Welches Gesetz setzt NIS 2 in Belgien um, und seit wann gilt es?

Das Gesetz vom 26. April 2024 zur Festlegung eines Rahmens für die Cybersicherheit von Netz- und Informationssystemen von allgemeinem Interesse für die öffentliche Sicherheit, in Kraft seit dem 18. Oktober 2024 (Art. 98) und ergänzt durch den Königlichen Erlass vom 9. Juni 2024. Zuständige Behörde ist das CCB (Zentrum für Cybersicherheit Belgien).

Gibt es das Gesetz auf Deutsch?

Das Gesetz ist auf Französisch und Niederländisch erlassen und veröffentlicht; eine amtliche deutsche Übersetzung gab es am 29. Oktober 2026 nicht. Die Zentrale Dienststelle für Deutsche Übersetzungen hat am 23. Oktober 2026 eine inoffizielle Koordinierung in deutscher Sprache im Belgischen Staatsblatt veröffentlicht, mit den Änderungen durch das Gesetz vom 19. Dezember 2025 über die Resilienz kritischer Einrichtungen.

Was ist CyFun, und wie hängt es mit dem Gesetz zusammen?

CyFun (das CyberFundamentals Framework des CCB) ist der technische Referenzrahmen. Der Königliche Erlass vom 9. Juni 2024 erkennt CyFun und ISO/IEC 27001:2022 für die Konformitätsbewertung an. Eine bestandene Bewertung auf der passenden Sicherheitsstufe (Basic, Important oder Essential) begründet bis zum Gegenbeweis die Vermutung, dass die Risikomanagementmaßnahmen erfüllt sind (Art. 42).

Welche Fristen gelten für die Einrichtungen?

Für wesentliche Einrichtungen lief am 18. April 2026 die erste Frist ab: je nach gewähltem Weg eine Verifizierung auf Stufe Basic oder Important durch eine zugelassene Konformitätsbewertungsstelle oder die Einreichung der Selbstbewertung beim CCB. Bis zum 18. April 2027 folgt die Zertifizierung auf Stufe Essential für die Einrichtungen, die diese Stufe einhalten müssen.

Wem und wie melde ich einen Sicherheitsvorfall?

Erhebliche Sicherheitsvorfälle melden Sie dem nationalen CSIRT, CERT.be beim CCB, über die Meldeplattform auf Safeonweb@Work: Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden nach Kenntnisnahme, Abschlussbericht spätestens einen Monat nach der Meldung (Art. 35 § 1).

← Zurück zu Reglyze

Umgesetzt und anwendbar

NIS 2 in Belgien: CyberFundamentals Framework (CyFun)

Der nationale Rahmen, der NIS 2 in Belgien messbar macht, ist CyberFundamentals Framework (CyFun). Das Rahmenwerk des CCB stützt sich auf das NIST Cybersecurity Framework 2.0, ISO/IEC 27001:2022, IEC 62443 und die CIS Controls und bietet einen schrittweisen Ansatz mit kumulativen Sicherheitsstufen. Eine bestandene Konformitätsbewertung auf der passenden Stufe begründet bis zum Gegenbeweis die Vermutung, dass die Risikomanagementmaßnahmen des Gesetzes erfüllt sind (Art. 42).

Status: in Kraft, Referenzrahmen des CCB

Das Wichtigste auf einen Blick

Umsetzungsgesetz

Gesetz vom 26. April 2024 zur Festlegung eines Rahmens für die Cybersicherheit von Netz- und Informationssystemen von allgemeinem Interesse für die öffentliche Sicherheit (amtliche Fassungen auf Französisch und Niederländisch; deutsche Fassung als inoffizielle Koordinierung im Belgischen Staatsblatt vom 23. Oktober 2026)

In Kraft seit: 2024-10-18

Zuständige Behörde

Zentrum für Cybersicherheit Belgien (CCB)

https://ccb.belgium.be/

Nationaler Rahmen

CyberFundamentals Framework (CyFun)

6 Funktionen (REGELN, IDENTIFIZIEREN, SCHÜTZEN, ERKENNEN, REAGIEREN, WIEDERHERSTELLEN) → 22 Kategorien → 218 Anforderungen. Drei Sicherheitsstufen (Basic, Important, Essential) und die Einstiegsstufe Small, kumulativ: Die angestrebte Stufe bestimmt, welche Anforderungen gelten. Die Stufe Basic umfasst die Anforderungen, die für alle Organisationen gelten.

