CyberFundamentals en NIS2: wat ze vragen over toegang op afstand
De Belgische NIS2-wet van 26 april 2024 is op 18 oktober 2024 in werking getreden. Ze legt middelgrote en grote organisaties in achttien sectoren cyberbeveiligingsmaatregelen op, waaronder toegangsbeleid, de beveiliging van de toeleveringsketen en, waar gepast, multifactorauthenticatie. Het Centrum voor Cybersecurity België (CCB) houdt toezicht en erkent zijn eigen CyberFundamentals-kader (CyFun) om naleving aan te tonen; dat kader vraagt tweestapsverificatie voor elke toegang op afstand. Deze gids legt uit wie eronder valt en wat het voor de VPN betekent. Ze is geen juridisch advies.
Of: waarom een wet over kritieke diensten ook over de laptop van je boekhouder gaat
Een wet over cyberbeveiliging lijkt ver af te staan van het werk om toegang op afstand te beveiligen, tot je de lijst van maatregelen leest. De Belgische NIS2-wet van 26 april 2024 somt in artikel 30 op wat een organisatie die eronder valt minstens moet doen, en daar staan onder meer toegangsbeleid, de beveiliging van de toeleveringsketen en, waar gepast, multifactorauthenticatie in. Een VPN is precies de plek waar die drie samenkomen.
Het korte antwoord: valt je organisatie onder NIS2, dan hoort er tweestapsverificatie op elke toegang op afstand, en moet je kunnen aantonen dat je accounts, updates en logboeken beheert. Valt ze er niet onder, dan kan een klant die er wel onder valt hetzelfde van jou vragen als leverancier. Of jouw organisatie onder de wet valt, lees je bij het CCB of vraag je aan een jurist; deze gids geeft de grote lijnen.
NIS2 in België: wie eronder valt en wat het vraagt
Essentiële en belangrijke entiteiten
De wet zet de Europese NIS2-richtlijn om in Belgisch recht en geldt sinds 18 oktober 2024. Ze richt zich op organisaties in achttien sectoren, van energie, transport en gezondheidszorg tot digitale dienstverlening, afvalbeheer, voeding en maakindustrie.
De grootte telt. In de regel gaat het om middelgrote en grote ondernemingen: vanaf 50 werknemers, of vanaf een jaaromzet en een balanstotaal van elk meer dan 10 miljoen euro, waarbij ook verbonden ondernemingen meetellen. Voor enkele soorten diensten, zoals DNS-diensten, domeinnaamregisters en vertrouwensdiensten, speelt de grootte geen rol.
Binnen dat toepassingsgebied maakt de wet een onderscheid:
| Essentiële entiteit | Belangrijke entiteit | |
|---|---|---|
| Wie, ruwweg | grote organisaties in de sectoren van bijlage I, plus enkele diensten ongeacht hun grootte | de andere organisaties binnen het toepassingsgebied |
| Toezicht | vooraf en achteraf | achteraf, bijvoorbeeld na een incident |
| Maximale boete | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste bedrag | 7 miljoen euro of 1,4 procent, het hoogste bedrag |
Betrokken organisaties moesten zich tegen 18 maart 2025 registreren bij het CCB, via Safeonweb@work. Een significant incident moet volgens de richtlijn binnen 24 uur met een eerste waarschuwing gemeld worden, binnen 72 uur met een incidentmelding en binnen een maand met een eindverslag. Een inbraak via de VPN kan zo’n incident zijn.
