grundlage fundierter Entscheidungen über Cybersicherheitsrisiken.
SCHÜTZEN
PR
Schutzmaßnahmen, die die Wahrscheinlichkeit eines Cybervorfalls verringern oder seine Auswirkungen begrenzen: technische Maßnahmen, Verfahren und Sensibilisierung.
ERKENNEN
DE
Cybersicherheitsereignisse schnell erkennen. Eine frühe Erkennung begrenzt den Schaden und ermöglicht eine schnellere Reaktion.
REAGIEREN
RS
Die Maßnahmen, wenn ein Cybersicherheitsvorfall eintritt: das Problem eindämmen, die Kommunikation koordinieren, Störungen verringern.
WIEDERHERSTELLEN
RC
Die betroffenen Dienste und Abläufe nach einem Vorfall wiederherstellen und aus dem Vorfall lernen, um die Resilienz zu verbessern.

Die Sicherheitsstufen im Überblick

CyFun kennt drei Sicherheitsstufen, Basic, Important und Essential, und davor die Einstiegsstufe Small. Die Stufen sind kumulativ: Jede baut auf der vorigen auf. Für die Konformitätsbewertung wesentlicher Einrichtungen sieht das CCB die Stufen Basic, Important und Essential vor; eine wesentliche Einrichtung kann eine niedrigere Stufe als Essential wählen, wenn ihre Risikoanalyse das rechtfertigt.

Small
Die Einstiegsstufe für eine erste Bewertung, gedacht für Kleinstorganisationen oder Organisationen mit begrenzten technischen Kenntnissen.
Basic
Die Anforderungen, die für alle Organisationen gelten, mit Technologien und Verfahren, die meist schon vorhanden sind. Das CCB rät allen Organisationen in der Lieferkette einer NIS2-Einrichtung, zumindest diese Stufe einzuhalten.
Important
Verstärkt die grundlegenden Maßnahmen gegen bekannte Cyberrisiken und gegen Angriffe von Akteuren mit begrenzten Ressourcen und Fähigkeiten.
Essential
Die höchsten Anforderungen, ausgelegt gegen ausgefeilte Angriffe von Akteuren mit erheblichen Ressourcen. Wesentliche Einrichtungen, die nach ihrer Risikoanalyse diese Stufe einhalten müssen, brauchen bis zum 18. April 2027 eine Zertifizierung durch eine zugelassene Konformitätsbewertungsstelle.

Das CCB, CERT.be und Safeonweb@Work

Das Zentrum für Cybersicherheit Belgien (CCB, in deutschen Rechtstexten auch ZCB) ist die nationale Cybersicherheitsbehörde. Das Gesetz überlässt ihre Benennung dem König (Art. 15 § 1); der Königliche Erlass vom 9. Juni 2024 hat das CCB benannt. Die Behörde nimmt auch die Aufgaben des nationalen CSIRT wahr (Art. 16): Das ist CERT.be, betrieben vom CCB.

Safeonweb@Work ist die Plattform des CCB für Organisationen. Dort registrieren Sie Ihre Einrichtung, und dort liegt die Meldeplattform für Sicherheitsvorfälle. Reglyze meldet nie an Ihrer Stelle und sendet selbst keine Meldung: Sie behalten die Kontrolle und übermitteln die Angaben selbst im Portal des CCB.

Einen erheblichen Sicherheitsvorfall melden

Die Meldung an das nationale CSIRT erfolgt in Schritten (Art. 35 § 1). Die Fristen von 24 und 72 Stunden laufen ab der Kenntnisnahme, der Abschlussbericht ab der Meldung.

binnen 24 Stunden
Frühwarnung (Art. 35 § 1 Nr. 1)
Nach Kenntnisnahme des erheblichen Sicherheitsvorfalls, gegebenenfalls mit der Angabe, ob ein rechtswidriges oder böswilliges Handeln vermutet wird oder grenzüberschreitende Auswirkungen möglich sind.
binnen 72 Stunden
Meldung über den Sicherheitsvorfall (Nr. 2)
Aktualisiert die Frühwarnung und gibt eine erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls mit den Kompromittierungsindikatoren. Ein Vertrauensdiensteanbieter meldet binnen 24 Stunden (§ 2).
nach einem Monat
Abschlussbericht (Nr. 4)
Spätestens einen Monat nach der Meldung: ausführliche Beschreibung, Art der Bedrohung oder Ursache, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitende Auswirkungen. Dauert der Vorfall dann noch an, folgen ein Fortschrittsbericht und der Abschlussbericht einen Monat nach seiner endgültigen Behandlung (Nr. 5).