Bußgelder

wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Wer ist betroffen?

wesentliche Einrichtung

Große Einrichtungen der Sektoren mit hoher Kritikalität (Anlage I) und die übrigen Fälle des Art. 9, etwa qualifizierte Vertrauensdiensteanbieter und DNS-Diensteanbieter unabhängig von ihrer Größe und Einrichtungen der öffentlichen Verwaltung, die vom Föderalstaat abhängen. Proaktive und reaktive Aufsicht, regelmäßige Konformitätsbewertung (Art. 39), höherer Bußgeldrahmen.

wichtige Einrichtung

Die übrigen Einrichtungen der Anlagen I und II im Anwendungsbereich, insbesondere mittlere Unternehmen (Art. 10). Aufsicht im Wesentlichen nachträglich, nach einem Sicherheitsvorfall oder bei Hinweisen auf Verstöße; die Konformitätsbewertung ist freiwillig (Art. 41).

Früheres Regime: Gesetz vom 7. April 2019 (Umsetzung der NIS-1-Richtlinie), aufgehoben durch Art. 97. Das Gesetz vom 26. April 2024 erweitert den Anwendungsbereich gegenüber dem NIS-1-Gesetz vom 7. April 2019. Eine feste Zahl betroffener Einrichtungen wird nicht veröffentlicht; die Registrierung erfolgt über Safeonweb@Work.

Wichtige Fristen

2024-10-18

Inkrafttreten des Gesetzes vom 26. April 2024 (belgische Umsetzung von NIS 2, Art. 98).

2026-04-18

Abgelaufene Frist: verpflichtende Selbstbewertung oder Verifizierung auf Stufe Basic oder Important für die betroffenen wesentlichen Einrichtungen, je nach gewähltem Weg der Konformitätsbewertung.

2027-04-18

Zertifizierung auf Stufe Essential für die wesentlichen Einrichtungen, die diese Stufe einhalten müssen; ISO/IEC 27001 ist die anerkannte Alternative.

Meldung von Vorfällen: 24 h (Frühwarnung) / 72 h (Meldung) / 1 Monat nach der Meldung (Abschlussbericht), an CERT.be (das nationale CSIRT beim CCB), über die Meldeplattform auf Safeonweb@Work.

Prioritäre Sektoren

Öffentliche Verwaltung, Energie, Wasser, Verkehr und Gesundheitswesen

In den Sektoren mit hoher Kritikalität (Anlage I) sind große Einrichtungen wesentliche Einrichtungen, ebenso die Einrichtungen der öffentlichen Verwaltung, die vom Föderalstaat abhängen (Art. 9). Das CCB übt die Aufsicht aus, CERT.be bearbeitet die Sicherheitsvorfälle.

Telekommunikation, digitale Infrastruktur und IKT-Dienstleister

Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste fallen unabhängig von ihrer Größe unter das Gesetz (Art. 3 § 3), Cloud-Anbieter, Rechenzentren und Anbieter verwalteter IKT-Dienste ab der Größe eines mittleren Unternehmens (Art. 3 § 1). Hinzu kommen, mittelbar, die Anforderungen großer Kunden an ihre Lieferanten (Sicherheit der Lieferkette, CyFun-Funktion REGELN / GV.SC).

Lieferkette und CyFun

Anbieter verwalteter Dienste (MSP) und Lieferanten können ihre Cybersicherheit mit CyFun nachweisen: Das CCB rät allen Organisationen in der Lieferkette einer NIS2-Einrichtung, zumindest die Maßnahmen der Stufe Basic einzuhalten, und eine NIS2-Einrichtung kann ihren direkten Lieferanten eine bestimmte CyFun-Stufe auferlegen.

Wie CyFun auf NIS 2 abgebildet ist

CyFun, der nationale Rahmen für NIS 2, gegenübergestellt mit den NIS-2-Anforderungen, die er abdeckt (Sicherheitsstufen). Wo es keine direkte NIS-2-Entsprechung gibt, sagen wir es.