Wat de wet vraagt voor de VPN
Artikel 30 noemt elf soorten maatregelen. Voor toegang op afstand springen er vijf uit:
| Maatregel in artikel 30 | Wat het betekent voor je VPN |
|---|---|
| Toegangsbeleid en beheer van activa | weten welke toestellen en accounts er zijn, en wie waarbij mag |
| Waar gepast, multifactorauthenticatie | een tweede factor op elke VPN-login |
| Beveiliging bij onderhoud, inclusief het behandelen van kwetsbaarheden | updates op tijd, toestellen zonder ondersteuning vervangen |
| Incidentenbehandeling | logboeken en een plan voor als het misgaat |
| Beveiliging van de toeleveringsketen | eisen stellen aan IT-partners en leveranciers met toegang |
De wet schrijft geen merk of techniek voor. Ze vraagt passende en evenredige maatregelen. Om die te concretiseren, verwijst het CCB naar CyberFundamentals.
Wat CyberFundamentals concreet vraagt
CyberFundamentals, kortweg CyFun, is het kader van het CCB. De versie 2025, gedateerd op 1 oktober 2025, is gebaseerd op het Amerikaanse NIST Cybersecurity Framework 2.0 en kent vier niveaus: Small, Basic, Important en Essential. Elk niveau bouwt voort op het vorige, en een deel van de maatregelen is als sleutelmaatregel aangeduid.
Voor toegang op afstand zijn drie maatregelen de kern:
- PR.AA-03.2: voor toegang op afstand tot het netwerk van de organisatie is multifactorauthenticatie vereist. Volgens de toelichting geldt dat ook voor leveranciers en onderaannemers. Het staat al op het niveau Basic, en ook het kleinste niveau, Small, vraagt altijd MFA bij toegang op afstand.
- PR.AA-01.1: identiteiten en aanmeldgegevens van gebruikers, diensten en toestellen worden beheerd.
- PR.PS-04.1: logboeken worden bijgehouden, gedocumenteerd en opgevolgd.
Wie de oudere versie van 2023 kent: daar heette de maatregel over toegang op afstand PR.AC-3.
Essentiële entiteiten moeten hun naleving regelmatig laten beoordelen, met CyFun of met ISO/IEC 27001, of onder toezicht van de inspectiedienst van het CCB. Volgens het CCB moesten ze tegen 18 april 2026 een eerste tussenstap halen en moeten ze tegen 18 april 2027 het niveau bereiken dat bij hun risico’s past. Voor belangrijke entiteiten is zo’n beoordeling vrijwillig, maar de maatregelen zelf zijn dat niet.
De kmo als leverancier
Ook wie zelf onder geen enkele drempel valt, krijgt met NIS2 te maken. Artikel 30 verplicht betrokken organisaties om rekening te houden met de kwetsbaarheden van hun leveranciers. Een boekhoudkantoor dat via de VPN van een ziekenhuis werkt, een installateur die op afstand de systemen van een waterbedrijf onderhoudt of een IT-partner van een transportbedrijf kan dus vragen krijgen: werk je met tweestapsverificatie, heeft elke technicus een eigen account, wie wordt verwittigd bij een incident?
Voor kleine organisaties heeft het CCB het niveau Small uitgewerkt. Het is geen wettelijke verplichting voor wie niet onder NIS2 valt, maar wel een handige lijst om een klant te tonen wat je al doet.
Kmo-Kristof: NIS2 is niet voor ons. We zijn met zeven.
Security-Sofie: Klopt. Maar jullie grootste klant is een ziekenhuis.
Kmo-Kristof: En?
Security-Sofie: Dat ziekenhuis heeft een lijst met vragen voor zijn leveranciers. Jullie staan erop.
De eerste maatregel
PR.AA-03.2 is in de praktijk de vraag die het eerst komt, van een auditor of van een klant. Welke methodes er zijn en waar ze tekortschieten, staat bij MFA op de VPN instellen.
Een lijst om mee te beginnen
Wie wil weten waar de VPN van zijn zaak staat, kan de basisvragen aflopen met zijn IT-partner. Ze staan bij een checklist voor de VPN.
Kunnen aantonen
Bij een controle of na een incident moet je kunnen laten zien wie wanneer verbinding maakte. Wat je daarvoor bijhoudt en hoelang, lees je bij VPN-logboeken bijhouden en bewaren.