Auf Ersuchen des CSIRT kommt ein Zwischenbericht hinzu (Art. 35 § 1 Nr. 3). Das CSIRT antwortet nach Möglichkeit binnen 24 Stunden nach Eingang der Frühwarnung (Art. 36 § 1).

Was Sie bei Reglyze auf Deutsch bekommen

  • Die Bewertung: jede der 218 Anforderungen im Wortlaut der deutschen CyFun-Ausgabe des CCB, mit den amtlichen Namen der Funktionen und Kategorien.
  • Die Dokumente: Richtlinien und weitere Unterlagen erstellt Reglyze auf Deutsch und nennt die CyFun-Kategorien so, wie das CCB sie benennt, etwa GV.PO „Richtlinie“ oder ID.RA „Risikobewertung“.
  • Noch nicht auf Deutsch: der CyFun-Grundlagenkurs, der derzeit nur auf Niederländisch vorliegt.

Häufige Fragen

Gilt NIS2 in Belgien bereits?
Ja. Das Gesetz vom 26. April 2024 ist am 18. Oktober 2024 in Kraft getreten (Art. 98). Seitdem gelten für wesentliche und wichtige Einrichtungen die Pflichten zu Risikomanagement, Meldung erheblicher Sicherheitsvorfälle und Registrierung beim CCB.
Gibt es das Gesetz auf Deutsch?
Das Gesetz wurde auf Französisch und Niederländisch erlassen und veröffentlicht; eine amtliche deutsche Übersetzung gab es am 29. Oktober 2026 nicht. Die Zentrale Dienststelle für Deutsche Übersetzungen hat am 23. Oktober 2026 eine inoffizielle Koordinierung in deutscher Sprache im Belgischen Staatsblatt veröffentlicht, mit den Änderungen durch das Gesetz vom 19. Dezember 2025.
Was ist CyFun, und wie hängt es mit dem Gesetz zusammen?
CyFun (CyberFundamentals) ist das Rahmenwerk des CCB, aufgebaut auf den sechs Funktionen des NIST Cybersecurity Framework 2.0 und gestützt auf ISO/IEC 27001, IEC 62443 und die CIS Controls. Der Königliche Erlass vom 9. Juni 2024 erkennt CyFun und ISO/IEC 27001:2022 als Referenzrahmen für die Konformitätsbewertung an. Wer die Bewertung besteht, gilt bis zum Gegenbeweis als konform (Art. 42).
Wo melde ich einen Sicherheitsvorfall?
Beim nationalen CSIRT, CERT.be beim CCB, über die Meldeplattform auf Safeonweb@Work: Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden nach Kenntnisnahme, Abschlussbericht spätestens einen Monat nach der Meldung (Art. 35 § 1).
Was gibt es bei Reglyze auf Deutsch?
Die CyFun-Bewertung, mit jeder Anforderung im Wortlaut der deutschen Ausgabe des CCB, und die Dokumente, die Reglyze für Sie erstellt. Der CyFun-Grundlagenkurs liegt derzeit nur auf Niederländisch vor.

Ausführlich auf Französisch und Niederländisch

Diese Themen beschreiben unsere französischen und niederländischen Seiten zu Belgien im Detail.

Bereiten Sie Ihre CyFun-Sicherheitsstufe vor

Reglyze bewertet Ihre Lücken gegenüber den CyFun-Funktionen, erstellt mit KI die passenden Richtlinien und dokumentiert die Nachweise, damit Sie für die Bewertung durch eine zugelassene Konformitätsbewertungsstelle bereit sind. Veröffentlichte Preise in Euro, Hosting in der EU.

Reglyze ist eine SaaS-Plattform für die NIS2-Konformität und ersetzt keine Rechtsberatung. CyFun ist ein Rahmenwerk des CCB. Amtliche Quelle: ccb.belgium.be (CCB).

Reglyze ist eine SaaS-Plattform für die Umsetzung des Gesetzes vom 26. April 2024 (belgische Umsetzung von NIS 2), gehostet in der Europäischen Union. Sie ersetzt keine Rechtsberatung. Erhebliche Sicherheitsvorfälle melden Sie selbst dem nationalen CSIRT, CERT.be beim Zentrum für Cybersicherheit Belgien (CCB), über Safeonweb@Work (Art. 34 und 35 des Gesetzes).