Sicherheitsstufe (CyFun)	NIS-2-Anforderung(en)	Status
Basicbasic	Art. 20(1) Art. 20(2) Art. 21(2)(a) Art. 21(2)(b) Art. 21(2)(c) Art. 21(2)(e) Art. 21(2)(g) Art. 21(2)(h) Art. 21(2)(i)	Teilweise abgedeckt
Importantimportant	Art. 20(1) Art. 20(2) Art. 21(2)(a) Art. 21(2)(b) Art. 21(2)(c) Art. 21(2)(d) Art. 21(2)(e) Art. 21(2)(f) Art. 21(2)(g) Art. 21(2)(h) Art. 21(2)(i) Art. 21(2)(j)	Abgedeckt
Essentialessential	Art. 20(1) Art. 20(2) Art. 21(2)(a) Art. 21(2)(b) Art. 21(2)(c) Art. 21(2)(d) Art. 21(2)(e) Art. 21(2)(f) Art. 21(2)(g) Art. 21(2)(h) Art. 21(2)(i) Art. 21(2)(j)	Abgedeckt

Zuordnung auf Grundlage des von der Behörde veröffentlichten Rahmens CyFun. Reglyze pflegt sie, wenn sich die Quelle ändert; die Plattform zeigt die vollständige Ansicht Anforderung für Anforderung.

Häufige Fragen

Welches Gesetz setzt NIS 2 in Belgien um, und seit wann gilt es?: Das Gesetz vom 26. April 2024 zur Festlegung eines Rahmens für die Cybersicherheit von Netz- und Informationssystemen von allgemeinem Interesse für die öffentliche Sicherheit, in Kraft seit dem 18. Oktober 2024 (Art. 98) und ergänzt durch den Königlichen Erlass vom 9. Juni 2024. Zuständige Behörde ist das CCB (Zentrum für Cybersicherheit Belgien).
Gibt es das Gesetz auf Deutsch?: Das Gesetz ist auf Französisch und Niederländisch erlassen und veröffentlicht; eine amtliche deutsche Übersetzung gab es am 29. Oktober 2026 nicht. Die Zentrale Dienststelle für Deutsche Übersetzungen hat am 23. Oktober 2026 eine inoffizielle Koordinierung in deutscher Sprache im Belgischen Staatsblatt veröffentlicht, mit den Änderungen durch das Gesetz vom 19. Dezember 2025 über die Resilienz kritischer Einrichtungen.
Was ist CyFun, und wie hängt es mit dem Gesetz zusammen?: CyFun (das CyberFundamentals Framework des CCB) ist der technische Referenzrahmen. Der Königliche Erlass vom 9. Juni 2024 erkennt CyFun und ISO/IEC 27001:2022 für die Konformitätsbewertung an. Eine bestandene Bewertung auf der passenden Sicherheitsstufe (Basic, Important oder Essential) begründet bis zum Gegenbeweis die Vermutung, dass die Risikomanagementmaßnahmen erfüllt sind (Art. 42).
Welche Fristen gelten für die Einrichtungen?: Für wesentliche Einrichtungen lief am 18. April 2026 die erste Frist ab: je nach gewähltem Weg eine Verifizierung auf Stufe Basic oder Important durch eine zugelassene Konformitätsbewertungsstelle oder die Einreichung der Selbstbewertung beim CCB. Bis zum 18. April 2027 folgt die Zertifizierung auf Stufe Essential für die Einrichtungen, die diese Stufe einhalten müssen.
Wem und wie melde ich einen Sicherheitsvorfall?: Erhebliche Sicherheitsvorfälle melden Sie dem nationalen CSIRT, CERT.be beim CCB, über die Meldeplattform auf Safeonweb@Work: Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden nach Kenntnisnahme, Abschlussbericht spätestens einen Monat nach der Meldung (Art. 35 § 1).

Offizielle Quellen

Zuletzt geprüft: 2026-10-29 · nächste Überprüfung nach 2027-01-29.

Bereit für die NIS-2-Konformität in Belgien?

Reglyze nutzt KI, um Sie einfach und schnell konform zu machen: Scoping, Gap-Analyse und Richtliniengenerierung ausgerichtet auf CyberFundamentals Framework (CyFun).